Web sitesi güvenliği, yalnızca büyük şirketlerin değil; her ölçekte işletmenin öncelik vermesi gereken temel bir dijital altyapı konusudur. Sucuri’nin 2025 raporuna göre, saldırıya uğrayan web sitelerinin %43’ü küçük işletmelere ait. Hackerlar büyük kurbanları hedef almak yerine güvenlik açıkları olan herhangi bir siteyi otomatik araçlarla tarıyor. Bu rehberde SSL, yedekleme ve temel güvenlik önlemlerini uygulamalı biçimde ele alıyoruz.
Web Sitesi Neden Saldırıya Uğrar?
Saldırıların büyük bölümü kişisel hedefleme değil, otomatik tarama sonucudur. Botlar bilinen güvenlik açıklarına sahip WordPress sürümlerini, zayıf şifreleri ve güncel olmayan eklentileri sürekli tarıyor. Siteniz saldırıya uğradığında sonuçlar ciddi olabilir: veri kaybı, müşteri bilgilerinin çalınması, Google’ın “Bu site tehlikeli” uyarısı ve SEO cezası.
SSL Sertifikası: Temel Güven Katmanı
SSL Nedir?
SSL (Secure Sockets Layer) / TLS sertifikası, siteniz ile ziyaretçinin tarayıcısı arasındaki veri iletişimini şifreler. Adres çubuğundaki kilit simgesi ve “https://” bu şifrelemenin görünür işaretidir. SSL olmayan siteler Chrome’da “Güvenli Değil” uyarısıyla gösterilir; bu uyarı dönüşüm oranını ciddi biçimde düşürür.
SSL ve SEO
Google, HTTPS’yi 2014’ten itibaren resmi bir sıralama sinyali olarak kullanıyor. HTTP siteler sıralamada dezavantajlıdır; aynı içerikle iki site karşılaştırıldığında HTTPS olan üst sırada yer alıyor.
SSL Nasıl Edinilir?
- Let’s Encrypt: Tamamen ücretsiz, otomatik yenilenen SSL sertifikası. Çoğu hosting paneli (cPanel, Plesk) tek tıkla kurulum sunuyor.
- Hosting sağlayıcısı: Pek çok hosting paketi ücretsiz SSL içeriyor; kontrol panelinden etkinleştirmeniz yeterli.
- Ticari SSL: Kurumsal güven mühürü veya wildcard ihtiyacı için Comodo, DigiCert gibi sağlayıcılardan ücretli sertifika alınabilir.
Yedekleme Stratejisi: Felaket Kurtarmanın Temeli
Güvenlik ihlali, sunucu arızası veya yanlışlıkla silme — bu üç senaryonun hepsi yedek olmadan telafi edilemez veri kaybına yol açar. Yedekleme stratejisinin altın kuralı: 3-2-1 Kuralı.
- 3 kopya veri tutun
- 2 farklı medya/lokasyonda saklayın
- 1 kopya off-site (bulut) olsun
Yedekleme Sıklığı
| Site Türü | Önerilen Sıklık | Saklama Süresi |
|---|---|---|
| Statik kurumsal site | Haftalık | 30 gün |
| Blog / içerik sitesi | Günlük | 30 gün |
| E-ticaret | Saatlik veya gerçek zamanlı | 90 gün |
| Üyelik / forum | Günlük | 60 gün |
WordPress için Yedekleme Araçları
- UpdraftPlus: En popüler WordPress yedekleme eklentisi. Google Drive, Dropbox, S3 entegrasyonu. Ücretsiz planı çoğu site için yeterli.
- BlogVault: Gerçek zamanlı yedekleme, tek tıkla geri yükleme ve staging ortamı. E-ticaret siteleri için idealdir.
- Hosting yedeklemesi: Tek başına güvenilmez; her zaman bağımsız yedek alın.
Temel Güvenlik Önlemleri
1. Yazılımı Güncel Tutun
Saldırıya uğrayan WordPress sitelerinin %86’sının eski WordPress versiyonu veya eklentisi kullandığı tespit edildi (WPScan 2025). WordPress core, tema ve eklenti güncellemelerini haftada bir kontrol edin; kritik güvenlik güncellemelerini otomatik etkinleştirin.
2. Güçlü Parola ve İki Faktörlü Doğrulama
Admin şifresi minimum 16 karakter, büyük/küçük harf + rakam + sembol içermeli; sözlük kelimesi içermemelidir. Tüm admin hesaplarına Google Authenticator veya benzeri bir uygulama ile iki faktörlü doğrulama (2FA) ekleyin. WordPress için WP 2FA eklentisi bu işlemi kolaylaştırır.
3. Giriş Sayfasını Koruyun
Brute force saldırıları WordPress’in /wp-admin ve /wp-login.php adreslerini sürekli tarar. Önlemler: giriş denemelerini sınırlayın (Limit Login Attempts eklentisi), admin kullanıcı adını “admin” olarak bırakmayın, giriş sayfasına erişimi IP ile kısıtlayın (mümkünse).
4. Web Uygulaması Güvenlik Duvarı (WAF)
WAF, kötü amaçlı trafiği sitenize ulaşmadan engeller. Cloudflare’nin ücretsiz planı temel WAF koruması sunar. WordPress için Wordfence veya Sucuri Security eklentileri hem WAF hem güvenlik taraması sağlar.
