Siber GüvenlikWeb Sitesi Güvenliği

Web Sitesi Güvenliği Hizmetleri

Web sitenizi bir uzman gözüyle değerlendirir, saldırı yüzeyini daraltır ve bir olay yaşandığında disiplinli biçimde toparlarız. Otomatik taramayı manuel doğrulama ile birleştirir, size süslü bir liste değil; kanıtlı, önceliklendirilmiş ve uygulanabilir bulgular veririz. Vaadimiz "sitem hackleneme" değil; ölçülebilir risk azaltma, erken tespit ve hazır bir müdahale planıdır.

Otomatik tarama + manuel doğrulama ile ayıklanmış, yanlış pozitiften arındırılmış bulgular Her bulgu CVSS ve gerçek iş etkisine göre önceliklendirilir; önce neyi kapatacağınızı bilirsiniz Denetimden malware kurtarmaya ve sürekli izlemeye kadar uçtan uca güvenlik döngüsü

Güvenlik Değerlendirmesi Talep Et Ücretsiz Site Taraması

Örnek site güvenlik durumu

Güvenlik skoru
0–100 · önceliklendirme aracı

YüksekCSP başlığı eksik

OrtaSunucu sürümü ifşa

KritikGüncel olmayan eklenti

Farkındalık

Web siteniz gerçekten güvende mi?

Çalışan bir site, güvenli bir site anlamına gelmez. Bir site sayfalarını açıyor, formlarını gönderiyor ve sipariş alıyor olabilir; buna rağmen arka planda ele geçirilmiş, arka kapı yerleştirilmiş veya ziyaretçilerini zararlı sayfalara yönlendiriyor olabilir. Saldırıların çoğu gürültü çıkarmaz: amaç sitenizi çökertmek değil, sizi fark ettirmeden kaynak, veri veya SEO değeri olarak kullanmaktır. Aşağıdaki belirtiler tek başına kesin kanıt değildir; ancak birden fazlası bir araya geldiğinde ciddi bir incelemeyi hak eder. Erken fark eden, ucuz ve kontrollü müdahale eder; geç fark eden krizle uğraşır.

Beklenmedik yönlendirmelerSite, özellikle arama veya mobilden gelen ziyaretçileri tanımadığınız dış adreslere yönlendiriyor.

Bilinmeyen dosyalarDizinlerde sizin oluşturmadığınız, rastgele adlı PHP veya arşiv dosyaları beliriyor.

Spam sayfalarArama sonuçlarında sitenize ait ilaç, kumar veya sahte ürün satan, sizin yazmadığınız sayfalar çıkıyor.

Tanımadığınız yöneticiYönetim panelinde sizin açmadığınız veya beklenmedik zamanda oluşturulmuş yetkili hesaplar var.

Kaba kuvvet denemeleriGiriş kayıtlarında çok sayıda başarısız oturum açma denemesi ve yabancı IP yoğunluğu görülüyor.

Güncel olmayan yazılımCMS çekirdeği, eklentiler veya sunucu bileşenleri aylardır güncellenmemiş ve bilinen açıklar taşıyor.

Eksik güvenlik başlıklarıYanıtlarda CSP, HSTS ve çerçeveleme koruması gibi temel güvenlik başlıkları hiç yok.

Açıkta kalan yedeklerWeb kökünde indirilebilir .sql, .zip veya .env yedekleri ve yapılandırma dosyaları erişilebilir durumda.

Ele geçirilmiş eklentilerTerk edilmiş veya güvenilmez kaynaktan kurulmuş bir eklenti, sitenize beklenmedik davranışlar ekliyor.

Şüpheli JavaScriptSayfa kaynağında okunması zorlaştırılmış (obfuscated) ve dış sunuculara veri gönderen betikler var.

Beklenmedik SEO sayfalarıSearch Console dizin sayınız aniden şişiyor ve alakasız dillerde/konularda sayfalar indeksleniyor.

Kara listeye alınmaGoogle Safe Browsing, tarayıcı veya barındırıcınız sitenizi zararlı olarak işaretliyor.

Olağandışı trafikSunucu belirli uç noktalara ani ve açıklanamayan istek artışları alıyor, kaynak tüketimi fırlıyor.

Dosya değişiklikleriÇekirdek veya tema dosyalarının değiştirilme tarihleri, sizin hiçbir işlem yapmadığınız zamanlara denk geliyor.

Katmanlı yapı

Web sitesi güvenliği aslında neyi kapsar?

Web güvenliği tek bir ürün ya da ayar değil; birbirini yedekleyen katmanlardan oluşan bir sistemdir. Buna derinlemesine savunma denir: bir katman aşılsa bile bir sonraki katman saldırıyı durdurmaya veya yavaşlatmaya çalışır. Aşağıdaki katmanların her birinde ayrı bir yanlış yapılandırma, ayrı bir risk doğurur; güçlü bir duruş ancak hepsinin birlikte ele alınmasıyla mümkündür. Tek bir katmana (örneğin sadece bir güvenlik eklentisine) güvenmek, kapıyı kilitleyip pencereyi açık bırakmaya benzer.

Alan Adı / DNSAlan adı kaydınız, DNS kayıtlarınız ve kayıt kuruluşu hesabınız saldırının ilk hedefidir. Ele geçirilen bir DNS, ziyaretçileri gerçek sunucunuza hiç ulaşmadan sahte bir kopyaya yönlendirebilir. Kayıt kuruluşu hesabında güçlü kimlik doğrulama, DNS kayıtlarının izlenmesi ve SPF/DKIM/DMARC ile e-posta sahteciliğinin engellenmesi bu katmanın temelidir.

