Çok uzun zaman emek harcayıp kurduğunuz site kütü niyetli kişilerin hedefi olabilir. Doğal olarak her zaman en kötü senaryoyu göz önünde bulundurup tedbirli olmakta fayda var. Sizlere bu yazımda sitenizin güvenliğini en üst seviyeye çıkarmayı ve sitenize gelen saldırılardan nasıl korunabileceğinizi anlatacağım. Ana başlıkları dikkatlice okuyup, tüm detayları sitenize uygulamanız durumunda daha sağlıklı bir siteye ve çalışma ortamına sahip olabilirsiniz.
Güvenlik ve hosting seçimi
Online projelerinizi sağlam firmalarla gerçekleştirmelisiniz. Sürekli Uptime sıkıntısı yaşayan, ek güvenlik tedbirleri olmayan, aşırı ucuz ve de sizi yarı yolda bırakacak firmaları seçmemekte fayda var. Bu sorunları da göz önünde bulundurarak en iyi hosting firmalarının bulunduğu sayfamıza bir göz atmanızı tavsiye ediyorum.
İçerik yönetim alt yapısı
Hosting hizmetimiz hazır olduğuna göre sitemizi kuracağımız alt yapıyı da belirlemekte fayda var. Yazımda ben 8 yıldan beri kullandığım WordPress ile anlatımlara devam ediyor olacağım. Size de tavsiyem bu yönde.
Bu konuya direk dalmak pek mantıklı değil açıkçası. Eğer WordPress konusunda detaylı bilgiye sahip değilseniz, lütfen hemen aşağıdaki videoyu izleyin.
Genel itibari ile bu içerik yönetimi hakkında bilginiz olacak ve kısa süre içerisinde sitenizi kullanmaya başlayabileceksiniz.
Kullanmanız gereken WordPress eklentileri
Worpress tarafınıza yalın olarak sunulan bir içerik yönetim sistemidir. Bu sistemde sadece “Akismet” anti-spam eklentisi bulunmaktadır. Ancak tüm bildiklerimizi unutuyoruz ve şimdi Akismet’i siliyoruz.
WordPress spam yorumlardan kurtulma
Sektörde reklam spamlamak için kullanılan onlarca bot var ve bu botlar maalesef herkesin canını sıkmakta. Tarafınıza (sitenize) her gün gelen bu mesajlardan kurtulmak artık çok kolay. Tek yapmanız gereken şey Anti-Spam eklentisini kurmak ve aktif hale getirmek olacaktır. Sonra arkanıza yaslanın.
Eklenti çok basit bir mantıkla çalışıyor.
Normal kullanıcılarda java script vardır. Botlarda ise yoktur.
Normal kullanıcı otomatik kutu doldurmaz. Botlar ise doldurur. (Google oto formdan bahsetmiyorum)
Bu tarz hareketleri anlayan eklenti. Spamlardan kurtulmanıza büyük bir yardımcı. Artık Akismet’e veda edip, Anti-spam’a geçiş yapıyoruz. Eklentiyi beğenirseniz, firmaya 3-5 dolar yardım göndermeyi ihmal etmeyin :)
WordPress admin girişini koruma
Tüm WordPress sitelerde admin paneline siteadi.com/wp-admin adresinden erişiliyor. Bu erişim birçok saldırgan tarafından bilinmekte ve doğal olarak bu sayfa hedef haline gelmekte. Bu tarz bir sorunla karşılaşmamak için atmanız gereken 3 önemli adım bulunmakta.
1. IP engel eklentisi kurmak
IP engel eklentisinin çalışma mantığı çok basit. Eğer giriş sırasında admin paneline 3 kere şifre yanlış yazılırsa, o IP adresi 1 saatten 5 saate kadar engellenmekte. Detayları eklentinin yönetim panelinde bulabilirsiniz. Ayrıca bu panelde IP adresi ne kadar süre ile engellemek istediğinizi de belirtebilirsiniz.
2. Admin paneli erişim URL’sini değiştirmek
Yukarıda bahsettiğim sorundan kurtulmak için atılabilecek diğer bir adımdır. Bu adımı lütfen sadece daha önce Wordprss tecrübesi olan arkadaşlar atsın. Aksi taktirde büyük sıkıntılar yaşayabilirsiniz. WordPress admin URL’sini değiştirmek için satın almanız gereken en iyi eklentilerden biri: Hide My Wp‘dir
3. Cloudflare kurulumu
Anti-Spam eklentisindeki mantığın bir benzeri Cloudflare’de kullanılmakta. Ancak bu sistem sadece ziyaretçi erişimi için geçerli. Mantık yine çok basit: Bot erişimi engelleniyor ve admin paneline sürekli IP yazmak isteyen botlar uzaklaştırılıyor.
