Siber GüvenlikWordPress Güvenliği

WordPress Güvenliği Hizmetleri

WordPress sitenizi çekirdekten eklentilere, temalardan sunucu yapılandırmasına kadar bir uzman gözüyle değerlendirir, saldırı yüzeyini daraltır ve bir olay yaşandığında disiplinli biçimde toparlarız. Otomatik taramayı manuel doğrulama ile birleştirir; size güvenlik eklentisinin ürettiği süslü bir uyarı listesi değil, çekirdek/eklenti/tema sürümleriyle bilinen zafiyetleri eşleştirilmiş, kanıtlı ve önceliklendirilmiş bulgular veririz. Vaadimiz "siteniz asla hacklenmez" değil; ölçülebilir risk azaltma, erken tespit ve hazır bir müdahale planıdır.

Çekirdek, eklenti ve tema sürümleri bilinen zafiyet kayıtlarıyla eşleştirilerek gerçek risk ortaya konur Her bulgu CVSS ve gerçek iş etkisine göre önceliklendirilir; önce hangi eklentiyi kapatacağınızı bilirsiniz Denetimden malware kurtarmaya ve yönetilen sürekli korumaya kadar uçtan uca WordPress güvenlik döngüsü
Güvenlik Değerlendirmesi Talep Et Ücretsiz Site Taraması
Örnek site güvenlik durumu
68
Güvenlik skoru
0–100 · önceliklendirme aracı
YüksekCSP başlığı eksik
OrtaSunucu sürümü ifşa
KritikGüncel olmayan eklenti
Farkındalık

Web siteniz gerçekten güvende mi?

Açılan bir WordPress sitesi, güvenli bir site anlamına gelmez. Site sayfalarını gösteriyor, formlarını gönderiyor ve sipariş alıyor olabilir; buna rağmen bir eklenti zafiyeti üzerinden ele geçirilmiş, wp-content içine arka kapı yerleştirilmiş veya ziyaretçilerini zararlı sayfalara yönlendiriyor olabilir. WordPress saldırılarının büyük kısmı gürültü çıkarmaz: amaç sitenizi çökertmek değil, sizi fark ettirmeden kaynak, kart verisi veya SEO değeri olarak kullanmaktır. Aşağıdaki belirtiler tek başına kesin kanıt değildir; ancak birden fazlası bir araya geldiğinde ciddi bir incelemeyi hak eder. Erken fark eden, ucuz ve kontrollü müdahale eder; geç fark eden krizle uğraşır.

Beklenmedik yönlendirmelerSite, özellikle arama veya mobilden gelen ziyaretçileri tanımadığınız dış adreslere yönlendiriyor; genellikle bir eklenti veya temaya enjekte edilmiş kod bunun kaynağıdır.
Bilinmeyen dosyalarwp-content/uploads, eklenti veya tema klasörlerinde sizin oluşturmadığınız, rastgele adlı PHP dosyaları beliriyor.
Spam sayfalarArama sonuçlarında sitenize ait ilaç, kumar veya sahte ürün satan, sizin yazmadığınız sayfalar çıkıyor.
Tanımadığınız yöneticiwp-admin kullanıcı listesinde sizin açmadığınız veya beklenmedik zamanda oluşturulmuş administrator rolünde hesaplar var.
Kaba kuvvet denemeleriwp-login.php ve XML-RPC üzerinde çok sayıda başarısız oturum açma denemesi ve yabancı IP yoğunluğu görülüyor.
Güncel olmayan bileşenlerWordPress çekirdeği, eklentiler veya temalar aylardır güncellenmemiş ve bilinen açıklar (CVE) taşıyor.
Eksik güvenlik başlıklarıYanıtlarda CSP, HSTS ve çerçeveleme koruması gibi temel güvenlik başlıkları hiç yok.
Açıkta kalan yedeklerWeb kökünde indirilebilir .sql, .zip veya eklenti yedekleri ve wp-config.php kopyaları (wp-config.php.bak) erişilebilir durumda.
Terk edilmiş eklentilerUzun süredir güncellenmeyen, deposundan kaldırılmış (closed) veya nulled/korsan kaynaktan kurulmuş bir eklenti sitede duruyor.
Şüpheli JavaScriptSayfa kaynağında veya wp_options tablosunda okunması zorlaştırılmış (obfuscated), dış sunuculara veri gönderen betikler var.
Beklenmedik SEO sayfalarıSearch Console dizin sayınız aniden şişiyor ve alakasız dillerde/konularda "japanese keyword hack" türü sayfalar indeksleniyor.
Kara listeye alınmaGoogle Safe Browsing, tarayıcı veya barındırıcınız sitenizi zararlı olarak işaretliyor.
Olağandışı trafikSunucu, xmlrpc.php veya wp-cron.php gibi uç noktalara ani ve açıklanamayan istek artışları alıyor, kaynak tüketimi fırlıyor.
Dosya değişiklikleriwp-includes, wp-admin veya tema dosyalarının değiştirilme tarihleri, sizin hiçbir işlem yapmadığınız zamanlara denk geliyor.
Katmanlı yapı

Web sitesi güvenliği aslında neyi kapsar?

WordPress güvenliği tek bir eklenti ya da ayar değil; birbirini yedekleyen katmanlardan oluşan bir sistemdir. Buna derinlemesine savunma denir: bir katman aşılsa bile bir sonraki katman saldırıyı durdurmaya veya yavaşlatmaya çalışır. Aşağıdaki katmanların her birinde ayrı bir yanlış yapılandırma, ayrı bir risk doğurur; güçlü bir duruş ancak hepsinin birlikte ele alınmasıyla mümkündür. Tek bir güvenlik eklentisine güvenmek, kapıyı kilitleyip pencereyi açık bırakmaya benzer; çünkü o eklenti sunucu izinlerini, TLS'i veya wp-config.php maruziyetini görmez.