CDN / WAFİçerik dağıtım ağı ve web uygulama güvenlik duvarı, trafik sunucunuza ulaşmadan önce süzülen ilk perde hattıdır. Yaygın enjeksiyon denemelerini, kötü niyetli botları ve hacimsel saldırıları yüzeyde eler. WAF sihirli değildir; uygulama mantığı kusurlarını çözmez, ancak bilinen saldırı kalıplarının büyük kısmını uygulamaya hiç ulaşmadan durdurur.

TLSAktarım katmanı güvenliği, ziyaretçi ile sunucu arasındaki trafiği şifreler ve araya girme (MITM) saldırılarını zorlaştırır. Yalnızca güçlü protokol sürümleri (TLS 1.2 ve 1.3), geçerli bir sertifika zinciri, zorunlu HTTPS yönlendirmesi ve HSTS gerektirir. Zayıf TLS, hem güvenlik hem de uyum açısından somut bir açıktır.

Web SunucuApache, Nginx veya benzeri sunucu yazılımının yapılandırması saldırı yüzeyini doğrudan belirler. Dizin listeleme, ayrıntılı hata sayfaları, gereksiz açık modüller ve sürüm ifşası hepsi bu katmanda yönetilir. İyi yapılandırılmış bir sunucu, saldırgana verdiği bilgi miktarını asgariye indirir.

Çalışma Zamanı (Runtime)PHP gibi çalışma zamanının sürümü ve ayarları, çalıştırılabilecek kodun sınırlarını belirler. Güncel olmayan bir runtime bilinen açıklar taşır; gevşek ayarlar tehlikeli işlevlerin çalışmasına ve hata çıktısında iç bilgilerin sızmasına izin verir. Güncel sürüm ve sıkı yapılandırma bu katmanın özüdür.

CMS / UygulamaWordPress gibi bir CMS ya da özel uygulama, en sık istismar edilen katmandır. Güncel olmayan çekirdek, zafiyetli eklenti ve temalar, güvensiz dosya yükleme ve iş mantığı kusurları buradadır. Uygulama kodunun güncelliği ve güvenli yazılması, tüm alt katmanların çabasını korur ya da boşa çıkarır.

VeritabanıVeritabanı, sitenizin en değerli varlığını (kullanıcılar, siparişler, içerik) tutar ve SQL enjeksiyonu ile enjekte edilmiş içeriğin hedefidir. En az yetkili veritabanı kullanıcısı, parametreli sorgular, ağ üzerinden erişimin kısıtlanması ve düzenli bütünlük kontrolü bu katmanı korur. Bir malware olayında veritabanı sıklıkla dosyalar kadar bulaşmıştır.

Kimlik DoğrulamaYönetim paneline ve ayrıcalıklı işlevlere erişimi kontrol eden katmandır. Zayıf parolalar, MFA yokluğu, hız sınırı olmayan giriş formları ve açıkta duran paneller kaba kuvvet ve kimlik bilgisi doldurma saldırılarını davet eder. Güçlü kimlik doğrulama, çok sayıda saldırıyı en baştan başarısız kılar.

YedeklemeYedek, bir güvenlik kontrolü olmadığı düşünülse de kurtarmanın belkemiğidir. Test edilmemiş, web köküne bırakılmış ya da hiç alınmamış bir yedek, kriz anında işe yaramaz veya kendisi bir sızıntı kaynağı olur. İzole depolanan, sürümlenen ve düzenli olarak geri yükleme testi yapılan yedek, en kötü senaryoda temiz bir çıkış yoludur.

İzlemeDiğer tüm katmanlar önlemeyi amaçlar; izleme ise erken tespit sağlar. Dosya bütünlüğü, kara liste durumu, çalışma süresi ve şüpheli değişiklikler sürekli gözlenmezse, bir bulaşma haftalarca fark edilmeden devam edebilir. İzleme, önleme başarısız olduğunda hasarı sınırlayan güvenlik ağıdır.

İş etkisi

Güvenlik göz ardı edilirse ne olur?

Bir güvenlik olayının bedeli, silinen birkaç dosyadan çok daha büyüktür. Etkiler teknik olduğu kadar ticaridir; çoğu zaman en pahalı kısım, olayın kendisi değil sonrasında kaybedilen güven ve organik değerdir. Aşağıdaki sonuçlar birbirini besler: bir zararlı yönlendirme, kara listeye; kara liste, trafik kaybına; trafik kaybı, gelir ve itibar kaybına dönüşür. Proaktif güvenliğin maliyeti, bu zincirin tamamının maliyetinin yanında küçük kalır.

Hizmet kesintisiEle geçirilen ya da kaynak tüketen bir site yavaşlar, hata verir veya tamamen erişilemez hale gelir. Her kesinti dakikası, doğrudan satış ve müşteri kaybı demektir.

Veri sızıntısıKullanıcı, müşteri ve ödeme verilerinin sızması hem yasal yükümlülük hem de kalıcı güven kaybı doğurur. Sızan veri geri alınamaz.

Yönetici ele geçirmePanel erişiminin kaybı, saldırganın içeriği değiştirmesine, hesap açmasına ve kalıcılık kurmasına yol açar. Kendi sitenize erişiminizi kaybedebilirsiniz.

