Web siteleri neden saldırıya uğrar?
Çoğu web sitesi özel olarak hedef alındığı için değil, otomatik araçların internette açık arayan taramalarına yakalandığı için saldırıya uğrar. Bu araçlar güncellenmemiş eklentileri, zayıf şifreleri ve yanlış yapılandırılmış sunucuları ayırt etmeden dener; küçük bir butik sitesi de büyük bir mağaza kadar risk altındadır.
WordPress sitelerde sorunların çoğu WordPress'in kendisinden değil, güncellenmeyen eklenti ve temalardan, lisanssız (nulled) temalardan ve tahmin edilmesi kolay yönetici şifrelerinden kaynaklanır. E-ticaret sitelerinde ise müşteri bilgileri ve sipariş verisi saldırganlar için ayrıca değerlidir.
Saldırının sonuçları her zaman göz önünde olmaz. Site normal görünürken arka planda spam sayfalar üretilebilir, ziyaretçiler başka sitelere yönlendirilebilir ya da sunucu başka saldırılar için kullanılabilir. Çoğu zaman sorun, Google'ın güvenlik uyarısı ya da müşterinin şikâyetiyle fark edilir.
Sık görülen saldırı türleri nelerdir?
Web sitelerinde en sık karşılaştığımız saldırılar, kaba kuvvetle şifre deneme, güncel olmayan eklentilerdeki açıkların kullanılması ve siteye zararlı kod yerleştirilmesidir. Hangisiyle karşı karşıya olduğunu bilmek, doğru önlemi seçmeyi kolaylaştırır.
Başlıca türler:
Bu saldırıların ortak noktası, çoğunun basit önlemlerle zorlaştırılabilmesidir. Güncel yazılım, güçlü şifre ve iki adımlı doğrulama, otomatik saldırıların büyük kısmını daha ilk adımda boşa çıkarır. Kalan riskler için güvenlik duvarı, düzenli tarama ve yedek devreye girer.
- Kaba kuvvet (brute force): yönetici paneline otomatik olarak binlerce şifre denenmesi
- Eklenti ve tema açıkları: güncellenmemiş yazılımdaki bilinen bir hatanın kullanılması
- Zararlı yazılım (malware) ve arka kapı (backdoor) yerleştirilmesi
- Spam ve SEO saldırıları: siteye gizli bağlantılar veya yabancı dilde spam sayfalar eklenmesi
- Ödeme sayfasına kart bilgisi çalan kod eklenmesi (skimming)
- Kimlik avı (phishing): sunucunun sahte sayfalar barındırmak için kullanılması
| Belirti | Olası neden | Ne yapılır |
|---|---|---|
| Google'da yabancı dilde, ilgisiz sayfalar görünüyor | Spam/SEO saldırısı | Zararlı içerik temizlenir, Search Console'da inceleme istenir |
| Ziyaretçiler başka bir siteye yönleniyor | Zararlı yönlendirme kodu | Dosya ve veritabanı taranır, kod ve arka kapı kaldırılır |
| Tarayıcı “Bu site güvenli değil” uyarısı veriyor | SSL sorunu veya kara liste kaydı | SSL düzeltilir, temizlik sonrası kaldırma başvurusu yapılır |
| Yönetici panelinde tanımadığın kullanıcı var | Yetkisiz erişim | Hesap kaldırılır, tüm şifre ve anahtarlar yenilenir |
| Site birden çok yavaşladı veya sık kapanıyor | Kaba kuvvet saldırısı veya sunucunun kötüye kullanılması | Güvenlik duvarı ve giriş sınırlaması devreye alınır |
Güvenlik taraması nasıl yapılır?
Güvenlik taraması; sitenin dosyalarını, veritabanını, eklenti ve tema sürümlerini, sunucu ayarlarını ve kullanıcı hesaplarını bilinen açıklara ve şüpheli değişikliklere karşı kontrol etmektir. Taramayı hem otomatik araçlarla hem de elle inceleyerek yaparız; araçların gözden kaçırdığı ayrıntılar çoğu zaman elle yapılan kontrolde ortaya çıkar.
WordPress çekirdek dosyalarını orijinal sürümleriyle karşılaştırır, değiştirilmiş ya da sonradan eklenmiş dosyaları ararız. Eklenti ve temaların bilinen açık listelerinde yer alıp almadığını kontrol eder, yönetici yetkisine sahip hesapları gözden geçiririz. Google Search Console'daki güvenlik sorunları raporuna da bakarız.
Taramanın sonunda bulguları önem sırasına göre yazılı olarak paylaşırız: hemen kapatılması gerekenler, kısa sürede ele alınması önerilenler ve iyileştirme önerileri. Her düzeltmeyi uygulamadan önce sana sorarız.
Başka bir ekibin kurduğu ya da uzun süredir bakım görmemiş siteler için taramayı ilk adım olarak öneririz. Sorun görünmese bile mevcut durumu bilmek, neyin öncelikli olduğuna karar vermeni kolaylaştırır.
Siteni korumak için hangi önlemleri alıyoruz?