1
Alan Adı / DNSAlan adı kaydınız, DNS kayıtlarınız ve kayıt kuruluşu hesabınız saldırının ilk hedefidir. Ele geçirilen bir DNS, ziyaretçileri gerçek sunucunuza hiç ulaşmadan sahte bir WordPress kopyasına yönlendirebilir. Kayıt kuruluşu hesabında güçlü kimlik doğrulama, DNS kayıtlarının izlenmesi ve SPF/DKIM/DMARC ile e-posta sahteciliğinin engellenmesi bu katmanın temelidir.
2
Barındırma / SunucuWordPress'in üzerinde çalıştığı Apache/Nginx, PHP sürümü ve dosya sistemi izinleri saldırı yüzeyini doğrudan belirler. Paylaşımlı barındırmada komşu bir sitenin ele geçirilmesi sizi de etkileyebilir; güncel olmayan PHP bilinen açıklar taşır. Güncel PHP sürümü, sıkı open_basedir ve doğru sahiplik/izin yapısı bu katmanın özüdür.
3
TLSAktarım katmanı güvenliği, ziyaretçi ile sunucu arasındaki trafiği şifreler ve araya girme (MITM) saldırılarını zorlaştırır. WordPress için bu, wp-admin girişinin ve çerezlerin şifreli aktarımı demektir. Yalnızca güçlü protokol sürümleri (TLS 1.2 ve 1.3), geçerli sertifika zinciri, zorunlu HTTPS yönlendirmesi, HSTS ve doğru yapılandırılmış WP Address / Site Address ayarı gerektirir.
4
WordPress ÇekirdekÇekirdek, tüm sitenin temelidir. Güncel olmayan bir çekirdek sürümü, herkese açık ve botlarca otomatik istismar edilen bilinen açıklar taşır. Çekirdeğin desteklenen bir sürümde tutulması, otomatik güvenlik güncellemelerinin açık olması ve generator etiketiyle sürüm ifşasının azaltılması bu katmanın temelini oluşturur.
5
EklentilerEklentiler WordPress'te en sık istismar edilen giriş noktasıdır. Zafiyetli, terk edilmiş veya nulled bir eklenti tek başına tüm siteyi düşürebilir. Kurulu eklenti sürümlerinin bilinen zafiyet kayıtlarıyla eşleştirilmesi, kullanılmayanların kaldırılması ve güncelleme disiplininin kurulması bu katmanın kalbidir.
6
TemalarAktif ve pasif temalar da tıpkı eklentiler gibi zafiyet taşır; ayrıca birçok temanın kendi eklenti kütüphaneleri (ör. slider veya form eklentileri) gecikmeli güncellenir. Kullanılmayan temaların kaldırılması, tema dosyalarının editörle düzenlenmesinin kapatılması ve tema içi bileşenlerin güncelliği bu katmanı korur.
7
VeritabanıVeritabanı, sitenizin en değerli varlığını (kullanıcılar, siparişler, içerik) tutar ve SQL enjeksiyonu ile enjekte edilmiş içeriğin hedefidir. wp_options, wp_posts ve wp_users tabloları malware olaylarında sıkça bulaşır. En az yetkili DB kullanıcısı, varsayılan wp_ tablo önekinin gözden geçirilmesi, parametreli sorgular ve düzenli bütünlük kontrolü bu katmanı korur.
8
Kullanıcılar & Kimlik Doğrulamawp-admin ve ayrıcalıklı işlevlere erişimi kontrol eden katmandır. Zayıf parolalar, 2FA yokluğu, "admin" kullanıcı adı, hız sınırı olmayan wp-login.php ve XML-RPC üzerinden kimlik doğrulama, kaba kuvvet ve kimlik bilgisi doldurma saldırılarını davet eder. Güçlü parolalar, çok faktörlü doğrulama ve en az yetki ilkesi çok sayıda saldırıyı en baştan başarısız kılar.
9
YedeklemeYedek, bir güvenlik kontrolü olmadığı düşünülse de kurtarmanın belkemiğidir. Test edilmemiş, web köküne bırakılmış ya da hiç alınmamış bir yedek, kriz anında işe yaramaz veya kendisi bir sızıntı kaynağı olur. Veritabanı ve dosyaları birlikte kapsayan, izole depolanan, sürümlenen ve düzenli geri yükleme testi yapılan yedek, en kötü senaryoda temiz bir çıkış yoludur.
10
İzlemeDiğer tüm katmanlar önlemeyi amaçlar; izleme ise erken tespit sağlar. Dosya bütünlüğü, çekirdek/eklenti/tema güncellik durumu, yeni kullanıcı oluşturma, kara liste ve şüpheli değişiklikler sürekli gözlenmezse, bir bulaşma haftalarca fark edilmeden devam edebilir. İzleme, önleme başarısız olduğunda hasarı sınırlayan güvenlik ağıdır.
İş etkisi

Güvenlik göz ardı edilirse ne olur?

Bir WordPress güvenlik olayının bedeli, silinen birkaç dosyadan çok daha büyüktür. Etkiler teknik olduğu kadar ticaridir; çoğu zaman en pahalı kısım, olayın kendisi değil sonrasında kaybedilen güven ve organik değerdir. Aşağıdaki sonuçlar birbirini besler: enjekte edilen zararlı yönlendirme kara listeye; kara liste trafik kaybına; trafik kaybı gelir ve itibar kaybına dönüşür. Proaktif WordPress güvenliğinin maliyeti, bu zincirin tamamının maliyetinin yanında küçük kalır.

Hizmet kesintisiEle geçirilen ya da kaynak tüketen bir WordPress sitesi yavaşlar, ölümcül hata (white screen) verir veya tamamen erişilemez hale gelir. Her kesinti dakikası, doğrudan satış ve müşteri kaybı demektir.
Veri sızıntısıKullanıcı, müşteri ve WooCommerce ödeme verilerinin sızması hem yasal yükümlülük hem de kalıcı güven kaybı doğurur. Sızan veri geri alınamaz.
Yönetici ele geçirmewp-admin erişiminin kaybı, saldırganın içeriği değiştirmesine, sahte yönetici açmasına ve kalıcılık kurmasına yol açar. Kendi sitenize erişiminizi kaybedebilirsiniz.
Zararlı yönlendirmeZiyaretçiler sahte veya dolandırıcı sitelere gönderilir. Bu, hem kullanıcılarınızı riske atar hem de markanızı zararlı içerikle ilişkilendirir.
Kötü amaçlı yazılım dağıtımıSiteniz ziyaretçi cihazlarına zararlı yazılım bulaştıran bir taşıyıcıya dönüşebilir. Bu, tarayıcı uyarılarını ve kara listeyi tetikler.
Ödeme skimmer'ıWooCommerce ödeme akışına enjekte edilen bir skimmer, kart verilerini müşteri fark etmeden dış sunuculara sızdırır ve doğrudan mali sorumluluk doğurur.
Kimlik avı barındırmaSaldırganlar sitenizde başka markaları taklit eden kimlik avı sayfaları barındırabilir. Sonuç, alan adınızın itibarının çökmesidir.
SEO spamEnjekte edilen gizli bağlantılar ve sahte sayfalar, sitenizi spam ağının parçası yapar. Arama motoru, sitenizi bu içerikle birlikte cezalandırır.
Google uyarılarıArama sonuçlarında ve tarayıcıda "bu site zarar verebilir" uyarısı belirir. Ziyaretçilerin ezici çoğunluğu bu uyarıyı görünce geri döner.
Gelir ve kurtarma maliyetiKayıp satışların üzerine acil müdahale, temizlik, yeniden yapılandırma ve itibar kurtarma masrafları eklenir. Kriz sonrası fatura, önlemenin katı olur.
Yaygın riskler

En sık karşılaşılan web sitesi güvenlik riskleri

Aşağıda WordPress sitelerinde en sık karşılaşılan risk kategorileri yer alıyor. Her biri için ne olduğunu, neden önemli olduğunu, nasıl fark edilebileceğini ve tipik giderme yönünü özetledik. Bu liste bir teşhis aracı değil, bir farkındalık haritasıdır; sitenizde hangilerinin bulunduğunu kesin olarak söylemek ancak yapılandırılmış bir değerlendirmeyle mümkündür.

