Web sitesi güvenliği, olmadığı fark edilene kadar kimsenin konuşmadığı bir konudur. Sonra bir sabah site açılmaz, ya da açılır ama başka bir dile yönlenir, ya da Google arama sonucunda “Bu site zarar verebilir” uyarısı çıkar. O noktada mesele artık teknik değil ticaridir: telefonlar susar, reklam hesabı kapanır, müşteri güveni gider.
İyi haber şu ki saldırıların ezici çoğunluğu hedefli değil. Kimse sizi seçmiyor; otomatik tarayıcılar bilinen bir açığı olan siteleri tarıyor ve bulduğuna giriyor. Bu da şu anlama geliyor: alınacak önlemler karmaşık değil, sadece düzenli.
Gerçekte ne oluyor?
Saldırıların büyük kısmı üç kapıdan geliyor.
Güncellenmemiş yazılım. Eski bir eklenti, eski bir tema ya da destek süresi bitmiş bir PHP sürümü. Bir açık yayımlandığında, o açığı kullanan otomatik araçlar saatler içinde internetin tamamını taramaya başlıyor. Güncellenmemiş site, “kim daha önce bulacak” yarışında kaybediyor.
Zayıf ve tekrar kullanılan şifreler. Panel şifresi olarak firma adı ve yıl yazmak, ya da aynı şifreyi hem e-postada hem panelde kullanmak. Başka bir serviste sızan bir şifre, sizin panelinizde deneniyor.
Yükleme alanları. Ziyaretçinin dosya yükleyebildiği formlar, kontrol edilmediğinde sunucuda kod çalıştırmanın en kolay yolu hâline geliyor.
Dördüncü bir başlık daha var ve giderek büyüyor: barındırma hesabınızda birden çok site varsa, bunlardan birinin ele geçirilmesi diğerlerini de riske atıyor. Bir müşterimizin hesabında on üç site aynı paketin altındaydı; en eski ve en unutulmuş olanı, hepsinin ortak zayıf noktasıydı.
Bugün yapılacak yedi şey
1. Yedeğin gerçekten alındığını doğrulayın
“Hosting firması yedek alıyor” cümlesi bir güvence değildir. Üç soruyu yanıtlayabilmeniz gerekir: Yedek ne sıklıkla alınıyor? Kaç gün geriye gidebiliyorsunuz? En son ne zaman bir yedeği geri yükleyerek denediniz?
Üçüncü soru en önemlisidir. Denenmemiş yedek, yedek değil temennidir. Ayrıca yedeğin bir kopyası sunucunun dışında — kendi bilgisayarınızda ya da ayrı bir bulut hesabında — durmalıdır. Sunucu ele geçirildiğinde aynı sunucudaki yedek de gitmiş olabilir.
2. Panel şifrelerini değiştirin ve tekilleştirin
Site paneli, hosting/cPanel, alan adı hesabı ve site e-postaları — dördü de ayrı ve uzun şifrelerle korunmalı. Şifre yöneticisi kullanmak, akılda kalan şifre seçmekten kat kat güvenli. Hosting ve alan adı hesabında iki adımlı doğrulamayı açın; bu ikisi, kaybedildiğinde geri alınması en zor olan varlıklarınız.
Bir de şunu yapın: panelde kimlerin hesabı olduğuna bakın. İşten ayrılmış bir çalışanın ya da iki yıl önce çalıştığınız bir ajansın hesabı hâlâ açıksa kapatın.
3. Güncellemeleri takvime bağlayın
Ayda bir, yarım saatlik bir iş: tema, eklenti ve çekirdek yazılım güncellemelerini yedek aldıktan sonra uygulayın, ardından siteyi hızlıca gezip bozulan bir yer olup olmadığına bakın. Bu düzen kurulduğunda güncelleme korkulacak bir şey olmaktan çıkıyor; kurulmadığında ise altı ay sonra otuz güncelleme birikiyor ve hepsini birden yapmak gerçekten riskli hâle geliyor.
4. Kullanmadığınız her şeyi silin
Pasif duran bir eklenti de, kullanılmayan bir tema da sunucuda duran koddur ve açık barındırabilir. “Belki lazım olur” diye bırakılan dosyalar, saldırı yüzeyini büyütmekten başka bir işe yaramıyor. Aynısı eski site yedekleri için de geçerli: web kökünde duran bir yedek.zip, adresi bilen herkesin indirebileceği bir dosyadır.
