Kurumsal WordPress Güvenlik ve Bakım Rehberi

WordPress’in kendisi düzenli güncellenen ve güvenlik ekibi bulunan bir yazılımdır; kurumsal WordPress sitelerindeki güvenlik olaylarının çoğu ise güncellenmeyen eklentilerden, zayıf veya paylaşılan yönetici hesaplarından ve doğrulanmamış yedeklerden kaynaklanır. Bu rehber kurumsal bir WordPress sitesinin güvenli işletimi için uygulanabilir bir çerçeve sunar.

1. Bileşen yönetimi: az, güvenilir, güncel

• Eklenti envanteri çıkarın: her eklentinin amacı, sahibi, son güncelleme tarihi ve alternatifi.
• Uzun süredir güncellenmeyen veya geliştiricisi tarafından terk edilmiş eklentileri değiştirin.
• Kullanılmayan eklenti ve temaları tamamen silin.
• Lisanslı (premium) bileşenlerin lisanslarını kurum adına tutun; aksi halde güncelleme alınamaz.

2. Kontrollü güncelleme süreci

Güncellemeleri ertelemek de, test etmeden canlıda yapmak da risklidir. Önerilen süreç:

1. Canlı sitenin kopyası olan staging ortamında güncellemeler uygulanır (WP-CLI ile tekrarlanabilir şekilde).
2. Kritik sayfalar, formlar, ödeme ve üyelik işlevleri test edilir.
3. Canlı ortamda yedek alınır, güncellemeler uygulanır, aynı testler tekrarlanır.
4. Değişiklik kaydı tutulur: tarih, bileşen, eski/yeni sürüm, test sonucu.

Kritik güvenlik güncellemeleri yayınlandığında bu süreç hızlandırılır; rutin güncellemeler iki haftalık veya aylık takvimle yapılır.

3. Kullanıcılar ve kimlik doğrulama

• Her kişi için ayrı hesap; paylaşılan “admin” hesabı yok.
• En az yetki: içerik editörlerine Yönetici değil Editör rolü.
• Yönetici ve editörler için iki faktörlü doğrulama (2FA).
• Ayrılan çalışanların hesapları aynı gün kapatılır; çeyreklik kullanıcı gözden geçirmesi yapılır.
• Giriş sayfasına hız sınırlama ve kaba kuvvet koruması (sunucu veya CDN katmanında).
• XML-RPC kullanılmıyorsa kapatılır; REST API’nin kullanıcı listeleme uç noktası değerlendirilir.

4. Sağlamlaştırma

• Yönetim panelinden dosya düzenleme kapatılır (DISALLOW_FILE_EDIT).
• Dosya izinleri doğru ayarlanır; wp-config.php korunur, güvenlik anahtarları benzersizdir.
• Yüklemeler klasöründe PHP çalıştırılması engellenir.
• Sürüm bilgisi ve gereksiz dosyalar (readme, örnek yapılandırma) dışarıya kapatılır.
• Güvenlik başlıkları (HSTS, X-Content-Type-Options, Referrer-Policy) eklenir; CSP rapor modunda denenir.
• Sunucuda PHP ve veritabanı sürümleri destek kapsamında tutulur.

5. Yedekleme: alınan değil, geri yüklenebilen

Yedek; veritabanı ve wp-content dahil dosyaları kapsamalı, sunucu dışında (farklı konum/hesap) saklanmalı ve belirli aralıklarla gerçekten geri yüklenerek doğrulanmalıdır. Fidye yazılımı ve hesap ele geçirme riskine karşı en az bir yedek kopyanın değiştirilemez veya erişimi ayrı bir yapıda tutulması önerilir. Saklama süresi, bir enfeksiyonun geç fark edilebileceği dikkate alınarak belirlenmelidir.

6. İzleme

• Dosya bütünlüğü kontrolü: çekirdek dosyalarda değişiklik ve yüklemeler klasöründe beklenmeyen PHP dosyası.
• Zafiyet bildirimleri: kullanılan eklentilerle ilgili yayımlanan açıkların takibi.
• Erişilebilirlik, sertifika süresi ve form teslimatı izleme.
• Yönetici girişleri ve rol değişikliklerinin kaydı.

7. Olay müdahalesi

Bir güvenlik olayında sıra önemlidir: durumu kayıt altına almak için anlık yedek, tüm yönetici, FTP/SSH ve veritabanı parolalarının ve WordPress güvenlik anahtarlarının değiştirilmesi, temiz kaynaktan geri dönüş, giriş yolunun bulunması (güncellenmemiş eklenti, ele geçirilmiş hesap), kapatılması ve arama motoru uyarılarının kaldırılması için Search Console’da inceleme talebi. Olay sonrası ders çıkarma toplantısı ve süreç güncellemesi yapılmalıdır.

Katmanlı koruma

WordPress içindeki önlemler, kenar ve sunucu katmanındaki kontrollerle tamamlanmalıdır: Cloudflare gibi bir CDN’de WAF ve hız sınırlama, sunucuda güvenlik duvarı ve izolasyon. Ayrıntılar web uygulama güvenliği ve WAF sayfamızda. Bağımsız sızma testi ve zafiyet taramaları için Eretek Siber Güvenlik ile çalışılabilir.

Sık sorulan sorular

Güvenlik eklentisi kurmak yeterli mi?

Hayır. Güvenlik eklentileri bazı kontrolleri kolaylaştırır; ancak güncel bileşenler, az eklenti, güçlü kimlik doğrulama, doğru dosya izinleri, sunucu ve kenar katmanındaki korumalar ve doğrulanmış yedekler olmadan tek başına yeterli değildir.

Kullanılmayan eklentileri devre dışı bırakmak yeterli mi?

Devre dışı eklenti kodu sunucuda kalır ve bazı açıklar doğrudan dosyaya erişimle istismar edilebilir. Kullanılmayan eklenti ve temalar tamamen silinmelidir.

Site hacklendiğinde ilk ne yapılmalı?

Mevcut durumun yedeği (adli inceleme için) alınır, yönetici ve sunucu parolaları ile anahtarlar değiştirilir, temiz yedek veya temiz kurulumla geri dönülür ve giriş yolu bulunup kapatılır. Yalnızca görünen zararlı kodu silmek tekrar enfeksiyona yol açar.

Bu süreçleri düzenli ve raporlu yürütmek için WordPress güvenlik, güncelleme ve bakım hizmetimizi inceleyebilirsiniz.