Web sitesi güvenliği: küçük işletmeler için temel önlemler

Küçük işletme siteleri hedef alınmayacak kadar önemsiz değildir; aksine otomatik taramaların birinci hedefidir. Saldırıların çoğu belirli bir firmayı hedeflemez; bilinen açıkları tarayan botlar, kime ait olduğuna bakmadan bulduğu her siteye girer.

En sık görülen açıklar nelerdir?

• Güncellenmemiş yazılım ve eklentiler: Yayınlanmış bir açığın yamanmaması, en yaygın giriş yoludur.
• Zayıf yönetici şifresi: Kaba kuvvet denemeleri saniyeler içinde binlerce şifre dener.
• Korumasız giriş sayfası: Deneme sınırı olmayan panel, sürekli saldırı altındadır.
• Dosya yükleme alanları: Tür kontrolü yapılmayan yükleme alanları, zararlı dosya çalıştırılmasına imkân verir.
• Form güvenliği eksikliği: Kod enjeksiyonu ve spam gönderimleri.
• SSL eksikliği: Şifrelenmemiş bağlantı, hem veri hem güven sorunudur.

Hangi önlemler zorunlu sayılmalı?

Küçük bir işletme sitesinde bile şu önlemler temel kabul edilmelidir:

• SSL sertifikası ve tüm trafiğin şifreli bağlantıya yönlendirilmesi
• Yönetim panelinde deneme sınırı ve geçici kilitleme
• Şifrelerin geri döndürülemez biçimde saklanması
• Form gönderimlerinde sahte istek koruması
• Yüklenen dosyalarda tür ve boyut denetimi
• Yükleme klasöründe kod çalıştırmanın engellenmesi
• Veritabanı sorgularının parametreli çalışması
• Otomatik ve düzenli yedekleme

Yedekleme nasıl kurgulanmalı?

Yedeklemede üç soru belirleyicidir: ne sıklıkla alınıyor, nerede saklanıyor, geri yükleme test edildi mi?

Yedeğin sitenin bulunduğu sunucuda tutulması yaygın ama riskli bir uygulamadır; sunucu tamamen ele geçirilirse yedek de kaybolur. Farklı bir konumda ikinci kopya bulunmalıdır.

En çok atlanan adım geri yükleme testidir. Alındığı sanılan ama bozuk olan yedekler, ihtiyaç anında fark edilir. Yılda bir kez test geri yükleme yapmak, yedeğin gerçekten işe yaradığını doğrulamanın tek yoludur.

Spam ve otomatik form gönderimleri nasıl engellenir?

Form üzerinden gelen saldırıların çoğu insan değil bottur. Etkili ve kullanıcıyı yormayan yöntemler:

• Bal küpü alanı: Kullanıcının göremediği gizli alan; botlar doldurur, gönderim sessizce reddedilir.
• Zaman tuzağı: Form açıldığı an damgalanır; birkaç saniyeden hızlı gönderimler reddedilir.
• Gönderim sıklığı sınırı: Aynı adresten belirli sürede sınırlı sayıda gönderim.
• İçerik taraması: Betik ve sorgu kalıpları, aşırı bağlantı içeren mesajlar.

Bu yöntemler, ziyaretçiye doğrulama bulmacası çözdürmeden koruma sağlar. Bulmacalı doğrulamalar dönüşüm oranını düşürdüğü için son çare olarak düşünülmelidir.

Erişim yönetimi neden önemli?

Panel erişimi olan herkes bir risktir. Ayrılan çalışanların, işi biten ajansların ve geçici destek verenlerin erişimleri kaldırılmalıdır. Her kullanıcının kendi hesabı olmalı, ortak hesap kullanılmamalıdır; aksi hâlde bir sorun çıktığında kimin ne yaptığı tespit edilemez.

Aynı ilke barındırma paneli, alan adı hesabı ve e-posta yönetimi için de geçerlidir. Alan adının kimin adına kayıtlı olduğu, çoğu işletmenin sorun çıkana kadar hiç bakmadığı bir konudur.

Saldırı olduğunda ne yapılmalı?