Zararlı yönlendirmeZiyaretçiler sahte veya dolandırıcı sitelere gönderilir. Bu, hem kullanıcılarınızı riske atar hem de markanızı zararlı içerikle ilişkilendirir.

Kötü amaçlı yazılım dağıtımıSiteniz ziyaretçi cihazlarına zararlı yazılım bulaştıran bir taşıyıcıya dönüşebilir. Bu, tarayıcı uyarılarını ve kara listeyi tetikler.

Kimlik avı barındırmaSaldırganlar sitenizde başka markaları taklit eden kimlik avı sayfaları barındırabilir. Sonuç, alan adınızın itibarının çökmesidir.

SEO spamEnjekte edilen gizli bağlantılar ve sahte sayfalar, sitenizi spam ağının parçası yapar. Arama motoru, sitenizi bu içerikle birlikte cezalandırır.

Google uyarılarıArama sonuçlarında ve tarayıcıda "bu site zarar verebilir" uyarısı belirir. Ziyaretçilerin ezici çoğunluğu bu uyarıyı görünce geri döner.

İtibar kaybıBir kez zararlı olarak işaretlenen marka, güveni geri kazanmakta zorlanır. Müşteriler ve iş ortakları temkinli davranmaya başlar.

Gelir ve kurtarma maliyetiKayıp satışların üzerine acil müdahale, temizlik, yeniden yapılandırma ve itibar kurtarma masrafları eklenir. Kriz sonrası fatura, önlemenin katı olur.

Yaygın riskler

En sık karşılaşılan web sitesi güvenlik riskleri

Aşağıda web sitelerinde en sık karşılaşılan risk kategorileri yer alıyor. Her biri için ne olduğunu, neden önemli olduğunu, nasıl fark edilebileceğini ve tipik giderme yönünü özetledik. Bu liste bir teşhis aracı değil, bir farkındalık haritasıdır; sitenizde hangilerinin bulunduğunu kesin olarak söylemek ancak yapılandırılmış bir değerlendirmeyle mümkündür.

Güncel olmayan CMS

Nedir?CMS çekirdeğinin bilinen açıklar taşıyan eski bir sürümde kalması.

Neden önemli?Bilinen açıklar herkese açıktır ve botlar tarafından otomatik, kitlesel biçimde istismar edilir.

Nasıl tespit edilir?Sürüm bilgisi ve yönetim paneli üzerinden çekirdek sürümü kontrol edilerek.

Giderme yönüTest ortamında doğrulayıp çekirdeği güncel ve desteklenen bir sürüme yükseltmek.

Zafiyetli eklenti/tema

Nedir?Güncel olmayan, terk edilmiş veya güvenilmez kaynaktan kurulmuş eklenti ve temalar.

Neden önemli?Eklentiler en sık istismar edilen giriş noktasıdır; tek bir zafiyetli eklenti tüm siteyi düşürebilir.

Nasıl tespit edilir?Kurulu bileşenlerin sürümlerini bilinen zafiyet kayıtlarıyla karşılaştırarak.

Giderme yönüGüncellemek, terk edilmişleri güvenli alternatiflerle değiştirmek, kullanılmayanları kaldırmak.

Zayıf kimlik doğrulama

Nedir?Tahmin edilebilir parolalar ve çok sayıda ayrıcalıklı, denetimsiz hesap.

Neden önemli?Zayıf parolalar kaba kuvvet ve kimlik bilgisi doldurma saldırılarıyla hızla kırılır.

Nasıl tespit edilir?Giriş kayıtlarındaki başarısız deneme yoğunluğu ve hesap parola politikası incelenerek.

Giderme yönüGüçlü parola politikası, hesap sayısını en aza indirme ve giriş hızı sınırlaması uygulamak.

MFA eksikliği

Nedir?Yönetici girişlerinde çok faktörlü kimlik doğrulamanın bulunmaması.

Neden önemli?Parola tek başına ele geçirildiğinde, ek bir katman olmadığından erişim doğrudan sağlanır.

Nasıl tespit edilir?Yönetim paneli giriş akışının ikinci bir doğrulama adımı isteyip istemediğine bakarak.

Giderme yönüTüm ayrıcalıklı hesaplarda çok faktörlü kimlik doğrulamayı zorunlu kılmak.

Dosya izinleri

Nedir?Dizin ve dosyalara gereğinden geniş yazma/çalıştırma izni verilmesi.

Neden önemli?Gevşek izinler, saldırganın dosya yazmasına ve web shell yerleştirmesine olanak tanır.

Nasıl tespit edilir?Web kökü ve yükleme dizinlerinin izin bitlerini gözden geçirerek.

Giderme yönüEn az yetki ilkesiyle izinleri daraltmak, yükleme dizininde çalıştırmayı engellemek.

SQL enjeksiyonu

Nedir?Kullanıcı girdisinin sorgulara güvensiz biçimde katılmasıyla veritabanına müdahale.

Neden önemli?Saldırganın verileri okumasına, değiştirmesine veya kimlik doğrulamayı atlamasına yol açar.

Nasıl tespit edilir?Girdi noktalarını manuel test ve kod incelemesiyle değerlendirerek.

Giderme yönüParametreli sorgular ve girdi doğrulama kullanmak, hatalı çıktıyı gizlemek.

XSS (Siteler arası betik)

Nedir?Doğrulanmamış girdinin sayfaya betik olarak yansıtılması.

Neden önemli?Ziyaretçi tarayıcısında kod çalıştırarak oturum çalma ve içerik değiştirme sağlar.

