Web Sitesi Güvenliği Kontrol Listesi (2026)
Sitenizin hacklenmesini bekleyip 24 saatte toparlamak yerine bugün kapatılabilecek açıkları kapatın. Hesap, yazılım, sunucu, yedek ve izleme katmanlarında 20 maddelik, sıklığı belirlenmiş kontrol listesi.
Saldırıların büyük çoğunluğu hedefli değildir: botlar, bilinen bir açığı taşıyan her siteyi tarar ve bulduğunu ele geçirir. Bu yüzden web sitesi güvenliği, sofistike bir savunma tasarımı değil, bilinen açıkları düzenli olarak kapatma disiplinidir; ve bu disiplin bir kontrol listesiyle sürdürülür.
Aşağıdaki liste beş katmana ayrılmıştır. Her madde LIONFIN cPanel hosting ve Plesk hosting hesaplarında panel üzerinden uygulanabilir; yazının sonunda tüm maddeler hangi sıklıkla yapılacağıyla birlikte tek tabloda toplanmıştır.
Katman 1: Hesap ve erişim güvenliği
Saldırganın en kısa yolu, açık aramak değil, geçerli bir şifreyle içeri girmektir.
- Panel ve yönetici şifreleri: En az on iki karakter, her sistem için farklı, parola yöneticisinde saklanan şifreler; hosting paneli için adımlar cPanel şifre değiştirme ve hesap güvenliği rehberinde.
- İki adımlı doğrulama: Müşteri paneli, cPanel/Plesk ve CMS yönetici hesabı için açın.
- FTP yerine SFTP/FTPS: Düz FTP şifreyi açık metin taşır; dış geliştiriciye yalnızca ilgili klasöre yetkili bir ayrı FTP hesabı açın ve iş bitince kapatın.
- Varsayılan kullanıcı adları: CMS’de
adminkullanıcısını kaldırın, yönetici hesabı sayısını en aza indirin. - Giriş denemesi sınırlaması: CMS’de kaba kuvvet koruması eklentisi ya da sunucu tarafında Fail2Ban; Plesk’te kurulum Plesk güvenlik ayarları rehberinde.
Katman 2: Yazılım ve güncellemeler
Ele geçirilen sitelerin çoğunda neden, aylardır güncellenmemiş bir eklentidir.
- CMS çekirdeği, tema ve eklentiler: Haftalık güncelleme; kritik güvenlik yamaları için otomatik güncellemeyi açın.
- Kullanılmayan eklenti ve temaları silin: Devre dışı bırakmak yetmez; dosyalar sunucuda durdukça açık da durur.
- Desteklenen PHP sürümü: Güvenlik güncellemesi almayan PHP 7.x sürümlerini bırakın; geçiş planı PHP 8 güncelleme rehberi yazısında, panel adımı cPanel PHP sürümü değiştirme rehberinde.
- Kaynağı bilinmeyen tema ve eklentiler: “Ücretsiz premium” paketler çoğu zaman arka kapı içerir; yalnızca resmi depo ya da geliştiriciden alın.
- Test ortamı: Büyük güncellemeleri önce bir alt alan adındaki kopyada deneyin; Plesk’te WordPress Toolkit klonlama, cPanel’de Softaculous staging bu işi görür.
Katman 3: Sunucu ve uygulama katmanı
Bu katman, uygulama açığı olsa bile saldırganın işini zorlaştırır.
- SSL ve HTTPS zorunluluğu: Tüm trafiği HTTPS’e yönlendirin; kurulum cPanel SSL kurulumu rehberinde, yönlendirme kuralı için cPanel yönlendirme ayarları.
- Dosya izinleri: Klasörler 755, dosyalar 644, yapılandırma dosyaları (
wp-config.phpgibi) 600 ya da 640; hiçbir dosya 777 olmasın. - Web uygulama güvenlik duvarı (ModSecurity): Panelde etkinleştirin; yanlış pozitif verirse kuralı tek tek kapatın, tamamını değil.
- Dizin listeleme ve hassas dosya erişimi:
.htaccessile kapatın. - Dosya yükleme alanları: Yükleme klasöründe PHP çalıştırmayı engelleyin.
# Dizin listelemeyi kapat
Options -Indexes
# Yapılandırma dosyasına dışarıdan erişimi engelle
<Files wp-config.php>
Require all denied
</Files>
# Yükleme klasöründe PHP çalıştırma (uploads/.htaccess)
<FilesMatch "\.php$">
Require all denied
</FilesMatch>Katman 4: Yedekleme ve olay planı
Tüm önlemlere rağmen bir gün bir şey olacaksa, geri dönebilmek en büyük güvencedir.
- Otomatik ve sunucu dışı yedek: Hostingin günlük yedeğine ek olarak kendi yedeğinizi başka bir konuma alın; yöntem cPanel yedek alma ve geri yükleme rehberinde, strateji 3-2-1 yedekleme kuralı yazısında.
- Geri yükleme testi: Üç ayda bir yedeği test alanına açıp çalıştığını görün; test edilmemiş yedek, yedek değildir.
- Olay planı: Site ele geçirildiğinde ilk 24 saatte kimin ne yapacağı yazılı olsun; adımlar web sitesi hacklendi: ne yapmalı yazısında hazır.
