Web Sitesi Güvenliği Nasıl Sağlanır?

Web siteleri neden saldırıya uğrar?

Küçük bir işletmenin sitesine kimsenin ilgi duymayacağı düşünülür. Oysa saldırıların büyük kısmı otomatiktir: botlar internetteki siteleri tarar, bilinen bir açığı olan eklentiyi veya zayıf şifreli bir paneli bulduğunda içeri girer. Amaç çoğu zaman sizin verileriniz değil, sitenizin itibarını spam, dolandırıcılık sayfası veya zararlı yazılım yaymak için kullanmaktır.

OWASP'ın 6 Kasım 2025'te yayımlanan Top 10:2025 listesinde ilk sırada yine erişim kontrolü hataları yer aldı. Listeye yeni giren "yazılım tedarik zinciri hataları" ise üçüncü sırada; bu kategori, dışarıdan alınan kütüphane, tema ve eklentilerden gelen riskleri kapsıyor. Hazır bileşenlerle kurulan siteler için bu, en doğrudan risktir.

En büyük risk nereden geliyor?

WordPress çekirdeği oldukça güvenlidir. Patchstack'in 2026 raporuna göre 2025'te WordPress ekosisteminde 11.334 yeni açık bulundu ve bunların yüzde 91'i eklentilerdeydi; çekirdekte yalnızca 6 açık bildirildi. Aynı rapora göre açıkların yüzde 46'sı duyurulduğunda henüz yamasızdı.

Hangi önlemler öncelikli uygulanmalı?

Web sitesi güvenliği nasıl sağlanır sorusunun cevabı pahalı yazılımlarla değil, temel adımların düzenli uygulanmasıyla başlar. Aşağıdaki sıra, en büyük riski en az çabayla azaltacak şekilde düzenlendi.

1. Güncellemeleri düzenli yapınÇekirdek, tema ve eklenti güncellemelerini en az haftada bir kontrol edin; güvenlik güncellemelerini bekletmeyin.
2. Kullanılmayan her şeyi silinDevre dışı eklenti ve temalar da sunucuda durduğu sürece açık oluşturabilir.
3. Yönetici girişini sıkılaştırınHer kişiye ayrı hesap açın, iki adımlı doğrulamayı etkinleştirin ve hatalı giriş denemelerini sınırlayın.
4. Yedekleme düzeni kurunYedekler sunucu dışında saklansın, birkaç gün geriye dönük olsun ve geri yüklemesi en az bir kez denensin.
5. Sunucuyu güncel tutunPHP 8.1 ve öncesi artık güvenlik yaması almıyor; PHP 8.2'nin güvenlik desteği 31 Aralık 2026'da bitiyor.
6. HTTPS'i zorunlu yapınTüm sayfalar HTTPS'e yönlensin. Sertifikaların azami süresi 15 Mart 2026'da 200 güne indi; yenilemenin otomatik olduğundan emin olun.
7. İzleme kurunSearch Console'daki Güvenlik Sorunları raporunu ve dosya değişikliği uyarılarını takip edin.

Yedek neden tek başına yetmez?

Yedek, kötü bir günden sonra geri dönmenizi sağlar ama saldırıyı engellemez. Üstelik yedek sitenin aynı sunucusunda duruyorsa, sunucu ele geçirildiğinde yedek de silinebilir ya da enfekte olabilir. Saldırı fark edilmeden haftalarca sürdüyse son yedekler de temiz olmayabilir.

• Yedekleri en az bir kopyası farklı bir sağlayıcıda olacak şekilde saklayın.
• Günlük yedekleri en az birkaç hafta geriye dönük tutun.
• Dosyaların yanında veritabanını da yedekleyin.
• Yılda birkaç kez yedekten test ortamına geri yükleme yapın; hiç denenmemiş yedek güvence değildir.

Yedekleme, güncelleme ve izlemenin tek bir düzende yürütülmesi için web sitesi bakım hizmetimizin kapsamına bakabilirsiniz.

Formlar ve müşteri verisi için hangi yasal yükümlülükler var?

Sitenizde iletişim formu, üyelik veya sipariş varsa kişisel veri işliyorsunuz demektir. 6698 sayılı KVKK'nın 12. maddesi, veri sorumlusunun verilerin hukuka aykırı erişimini önlemek için gerekli teknik ve idari tedbirleri almasını şart koşar. Güncellenmeyen bir eklenti yüzünden sızan form verileri, bu yükümlülük kapsamında değerlendirilir.