Güncel olmayan çekirdek
Nedir?WordPress çekirdeğinin bilinen açıklar taşıyan eski bir sürümde kalması.
Neden önemli?Bilinen çekirdek açıkları herkese açıktır ve botlar tarafından otomatik, kitlesel biçimde istismar edilir.
Nasıl tespit edilir?Yönetim panelinden veya generator meta etiketinden çekirdek sürümü kontrol edilerek.
Giderme yönüTest ortamında doğrulayıp çekirdeği güncel ve desteklenen bir sürüme yükseltmek, otomatik güncellemeyi açmak.
Zafiyetli eklenti
Nedir?Güncel olmayan, terk edilmiş, depodan kaldırılmış veya nulled kaynaktan kurulmuş eklentiler.
Neden önemli?Eklentiler WordPress'te en sık istismar edilen giriş noktasıdır; tek bir zafiyetli eklenti tüm siteyi düşürebilir.
Nasıl tespit edilir?Kurulu eklenti sürümlerini bilinen zafiyet (CVE) kayıtlarıyla eşleştirerek.
Giderme yönüGüncellemek, terk edilmişleri güvenli alternatiflerle değiştirmek, kullanılmayanları tamamen kaldırmak.
Zafiyetli tema
Nedir?Güncel olmayan aktif/pasif temalar ve tema içine gömülü eski eklenti kütüphaneleri.
Neden önemli?Tema zafiyetleri ve temayla gelen eski slider/form kütüphaneleri kod çalıştırmaya yol açabilir.
Nasıl tespit edilir?Aktif ve pasif tema sürümlerini ve tema içi bileşenleri zafiyet kayıtlarıyla karşılaştırarak.
Giderme yönüTemaları güncellemek, kullanılmayan temaları kaldırmak, çocuk tema ile özelleştirmeleri korumak.
XML-RPC istismarı
Nedir?xmlrpc.php üzerinden pingback ve system.multicall metotlarının açık bırakılması.
Neden önemli?system.multicall tek istekte yüzlerce parola denemesine, pingback ise DDoS ve iç ağ taramasına olanak tanır.
Nasıl tespit edilir?xmlrpc.php uç noktasına istek göndererek yanıt ve etkin metotları gözlemleyerek.
Giderme yönüİhtiyaç yoksa XML-RPC'yi tümüyle kapatmak, gerekiyorsa yalnızca gerekli metotları ve pingback'i devre dışı bırakmak.
REST API kullanıcı numaralandırma
Nedir?/wp-json/wp/v2/users ve ?author=N ile geçerli kullanıcı adlarının dışarı sızması.
Neden önemli?Elde edilen kullanıcı adları hedefli kaba kuvvet ve kimlik bilgisi doldurma saldırılarını kolaylaştırır.
Nasıl tespit edilir?/wp-json/wp/v2/users uç noktasını ve ?author=1..N yönlendirmelerini isteyerek.
Giderme yönüUsers uç noktasını kimlik doğrulamayla sınırlamak, author arşivi yönlendirmesini engellemek, takma ad kullanmak.
Zayıf kimlik doğrulama
Nedir?Tahmin edilebilir parolalar, "admin" kullanıcı adı ve çok sayıda ayrıcalıklı hesap.
Neden önemli?Zayıf parolalar wp-login.php ve XML-RPC üzerinden kaba kuvvetle hızla kırılır.
Nasıl tespit edilir?Kullanıcı listesini, parola politikasını ve giriş kayıtlarındaki başarısız deneme yoğunluğunu inceleyerek.
Giderme yönüGüçlü parola politikası, administrator sayısını en aza indirme ve giriş hızı sınırlaması uygulamak.
2FA eksikliği
Nedir?Yönetici girişlerinde çok faktörlü kimlik doğrulamanın bulunmaması.
Neden önemli?Parola tek başına ele geçirildiğinde, ek bir katman olmadığından wp-admin erişimi doğrudan sağlanır.
Nasıl tespit edilir?wp-login.php giriş akışının ikinci bir doğrulama adımı isteyip istemediğine bakarak.
Giderme yönüTüm administrator ve editör hesaplarında iki faktörlü kimlik doğrulamayı zorunlu kılmak.
Dosya izinleri
Nedir?wp-content, uploads ve wp-config.php dosyalarına gereğinden geniş yazma/çalıştırma izni.
Neden önemli?Gevşek izinler saldırganın dosya yazmasına ve web shell yerleştirmesine olanak tanır; wp-config.php sırlarını açar.
Nasıl tespit edilir?Web kökü, wp-content ve wp-config.php izin bitlerini gözden geçirerek.
Giderme yönüEn az yetki ilkesiyle dizinleri 755, dosyaları 644, wp-config.php'yi 600/640'a çekmek.
uploads içinde PHP yürütme
Nedir?wp-content/uploads dizinine yüklenen dosyaların PHP olarak çalıştırılabilmesi.
Neden önemli?Saldırgan medya yükleme üzerinden bir web shell bırakıp doğrudan uzaktan kod çalıştırabilir.
Nasıl tespit edilir?uploads altına test amaçlı bir dosya isteyerek çalıştırılıp çalıştırılmadığını kontrol ederek.
Giderme yönüuploads dizininde PHP yürütmeyi sunucu düzeyinde (Apache/Nginx kuralıyla) tümüyle engellemek.
wp-config.php maruziyeti
Nedir?wp-config.php, wp-config.php.bak veya .save kopyalarının okunabilir/indirilebilir olması.
Neden önemli?Veritabanı parolaları, kimlik doğrulama anahtarları (salt) ve tuz değerleri saldırganın eline geçer.
Nasıl tespit edilir?Bilinen yapılandırma yollarını ve yedek uzantılarını isteyerek yanıt kodlarını gözlemleyerek.
Giderme yönüYedek kopyaları kaldırmak, wp-config.php'yi bir dizin üste taşımak, sunucu düzeyinde erişimi engellemek, salt değerlerini yenilemek.
Güvensiz dosya yükleme
Nedir?Form veya medya yükleme noktalarında dosya tipinin doğrulanmaması.
Neden önemli?Saldırgan çalıştırılabilir bir dosya yükleyerek doğrudan web shell elde edebilir.
Nasıl tespit edilir?Yükleme uç noktalarına farklı dosya tipleriyle kontrollü test yaparak.
Giderme yönüDosya tipini doğrulamak, uploads'ta çalıştırmayı kapatmak, yükleme dizinini kökten ayırmak.
Dosya düzenleyici açık
Nedir?wp-admin içinden eklenti/tema dosyalarını düzenlemeye izin veren editörün açık olması.
Neden önemli?Bir yönetici hesabı ele geçirildiğinde saldırgan panelden doğrudan PHP kodu yazıp çalıştırabilir.
Nasıl tespit edilir?Görünüm ve Eklenti menülerinde dosya düzenleyicisinin erişilebilir olup olmadığına bakarak.
Giderme yönüwp-config.php içinde DISALLOW_FILE_EDIT ve mümkünse DISALLOW_FILE_MODS sabitlerini tanımlamak.
Kaba kuvvet
Nedir?wp-login.php ve XML-RPC üzerine otomatik ve tekrarlı parola deneme saldırıları.
Neden önemli?Yeterli deneme sonunda zayıf hesaplar ele geçirilebilir; sunucu da yorulur.
Nasıl tespit edilir?Giriş kayıtlarındaki yoğun başarısız deneme desenlerini ve XML-RPC trafiğini izleyerek.
Giderme yönüGiriş hızı sınırı, hesap kilitleme, wp-admin IP kısıtı, CAPTCHA ve 2FA ile deneme maliyetini artırmak.
Açıkta kalan yedekler
Nedir?İndirilebilir .sql, .zip veya eklenti/UpdraftPlus yedeklerinin web kökünde durması.
Neden önemli?Tüm veritabanı ve site içeriği tek bir indirmeyle saldırganın eline geçebilir.
Nasıl tespit edilir?Yaygın yedek adlarını ve yedek eklentisi klasörlerini isteyerek, dizin listelemeyi kontrol ederek.
Giderme yönüYedekleri erişilemez, izole bir konuma taşımak ve dizin listelemeyi kapatmak.
Güvenlik başlığı eksikliği
Nedir?CSP, HSTS, çerçeveleme ve içerik tipi korumalarının hiç bulunmaması.
Neden önemli?XSS, clickjacking ve içerik türü karıştırma saldırılarının etkisi büyür.
Nasıl tespit edilir?HTTP yanıt başlıklarını bir güvenlik başlığı kontrolüyle inceleyerek.
Giderme yönüEksik başlıkları eklemek, CSP gibi kritik olanları önce report-only test etmek.
Kötü amaçlı yazılım
Nedir?Çekirdek, eklenti, tema veya veritabanına enjekte edilmiş, çoğu zaman gizlenmiş zararlı kod.
Neden önemli?Ziyaretçilere zararlı içerik sunar, itibarı zedeler ve kara listeyi tetikler.
Nasıl tespit edilir?Çekirdek dosyalarının resmi sürümle bütünlük karşılaştırması ve zararlı desen taramasıyla.
Giderme yönüZararlıyı güvenli kaldırmak, kök nedeni kapatmak ve WordPress sıkılaştırması uygulamak.
Arka kapılar
Nedir?wp-content veya çekirdek klasörlerine bırakılmış gizli web shell ve erişim kodları.
Neden önemli?Görünen zararlı silinse bile arka kapı, siteyi saatler içinde yeniden bulaştırır.
Nasıl tespit edilir?Bütünlük karşılaştırması ve şüpheli, gizlenmiş (eval/base64) kod analiziyle.
Giderme yönüTüm arka kapıları bulup kaldırmak, tüm parola ve salt değerlerini yenilemek, girişi kapatmak.
Değerlendirme