Nasıl tespit edilir?Girdi/çıktı noktalarını test ederek ve içeriğin nasıl işlendiğini inceleyerek.

Giderme yönüÇıktı kaçışı, girdi doğrulama ve daraltılmış bir CSP politikası uygulamak.

Açıkta kalan yapılandırma

Nedir?Yapılandırma, .env veya .git gibi hassas dosyaların web üzerinden erişilebilir olması.

Neden önemli?Veritabanı parolaları, API anahtarları ve kaynak kodu doğrudan indirilebilir hale gelir.

Nasıl tespit edilir?Bilinen hassas yolları isteyerek ve yanıt kodlarını gözlemleyerek.

Giderme yönüBu dosyaları web kökü dışına taşımak veya sunucu düzeyinde erişimi engellemek.

Açıkta kalan yedekler

Nedir?İndirilebilir .sql, .zip veya arşiv yedeklerinin web kökünde durması.

Neden önemli?Tüm veritabanı ve site içeriği tek bir indirmeyle saldırganın eline geçebilir.

Nasıl tespit edilir?Yaygın yedek adlarını isteyerek ve dizin listeleme durumunu kontrol ederek.

Giderme yönüYedekleri erişilemez, izole bir konuma taşımak ve dizin listelemeyi kapatmak.

Güvensiz API

Nedir?Kimlik doğrulaması zayıf, hız sınırı olmayan veya fazla veri döndüren uç noktalar.

Neden önemli?Veri sızıntısına, kötüye kullanıma ve otomatik veri kazımaya kapı açar.

Nasıl tespit edilir?Uç noktaların yetkilendirme ve hız sınırı davranışını test ederek.

Giderme yönüSıkı kimlik doğrulama, yetkilendirme, hız sınırı ve asgari veri döndürme uygulamak.

Güvensiz dosya yükleme

Nedir?Yüklenen dosyaların tipinin doğrulanmaması ve çalıştırılabilir konuma konması.

Neden önemli?Saldırgan çalıştırılabilir bir dosya yükleyerek doğrudan web shell elde edebilir.

Nasıl tespit edilir?Yükleme uç noktalarına farklı dosya tipleriyle kontrollü test yaparak.

Giderme yönüDosya tipini doğrulamak, yükleme dizininde çalıştırmayı kapatmak, kökten ayırmak.

Kaba kuvvet

Nedir?Giriş formlarına otomatik ve tekrarlı parola deneme saldırıları.

Neden önemli?Yeterli deneme sonunda zayıf hesaplar ele geçirilebilir; sunucu da yorulur.

Nasıl tespit edilir?Giriş kayıtlarındaki yoğun başarısız deneme desenlerini izleyerek.

Giderme yönüHız sınırı, hesap kilitleme, CAPTCHA ve MFA ile deneme maliyetini artırmak.

Kötü amaçlı botlar

Nedir?İçerik kazıma, zafiyet tarama ve spam amaçlı otomatik trafik.

Neden önemli?Kaynak tüketir, saldırı yüzeyini sürekli yoklar ve spam enjekte etmeye çalışır.

Nasıl tespit edilir?Trafikteki olağandışı desenleri ve bilinen kötü kaynakları analiz ederek.

Giderme yönüBot yönetimi, WAF kuralları ve hız sınırı ile istenmeyen trafiği elemek.

WAF yokluğu

Nedir?Uygulamanın önünde herhangi bir web uygulama güvenlik duvarı bulunmaması.

Neden önemli?Yaygın saldırı kalıpları hiçbir süzgeçten geçmeden doğrudan uygulamaya ulaşır.

Nasıl tespit edilir?İsteklerin bir WAF katmanından geçip geçmediğini yanıt davranışıyla kontrol ederek.

Giderme yönüUygulamaya uygun bir WAF kural seti tanımlayıp yanlış pozitifleri ayıklayarak devreye almak.

Zayıf TLS

Nedir?Eski protokol sürümleri, zayıf şifre paketleri veya hatalı sertifika yapılandırması.

Neden önemli?Trafiğin araya girme ve şifre çözme risklerine açılması ile uyum ihlali doğar.

Nasıl tespit edilir?Desteklenen protokolleri ve sertifika zincirini bir TLS kontrolüyle ölçerek.

Giderme yönüYalnızca TLS 1.2/1.3 destekleyip zayıf şifre paketlerini devre dışı bırakmak.

Güvenlik başlığı eksikliği

Nedir?CSP, HSTS, çerçeveleme ve içerik tipi korumalarının hiç bulunmaması.

Neden önemli?XSS, clickjacking ve içerik türü karıştırma saldırılarının etkisi büyür.

Nasıl tespit edilir?HTTP yanıt başlıklarını bir güvenlik başlığı kontrolüyle inceleyerek.

Giderme yönüEksik başlıkları eklemek, CSP gibi kritik olanları önce report-only test etmek.

Kötü amaçlı yazılım

Nedir?Sisteme enjekte edilmiş, çoğu zaman gizlenmiş zararlı kod ve içerik.

Neden önemli?Ziyaretçilere zararlı içerik sunar, itibarı zedeler ve kara listeyi tetikler.

Nasıl tespit edilir?Dosya bütünlük karşılaştırması ve zararlı desen taramasıyla.

Giderme yönüZararlıyı güvenli kaldırmak, kök nedeni kapatmak ve sıkılaştırma uygulamak.

