WordPress dünyadaki sitelerin büyük bölümünü çalıştırdığı için otomatik saldırıların da ilk hedefidir. İyi haber: saldırıların çoğu çekirdeğin kendisini değil, güncellenmemiş eklenti/temaları, zayıf parolaları ve yanlış izinleri hedefler. Bunların hepsi yönetilebilir.
Önleme: 15 adım
- Çekirdek, tema ve eklentileri güncel tutun. Güvenlik açıklarının büyük kısmı güncellenmemiş eklentilerden gelir.
- Kullanmadığınız eklenti ve temaları silin. Devre dışı bırakmak yetmez.
- Güvenilir kaynaklardan yükleyin. Kopyalanmış (nulled) premium eklentiler sık sık arka kapı içerir.
- Güçlü ve benzersiz parolalar kullanın, parola yöneticisi tercih edin.
- "admin" kullanıcı adını kullanmayın.
- İki adımlı doğrulamayı (2FA) yönetici hesaplarında açın.
- Giriş denemelerini sınırlayın ve wp-login.php'yi bot trafiğinden koruyun.
- Dosya düzenleyicisini kapatın: wp-config.php içinde DISALLOW_FILE_EDIT tanımlayın.
- Dosya izinleri: dosyalar 644, klasörler 755; wp-config.php için daha kısıtlı (ör. 600/640).
- HTTPS'i zorunlu kılın. SSL rehberi
- Düzenli ve sunucu dışı yedek alın. Yedekleme rehberi
- Güvenlik duvarı (WAF) ve kötü amaçlı yazılım taraması kullanın.
- PHP sürümünü güncel tutun. Eski sürümler güvenlik güncellemesi almaz.
- XML-RPC'yi kullanmıyorsanız kapatın.
- Yönetici sayısını en aza indirin ve rolleri en az yetki ilkesine göre verin.
Hacklendiğinizi nasıl anlarsınız?
- Siteniz Google'da "bu site hacklenmiş olabilir" uyarısıyla görünür.
- Bilmediğiniz yönetici hesapları veya sayfalar oluşmuştur.
- Ziyaretçiler tanımadığınız sitelere yönlendirilir.
- Sunucu CPU/trafik kullanımı sebepsiz artar; hosting sağlayıcısı uyarı gönderir.
- Arama sonuçlarında yabancı dilde spam sayfalar çıkar.
Hack sonrası adımlar
- Siteyi bakım moduna alın ve hosting sağlayıcınızı bilgilendirin.
- Tüm parolaları değiştirin: WordPress, FTP, cPanel, veritabanı, e-posta.
- Temiz bir yedeğe dönün; yedek de enfekteyse çekirdek ve eklentileri resmi kaynaktan yeniden yükleyin.
- Kötü amaçlı dosyaları ve yetkisiz kullanıcıları temizleyin; açığı kapatın (genellikle eski eklenti).
- Google Search Console'da Güvenlik sorunları bölümünden inceleme isteği gönderin.
- Güvenlik duvarı, 2FA ve izlemeyi etkinleştirip sonrasını takip edin.
Sık sorulan sorular
WordPress güvenli bir sistem mi?
Çekirdek düzenli güncellenen, güvenlik ekibi olan bir sistemdir. Riskin çoğu üçüncü taraf eklenti/temalardan, zayıf parolalardan ve güncellemeyi ihmal etmekten gelir.
Güvenlik eklentisi tek başına yeter mi?
Hayır. Eklenti tek katmandır; güncelleme, güçlü parola, 2FA, yedek ve sunucu seviyesinde güvenlik birlikte çalışmalıdır.
Kaynaklar
Bu yazı genel bilgilendirme amaçlıdır; hizmet kapsamı ve güncel özellikler için ilgili ürün sayfasına bakın.