Web sitesi güvenliğini nasıl değerlendiriyoruz?

Bir WordPress sitesinin güvenlik duruşu tek bir teste indirgenemez; birden çok boyutun birlikte değerlendirilmesini gerektirir. Aşağıda değerlendirmeyi yapılandırdığımız ana başlıklar ve her başlıkta baktığımız temel unsurlar yer alıyor. Bu çerçeve, hem neyin kapsandığını hem de bir WordPress güvenlik incelemesinin ne kadar geniş olması gerektiğini şeffaf biçimde gösterir.

Aktarım & Şifreleme

  • HTTPS zorunluluğu ve WP Address / Site Address
  • TLS protokol sürümleri
  • Sertifika geçerliliği ve zinciri
  • Karışık içerik (mixed content)
  • Oturum çerezi güvenliği

HTTP Güvenliği

  • Content-Security-Policy
  • HSTS başlığı
  • X-Frame-Options / çerçeveleme
  • X-Content-Type-Options
  • Çerez bayrakları (Secure, HttpOnly, SameSite)

Çekirdek & Bileşenler

  • Çekirdek sürüm güncelliği
  • Eklenti sürümleri ve zafiyet eşleme
  • Aktif/pasif tema zafiyetleri
  • Terk edilmiş ve nulled bileşenler
  • Otomatik güncelleme yapılandırması

Kimlik & Erişim

  • Kullanıcı adı ve rol hijyeni
  • Parola politikası ve 2FA
  • wp-login.php hız sınırı
  • XML-RPC maruziyeti
  • REST API kullanıcı numaralandırma

Sunucu & Maruziyet

  • PHP sürümü ve ayarları
  • wp-config.php ve salt koruması
  • Dosya izinleri ve sahiplik
  • uploads içinde PHP yürütme
  • Dizin listeleme ve yedek ifşası

Zararlı Yazılım & Bütünlük

  • Çekirdek bütünlük sapması
  • Enjekte edilmiş / gizlenmiş kod
  • Arka kapı ve web shell göstergeleri
  • wp_options / veritabanı enjeksiyonu
  • Kara liste durumu

İzleme & Kurtarma

  • Dosya değişikliği izleme
  • Yeni kullanıcı ve rol değişikliği takibi
  • Yedek varlığı ve geri yükleme testi
  • Günlük kaydı ve saklama
  • Olay müdahale hazırlığı
Hizmet haritası

Web sitesi güvenliği hizmetlerimiz

Her hizmet belirli bir soruna, bağımsız ve derinlemesine çözüm sunar.

WordPress Güvenlik Denetimi

Tek Seferlik
Çözdüğü sorun: WordPress sitenizin güvenlik durumunu görünmez katmanda (çekirdek/eklenti/tema sürümleri, XML-RPC ve REST maruziyeti, wp-config.php, başlıklar, dosya izinleri) yapılandırılmış biçimde ortaya çıkarır. Kurulu bileşenleri bilinen zafiyet kayıtlarıyla eşleştirir; nerede zayıf olduğunuzu tahminle değil kanıtla öğrenirsiniz.
Kimler için: Durumunu netleştirmek isteyen kurumsal WordPress ve WooCommerce siteleri ile yeni yayına alınan projeler için.
Sonuç: CVSS temelli önceliklendirilmiş, çekirdek/eklenti/tema zafiyet eşlemeli, kanıtlı ve uygulanabilir bir bulgu raporu.
Senaryo: "WordPress sitem güvenli mi bilmiyorum" diyen ve önce durumu görmek isteyen ekipler için.
İncele

WordPress Malware Temizleme

Tek Seferlik
Çözdüğü sorun: Çekirdek, eklenti, tema ve veritabanına enjekte edilmiş kodu, arka kapıları ve zararlı yönlendirmeleri güvenle temizler; en önemlisi saldırının giriş noktasını (zafiyetli eklenti, açık uploads, çalınan hesap) kapatarak yeniden bulaşmayı önler.
Kimler için: Zararlı yazılım uyarısı alan, kara listeye giren veya şüpheli yönlendirme yaşayan WordPress siteleri için.
Sonuç: Temizlenmiş, çekirdek bütünlüğü doğrulanmış ve yeniden bulaşmaya karşı sıkılaştırılmış çalışır site.
Senaryo: "WordPress sitem spam'e yönlendiriyor" veya zararlı içerik sunuyor diyen sahipler için.
İncele

WordPress Sıkılaştırma

Tek Seferlik
Çözdüğü sorun: Varsayılan ve gevşek WordPress yapılandırmasını katmanlı, savunmacı bir düzene taşıyarak saldırı yüzeyini kalıcı olarak daraltır. XML-RPC, REST numaralandırma, dosya düzenleyici, uploads yürütme, dosya izinleri ve güvenlik başlıklarını disiplinli biçimde ele alır; denetimin bulduğu açıkları uygulamaya döker.
Kimler için: Denetim sonrası açıklarını kapatmak isteyen ve tekrarlayan saldırılardan bıkmış WordPress siteleri için.
Sonuç: Uygulanmış, belgelenmiş ve geri alınabilir katmanlı sıkılaştırma kontrolleri (DISALLOW_FILE_EDIT, 2FA, wp-admin koruma dâhil).
Senaryo: "Saldırı yüzeyini azaltmak istiyorum" diyen, sağlam bir WordPress temeli kurmak isteyen ekipler için.
İncele