Kişisel Verileri Koruma Kurulu'nun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararına göre veri ihlali, öğrenildiği andan itibaren en geç 72 saat içinde Kurul'a bildirilmelidir. Bu nedenle sitede hangi verilerin nerede tutulduğunu bilmek ve gereksiz veriyi hiç toplamamak önemlidir.

• Formlarda yalnızca gerçekten gerekli alanları isteyin.
• Form kayıtlarını panelde süresiz saklamayın; belirli aralıklarla silin.
• Yönetici paneline erişimi olan kişileri listeleyin ve ayrılanların hesabını kapatın.
• Ödeme bilgisini kendi sunucunuzda tutmayın; ödeme kuruluşunun sayfasını veya altyapısını kullanın.

Sunucu tarafında neler yapılmalı?

Paylaşımlı hosting kullanıyorsanız sunucu güvenliğinin büyük kısmı hosting firmasındadır. Kendi sunucunuzu (VPS) kullanıyorsanız bu sorumluluk size ya da sunucuyu yöneten ekibe geçer.

Sunucu yönetimi seçeneklerini sunucu yönetimi sayfamızda anlattık.

E-posta ve alan adı güvenliği de sitenin parçası mı?

Evet. Alan adı hesabı ele geçirilirse saldırgan DNS kayıtlarını değiştirip sitenizi ve e-postalarınızı başka bir sunucuya yönlendirebilir. Bu, sitedeki en güçlü önlemleri bile etkisiz bırakır.

• Alan adı kayıt hesabında iki adımlı doğrulamayı açın.
• Alan adında transfer kilidinin açık olduğundan emin olun.
• SPF, DKIM ve DMARC kayıtlarını kurarak alan adınız adına sahte e-posta gönderilmesini zorlaştırın.
• Hesaplara bağlı e-posta adresinin kurumsal ve güncel olmasına dikkat edin.

E-posta doğrulama kayıtlarının nasıl kurulduğunu SPF, DKIM ve DMARC nedir yazısında anlattık.

Sitenizin saldırıya uğradığını nasıl anlarsınız?

Tüm önlemlere rağmen bir saldırı başarılı olabilir. Erken fark etmek, hasarı ve temizlik süresini küçültür. Aşağıdaki belirtilerden birini görürseniz beklemeyin.

• Google sonuçlarında sitenizin adı altında tanımadığınız sayfalar, ilaç veya bahis içerikleri görünüyor.
• Tarayıcı veya Google, sitenin tehlikeli olabileceği uyarısı veriyor.
• Ziyaretçiler başka bir siteye yönlendirildiklerini söylüyor.
• Yönetici panelinde tanımadığınız kullanıcılar var.
• Hosting firması yüksek kaynak kullanımı veya spam gönderimi uyarısı yapıyor.

Bu durumda ilk saatte yapılması gerekenleri site hacklendi ne yapmalı yazısında sıraladık. Temizlik ve Google uyarısının kaldırılması için hacklenen site kurtarma hizmetimize başvurabilirsiniz.

Sık sorulan sorular

İlgili sayfalar

• Web Sitesi Bakım Hizmeti: Siteniz Sessizce BozulmasınWeb siteleri çoğu zaman bir gecede değil, yavaş yavaş bozulur: güncellenmeyen bir eklenti, süresi dolan bir sertifika, alınmayan bir yedek.
• Site Hacklendi: Temizlik, Açığın Kapatılması ve Google Uyarısının KaldSitenize yabancı içerik eklendiyse, ziyaretçiler başka sitelere yönleniyorsa ya da Google "bu site saldırıya uğramış olabilir" diyorsa: zara
• Linux Sunucu Yönetimi: Kurulum, Güvenlik, Yedek ve İzlemeVPS ya da fiziksel sunucunuzu sıfırdan kuruyor, güvenliğini sıkılaştırıyor, yedeklerini düzenli alıp geri yüklemeyi test ediyoruz. Güncellem
• Site Hacklendi Ne Yapmalı? İlk 1 Saatlik Kontrol ListesiSitenizde tanımadığınız bir sayfa, kumar sitesine yönlendirme ya da Chrome'da kırmızı bir uyarı mı var? Panikle dosya silmeden önce ilk bir
• Web Sitesi Yönetim Paneline Giremiyorum: Ne Yapmalıyım?Panele girememenin nedeni çoğu zaman basit bir şifre sorunudur. Ama bazen hata mesajı, sunucu arızasına, bozuk bir eklentiye ya da güvenlik