Web Sitesi Güvenliği, Küçük İşletmeler İçin Uygulanabilir Adımlar

Küçük işletme sahiplerinin web sitesi güvenliği hakkında en sık söylediği cümle şu: "Bizim sitemizde çalınacak bir şey yok." Oysa saldırganın derdi çoğu zaman sizin verileriniz değil, sunucunuzun kendisidir. Ele geçirilen siteler spam e-posta göndermek, sahte sayfa barındırmak, başka sitelere saldırmak ya da ziyaretçileri zararlı adreslere yönlendirmek için kullanılır. Sonunda alan adınız kara listeye girer, e-postalarınız karşı tarafa ulaşmaz, Google sitenizi "tehlikeli" olarak işaretler.

İyi haber şu: küçük bir sitenin güvenliği büyük bütçe gerektirmez. Aşağıdaki önlemlerin çoğu bir öğleden sonra içinde uygulanabilir ve saldırıların önemli bir kısmını baştan engeller.

Saldırılar nasıl geliyor

Önlemleri anlamak için önce tehdidi tanımak gerekir. Küçük işletme sitelerinde en sık karşılaşılan saldırı yolları şunlardır:

• Kaba kuvvet (brute force): Otomatik araçlar yönetim paneli giriş sayfasına binlerce kullanıcı adı ve parola kombinasyonu dener. "admin" kullanıcı adı ve basit parola kullanan siteler kısa sürede düşer.
• Güncellenmemiş yazılım: İçerik yönetim sistemi, tema veya eklentide bir açık yayınlandığında, saldırganlar bu açığı taşıyan siteleri otomatik olarak tarar.
• Sızdırılmış parolalar: Başka bir sitede çalınan parolanız, aynı parolayı kullandığınız her yerde denenir.
• E-posta hesabının ele geçirilmesi: Parola sıfırlama e-postaları bu hesaba geldiği için, mail hesabını ele geçiren kişi diğer hesaplarınızı da ele geçirebilir.
• Kimlik avı (phishing): Hosting firmanızdan, alan adı firmanızdan ya da bankadan geliyormuş gibi görünen sahte e-postalarla parola toplanır.

1. Güçlü ve benzersiz parolalar

Güvenliğin temeli budur ve en çok ihmal edilen de budur. Güçlü parola karmaşık olmaktan çok uzun ve tahmin edilemez olmalıdır. Rastgele birkaç kelimeden oluşan uzun bir parola, kısa ve karmaşık görünen bir paroladan genelde daha dayanıklıdır.

• Her hesap için farklı parola kullanın. Özellikle hosting paneli, alan adı hesabı, e-posta ve site yönetim paneli asla aynı parolayı paylaşmamalı.
• Bir parola yöneticisi kullanın. Parolaları ezberlemek yerine güvenli bir kasada tutmak hem pratik hem güvenlidir.
• Yönetici kullanıcı adını "admin", "yonetici" veya işletme adı gibi tahmin edilebilir bir şey yapmayın.
• Ortak kullanılan hesaplarda parolayı WhatsApp grubunda ya da e-postada paylaşmayın.

2. İki adımlı doğrulama (2FA)

İki adımlı doğrulama, parolanın yanında ikinci bir kanıt ister: telefondaki doğrulama uygulamasında üretilen kod, SMS ya da fiziksel bir güvenlik anahtarı. Parolanız sızsa bile ikinci adım olmadan hesaba girilemez.

2FA'yı şu sırayla açın:

1. E-posta hesabınız. Diğer her şeyin anahtarı budur.
2. Alan adı kayıt firmanızdaki hesap. Alan adını kaybetmek sitenizi ve e-postanızı birlikte kaybetmek demektir.
3. Hosting veya sunucu paneli.
4. Web sitesinin yönetim paneli.
5. Sosyal medya ve Google İşletme Profili hesapları.