WordPress Zafiyet İzleme

Sürekli
Çözdüğü sorun: Kurulu çekirdek, eklenti ve tema sürümlerinizi sürekli olarak yeni yayımlanan zafiyet kayıtlarıyla karşılaştırır; siz fark etmeden bir bileşeniniz riskli hâle geldiğinde zamanında uyarır. WordPress ekosistemindeki zafiyet akışını sizin adınıza takip eder.
Kimler için: Çok eklentili, sık güncellenen ve zafiyet akışını elle takip edecek zamanı olmayan WordPress siteleri için.
Sonuç: Yeni çıkan çekirdek/eklenti/tema zafiyetleri için sürekli izleme, önceliklendirilmiş uyarı ve güncelleme yönlendirmesi.
Senaryo: "Hangi eklentimin ne zaman riskli olduğunu takip edemiyorum" diyen ekipler için.
İncele

WordPress Güvenlik Temizliği

Tek Seferlik
Çözdüğü sorun: Zaman içinde biriken güvenlik borcunu temizler: terk edilmiş ve kullanılmayan eklenti/temaları kaldırır, gereksiz yönetici hesaplarını sadeleştirir, açıkta kalan yedek ve yapılandırma dosyalarını toplar, generator ifşasını ve zayıf ayarları düzeltir. Aktif bir bulaşma değil, dağınık ve riskli bir kurulumu hedef alır.
Kimler için: Yıllardır elden geçirilmemiş, eklenti/tema yığını büyümüş ve düzene sokulması gereken WordPress siteleri için.
Sonuç: Sadeleştirilmiş, gereksiz bileşenlerden arındırılmış ve temel hijyeni kurulmuş daha küçük bir saldırı yüzeyi.
Senaryo: "Sitede yıllardır biriken eski eklentiler ve hesaplar var, toparlanması lazım" diyen ekipler için.
İncele

Hacklenmiş WordPress Kurtarma

Tek Seferlik
Çözdüğü sorun: Tam ele geçirme sonrası disiplinli bir olay müdahalesi yürütür: kanıtı korur, çekirdeği resmi temiz sürümle değiştirir, arka kapıları ve sahte yöneticileri temizler, kök nedeni analiz eder ve arama motoru itibarını yeniden inşa eder. Panikle değil, sırayla toparlar.
Kimler için: Aktif olarak ele geçirilmiş, defacement, sahte yönetici veya veri sızıntısı endişesi olan kritik WordPress siteleri için.
Sonuç: Temiz, sıkılaştırılmış ve kök nedeni kapatılmış WordPress kurulumu ile olay dokümantasyonu.
Senaryo: "WordPress sitem hacklendi" diyen ve tam kapsamlı bir kurtarmaya ihtiyaç duyan işletmeler için.
İncele

Yönetilen WordPress Güvenliği

Sürekli
Çözdüğü sorun: Denetim, sıkılaştırma, güncelleme yönetimi, izleme ve yedek doğrulamayı tek elden ve sürekli olarak üstlenir. Çekirdek/eklenti/tema güncellemelerini kontrollü biçimde uygular, duruşun zamanla aşınmasını önler ve bir olayda hazır müdahaleyi başlatır.
Kimler için: Güvenliği içeride yönetecek kaynağı olmayan; süreklilik ve tek muhatap isteyen kurumsal WordPress ve ajans portföyleri için.
Sonuç: Sürekli güncel tutulan, izlenen ve düzenli doğrulanan; bir olayda hazır müdahaleye sahip yönetilen WordPress duruşu.
Senaryo: "WordPress güvenliğiyle sürekli ilgilenecek birine ihtiyacım var" diyen sahipler için.
İncele
Yol gösterici

Hangi hizmete ihtiyacım var?

Doğru hizmet, içinde bulunduğunuz duruma göre değişir. Aşağıdaki hızlı eşleştirme, durumunuzu bir cümleyle tanımlayıp size en uygun başlangıç noktasını bulmanıza yardımcı olur. Emin değilseniz WordPress güvenlik denetimi neredeyse her zaman doğru ilk adımdır; çünkü hangi hizmete ihtiyacınız olduğunu da o netleştirir.

DurumunuzÖnerilen hizmet
"WordPress sitem hacklendi"Hacklenmiş WordPress Kurtarma Git
"Sitem spam'e yönlendiriyor"WordPress Malware Temizleme Git
"WordPress sitem güvenli mi bilmiyorum"WordPress Güvenlik Denetimi Git
"Saldırı yüzeyini azaltmak istiyorum"WordPress Sıkılaştırma Git
"Yeni zafiyetleri takip edemiyorum"WordPress Zafiyet İzleme Git
"Eski eklenti/hesap yığını toparlansın"WordPress Güvenlik Temizliği Git
"Sürekli ilgilenecek biri lazım"Yönetilen WordPress Güvenliği Git
Süreç

Güvenlik sürecimiz

1KapsamTest edilecek WordPress kurulumlarını, alt alanları, çoklu site (multisite) yapısını ve sınırları yazılı olarak netleştiririz. Ne yapacağımızı ve neyi yapmayacağımızı baştan tanımlarız.
2KeşifPasif yöntemlerle çekirdek sürümünü, kurulu eklenti/temaları, açık uç noktaları (xmlrpc.php, wp-json) ve genel saldırı yüzeyini haritalarız. Hedefi kırmadan tanırız.
3DeğerlendirmeBaşlıkları, TLS'i, dosya izinlerini, REST/XML-RPC maruziyetini ve bileşen sürümlerini tahribatsız araçlarla tarar, zafiyet kayıtlarıyla eşleştirir, ardından manuel olarak doğrularız.
4Risk SınıflandırmaHer doğrulanmış bulguyu CVSS ve gerçek iş etkisine göre kritik, yüksek, orta, düşük ve bilgilendirici olarak sınıflandırırız.
5Giderme PlanıÖnce hangi eklentinin veya ayarın kapatılacağını belirleyen, bağımlılıkları ve olası yan etkileri gözeten bir yol haritası çıkarırız.
6Düzeltme / Sertleştirmeİstenirse güncellemeleri ve katmanlı WordPress sıkılaştırmasını biz uygularız; her değişikliği bir hazırlık (staging) ortamında, izole ve geri alınabilir biçimde yaparız.
7DoğrulamaKapatıldığı bildirilen bulguların gerçekten giderildiğini yeniden test ile doğrular, sitenin ve WooCommerce akışının bozulmadığını kontrol ederiz.
8RaporlamaKanıt, etki ve adım adım çözüm içeren; hem teknik ekip hem karar vericiler için okunabilir bir rapor teslim ederiz.
9İzlemeİsteğe bağlı sürekli izleme ve zafiyet takibi ile duruşun zamanla aşınmadığından emin olur, yeni çıkan bileşen zafiyetlerini erken yakalarız.
Örnek bulgular

Tipik olarak neler tespit ederiz?

Aşağıdakiler illüstratif örneklerdir; gerçek müşteri verisi değildir.

Kritik

Zafiyetli eklenti üzerinden aktif web shell (örnek bulgu)

Risk

Güncel olmayan bir dosya yükleme eklentisi istismar edilerek wp-content/uploads içine gizlenmiş bir web shell yerleştirilmiştir.

Olası etki

Görünen zararlı silinse bile site saatler içinde yeniden bulaşabilir ve tam kontrol saldırganda kalır.