Cloudflare hakkında bilgisi olmayan arkadaşlar buradaki makalemi detaylıca okusunlar lütfen. Biliyorum biraz makale delisi olduk burada ancak sitemizin geleceği, ekmek teknemiz için önemli şeyler bunlar :)
Cloudflare’in diğer bir yararı ise site optimizasyonu konusunda sizi büyük bir yükten kurtarması. Ortadaki analitiğe bir göz atın. Toplamda 10GB kadar büyük bir yükten beni kurtarmış durumda. Sol taraftaki veri ise sunucuya gönderilen isteklerin % kaç oranında azaltıldığını gösteriyor.
DDOS saldırılardan korunma yöntemi
Bu tarz bir korunmayı sağlamak için öncelikle en düşük olarak VPS ya da Dedicated sunucu sahibi olmanız gerek. Normal paylaşımlı bir hosting hizmetiniz var ve siteniz saldırı altındaysa, bu sunucunun da saldırı altında olduğu anlamına geliyor. Hosting firması da normal olarak diğer kullanıcılara zarar verdiğinizi düşünerek hesabınızı kapatacak ya da askıya alacaktır.
Bu durumda atılabilecek adımları sıralayalım.
- İlk ihtimal DDoS korumalı bir hosting hizmeti satın almak olacaktır. Bu hosting hizmetini sağlayan çok az hosting firması var. Tavsiye isteyenler olacaktır elbette. Aylık 25$’a satın alabileceğiniz Traffic Planet Hosting firmasını kullanabilirsiniz. Türkiye’deki ve Avrupa’daki birçok firmadan hızlı ;)
- NS’leri Cloudflare’e yönlendirip Ddos korumalı paketleri kullanabilirsiniz. Eğer ki bütçe sorunu yaşamıyorsanız, Dedicated sunucular için en uygun çözüm budur.
- Son olarak DDOS koruma hizmetini satın alabilirsiniz. Bu çözümler arasındaki en pahalı olanı. Hizmeti veren firma firmalardan başlıcaları: incapsula.com, blacklotus.net ve akamai.com
Düzenli site yedekleme
Sitenizin online durumu kadar içerisindeki verilerin de ne kadar önemli olduğunu biliyoruz. Verdiğiniz onca emeğin bir anda ortadan kaybolmasını istemiyorsanız, sitenizi düzenli bir şekilde yedeklemenizi tavsiye ediyorum.
WordPress ile bu işlemleri yine eklentilerle gerçekleştirebilirsiniz. Ancak bunu yapıyorsanız profesyonel yedekleme araçları ile gerçekleştirin. Öncelikle WordPress kurulumunu CPanel üzerinden gerçekleştiriyorsanız, kuruluma gelince ayrıntılar kısmında hemen aşağıdaki gibi bir seçenek çıkacaktır karşınıza.
Dilerseniz panel içerisinden bu işlemi gerçekleştirebilirsiniz ya da tercihinizi eklentiler üzerinde kullanabilirsiniz.
Yedek almak için kullanabileceğini eklentiler:
Yedekleme ciddi bir iştir. Emeğinize değer veriyorsanız düzenli bir şekilde yedekleme yapın ve bu dosyaları güvenli bir yerde saklayın. Hatta aynı dosyayı farklı yerlere yükleyin. Ben öyle yapıyorum. Açıkçası sunucuya %100 oranında güvenmiyorum.
Güvenlik önlemlerini toparlayacak olursak!
Teker teker yukarıda bahsedilenlere bir göz atalım:
- Kaliteli bir hosting firması ile çalışıyoruz ve alt yapımızı WordPress olarak seçiyoruz.
- Spamın önüne geçmek için Akismet değil Anti-Spam eklentisi kullanıyoruz.
- Admin panelini Hide My WP eklentisi ile saklıyoruz. (Talep ederseniz, ben ihtiyaç duymuyorum)
- Panele yönelik saldırıları engellemek için Cloudflare kullanıyoruz.
- DDOS saldırılarla uğraşmamak için bizlere hali hazırda bu hizmeti veren bir firma ile çalışıyoruz.
- Ek ödeme yapmak isteyenler ilk seçenek olarak Clouflare ücretli paketlerini kullanıyorlar. Bundan verim alınmaması durumunda daha pahalı olan ve kesin çözümler elde edebileceğiniz diğer DDOS koruma hizmetlerinden (Akamai, incapsula, blacklotus) yararlanıyoruz.
- Yedekleri eklentilerle değil, Cpanel üzerinden gerçekleştirmeye gayret gösteriyoruz.
- Aldığımız yedekleri düzenli bir şekilde farklı platformlarda saklıyoruz.
Bu yazıda atladığım noktalar varsa mutlaka bana buradan iletin. Seve seve eklerim. Ayrıca site güvenliği konusunda kendi tecrübelerinizi benimle paylaşmayı unutmayın ;)
Selam ben Burak. 30 yaşındayım. 2008’de Joomla ile başladığım blog hayatıma WordPress ile devam etmekteyim. Birçok projeyi batırmış ve yılmadan yoluna devam eden bir blogger olarak, başımdan geçen tecrübeleri incele.co aracılığıyla sizlere aktarmak öncelikli amacım. Özel ilgi alanlarım: WordPress, blog hayatı, incelemeler ve nasıl yapılır makaleleri…