5. Kullanılmayan Eklenti ve Temaları Kaldırın
Devre dışı bırakılmış eklentiler bile güvenlik açığı oluşturabilir. Kullanmadığınız eklenti ve temaları tamamen silin; sadece devre dışı bırakmak yetmez.
Güvenlik Denetim Araçları
- Sucuri SiteCheck: Ücretsiz online tarama, kötü amaçlı yazılım ve kara liste kontrolü
- WPScan: WordPress’e özel güvenlik açığı tarayıcı
- SSL Labs: SSL yapılandırmanızı A’dan F’ye kadar derecelendiriyor
- Google Search Console: “Güvenlik Sorunları” raporu, Google’ın tespit ettiği sorunları listeler
Sonuç
Web sitesi güvenliği, tek seferlik değil; sürekli bakım gerektiren bir süreçtir. SSL kurulumu, düzenli yedekleme, yazılım güncellemeleri ve güçlü parola politikası — bu dört temel önlemi uygulayan siteler saldırı riskini %90’ın üzerinde azaltır. Sitenizin güvenlik denetimi ve güçlendirmesi için Wordline Agency teknik ekibiyle iletişime geçin.
Güvenlik Olayı Yaşandığında Ne Yapmalısınız?
Tüm önlemlere rağmen güvenlik ihlali yaşanabilir. Paniğe kapılmak yerine aşağıdaki adımları sırayla uygulayın — hızlı ve doğru aksiyon hasarı önemli ölçüde sınırlar.
- Siteyi hemen çevrimdışı alın: Ziyaretçileri zararlı içerikten korumak ve saldırganın erişimini kesmek için. Hosting panelinizden veya .htaccess ile “maintenance mode” aktive edin.
- En son temiz yedeği tespit edin: Hangi tarihten önce alınan yedek güvenli? Yedek dosyalarını da tarayın — bazı zararlı yazılımlar yedeklere sızabilir.
- Sucuri SiteCheck ile tarama yapın: sitecheck.sucuri.net — kötü amaçlı kodun hangi dosyalarda olduğunu tespit edin.
- Şifre değişikliği yapın: Admin paneli, hosting, FTP, veritabanı — tüm erişim bilgilerini yenileyin. E-posta hesaplarını da dahil edin.
- Yedeği geri yükleyin veya zararlı kodu temizleyin: Temiz yedek varsa geri yüklemek en hızlı yoldur; yoksa Wordfence veya Sucuri hizmetleriyle manuel temizlik gerekir.
- Google Search Console’u kontrol edin: “Güvenlik Sorunları” raporunda sitenizin Google tarafından işaretlenip işaretlenmediğini görün. İşaretlenmişse inceleme talep edin.
- Güvenlik açığını kapatın: Saldırı hangi zafiyetten girdi? Eski eklenti, zayıf parola, açık upload klasörü — kök nedeni kapatmadan geri yükleme geçici çözüm olur.
Sık Sorulan Sorular
SSL sertifikası ücretsiz mi olmalı, ücretli mi?
Çoğu site için ücretsiz Let’s Encrypt sertifikası yeterlidir ve tarayıcılar tarafından tam olarak güvenilir kabul edilir. Ücretli EV (Extended Validation) sertifikaları, tarayıcı adres çubuğunda şirket adını göstererek ekstra güven sinyali verir; e-ticaret ve finans sektörlerinde tercih edilebilir. Temel güvenlik açısından fark yoktur — şifreleme kalitesi eşittir. Fark yalnızca doğrulama düzeyi ve görsel güven işaretindedir.
Web sitemi hacklediler, ne kadar sürede kurtarabilirim?
Temiz yedek mevcutsa 2–4 saat içinde siteyi yeniden ayağa kaldırmak mümkündür. Yedek yoksa zararlı kodun manuel temizlenmesi 1–3 iş günü sürebilir. Siteye Google veya antivirüs şirketlerince zararlı site etiketi yapıştırılmışsa bu etiketin kaldırılması 1–5 iş günü ek süre gerektirir. Bu nedenle düzenli yedekleme, kurtarma süresini en kritik şekilde kısaltır.
Cloudflare ücretsiz planı gerçekten koruma sağlıyor mu?
Evet, önemli düzeyde koruma sağlar. Cloudflare’nin ücretsiz planı DDoS koruması, temel WAF kuralları ve bot yönetimi içerir. Bunlara ek olarak sitenizin önüne geçerek IP adresinizi gizler — bu tek başına birçok otomatik saldırıyı engeller. Büyük çaplı kurumsal saldırılara karşı ücretli planlar gerekebilir; ancak KOBİ düzeyindeki siteler için ücretsiz plan son derece etkilidir.
WordPress eklentileri güvenlik riski oluşturur mu?
Evet — ve bu en büyük WordPress güvenlik riskleri arasında yer alır. Saldırıya uğrayan WordPress sitelerinin büyük çoğunluğunda ortak nokta eski veya kötü kodlanmış eklentilerdir. Eklenti güvenliği için şu kriterleri uygulayın: yalnızca aktif geliştirilen (son 2 yılda güncellenen) eklentiler kullanın, kullanıcı sayısı 10.000’in üzerinde ve derecelendirmesi 4 yıldız üstü olanları tercih edin, kullanmadığınız eklentileri tamamen silin ve tüm eklentileri haftalık güncelleme rutinine dahil edin.