Bir siteyi korumak tek bir eklentiyle değil, birbirini tamamlayan birkaç katmanla mümkündür. Bir katman aşılsa bile diğerleri saldırıyı durdurabilsin diye önlemleri birlikte kurarız.
Sitenin yapısına göre uyguladığımız başlıca önlemler:
Bu önlemler sitenin hızını ve kullanımını zorlaştırmayacak şekilde ayarlanır. Örneğin güvenlik duvarı kurallarını, gerçek müşterilerin ödeme yaparken ya da pazaryeri entegrasyonlarının stok güncellerken engellenmemesi için test ederek devreye alırız.
- Güvenlik duvarı (WAF): Cloudflare gibi bir ağ katmanı ya da Wordfence gibi bir uygulama katmanı çözümüyle zararlı isteklerin siteye ulaşmadan engellenmesi
- SSL/HTTPS: tüm sayfaların şifreli bağlantıyla açılması ve doğru yönlendirilmesi
- Yönetici girişi koruması: iki adımlı doğrulama, giriş denemesi sınırı ve tahmin edilmesi zor giriş adresi
- Eklenti ve tema güncellemeleri: önce kopyada test edilerek düzenli olarak uygulanması
- Gereksiz eklenti, tema ve kullanıcı hesaplarının kaldırılması
- Dosya izinlerinin ve sunucu ayarlarının sıkılaştırılması
- Siteden ayrı bir yerde saklanan düzenli yedekler
Sitem hacklendi, ne yapmalıyım?
Siten saldırıya uğradıysa ilk yapman gereken panik yapmadan bize ve barındırma (hosting) firmana haber vermek, yönetici şifrelerini değiştirmek ve mevcut durumu silmeden korumaktır. Aceleyle dosya silmek ya da rastgele bir yedeğe dönmek, saldırının nasıl gerçekleştiğini anlamamızı zorlaştırabilir.
Temizlikte önce sitenin bir kopyasını alır, zararlı dosyaları ve veritabanına eklenmiş kodları tespit ederiz. Arka kapıları kapatır, değiştirilmiş çekirdek dosyalarını orijinalleriyle değiştirir, tüm şifreleri ve gizli anahtarları yenileriz. Saldırının hangi açıktan geldiğini bulup o açığı da kapatırız; aksi hâlde temizlenen site kısa süre sonra yeniden etkilenebilir.
Site temizlendikten sonra Google Search Console'da güvenlik incelemesi talep eder, spam sayfaların dizinden çıkması için gerekli adımları atarız. Siten bir kara listeye girdiyse kaldırılması için başvuruları yaparız. Son olarak yukarıdaki koruma önlemlerini kurar, tekrarını önlemek için düzenli takibe alırız.
E-ticaret sitelerinde müşteri verisi nasıl korunur?
E-ticaret sitelerinde müşteri verisini korumanın temeli, gerekmeyen veriyi hiç tutmamak ve tutulan veriye erişimi sınırlamaktır. Kart bilgisinin senin sunucunda saklanmadığı ödeme yöntemlerini tercih ederiz; iyzico, PayTR, Param ya da bankaların sanal POS'larıyla ödeme, kart bilgisi ödeme kuruluşunun güvenli sayfasında ya da altyapısında işlenecek şekilde kurulabilir.
Müşteri adları, adresleri, telefon numaraları ve sipariş geçmişi KVKK kapsamında kişisel veridir. Yönetim paneline kimin hangi yetkiyle eriştiğini düzenler, kullanılmayan hesapları kapatır, yedeklerin de güvenli bir yerde saklanmasını sağlarız. Fatura, kargo ve pazaryeri entegrasyonlarında kullanılan API anahtarlarını da güvenli şekilde saklar, gerektiğinde yenileriz.
Mesafeli satış ve KVKK metinlerinin yerini, çerez tercihlerini ve onay kutularını da güvenlik çalışmasıyla birlikte gözden geçirebiliriz; metinlerin içeriğini kendi hukuk danışmanınla netleştirirsin.
Güvenlik tek seferlik bir iş midir?
Hayır; güvenlik, sitenin yaşadığı sürece devam eden bir süreçtir. Her gün yeni açıklar bulunur, eklentiler güncellenir, saldırı yöntemleri değişir. Bir kez sıkılaştırılmış bir site, bakımsız kaldığında birkaç güncelleme sonra yeniden risk altına girebilir.
Bu yüzden güvenlik çalışmasını bakım ve destek hizmetiyle birlikte sunarız: güncellemeleri kopyada dener, güvenlik taramalarını düzenli tekrarlar, yedekleri kontrol eder ve şüpheli bir hareket gördüğümüzde sana haber veririz. Hiçbir ekip bir sitenin asla saldırıya uğramayacağını vaat edemez; bizim amacımız riski en aza indirmek ve bir sorun olduğunda hızla toparlanabilmektir.
Doğal taş mağazasından kuyumcuya, kurumsal siteden binlerce ürünlü WooCommerce mağazasına kadar her sitede aynı ilkeyle çalışırız: önce kopyada dene, sonra onayınla canlıya al.