5. Yükleme klasörlerinde kod çalışmasını kapatın
Ziyaretçilerin ya da ekibin dosya yüklediği klasörlerde PHP çalıştırılmasını sunucu düzeyinde engelleyin. Böylece kötü niyetli bir dosya yüklense bile çalıştırılamaz. Kurduğumuz sitelerde bu ayar standart olarak geliyor; hazır bir temayla çalışıyorsanız kontrol ettirin.
6. SSL ve güvenlik başlıklarını tamamlayın
SSL artık sıfır maliyetli ve zorunlu kabul edilmeli. Ama sertifikayı kurmak tek başına yetmiyor: sitenin HTTP’den HTTPS’e yönlendirildiğinden ve sayfa içinde HTTP üzerinden yüklenen görsel, yazı tipi ya da script kalmadığından emin olun. Buna ek olarak X-Content-Type-Options, X-Frame-Options ve Referrer-Policy başlıkları, birkaç satırla eklenen ve çeşitli saldırı türlerini kesen küçük ama etkili önlemlerdir.
7. Erişilebilir durumda kaldığını izleyin
Sitenin çöktüğünü müşterinizden öğrenmeyin. Ücretsiz izleme servisleri, site yanıt vermediğinde dakikalar içinde e-posta ya da SMS gönderiyor. Bir saldırının ya da sunucu arızasının ilk belirtisi çoğu zaman budur.
Site ele geçirildiyse ne yapmalı?
Panik sırayı bozar; sıra şu:
Birinci adım: siteyi kapatın. Bakım moduna alın ya da geçici olarak erişimi kesin. Ziyaretçi almaya devam eden ele geçirilmiş bir site, hem kullanıcılara zarar verir hem Google tarafında cezanın derinleşmesine yol açar.
İkinci adım: mevcut hâlin kopyasını alın. Temizlemeden önce bozuk hâlin yedeğini ayrı bir yere alın. Neyin nasıl olduğunu anlamak ve gerekirse veriyi kurtarmak için buna ihtiyacınız olacak.
Üçüncü adım: bütün şifreleri değiştirin. Hosting, panel, veritabanı, FTP, e-posta ve alan adı hesabı. Temizlik yapıp şifreleri değiştirmemek, kapıyı onarıp anahtarı dışarıda bırakmak demek.
Dördüncü adım: temiz bir yedekten dönün. Bulaşmış dosyaları tek tek ayıklamaya çalışmak yerine, saldırı öncesine ait temiz bir yedeği geri yüklemek hem daha hızlı hem daha güvenilirdir. Sonra eksik kalan içeriği elle tamamlayın. Temiz yedek yoksa, sitenin uzman biri tarafından dosya dosya temizlenmesi gerekir — bu da baştan yapmakla yarışan bir maliyettir. Birinci maddenin neden birinci olduğu burada anlaşılıyor.
Beşinci adım: açığı kapatın. Aynı açık duruyorsa aynı site tekrar ele geçirilir. Güncellemeleri yapın, kullanılmayanları silin, giriş yetkilerini gözden geçirin.
Altıncı adım: Google’a yeniden inceleme başvurusu yapın. Search Console üzerinden “Güvenlik Sorunları” bölümünden temizliği bildirip inceleme isteyin. Uyarının kalkması genelde birkaç gün sürer.
Yedinci adım: kişisel veri sızdıysa yükümlülüğünüz var. Müşteri bilgileri, form kayıtları ya da üyelik verileri etkilendiyse KVKK kapsamında veri ihlali bildirimi gündeme gelir. Bu noktada tahmin yürütmeyin; hukuki destek alın. Konunun web sitesi tarafını KVKK uyumlu web sitesi yazımızda anlattık.
Bakım sözleşmesi neye yarar?
Yukarıdaki listenin tamamı, kendi başınıza yapabileceğiniz işler. Sorun yapılabilir olmasında değil, düzenli yapılmasında. Pratikte ilk ay yapılıyor, üçüncü ay unutuluyor, sekizinci ay sorun çıkıyor.
Bakım hizmetinin karşılığı da tam olarak bu düzen: haftalık yedek, aylık güncelleme, kesinti izleme, güvenlik takibi ve bir şey olduğunda arayabileceğiniz bir numara. Bu kalemleri ayrıca ne kadar tuttuğunu bakım ücreti yazımızda açıkça yazdık.
Sitenizin şu anki durumunu bilmiyorsanız, bize yazın: yedeğin çalışıp çalışmadığına, sürümlere ve açıkta kalan dosyalara bakıp durumu tek sayfada özetleyelim. Çoğu zaman çıkan sonuç “acil bir şey yok, şu üç şeyi yapın” oluyor — ve bunu duymak da bir değerdir.