Yedek, web sitesi güvenliğinin en ucuz ve en çok ihmal edilen parçasıdır. Günlük hosting yedeği ile haftalık harici yedeğin birlikte tutulması, hem ele geçirme hem de yanlışlıkla silme senaryolarını karşılar; fidye yazılımı ya da temizlenemeyen bir bulaşmada temiz bir tarihe dönmek dakikalar alır.
Katman 5: İzleme ve düzenli denetim
Kapattığınız açıkların kapalı kaldığını ve yeni açıkların erken fark edildiğini yalnızca izleyerek bilebilirsiniz.
- Uptime ve içerik izleme: Siteyi bir dakikada bir dış bir servisle kontrol edin; yalnızca “açılıyor mu” değil, anasayfada beklediğiniz bir metnin durup durmadığını da izleyin, çünkü ele geçirilen siteler çoğu zaman açık kalır ama içeriği değişir. Kurulum sunucu izleme ve uptime takibi yazısında.
- Günlük ve dosya denetimi: Haftada bir erişim ve hata günlüklerine bakın; beklenmedik dosya değişikliklerini bir bütünlük tarayıcısı ya da CMS güvenlik eklentisiyle izleyin, panelin virüs tarayıcısını ayda bir çalıştırın.
Bu iki madde birlikte, saldırının fark edilme süresini haftalardan saatlere indirir. Ele geçirilmiş bir siteyi arama motoru uyarısından ya da müşteri şikâyetinden öğrenmek, hem itibar hem de temizlik maliyeti açısından en pahalı senaryodur.
Web sitesi güvenliği kontrol listesi: 20 madde
Tüm maddeler, uygulanacağı yer ve tekrar sıklığıyla birlikte:
| # | Madde | Nerede | Sıklık |
|---|---|---|---|
| 1 | Güçlü, benzersiz şifreler | Panel, CMS | Yılda bir yenile |
| 2 | İki adımlı doğrulama | Panel, CMS | Bir kez |
| 3 | SFTP/FTPS, sınırlı FTP hesabı | cPanel/Plesk | Her iş için |
| 4 | admin kullanıcısını kaldır | CMS | Bir kez |
| 5 | Giriş sınırlama / Fail2Ban | CMS, Plesk | Bir kez |
| 6 | Çekirdek, tema, eklenti güncelle | CMS | Haftalık |
| 7 | Kullanılmayan eklentileri sil | CMS | Aylık |
| 8 | Desteklenen PHP sürümü | MultiPHP / PHP Settings | Yılda bir |
| 9 | Yalnızca resmi kaynaklar | CMS | Her kurulumda |
| 10 | Test ortamında dene | Staging | Büyük güncellemede |
| 11 | SSL ve HTTPS yönlendirme | SSL/TLS Status | Bir kez, yenilemeyi izle |
| 12 | Dosya izinleri 644/755 | Dosya Yöneticisi | Üç ayda bir |
| 13 | ModSecurity açık | Panel | Bir kez |
| 14 | Dizin listeleme kapalı | .htaccess | Bir kez |
| 15 | Yükleme klasöründe PHP yasak | .htaccess | Bir kez |
| 16 | Sunucu dışı yedek | Backup Wizard / Manager | Haftalık |
| 17 | Geri yükleme testi | Test alanı | Üç ayda bir |
| 18 | Yazılı olay planı | Ekip | Yılda bir gözden geçir |
| 19 | Uptime ve içerik izleme | Dış servis | Sürekli |
| 20 | Günlük ve dosya denetimi | Panel, tarayıcı | Haftalık |
Sık Sorulan Sorular
Küçük bir tanıtım sitesi için de bu liste gerekli mi?
Botlar sitenin önemine bakmaz; küçük siteler spam sayfası barındırmak, kötü amaçlı yazılım dağıtmak ya da diğer sitelere saldırmak için ele geçirilir. Listenin ilk on maddesi bir saatte tamamlanır ve tanıtım sitesi için yeterli korumayı sağlar; kalan maddeler e-ticaret ve üyelik siteleri için önceliklidir.
Güvenlik eklentisi kursam bu maddelerin çoğu gereksiz olmaz mı?
Eklenti giriş sınırlama, dosya bütünlüğü ve tarama gibi birkaç maddeyi kolaylaştırır; ancak güçlü şifre, güncel PHP, doğru dosya izinleri, sunucu dışı yedek ve izleme eklentinin dışında kalır. Eklentiyi listenin yerine değil, birkaç maddesinin aracı olarak düşünün.
Dosya izinlerini nasıl toplu düzeltirim?
cPanel Dosya Yöneticisi ya da SSH erişiminiz varsa klasörleri 755, dosyaları 644 yapan iki komut yeterlidir; Plesk’te ise Websites & Domains altındaki dosya yöneticisi izin sütunundan düzenleme yapılır. Yapılandırma dosyalarını ayrıca 600 ya da 640 yapın ve işlem sonrası sitenin açıldığını doğrulayın.
ModSecurity sitemi bozarsa ne yapmalıyım?
Genellikle belirli bir form ya da yönetici işlemi bir kuralı tetikler. Panelde ModSecurity günlüğünden tetiklenen kural kimliğini bulun ve yalnızca o kuralı alan adı için devre dışı bırakın. Tüm modülü kapatmak, tek bir kural yüzünden bütün korumayı kaldırmak anlamına gelir.