• Siteyi geçici olarak kapatın; ziyaretçiye zarar vermesini önleyin
• Tüm şifreleri değiştirin (panel, veritabanı, barındırma, e-posta, FTP)
• Temiz bir yedekten geri yükleyin
• Açığın kaynağını bulun; yoksa aynı yoldan tekrar girilir
• Search Console üzerinden güvenlik uyarısı olup olmadığını kontrol edin
• Zararlı içerik temizlendikten sonra yeniden değerlendirme talep edin

Kaynağı bulmadan yalnızca temizlik yapmak, çoğu durumda kısa süre içinde aynı sorunun tekrar etmesiyle sonuçlanır.

Yönetim paneli nasıl korunur?

Panel, saldırıların en yoğun hedefidir. Alınabilecek pratik önlemler:

• Varsayılan yönetici kullanıcı adını değiştirin; "admin" ilk denenen isimdir
• Hatalı giriş denemelerinde geçici kilitleme uygulayın
• Mümkünse panel adresini belirli IP adreslerine kısıtlayın
• Oturum süresini sınırlayın
• Her kullanıcıya ayrı hesap açın, ortak hesap kullanmayın
• Şifreleri geri döndürülemez biçimde saklayın

Bu önlemler karmaşık değildir ancak birlikte uygulandığında otomatik saldırıların neredeyse tamamını etkisiz kılar.

SSL neden zorunlu sayılmalı?

Şifrelenmemiş bağlantıda form verileri düz metin olarak taşınır. Bunun ötesinde tarayıcılar şifresiz siteleri "güvenli değil" olarak işaretler; bu uyarı, ziyaretçinin siteyi terk etmesi için tek başına yeterli bir sebeptir.

SSL kurulduktan sonra tüm trafiğin şifreli sürüme yönlendirilmesi, karışık içerik uyarılarının giderilmesi ve site haritasının güncellenmesi gerekir. Yarım kurulum, hem güvenlik hem SEO açısından sorun üretir.

Güvenlik ile hız çelişir mi?

Genelde hayır. Bazı güvenlik eklentileri her istekte ek denetim yaparak sayfayı yavaşlatır, ancak sunucu düzeyinde alınan önlemler performansı etkilemez. Doğru yaklaşım, mümkün olan korumaları sunucu ve uygulama katmanında kurup eklenti yükünü azaltmaktır.

Alan adı ve e-posta güvenliği

Site güvenliği tartışılırken alan adı hesabı çoğu zaman gözden kaçar. Oysa alan adı ele geçirildiğinde site de e-posta da kaybedilir. Alan adı hesabında iki adımlı doğrulama açık olmalı, kayıt sahibi bilgileri işletmeye ait olmalı ve süre bitimine karşı otomatik yenileme kurulmalıdır.

E-posta tarafında SPF, DKIM ve DMARC kayıtlarının tanımlanması, alan adınız adına sahte e-posta gönderilmesini zorlaştırır. Bu kayıtlar aynı zamanda gönderdiğiniz e-postaların spam klasörüne düşme ihtimalini azaltır; yani hem güvenlik hem teslim edilebilirlik açısından gereklidir.

Sık sorulan sorular

Küçük sitem kimsenin ilgisini çekmez, yine de risk var mı?

Var. Saldırıların çoğu hedefli değil, otomatik taramalarla yapılır. Bot, sitenin kime ait olduğuna bakmaz; bilinen bir açık bulursa girer.

Güvenlik eklentisi kurmak yeterli mi?

Katkı sağlar ama yeterli değildir. Güncellemeler yapılmıyor, şifreler zayıfsa ve yedek yoksa eklenti tek başına koruma sağlamaz.

SSL sertifikası ücretli mi olmalı?

Çoğu site için ücretsiz sertifikalar yeterlidir ve aynı şifreleme gücünü sunar. Ücretli sertifikalar ek doğrulama ve sigorta gibi kurumsal ihtiyaçlar için tercih edilir.

Nereden başlamalı?

Bugün yapılabilecek üç iş var: yönetim şifrenizi güçlü ve benzersiz bir şifreyle değiştirin, yedeklemenin çalıştığını doğrulayın ve panele erişimi olan kullanıcıları gözden geçirip gereksizleri kaldırın. Bu üçü, saldırıların büyük bölümünün önünü keser.

Mevcut sitenizi inceleyip hız, mobil uyum, teknik SEO ve dönüşüm açısından ne durumda olduğunu ücretsiz olarak raporluyoruz. Rapor için bizimle çalışmaya başlamanız gerekmiyor.