Arka kapılar

Nedir?Saldırganın tekrar erişim için bıraktığı gizli erişim kodları ve web shell dosyaları.

Neden önemli?Görünen zararlı silinse bile arka kapı, siteyi saatler içinde yeniden bulaştırır.

Nasıl tespit edilir?Bütünlük karşılaştırması ve şüpheli, gizlenmiş kod analiziyle.

Giderme yönüTüm arka kapıları bulup kaldırmak, kimlik bilgilerini yenilemek, girişi kapatmak.

Değerlendirme

Web sitesi güvenliğini nasıl değerlendiriyoruz?

Bir web sitesinin güvenlik duruşu tek bir teste indirgenemez; birden çok boyutun birlikte değerlendirilmesini gerektirir. Aşağıda değerlendirmeyi yapılandırdığımız ana başlıklar ve her başlıkta baktığımız temel unsurlar yer alıyor. Bu çerçeve, hem neyin kapsandığını hem de bir güvenlik incelemesinin ne kadar geniş olması gerektiğini şeffaf biçimde gösterir.

Aktarım & Şifreleme

HTTPS zorunluluğu ve yönlendirme
TLS protokol sürümleri
Sertifika geçerliliği ve zinciri
Şifre paketi gücü
Karışık içerik (mixed content)

HTTP Güvenliği

Content-Security-Policy
HSTS başlığı
X-Frame-Options / çerçeveleme
X-Content-Type-Options
Çerez bayrakları (Secure, HttpOnly, SameSite)

Uygulama Güvenliği

Girdi doğrulama ve çıktı kaçışı
Kimlik doğrulama ve oturum yönetimi
Dosya yükleme kontrolleri
API uç nokta güvenliği
İş mantığı kusurları

CMS Güvenliği

Çekirdek sürüm güncelliği
Eklenti ve tema zafiyetleri
Yönetici hesap hijyeni
Panel erişim kontrolü
Güvenlik eklentisi yapılandırması

Altyapı Maruziyeti

Sunucu ve teknoloji sürüm ifşası
Dizin listeleme
Açıkta kalan yedek ve yapılandırma dosyaları
Ayrıntılı hata sayfaları
Gereksiz açık uç noktalar

Zararlı Yazılım & Bütünlük

Enjekte edilmiş / gizlenmiş kod
Arka kapı ve web shell göstergeleri
Veritabanı enjeksiyonu
Dosya bütünlük sapması
Kara liste durumu

İzleme & Kurtarma

Dosya değişikliği izleme
Yedek varlığı ve geri yükleme testi
Günlük kaydı ve saklama
Olay müdahale hazırlığı
Uyarı ve bildirim mekanizmaları

Sonuç: Sürekli görünürlük, erken uyarı ve bir olayda hazır müdahale başlangıcı.

Senaryo: "Sürekli koruma istiyorum" diyen ve düzenli güvenlik güvencesi arayan sahipler için.

İncele

SEO Malware Temizliği

Tek Seferlik

Çözdüğü sorun: Enjekte edilmiş gizli bağlantıları, spam sayfaları, cloaking ve zararlı yönlendirmeleri temizler; ardından arama motoru itibarını ve kaybedilen organik görünürlüğü geri kazandırmaya odaklanır.

Kimler için: Hack sonrası arama sıralamaları ve organik trafiği çöken içerik ve e-ticaret siteleri için.

Sonuç: SEO spam'inden arındırılmış site ve arama motoru yeniden değerlendirme desteği.

Senaryo: "Hack sonrası organik trafiğim çöktü" diyen ve görünürlüğünü kurtarmak isteyenler için.

İncele

Yol gösterici

Hangi hizmete ihtiyacım var?

Doğru hizmet, içinde bulunduğunuz duruma göre değişir. Aşağıdaki hızlı eşleştirme, durumunuzu bir cümleyle tanımlayıp size en uygun başlangıç noktasını bulmanıza yardımcı olur. Emin değilseniz güvenlik denetimi neredeyse her zaman doğru ilk adımdır; çünkü hangi hizmete ihtiyacınız olduğunu da o netleştirir.

Durumunuz	Önerilen hizmet
"Web sitem hacklendi"	Hacklenmiş Web Sitesi Kurtarma	Git
"Sitem spam'e yönlendiriyor"	Malware Temizleme	Git
"Sitem güvenli mi bilmiyorum"	Güvenlik Denetimi	Git
"Saldırı yüzeyini azaltmak istiyorum"	Sıkılaştırma	Git
"Sürekli koruma istiyorum"	Güvenlik İzleme	Git
"Hack sonrası organik trafik çöktü"	SEO Malware Temizliği	Git
"Yeni yayına almadan önce test"	Zafiyet Değerlendirmesi	Git

Süreç

Güvenlik sürecimiz

1KapsamTest edilecek alan adlarını, alt alanları, varlıkları ve sınırları yazılı olarak netleştiririz. Ne yapacağımızı ve neyi yapmayacağımızı baştan tanımlarız.

2KeşifPasif yöntemlerle teknoloji yığınını, açık uç noktaları ve genel saldırı yüzeyini haritalarız. Hedefi kırmadan tanırız.

3DeğerlendirmeBaşlıkları, TLS'i, açık dosyaları ve bilinen zafiyet göstergelerini tahribatsız araçlarla tarar, ardından manuel olarak doğrularız.

4Risk SınıflandırmaHer doğrulanmış bulguyu CVSS ve gerçek iş etkisine göre kritik, yüksek, orta, düşük ve bilgilendirici olarak sınıflandırırız.