Önerilen aksiyon

Bütünlük karşılaştırmasıyla tüm arka kapıları bulup kaldırın, zafiyetli eklentiyi güncelleyin/kaldırın, salt ve parolaları yenileyin.

Kritik

Açıkta kalan wp-config.php yedeği (örnek bulgu)

Risk

wp-config.php.bak dosyası web üzerinden doğrudan indirilebilir durumdadır.

Olası etki

Veritabanı parolaları, kimlik doğrulama anahtarları (salt) ve tuz değerleri saldırganın eline geçerek tam ele geçirmeye yol açabilir.

Önerilen aksiyon

Yedek kopyayı kaldırın, wp-config.php'yi bir dizin üste taşıyın, sunucu düzeyinde erişimi engelleyin ve tüm salt değerlerini yenileyin.

Yüksek

XML-RPC system.multicall açık (örnek bulgu)

Risk

xmlrpc.php etkin ve system.multicall metodu tek istekte çok sayıda parola denemesine izin vermektedir.

Olası etki

Kaba kuvvet ve pingback tabanlı DDoS saldırılarının maliyetini saldırgan lehine düşürür.

Önerilen aksiyon

İhtiyaç yoksa XML-RPC'yi tümüyle kapatın; gerekiyorsa yalnızca gerekli metotları bırakıp pingback'i devre dışı bırakın.

Yüksek

REST API ile kullanıcı numaralandırma (örnek bulgu)

Risk

/wp-json/wp/v2/users uç noktası ve ?author=N yönlendirmesi geçerli kullanıcı adlarını dışarı sızdırmaktadır.

Olası etki

Elde edilen kullanıcı adları hedefli kaba kuvvet saldırılarını kolaylaştırır.

Önerilen aksiyon

Users uç noktasını kimlik doğrulamayla sınırlayın, author arşivi yönlendirmesini engelleyin ve görünen adları takma adla ayırın.

Orta

uploads dizininde PHP yürütme açık (örnek bulgu)

Risk

wp-content/uploads altına yerleştirilen bir PHP dosyası sunucuda çalıştırılabilmektedir.

Olası etki

Bir yükleme zafiyetiyle birleştiğinde doğrudan uzaktan kod çalıştırmaya kapı açar.

Önerilen aksiyon

uploads dizininde PHP yürütmeyi sunucu düzeyinde (Apache/Nginx kuralıyla) engelleyin.

Orta

Dosya düzenleyici (DISALLOW_FILE_EDIT) açık (örnek bulgu)

Risk

wp-admin içinden eklenti ve tema dosyalarını düzenleme özelliği etkindir.

Olası etki

Bir yönetici hesabı ele geçirildiğinde saldırgan panelden doğrudan PHP kodu yazıp çalıştırabilir.

Önerilen aksiyon

wp-config.php içinde DISALLOW_FILE_EDIT sabitini true olarak tanımlayın.

Düşük

WordPress sürümünün generator ile ifşası (örnek bulgu)

Risk

Sayfa kaynağındaki generator meta etiketi tam çekirdek sürümünü açığa çıkarmaktadır.

Olası etki

Saldırganlar sürüme uygun bilinen istismarları hızla daraltabilir.

Önerilen aksiyon

generator meta etiketini kaldırın ve sürüm ifşa eden diğer noktaları sadeleştirin.

Düşük

Güncel olmayan pasif tema kurulu (örnek bulgu)

Risk

Kullanılmayan ancak silinmemiş eski bir tema, güncelleme almadan sitede durmaktadır.

Olası etki

Pasif de olsa dosyaları erişilebilir olduğundan bilinen tema zafiyetleri istismar edilebilir.

Önerilen aksiyon

Kullanılmayan tema ve eklentileri tamamen kaldırın, yalnızca aktif olanları güncel tutun.

Önceliklendirme

Önem derecesi modeli

KritikKritik — Aktif olarak istismar edilebilir, doğrudan tam ele geçirmeye veya veri sızıntısına yol açan bulgular. Derhal ele alınması gerekir.
YüksekYüksek — Ciddi etkisi olan, istismarı görece kolay veya olası; kısa vadede öncelikli olarak kapatılması gereken bulgular.
OrtaOrta — Belirli koşullarda istismar edilebilen veya etkisi sınırlı; planlı biçimde giderilmesi gereken bulgular.
DüşükDüşük — Tek başına düşük riskli, ancak diğer bulgularla birleştiğinde saldırı yüzeyini genişleten bulgular.
BilgiBilgilendirici — Doğrudan bir zafiyet olmayan, iyileştirme veya sertleştirme fırsatı işaret eden gözlemler.
Çıktı

Ne teslim alırsınız?

  • Yönetici özeti ve genel WordPress güvenlik duruşu değerlendirmesi
  • Çekirdek/eklenti/tema sürümleriyle eşleştirilmiş, önem derecesine göre sınıflandırılmış kanıtlı bulgu listesi
  • Her bulgu için etki açıklaması ve adım adım çözüm önerisi
  • CVSS temelli önceliklendirilmiş giderme yol haritası
  • Yeniden doğrulama (retest) için kontrol listesi
  • Uygulanan sıkılaştırma veya temizlik adımlarının belgelenmiş listesi (ilgili hizmetlerde)
  • Teknik olmayan paydaşlar için sadeleştirilmiş özet
  • Yeniden bulaşma veya sapmayı önleme önerileri
  • İsteğe bağlı aktarım görüşmesi ve soru-cevap desteği
Ücretsiz

Ücretsiz web sitesi güvenlik taraması

Başlamadan önce WordPress sitenizin dış yüzeyini hızlıca görmek isterseniz, ücretsiz ve saldırgan olmayan bir tarama sunuyoruz. Bu tarama halka açık göstergelere bakar; sunucunuzun içine girmez, verilerinizi değiştirmez. Amaç, kapsamlı bir değerlendirme değil; öncelikli riskleri erkenden görünür kılmak ve size bir başlangıç yönü vermektir.

Neyi kontrol eder

  • WordPress tespiti
  • sürüm ifşası (generator)
  • XML-RPC erişimi
  • REST API kullanıcı numaralandırma
  • güvenlik başlıkları
  • SSL/TLS yapılandırması

Neyi kontrol etmez

  • eklenti/tema kaynak kodu zafiyetleri
  • sunucu içi dosyalar
  • veritabanı incelemesi
  • kimlik doğrulamalı alanlar

Sitenizin güvenlik skorunu ölçün

Sonuç olarak bir güvenlik skoru ve öncelikli bulguların kısa bir listesini alırsınız; bu, tam WordPress denetimine geçip geçmemenize karar vermenize yardımcı olur.

Ücretsiz Tarama
Ölçüm

Web sitesi güvenlik skoru

Ücretsiz tarama ve denetim çıktısını anlaşılır kılmak için WordPress güvenlik duruşunu kategorilere ayırıp örnek bir skorla gösteriyoruz. Aşağıdaki sayılar gerçek bir siteye ait değildir; skorun nasıl okunacağını göstermek için temsilîdir.

68/100 · örnek
Çekirdek/Eklenti Güncelliği60
Giriş Koruması65
XML-RPC/REST Maruziyeti55
Güvenlik Başlıkları60
Dosya İzinleri75
Zararlı Yazılım90
Yedekleme70
İzleme55

Güvenlik tek bir sayıya indirgenemez; skor bir garanti değil, önceliklendirme aracıdır. Yüksek bir toplam skor bile tek bir kritik eklenti zafiyetinin önemini ortadan kaldırmaz; skoru her zaman bulguların ayrıntısıyla birlikte okuyun.

