WordPress güvenliği tek bir güvenlik eklentisine bırakılamaz. Hesap, hosting, çekirdek, tema, eklenti, yedek ve işletme süreçleri birlikte korunur. Amaç bütün riski ortadan kaldırmak değil, saldırı yüzeyini azaltmak, olağandışı durumu erken görmek ve kontrollü geri dönebilmektir.
Bu rehberde ne bulacaksınız?
Varlık ve yetki envanteri oluşturmayı, WordPress’i katmanlı biçimde sertleştirmeyi, bakım ve izleme takvimi kurmayı, olay müdahalesi ile geri dönüşü önceden planlamayı öğreneceksiniz.
Varlık, kullanıcı ve risk envanteri çıkarın
Korunacak sistemi bilmeden doğru kontrol seçilemez. WordPress yönetimi yanında hosting, DNS, e-posta, SMTP, analitik ve harici entegrasyon hesaplarını aynı envanterde değerlendirin.
En az yetki ilkesini uygulayın
Her kullanıcıya yalnız görevi için gereken rol verilmeli; ortak yönetici hesabı kullanılmamalıdır.
- Aktif kullanıcıları ve son girişleri dönemsel inceleyin.
- Yönetici rolünü içerik editörlerinden ayırın.
- Ayrılan kişi ve kullanılmayan servis hesaplarını kapatın.
Kimlik doğrulamayı güçlendirin
Güçlü ve benzersiz parola, güvenli parola yöneticisi ve mümkün olan hesaplarda çok faktörlü doğrulama birlikte kullanılmalıdır.
- Varsayılan veya tahmin edilebilir kullanıcı adlarını kullanmayın.
- Kurtarma e-postası ve yedek kod sahipliğini doğrulayın.
- Şüpheli oturumlarda parolayla birlikte anahtarları yenileyin.
Çekirdek, eklenti ve hosting katmanını sertleştirin
Güncel yazılım önemlidir; ancak güvenilir kaynak, dosya izinleri, HTTPS, yapılandırma ve sunucu izolasyonu da aynı güvenlik modelinin parçalarıdır.
Bağımlılıkları güvenilir ve az tutun
Kullanılmayan veya desteklenmeyen bileşenler saldırı yüzeyini genişletir.
- Tema ve eklentileri resmi ya da doğrulanmış kaynaktan edinin.
- Güncelleme geçmişi ve desteklenen sürümleri kontrol edin.
- Kullanılmayan tema ve eklentileri yedek sonrası kaldırın.
Yapılandırma ve dosya erişimini sınırlandırın
Hosting ortamına uygun dosya izinleri kullanılmalı; hassas dosya ve gizli anahtarlar web üzerinden açığa çıkmamalıdır.
- HTTPS yönlendirmesi ve sertifika yenilemesini izleyin.
- Yönetim ve dosya düzenleme erişimlerini ihtiyaca göre sınırlandırın.
- Hata ayrıntılarını canlı kullanıcıya göstermeyin.
Bakım ve izleme ritmi oluşturun
Güvenlik kontrolleri yalnız olay çıktığında yapılmamalıdır. Risk düzeyine göre günlük uyarı, haftalık sağlık ve aylık erişim-güncelleme incelemesi planlayın.
Güncelleme sürecini test ortamı (staging) ile yönetin
Kritik güncellemeler geciktirilmemeli; fakat canlıda kontrolsüz uygulanmamalıdır.
- Değişiklik öncesi geri yüklenebilir yedek alın.
- Test ortamında form ve kritik akışları test edin.
- Canlı uygulama sonrası hata kaydı ve temel işlevleri doğrulayın.
Olağandışı davranışı izleyin
Dosya değişimi, başarısız giriş, yeni yönetici, e-posta hatası ve beklenmeyen trafik artışı erken uyarı olabilir.
- Uyarıların ulaşacağı sorumlu kişiyi belirleyin.
- Günlükleri erişimi sınırlı ve yeterli süre saklayın.
- Yanlış pozitifleri azaltmak için normal davranış temelini kaydedin.
Olay ve geri dönüş prosedürü hazırlayın
Şüpheli durumda doğrudan dosya silmek kanıtı kaybettirebilir. Önce etkiyi sınırlayın, yedek ve kayıtları koruyun, ardından doğrulanmış temiz duruma dönün.
Müdahale sırasını belgeleyin
Kim karar verecek, hangi erişim değişecek ve kullanıcıya ne zaman bilgi verilecek önceden belirlenmelidir.
- Etkilenen hesabı ve sistemi kontrollü izole edin.
- Parola, API anahtarı ve oturumları risk kapsamına göre yenileyin.
- Hosting ve uzman desteği için iletişim zincirini kullanın.
Temiz geri dönüşü doğrulayın
Sadece görünür zararı kaldırmak yeterli değildir; giriş noktası ve kalıcılık mekanizması araştırılmalıdır.
- Yedeğin tarihini ve bütünlüğünü doğrulayın.
- Çekirdek ile eklenti dosyalarını güvenilir kopyalarla karşılaştırın.
- Olay sonrası eksik kontrolü bakım planına ekleyin.
Resmi kaynaklar
Özellikler ve platform kuralları zamanla değişebilir. Uygulama öncesinde aşağıdaki birincil kaynakların güncel sürümünü kontrol edin.