5Giderme PlanıÖnce neyin kapatılacağını belirleyen, bağımlılıkları ve olası yan etkileri gözeten bir yol haritası çıkarırız.

6Düzeltme / Sertleştirmeİstenirse düzeltmeleri ve katmanlı sıkılaştırmayı biz uygularız; her değişikliği izole ve geri alınabilir biçimde yaparız.

KritikKritik — Aktif olarak istismar edilebilir, doğrudan tam ele geçirmeye veya veri sızıntısına yol açan bulgular. Derhal ele alınması gerekir.

YüksekYüksek — Ciddi etkisi olan, istismarı görece kolay veya olası; kısa vadede öncelikli olarak kapatılması gereken bulgular.

OrtaOrta — Belirli koşullarda istismar edilebilen veya etkisi sınırlı; planlı biçimde giderilmesi gereken bulgular.

DüşükDüşük — Tek başına düşük riskli, ancak diğer bulgularla birleştiğinde saldırı yüzeyini genişleten bulgular.

BilgiBilgilendirici — Doğrudan bir zafiyet olmayan, iyileştirme veya sertleştirme fırsatı işaret eden gözlemler.

Çıktı

Ne teslim alırsınız?

Yönetici özeti ve genel güvenlik duruşu değerlendirmesi
Önem derecesine göre sınıflandırılmış, kanıtlı bulgu listesi
Her bulgu için etki açıklaması ve adım adım çözüm önerisi
CVSS temelli önceliklendirilmiş giderme yol haritası
Yeniden doğrulama (retest) için kontrol listesi
Uygulanan sıkılaştırma veya temizlik adımlarının belgelenmiş listesi (ilgili hizmetlerde)
Teknik olmayan paydaşlar için sadeleştirilmiş özet
Yeniden bulaşma veya sapmayı önleme önerileri
İsteğe bağlı aktarım görüşmesi ve soru-cevap desteği

Ücretsiz

Ücretsiz web sitesi güvenlik taraması

Başlamadan önce sitenizin dış yüzeyini hızlıca görmek isterseniz, ücretsiz ve saldırgan olmayan bir tarama sunuyoruz. Bu tarama halka açık göstergelere bakar; sunucunuzun içine girmez, verilerinizi değiştirmez. Amaç, kapsamlı bir değerlendirme değil; öncelikli riskleri erkenden görünür kılmak ve size bir başlangıç yönü vermektir.

Neyi kontrol eder

SSL/TLS yapılandırması
güvenlik başlıkları
çerez güvenliği
DNS kayıtları
SPF/DMARC
sunucu ifşası
CMS parmak izi

Neyi kontrol etmez

sunucu içi dosya taraması
veritabanı incelemesi
kimlik doğrulamalı alanlar
iş mantığı zafiyetleri

Sitenizin güvenlik skorunu ölçün

Sonuç olarak bir güvenlik skoru ve öncelikli bulguların kısa bir listesini alırsınız; bu, tam denetime geçip geçmemenize karar vermenize yardımcı olur.

Ücretsiz Tarama

Ölçüm

Web sitesi güvenlik skoru

Ücretsiz tarama ve denetim çıktısını anlaşılır kılmak için güvenlik duruşunu kategorilere ayırıp örnek bir skorla gösteriyoruz. Aşağıdaki sayılar gerçek bir siteye ait değildir; skorun nasıl okunacağını göstermek için temsilîdir.

73/100 · örnek

TLS/SSL90

Güvenlik Başlıkları60

DNS75

CMS70

Maruziyet80

Zararlı Yazılım95

Kimlik Doğrulama65

İzleme55

Yedekleme70

Güvenlik tek bir sayıya indirgenemez; skor bir garanti değil, önceliklendirme aracıdır. Yüksek bir toplam skor bile tek bir kritik bulgunun önemini ortadan kaldırmaz; skoru her zaman bulguların ayrıntısıyla birlikte okuyun.

Önce / Sonra

Sertleştirme öncesi ve sonrası

Güvenlik garanti değil, ölçülebilir risk azaltmadır. Örnek bir dönüşüm:

Önce

güncel olmayan eklenti
zayıf giriş koruması
WAF yok
izleme yok
sunucu bilgisi ifşa
test edilmemiş yedek

Sonra

yamalı ve güncel bileşenler
sertleştirilmiş kimlik doğrulama
WAF etkin
sürekli izleme aktif
azaltılmış bilgi maruziyeti
doğrulanmış ve izole yedek

Kimler için?

Web sitesi güvenliğine kimlerin ihtiyacı var?

E-TicaretÖdeme akışı ve müşteri verisi taşıdıkları için yüksek değerli hedeftir. Enjekte edilen ödeme skimmer'ları ve kart verisi hırsızlığı, hem gelir hem yasal yükümlülük riski doğurur.

WordPress SiteleriGeniş eklenti ekosistemi büyük bir saldırı yüzeyi yaratır. Zafiyetli veya terk edilmiş tek bir eklenti, sık görülen kitlesel bulaşmaların başlıca giriş noktasıdır.

Kurumsal Sitelerİtibar ve uyum baskısı yüksektir. Bir defacement veya veri sızıntısı, marka güvenini ve tedarikçi ilişkilerini doğrudan sarsar; denetim izi beklenir.