Önce / Sonra

Sertleştirme öncesi ve sonrası

Güvenlik garanti değil, ölçülebilir risk azaltmadır. Örnek bir dönüşüm:

Önce

  • güncel olmayan eklenti ve tema
  • XML-RPC açık
  • REST kullanıcı numaralandırma açık
  • zayıf giriş koruması, 2FA yok
  • wp-config.php maruz
  • test edilmemiş yedek

Sonra

  • yamalı ve güncel çekirdek/eklenti/tema
  • gereksiz XML-RPC kapalı
  • kullanıcı numaralandırma engelli
  • sertleştirilmiş giriş ve zorunlu 2FA
  • korunan wp-config.php ve yenilenen salt
  • doğrulanmış ve izole yedek
Kimler için?

Web sitesi güvenliğine kimlerin ihtiyacı var?

WooCommerce MağazalarıÖdeme akışı ve müşteri verisi taşıdıkları için yüksek değerli hedeftir. Ödeme sayfasına enjekte edilen skimmer'lar ve kart verisi hırsızlığı, hem gelir hem yasal yükümlülük riski doğurur.
Çok Eklentili YayıncılarOnlarca eklenti ve tema, geniş bir saldırı yüzeyi yaratır. Zafiyetli veya terk edilmiş tek bir eklenti, sık görülen kitlesel WordPress bulaşmalarının başlıca giriş noktasıdır.
Ajanslar / Çoklu SiteOnlarca WordPress müşterisini yönetirler; tek bir zayıf halka tüm portföyü riske atabilir. Ölçeklenebilir sıkılaştırma, merkezî güncelleme ve izleme onlar için kritiktir.
Üyelik SiteleriKullanıcı hesapları ve kişisel veri yoğunluğu, kimlik bilgisi doldurma ve hesap ele geçirme saldırılarını çeker. Güçlü kimlik doğrulama ve 2FA vazgeçilmezdir.
Kurumsal WordPressİtibar ve uyum baskısı yüksektir. Bir defacement veya veri sızıntısı, marka güvenini ve tedarikçi ilişkilerini doğrudan sarsar; denetim izi ve dokümantasyon beklenir.
Blog / Haber SiteleriYüksek trafik ve çok sayıda içerik, SEO spam enjeksiyonu ve zararlı reklam için cazip zemindir. Organik trafik kaybı doğrudan gelir kaybıdır.
Güvenlik & SEO

Güvenlik sorunları SEO'nuzu nasıl etkiler?

Güvenlik ve SEO çoğu WordPress sitesinde aynı madalyonun iki yüzüdür. Bir güvenlik olayı, arama görünürlüğünüze doğrudan ve çoğu zaman kalıcı zarar verir; tersine, sağlıklı bir güvenlik duruşu organik değerinizi korur. Aşağıdaki noktalar, bir bulaşmanın SEO tarafında nasıl karşımıza çıktığını özetliyor.

  • Zararlı içerik nedeniyle sayfaların indekslemeden düşmesi organik görünürlüğü çökertir.
  • Arama motorları güvenlik ihlalini tespit ettiğinde sıralamalar hızla geriler.
  • Enjekte edilen zararlı yönlendirmeler, ziyaretçileri sahte sitelere göndererek trafiği kaçırır.
  • Sizin yazmadığınız spam sayfalar (japanese/pharma keyword hack) dizininizi kirletir ve sitenizi spam ağıyla ilişkilendirir.
  • Cloaking (arama botuna ve kullanıcıya farklı içerik gösterme) manuel işlem cezası riski doğurur.
  • Enjekte edilen gizli bağlantılar, alan adı otoritenizi zararlı hedeflere aktarır.
  • Search Console'da güvenlik sorunu uyarıları belirir ve dizinleme durur.
  • Bir kez zararlı işaretlenen alan adının arama motoru itibarı yavaş toparlanır.
  • Sürekli izleme ve zafiyet takibi, bir olayı haftalarca değil dakikalar veya saatler içinde görünür kılar.
  • Veritabanı ve dosyaları birlikte kapsayan izole yedekler, en kötü senaryoda temiz bir çıkış noktası sunar.
  • Düzenli test edilmiş geri yükleme, yedeğin kriz anında gerçekten çalışacağını garanti eder.
  • Kontrollü çekirdek/eklenti/tema güncelleme akışı, hem zafiyetleri kapatır hem site kırılmasını önler.
  • Tanımlı bir olay müdahale sırası, panikle atılan ve durumu kötüleştiren adımları önler.
İş sürekliliği

Önleme tek başına yeterli değildir

Güvenlik yalnızca saldırıyı önlemek değil; bir olay yaşandığında hızlı ve güvenli biçimde ayağa kalkabilmektir. WordPress'te iş sürekliliği, önleme başarısız olduğunda hasarı sınırlayan hazırlıkla ilgilidir. Aşağıdaki unsurlar, kriz anını felakete dönüşmeden yönetmenizi sağlar.

Neden Yazılım.pro

Bizi farklı kılan nedir?

WordPress ve web geliştirme bilgisiWordPress'i yalnızca dışarıdan taramakla kalmayız; çekirdeğin, eklenti API'lerinin ve PHP'nin nasıl çalıştığını bildiğimiz için gerçek istismar edilebilirliği ve doğru düzeltmeyi değerlendirebiliriz.
Sunucu bilgisiApache/Nginx, PHP çalışma zamanı ve dosya sistemi izinlerine hâkim olduğumuzdan, uploads yürütme ve dosya izinleri gibi sorunları uygulama yüzeyinde değil kökünde ele alırız.
SEO bilgisiBir WordPress bulaşmasının arama görünürlüğüne etkisini ve itibar kurtarma sürecini anladığımız için temizliği SEO tarafıyla birlikte tamamlarız.
Entegre gidermeDenetim, sıkılaştırma, temizlik, izleme ve yönetilen korumayı tek elden sunarız; bulgu ile çözüm arasında kopukluk olmaz.
Şeffaf kapsamNe yapacağımızı ve neyi yapmayacağımızı baştan yazılı olarak belirleriz; kapsam sürprizi yaşatmayız.
Gerçekçi vaatKimseye "%100 güvenli" veya "asla hacklenmezsiniz" demeyiz; ölçülebilir risk azaltma ve dürüst bir duruş sözü veririz.
RaporlamaRaporlarımız hem teknik ekip hem karar vericiler için okunabilir; her bulgu kanıt, etki ve çözümle birlikte gelir.
Sürekli destekTek seferlik işten sonra ortadan kaybolmayız; izleme, zafiyet takibi, yeniden test ve sonraki adımlar için yanınızda kalırız.
SSS

