Küçük bir restoranın, otelin veya yerel hizmet firmasının web sitesi, ilk bakışta saldırganlar için çekici bir hedef gibi görünmeyebilir. Ancak web sitelerine yönelik saldırıların büyük kısmı belirli bir işletmeyi hedef almaz; otomatik araçlar internetteki siteleri tarayarak bilinen açıkları olan yazılımları, zayıf şifreleri ve yanlış yapılandırmaları arar. Ele geçirilen siteler spam göndermek, kötü amaçlı yazılım dağıtmak, sahte sayfalar barındırmak veya ziyaretçileri başka sitelere yönlendirmek için kullanılabilir. Bunun sonucunda site arama sonuçlarında uyarıyla gösterilebilir, e-postalar spam klasörüne düşebilir ve müşteri güveni zarar görebilir.
Kısa cevap: Küçük işletme siteleri için temel güvenlik önlemleri; içerik yönetim sistemi, tema ve eklentilerin düzenli güncellenmesi, kullanılmayan eklentilerin kaldırılması, yönetici hesaplarında güçlü ve benzersiz şifre ile iki aşamalı doğrulama, düzenli ve siteden ayrı saklanan yedekler, HTTPS, formlarda sunucu tarafı doğrulama ve CSRF koruması ve yönetici erişiminin yalnızca gereken kişilere verilmesidir.
En sık karşılaşılan sorunlar
| Sorun | Nasıl oluşur? | Önlem |
|---|---|---|
| Güncellenmemiş yazılım | Bilinen açıklar otomatik araçlarla taranır | Düzenli güncelleme |
| Zayıf şifre | Kaba kuvvet ve sızdırılmış şifre denemeleri | Güçlü şifre, iki aşamalı doğrulama, giriş sınırlama |
| Riskli eklenti | Bakımı bırakılmış veya güvenilmeyen kaynaktan eklenti | Az ve güvenilir eklenti |
| Form istismarı | Spam, kod enjeksiyonu | Doğrulama, CSRF, hız sınırı |
| Dosya yükleme açığı | Kontrolsüz yüklenen dosyalar | Dosya türü ve içerik kontrolü |
Güncellemeler
WordPress gibi yaygın içerik yönetim sistemleri ve eklentileri için güvenlik güncellemeleri düzenli olarak yayımlanır. Güncellemelerin yapılmaması, bilinen ve yayımlanmış açıkların sitede açık kalması demektir. Ancak güncellemeler bazen uyumluluk sorunlarına yol açabilir; bu nedenle önce yedek alınması ve mümkünse güncellemelerin bir test ortamında denenmesi önerilir. Düzenli bakımın nasıl planlanacağını bakım ve güncelleme planı yazımızda anlattık.
Hesap güvenliği
- Her kullanıcı için ayrı hesap; ortak şifre kullanılmamalı.
- Yönetici yetkisi yalnızca gereken kişilere verilmeli.
- İki aşamalı doğrulama etkinleştirilmeli.
- Ayrılan çalışanların veya işi biten ajansların erişimi kaldırılmalı.
- Barındırma paneli, alan adı hesabı ve e-posta hesapları da aynı özenle korunmalı.
Yedekleme
Yedek, her şey ters gittiğinde sitenin geri getirilebilmesini sağlar. Yedeklerin düzenli olarak alınması, sitenin bulunduğu sunucudan ayrı bir yerde saklanması ve zaman zaman geri yükleme denemesi yapılması gerekir. Yalnızca aynı sunucuda tutulan yedekler, sunucunun ele geçirilmesi durumunda işe yaramayabilir.
Formlar ve kişisel veriler
İletişim ve teklif formları, sitenin dış dünyadan veri kabul ettiği noktalardır. Sunucu tarafı doğrulama, CSRF koruması ve spam önlemleri birlikte kullanılmalıdır; ayrıntılar için teklif formu yazımıza bakabilirsiniz. Formlarla toplanan kişisel verilerin güvenli saklanması, KVKK kapsamındaki yükümlülüklerin de bir parçasıdır; bu konuyu yasal sayfalar yazımızda ele aldık.
Saldırı sonrası ilk adımlar
- Barındırma firmasına haber verin ve sitenin geçici olarak kapatılması gerekip gerekmediğini değerlendirin.
- Tüm şifreleri değiştirin.
- Temiz bir yedekten geri yükleme yapın veya bulaşmayı temizleyin.
- Açığa neden olan yazılımı güncelleyin.
- Search Console’da güvenlik sorunları raporunu kontrol edin ve temizlik sonrası inceleme isteyin.
Sık sorulan sorular
SSL sertifikası siteyi tamamen güvenli yapar mı?
Hayır. HTTPS, verilerin aktarım sırasında şifrelenmesini sağlar; ancak yazılım açıklarına veya zayıf şifrelere karşı koruma sağlamaz.
Güvenlik eklentisi kurmak yeterli mi?
Faydalı olabilir; ancak güncellemeler, güçlü hesap güvenliği ve yedekleme olmadan tek başına yeterli değildir.
Sonuç
Küçük işletme siteleri için güvenlik, pahalı araçlardan çok düzenli bakım ve temel önlemlerle sağlanır. WordPress geliştirme ve bakım desteği için teklif isteyebilirsiniz.