AjanslarOnlarca müşteri sitesini yönetirler; tek bir zayıf halka tüm portföyü riske atabilir. Ölçeklenebilir sıkılaştırma ve izleme onlar için kritiktir.

SaaSSürekli çalışması gereken uygulamalarda API güvenliği, kimlik doğrulama ve çok kiracılı veri yalıtımı öne çıkar. Kesinti ve sızıntı doğrudan müşteri kaybıdır.

Üyelik SiteleriKullanıcı hesapları ve kişisel veri yoğunluğu, kimlik bilgisi doldurma ve hesap ele geçirme saldırılarını çeker. Güçlü kimlik doğrulama vazgeçilmezdir.

YayıncılarYüksek trafik ve çok sayıda içerik, SEO spam enjeksiyonu ve zararlı reklam için cazip zemindir. Organik trafik kaybı doğrudan gelir kaybıdır.

Yüksek Trafikli SitelerÖlçek, hem saldırıların hem de bir olayın etkisinin büyümesi demektir. Hacimsel saldırılar ve bot trafiği için perimetre koruması önceliklidir.

Güvenlik & SEO

Güvenlik sorunları SEO'nuzu nasıl etkiler?

Güvenlik ve SEO çoğu sitede aynı madalyonun iki yüzüdür. Bir güvenlik olayı, arama görünürlüğünüze doğrudan ve çoğu zaman kalıcı zarar verir; tersine, sağlıklı bir güvenlik duruşu organik değerinizi korur. Aşağıdaki noktalar, bir bulaşmanın SEO tarafında nasıl karşımıza çıktığını özetliyor.

Zararlı içerik nedeniyle sayfaların indekslemeden düşmesi organik görünürlüğü çökertir.
Arama motorları güvenlik ihlalini tespit ettiğinde sıralamalar hızla geriler.
Enjekte edilen zararlı yönlendirmeler, ziyaretçileri sahte sitelere göndererek trafiği kaçırır.
Sizin yazmadığınız spam sayfalar dizininizi kirletir ve sitenizi spam ağıyla ilişkilendirir.
Cloaking (arama botuna ve kullanıcıya farklı içerik gösterme) manuel işlem cezası riski doğurur.
Enjekte edilen gizli bağlantılar, alan adı otoritenizi zararlı hedeflere aktarır.
Search Console'da güvenlik sorunu uyarıları belirir ve dizinleme durur.
Bir kez zararlı işaretlenen alan adının arama motoru itibarı yavaş toparlanır.

Sürekli izleme, bir olayı haftalarca değil dakikalar veya saatler içinde görünür kılar.
İzole ve sürümlenen yedekler, en kötü senaryoda temiz bir çıkış noktası sunar.
Düzenli test edilmiş geri yükleme, yedeğin kriz anında gerçekten çalışacağını garanti eder.
Tanımlı bir olay müdahale sırası, panikle atılan ve durumu kötüleştiren adımları önler.
Kurtarma planlaması, kimin ne yapacağını ve iletişimin nasıl yürüyeceğini önceden belirler.

İş sürekliliği

Önleme tek başına yeterli değildir

Güvenlik yalnızca saldırıyı önlemek değil; bir olay yaşandığında hızlı ve güvenli biçimde ayağa kalkabilmektir. İş sürekliliği, önleme başarısız olduğunda hasarı sınırlayan hazırlıkla ilgilidir. Aşağıdaki unsurlar, kriz anını felakete dönüşmeden yönetmenizi sağlar.

Neden Yazılım.pro

Bizi farklı kılan nedir?

Web geliştirme bilgisiGüvenlik açıklarını yalnızca dışarıdan taramakla kalmayız; kodun nasıl yazıldığını bildiğimiz için gerçek istismar edilebilirliği ve doğru düzeltmeyi değerlendirebiliriz.

Sunucu bilgisiApache/Nginx, PHP çalışma zamanı ve dosya sistemi katmanlarına hâkim olduğumuzdan, sorunları uygulama yüzeyinde değil kökünde ele alırız.

SEO bilgisiBir bulaşmanın arama görünürlüğüne etkisini ve itibar kurtarma sürecini anladığımız için temizliği SEO tarafıyla birlikte tamamlarız.

Entegre gidermeDenetim, sıkılaştırma, temizlik ve izlemeyi tek elden sunarız; bulgu ile çözüm arasında kopukluk olmaz.

Şeffaf kapsamNe yapacağımızı ve neyi yapmayacağımızı baştan yazılı olarak belirleriz; kapsam sürprizi yaşatmayız.

Gerçekçi vaatKimseye "%100 güvenli" veya "asla hacklenmezsiniz" demeyiz; ölçülebilir risk azaltma ve dürüst bir duruş sözü veririz.

RaporlamaRaporlarımız hem teknik ekip hem karar vericiler için okunabilir; her bulgu kanıt, etki ve çözümle birlikte gelir.

Sürekli destekTek seferlik işten sonra ortadan kaybolmayız; izleme, yeniden test ve sonraki adımlar için yanınızda kalırız.

SSS

Web sitesi güvenliği hakkında sık sorulanlar

Çalışan bir sitenin güvenlik hizmetine ihtiyacı var mı?

Evet. Çalışıyor olması güvenli olduğu anlamına gelmez. Saldırıların çoğu sitenizi çökertmeyi değil, fark ettirmeden kaynak, veri veya SEO değeri olarak kullanmayı hedefler. Görünmez katmandaki açıklar ancak yapılandırılmış bir değerlendirmeyle ortaya çıkar.