Web sitesi güvenliği hakkında sık sorulanlar

Çalışan bir WordPress sitesinin güvenlik hizmetine ihtiyacı var mı?
Evet. Açılıyor olması güvenli olduğu anlamına gelmez. WordPress saldırılarının çoğu sitenizi çökertmeyi değil, bir eklenti zafiyeti üzerinden fark ettirmeden kaynak, veri veya SEO değeri olarak kullanmayı hedefler. Görünmez katmandaki açıklar ancak yapılandırılmış bir değerlendirmeyle ortaya çıkar.
WordPress'i yüzde yüz güvenli yapabilir misiniz?
Hayır ve böyle bir vaat teknik olarak dürüst değildir. Güvenlik; risk azaltma, izleme ve müdahalenin sürekli bir döngüsüdür. Biz ölçülebilir risk azaltma, erken tespit ve hazır bir müdahale planı sözü veririz; sihirli bir garanti değil.
Bir güvenlik eklentisi kurmak yeterli değil mi?
Değil. Güvenlik eklentileri faydalı bir katmandır ama tek başına yeterli değildir. Sunucu yapılandırması, TLS, dosya izinleri, wp-config.php koruması, XML-RPC/REST maruziyeti ve izleme çoğu eklentinin göremediği veya doğru yapılandırmadığı katmanlardır. Tek katmana güvenmek, kapıyı kilitleyip pencereyi açık bırakmaya benzer.
Hangi hizmetle başlamalıyım?
Aktif bir sorun (hack, zararlı yönlendirme, kara liste) yoksa neredeyse her zaman WordPress güvenlik denetimiyle başlamak doğrudur; çünkü durumu netleştirir ve hangi hizmete ihtiyacınız olduğunu da o gösterir. Aktif bir olay varsa doğrudan malware temizleme veya hack kurtarma gerekir.
XML-RPC'yi kapatmam gerekir mi?
Çoğu site için evet. xmlrpc.php, kaba kuvvet (system.multicall) ve pingback tabanlı DDoS için sıkça kötüye kullanılır ve modern kurulumların çoğu ona ihtiyaç duymaz. Ancak bazı mobil uygulamalar ve Jetpack gibi araçlar kullanıyorsa tümüyle kapatmak yerine yalnızca riskli metotları devre dışı bırakırız; kararı kullanımınıza göre veririz.
REST API kullanıcı numaralandırma neden önemli?
/wp-json/wp/v2/users uç noktası ve ?author=N yönlendirmesi, dışarıdan geçerli kullanıcı adlarınızı sızdırabilir. Saldırgan bu adları elde edince kaba kuvvet saldırısını yalnızca parolaya odaklar. Sıkılaştırmada bu uç noktayı sınırlar, author arşivi yönlendirmesini engeller ve görünen adları takma adla ayırırız.
Denetim veya tarama siteme zarar verir mi?
Hayır. Denetim ve ücretsiz tarama saldırgan olmayan, tahribatsız kontrollerle yürütülür; verilerinizi değiştirmez veya silmez. Yıkıcı testler yalnızca ayrı ve yazılı olarak yetkilendirilmiş bir kapsamda, tanımlı bir bakım penceresinde ve mümkünse bir hazırlık (staging) kopyasında yapılır.
WordPress sitem hacklendi, ilk ne yapmalıyım?
Panikle dosya silmeyin; bu kanıtı yok eder ve kök nedeni belirsizleştirir. Mümkünse siteyi güvenli bir bakım moduna alın ve profesyonel destek isteyin. Doğru sıra önce kanıtı korumak ve yayılmayı durdurmak, sonra çekirdeği temiz sürümle değiştirip arka kapıları temizlemek ve giriş noktasını kapatmaktır.
Temizlikten sonra site tekrar bulaşır mı?
Amacımız tam olarak bunu önlemektir. Giriş noktasını (zafiyetli eklenti, açık uploads yürütmesi, çalınan hesap) kapatmadan temizlik yapmayız; arka kapıları ve kalıcılık mekanizmalarını da kaldırırız. Sıkılaştırma, salt yenileme ve isteğe bağlı sürekli izleme ile yeniden bulaşma riskini belirgin biçimde azaltırız.
Nulled (korsan) eklenti ve tema kullanmak neden riskli?
Ücretli eklenti ve temaların korsan sürümleri sıklıkla gizli arka kapı ve zararlı kod içerir; kaynağı bilinmediği için bir güncelleme veya güvenlik yaması da almazlar. WordPress bulaşmalarının önemli bir kısmı nulled bileşenlerden gelir. Bunları kaldırıp lisanslı veya güvenli ücretsiz alternatiflerle değiştirmenizi öneririz.
Otomatik güncellemeyi açsam yeter mi?
Otomatik güncelleme önemli bir katmandır ama tek başına yeterli değildir. Büyük eklenti/tema güncellemeleri siteyi kırabildiği için kontrolsüz otomasyon başka bir risktir; ayrıca güncelleme, mevcut bir bulaşmayı veya yanlış yapılandırmayı temizlemez. Kontrollü güncelleme akışını sıkılaştırma ve izleme ile birlikte kurarız.
WooCommerce mağazam için ek bir şey gerekli mi?
Evet. WooCommerce ödeme akışı, kart verisi çalan ödeme skimmer'ları için özel bir hedeftir. Ödeme sayfası bütünlüğünü, üçüncü taraf betiklerini, kullanıcı/rol hijyenini ve API güvenliğini ayrıca ele alır; mümkün olan yerde ödeme verisini sitenizin dışında tutan akışları öneririz.
Çoklu site (multisite) veya birden çok WordPress'im var, çalışır mısınız?
Evet. Multisite ağlarını ve ajans portföylerini birlikte ele alırız. Yönetilen WordPress güvenliği hizmetiyle güncelleme, sıkılaştırma ve izlemeyi merkezî ve ölçeklenebilir biçimde yürütür; tek bir zayıf halkanın tüm portföyü riske atmasını önleriz.
Rapor teknik olmayan yöneticiler için anlaşılır mı?
Evet. Her rapor, karar vericiler için sade bir yönetici özeti ile teknik ekip için ayrıntılı bulgu bölümlerini birlikte içerir. Her bulgunun iş etkisi de ayrıca açıklanır.
Kara listeden çıkışı siz mi hallediyorsunuz?
Temizlik doğrulandıktan sonra Google Safe Browsing ve barındırıcı kara liste kaldırma taleplerini yönetmenize yardımcı oluruz. Bu talep, site gerçekten temiz olduğunda gönderildiğinde en yüksek başarı şansına sahiptir.
Sürekli koruma için ne öneriyorsunuz?
Bir kez sıkılaştırdıktan sonra WordPress Zafiyet İzleme veya Yönetilen WordPress Güvenliği hizmetini öneririz. Eklenti güncellemeleri ve yapılandırma değişiklikleri zamanla ayarları aşındırabilir; sürekli izleme yeni çıkan bileşen zafiyetlerini ve sapmaları erken yakalar.
Sonraki adım

İlgili rehberler ve hizmetler

WordPress Nasıl Güvenli Hale Getirilir?
RehberHacklenmiş Bir Web Sitesi Nasıl Kurtarılır?
RehberWeb Sitesi Güvenliği Nedir?
Rehber
Web Sitesi Güvenlik Denetimi
Web Sitesi GüvenliğiSunucu Güvenlik Denetimi
Sunucu GüvenliğiOWASP Top 10 Değerlendirmesi
Web Uygulama GüvenliğiYönetilen WordPress Güvenliği
Yönetilen Güvenlik

Web sitenizin güvenliğini bugün değerlendirin

Sorunu tespit edelim, önceliklendirelim, giderelim ve sürekli izleme ile koruyalım — abartılı vaat değil, ölçülebilir risk azaltma.

Güvenlik Değerlendirmesi Talep Et Ücretsiz Site Taraması