Mümkünse SMS yerine doğrulama uygulaması kullanın. Yedek kodları yazdırıp güvenli bir yerde saklayın; telefonu kaybettiğinizde hesaba erişmenin tek yolu bunlar olabilir.

3. E-posta hesabını korumak

Küçük işletmelerde en büyük zararı çoğu zaman sitenin kendisi değil, ele geçirilen e-posta hesabı verir. Saldırgan bir kez içeri girdiğinde sessizce bekler, yazışmaları okur, sonra tedarikçinize ya da müşterinize sizin adresinizden "banka hesabımız değişti" mesajı gönderir. Ya da gelen kutusuna bir yönlendirme kuralı ekleyip tüm e-postaların kopyasını kendine aktarır.

Kontrol etmeniz gerekenler:

• E-posta hesabında tanımlı yönlendirme ve filtre kurallarına bakın. Tanımadığınız bir kural varsa hemen silin ve parolayı değiştirin.
• Son oturum açma kayıtlarını kontrol edin. Çoğu e-posta hizmeti hangi cihazdan ve konumdan giriş yapıldığını gösterir.
• Uygulama parolaları ve bağlı uygulamalar listesini gözden geçirin. Artık kullanmadığınız erişimleri kaldırın.
• Alan adınız için SPF, DKIM ve DMARC kayıtlarının tanımlı olduğundan emin olun. Bu kayıtlar, başkalarının sizin alan adınızla sahte e-posta göndermesini zorlaştırır.
• Ödeme veya hesap bilgisi değişikliği içeren e-postaları her zaman telefonla teyit edin.

4. Güncellemeler

Bir yazılımda güvenlik açığı bulunduğunda üretici güncelleme yayınlar. Güncelleme notları, açığın ne olduğunu da dolaylı olarak duyurur. Bu noktadan sonra güncellenmemiş siteler açık hedef haline gelir. Güncelleme yapmamak, kilidi değişmiş bir kapının eski anahtarını herkese dağıtmak gibidir.

• İçerik yönetim sistemi çekirdeğini, temayı ve eklentileri düzenli güncelleyin.
• Sunucudaki PHP gibi altyapı sürümlerinin desteklenen bir sürüm olduğunu kontrol edin. Desteği bitmiş sürümler güvenlik güncellemesi almaz.
• Güncellemeden önce yedek alın. Güncelleme bir şeyi bozarsa geri dönebilmeniz gerekir.
• Mümkünse güncellemeleri önce bir test kopyasında deneyin.

5. Eklenti ve tema riskleri

WordPress gibi sistemlerde eklentiler büyük kolaylık sağlar, ama her eklenti sitenize başkasının yazdığı bir kod parçası ekler. Güvenlik sorunlarının önemli bir kısmı çekirdekten değil, eklentilerden kaynaklanır.

Eklenti seçerken sorulacaklar

• Son güncelleme ne zaman yapılmış? Uzun süredir güncellenmeyen eklentiler terk edilmiş olabilir.
• Resmi eklenti dizininde mi, yoksa bilinmeyen bir siteden mi indiriliyor?
• Bu işi gerçekten bir eklenti mi yapmalı, yoksa birkaç satır kodla mı halledilebilir?
• Ücretli bir eklentinin "ücretsiz" sürümü bir paylaşım sitesinden mi geliyor? Bu tür dosyalar sıklıkla zararlı kod içerir.

Kullanmadığınız eklenti ve temaları devre dışı bırakmakla yetinmeyin, tamamen silin. Devre dışı bir eklentideki açık, bazı durumlarda yine istismar edilebilir. WordPress ile özel yazılım arasındaki güvenlik ve bakım farklarını WordPress mi özel yazılım mı yazımızda karşılaştırdık.