Yüzde yüz güvenli olabilir miyim?

Hayır ve böyle bir vaat teknik olarak dürüst değildir. Güvenlik; risk azaltma, izleme ve müdahalenin sürekli bir döngüsüdür. Biz ölçülebilir risk azaltma, erken tespit ve hazır bir müdahale planı sözü veririz; sihirli bir garanti değil.

Bir güvenlik eklentisi kurmak yeterli değil mi?

Değil. Güvenlik eklentileri faydalı bir katmandır ama tek başına yeterli değildir. Sunucu yapılandırması, TLS, dosya izinleri, kimlik doğrulama ve izleme eklentinin göremediği katmanlardır. Tek katmana güvenmek, kapıyı kilitleyip pencereyi açık bırakmaya benzer.

Hangi hizmetle başlamalıyım?

Aktif bir sorun (hack, zararlı yönlendirme, kara liste) yoksa neredeyse her zaman güvenlik denetimiyle başlamak doğrudur; çünkü durumu netleştirir ve hangi hizmete ihtiyacınız olduğunu da o gösterir. Aktif bir olay varsa doğrudan malware temizleme veya hack kurtarma gerekir.

Denetim veya tarama siteme zarar verir mi?

Hayır. Denetim ve ücretsiz tarama saldırgan olmayan, tahribatsız kontrollerle yürütülür; verilerinizi değiştirmez veya silmez. Yıkıcı testler yalnızca ayrı ve yazılı olarak yetkilendirilmiş bir kapsamda, tanımlı bir bakım penceresinde yapılır.

Sitem hacklendi, ilk ne yapmalıyım?

Panikle dosya silmeyin; bu kanıtı yok eder ve kök nedeni belirsizleştirir. Mümkünse siteyi güvenli bir bakım moduna alın ve profesyonel destek isteyin. Doğru sıra önce kanıtı korumak ve yayılmayı durdurmak, sonra temizlemek ve giriş noktasını kapatmaktır.

Temizlikten sonra site tekrar bulaşır mı?

Amacımız tam olarak bunu önlemektir. Giriş noktasını (kök neden) kapatmadan temizlik yapmayız; arka kapıları ve kalıcılık mekanizmalarını da kaldırırız. Sıkılaştırma ve isteğe bağlı sürekli izleme ile yeniden bulaşma riskini belirgin biçimde azaltırız.

Otomatik tarama araçlarından farkınız ne?

Otomatik araçlar yüzeyi hızlı tarar ama yanlış pozitif üretir ve iş mantığı kusurlarını göremez. Biz otomatik taramayı manuel doğrulama ve iş bağlamıyla birleştirir, size gerçekten istismar edilebilir ve önceliklendirilmiş bulgular veririz.

Bulguları kendim mi gidereceğim, siz mi?

Size kalmış. Denetim tek başına alınabilir ve raporumuz kendi ekibinizin uygulayabileceği net adımlar içerir. Dilerseniz düzeltme ve sıkılaştırmayı ayrı bir hizmet ya da yönetilen paket kapsamında biz de uygularız.

Hizmet ne kadar sürer?

Sitenin büyüklüğüne, karmaşıklığına ve hizmet türüne bağlıdır. Tipik bir kurumsal site denetimi birkaç iş günü sürer; malware temizliği bulaşmanın kapsamına göre değişir. Acil hack ve malware talepleri önceliklidir.

WordPress dışındaki sitelerle de çalışıyor musunuz?

Evet. Güvenlik ilkeleri platformdan bağımsızdır; başlıklar, TLS, izinler, erişim kontrolü ve izleme her yığında geçerlidir. WordPress, özel PHP uygulamaları ve statik siteler dahil yaygın yapılarda çalışırız.

Rapor teknik olmayan yöneticiler için anlaşılır mı?

Evet. Her rapor, karar vericiler için sade bir yönetici özeti ile teknik ekip için ayrıntılı bulgu bölümlerini birlikte içerir. Her bulgunun iş etkisi de ayrıca açıklanır.

Kara listeden çıkışı siz mi hallediyorsunuz?

Temizlik doğrulandıktan sonra Google Safe Browsing ve barındırıcı kara liste kaldırma taleplerini yönetmenize yardımcı oluruz. Bu talep, site gerçekten temiz olduğunda gönderildiğinde en yüksek başarı şansına sahiptir.

Sürekli koruma için ne öneriyorsunuz?

Bir kez sıkılaştırdıktan sonra Güvenlik İzleme hizmetini öneririz. Yazılım güncellemeleri ve yapılandırma değişiklikleri zamanla ayarları aşındırabilir; sürekli izleme yeni tehditleri ve sapmaları erken yakalar.

Sonraki adım

İlgili rehberler ve hizmetler

Web Sitesi Güvenliği Nedir?
Rehber Hacklenmiş Bir Web Sitesi Nasıl Kurtarılır?
Rehber WordPress Nasıl Güvenli Hale Getirilir?
Rehber

WordPress Güvenlik Denetimi
WordPress Güvenliği Sunucu Güvenlik Denetimi
Sunucu Güvenliği OWASP Top 10 Değerlendirmesi
Web Uygulama Güvenliği Yönetilen Web Sitesi Güvenliği
Yönetilen Güvenlik

Web sitenizin güvenliğini bugün değerlendirin

Sorunu tespit edelim, önceliklendirelim, giderelim ve sürekli izleme ile koruyalım — abartılı vaat değil, ölçülebilir risk azaltma.