6. Kaba kuvvet saldırılarına karşı giriş koruması

Güçlü parola kaba kuvvete karşı ilk savunmadır, ama giriş sayfasının kendisini de korumak gerekir:

• Belirli sayıda hatalı denemeden sonra IP adresini geçici olarak engelleyin.
• Giriş formuna doğrulama (CAPTCHA) ekleyin.
• Yönetim paneli adresini varsayılan adresten farklı bir adrese taşımak, otomatik taramaları azaltır. Tek başına güvenlik önlemi değildir ama gürültüyü düşürür.
• Sunucu düzeyinde güvenlik duvarı ve giriş denemesi izleme kullanın.
• Mümkünse yönetim paneline yalnızca belirli IP adreslerinden erişime izin verin.

7. Yedekleme

Her önlemi alsanız bile bir gün bir şeyler ters gidebilir. O gün sizi kurtaracak şey yedektir. İyi bir yedekleme düzeni şu özellikleri taşır:

Özellik	Neden
Otomatik	Elle alınan yedek unutulur
Dosyalar ve veritabanı birlikte	Biri olmadan diğeri işe yaramaz
Farklı bir konumda kopya	Sunucu veya hosting hesabı giderse yedek de gitmesin
Birden fazla tarih	Saldırı fark edilmeden önceki temiz bir sürüme dönebilmek için
Geri yükleme denenmiş	Hiç denenmemiş yedek, çalışıp çalışmadığı bilinmeyen yedektir
Erişimi korunmuş	Herkese açık klasörde duran yedek, verilerin tamamını dışarı verir

8. SSL sertifikası ve HTTPS

SSL sertifikası, ziyaretçi ile siteniz arasındaki trafiği şifreler. Form doldururken girilen bilgilerin araya giren biri tarafından okunmasını engeller. Bugün pek çok hosting firması ücretsiz sertifika sunuyor, bu yüzden SSL'siz bir site için mazeret kalmadı.

• Sitenin tüm sayfaları HTTPS üzerinden açılmalı, HTTP istekleri otomatik olarak HTTPS'e yönlendirilmeli.
• Sertifikanın süresini takip edin. Otomatik yenileme açık değilse süresi dolan sertifika ziyaretçiye uyarı ekranı gösterir.
• Sayfada HTTP üzerinden yüklenen görsel veya betik kalmadığından emin olun.

SSL'in ne yapmadığını da bilmek gerekir: zayıf parolayı, eski eklentiyi ya da ele geçirilmiş hesabı korumaz.

9. Erişim yetkileri

Siteye kimlerin, hangi yetkiyle girebildiğini bilin. Ayrılan çalışanın, işi biten ajansın ya da tek seferlik iş yapan serbest çalışanın hesabı hâlâ açık durabilir. Her kişiye yalnızca işini yapmasına yetecek yetkiyi verin; içerik giren birinin yönetici olmasına gerek yoktur. Hosting, alan adı ve e-posta hesaplarının asıl sahibi işletme olmalı, dışarıdan destek verenler ayrı kullanıcılarla eklenmeli.

Aylık güvenlik kontrol listesi

1. Çekirdek, tema ve eklenti güncellemelerini yapın.
2. Son yedeğin alındığını ve farklı bir yerde durduğunu kontrol edin.
3. Yönetici kullanıcı listesine bakın, tanımadığınız hesap var mı?
4. E-posta yönlendirme kurallarını ve son oturum açma kayıtlarını kontrol edin.
5. SSL sertifikasının süresine bakın.
6. Google Search Console'da güvenlik uyarısı var mı kontrol edin.
7. Üç ayda bir yedekten geri yüklemeyi deneyin.

Güvenliği düzenli bir işe çevirmek

Web sitesi güvenliği tek seferlik bir kurulum değil, düzenli tekrar eden bir bakım işidir. Bu listeyi kendiniz uygulayabilirsiniz; zamanınız yoksa işi bir ekibe devretmek de bir seçenek. HKASOFT'un bakım ve güvenlik hizmetinde güncelleme, yedekleme, izleme ve sorun anında müdahale tarafını üstleniyoruz. Sitenizin mevcut durumunu gözden geçirmemizi isterseniz Teklif Al sayfasından bize yazabilirsiniz.

Sık sorulan sorular