WordPress sitenizin Güvenliğini Nasıl Sağlayacağınıza İlişkin Kapsamlı Bir Kılavuz.

Çoğu insan, web sitelerini tasarlamaya ve geliştirmeye ilk başladıklarında, öncelikle işlerin istedikleri gibi çalışmasını sağlamak ve sitenin harika görünmesini sağlamakla ilgilenir. WordPress güvenliği, birincil endişelerinden biri değildir.

Bu komik çünkü neredeyse herkes bilgisayar korsanlığı hakkında bir şeyler duymuş veya okumuş ama iş sitelerimize geldiğinde, bir şekilde bunun bizim başımıza gelmemesini bekliyoruz. Çünkü bir bilgisayar korsanı neden yerel işimizin küçük bir bölümüyle ilgilensin, değil mi? Yanlış. WordPress güvenliği son derece önemlidir ve bu nedenle WordPress web sitenizin yeterince güvenli ve sağlam olması gerekir. Gelelim nedenlerine!

Bir bilgisayar korsanı sitenizi neden ve nasıl hackler?

Bunu engellemenin yollarını tartışmadan önce, bir web sitesi hacklemesinin ardındaki mantığı anlamak önemlidir. Küçük bir işletme sitesi veya kişisel bir blog olsa bile, bir bilgisayar korsanının web sitenizle ilgilenmesinin birden çok nedeni olabilir.

Bunların yanı sıra diğer olumsuz yansımaları şunlardır:

Sitenizin neden saldırıya uğradığını kısaca belirlediğimize göre, bir bilgisayar korsanının çevrimiçi olarak mevcut milyonlarca site arasından sitenizi nasıl bulup hedefleyeceğine bakalım.

Bir bilgisayar korsanının sitenizi hedef alması pek olası değil, değil mi? Sonuçta, web siteleri okyanusunda sadece bir damla. Balonunu patlattığım için üzgünüm ama bu yanlış!

Hackleme manuel olarak yapılmaz. Bilgisayar korsanları, tek işlevi savunmasız web sitelerini avlamak olan robotlar/programlar kullanır. Bu programlar genellikle bulut sunucularında çalışır, burada ihtiyaca göre kurulur ve yok edilir, geride çok az iz bırakır veya hiç iz bırakmaz. Her saat binlerce web sitesini keşfetmek için tasarlandılar. Bir siteyi bulduğunda, WordPress ve eklentilerinde sürekli olarak bulunan güvenlik açıkları aranır. Ayrıca, tahmin edilmesi kolay parolalar veya güvenilmez veya güvenilmez bir barındırma gibi insan hatalarından da kaynaklanabilir.

Bu nedenle, WordPress sitenizin güvenliğini sağlamak bir seçenek değil, bir zorunluluktur ve bu süreçte size yardımcı olmak için buradayız!

WordPress güvenliğini sağlama rehberiniz

Aşağıdaki uzun güvenlik önlemleri listesinin sonunda, WordPress web sitenizi tamamen garanti altına alacak donanıma sahip olacaksınız. Web sitelerinin güvenliğini sağlamak söz konusu olduğunda, herkes tarafından belirli birincil önlemlerin alınması gerekir.

Bunlar, uzun bir yol kat edecek ve WordPress'inizi makul ölçüde güvende tutacak göz ardı edilemez ve çoğunlukla basit şeylerdir. O zaman, web sitenizin güvenliği konusunda çok paranoyak olan ve onu son derece güvenli tutmak için fazladan bir adım atmaktan çekinmeyenleriniz için başka bir dizi önlem daha var.

İlk önce, tüm web sitesi sahiplerinin gerçekleştirmesi gereken gerekli güvenlik görevleri olan eski önlem grubunu tartışalım:

Varsayılan Kullanıcı Adını Değiştir

WordPress'inizi güvence altına almanın en kolay ve en hızlı yollarından biri, varsayılan "Yönetici" kullanıcı adını tahmin edilmesi kolay olmayan bir adla değiştirmektir. İdeal olarak, WordPress'in kurulumu sırasında yönetici kullanıcı adınızı değiştirmelisiniz, ancak bunu yapmadıysanız, phpMyAdmin kullanarak veya veritabanınızda bir Standart Sorgu Dili komut dosyası çalıştırarak adını değiştirebilirsiniz.

Her iki durumda da, bu basit WordPress güvenlik hilesi, web sitenizin birçok rastgele saldırı girişiminden kaçınmasına yardımcı olacaktır.

Güçlü Parola kullanın ve farklı platformlarda yeniden kullanmayın

Bilgisayar korsanları, insanlar olarak onları unutmaya meyilli olduğumuz için güvenli ve aynı şifreleri tutmaya çalıştığımızı bilir. Korsanlar bundan nasıl yararlanacaklarını biliyorlar ve genellikle en sık kullanılan şifrelerin bir listesine sahipler ve bir tane bulana kadar tekrar tekrar deneyecekler. Bu tekniğe bir parolayı kaba zorlama denir. Bu nedenle, güvenli ve karmaşık bir parola tutmak, WordPress'inizi güvence altına almak için basit bir adımdır.

Akılda tutulması gereken başka bir şey de şifreleri asla tekrar kullanmamaktır. Parolaları yeniden kullanmanın yaptığı şey, bilgisayar korsanlarının bir tanesinin bile güvenliği ihlal edilmişse hesaplarınızın geri kalanına erişmesini sağlamaktır. Evet, bu kadar çok farklı, karmaşık şifreyi hatırlamak sizin için zahmetli ve zahmetli olabilir, ancak bu konuda size yardımcı olmak için, piyasadaki birçok şifre yöneticisi şifrelerinizi saklamanıza ve güvende tutmanıza yardımcı olur. Bunları kullanmanızı öneririz.

Her zaman WordPress'in en son sürümünü çalıştırın

WordPress'inizi güncel tutmak önemlidir, çünkü her temel güncellemede WordPress, yakın zamanda keşfedilen güvenlik sorunlarını düzeltir. Çoğu zaman, insanlar WordPress çekirdek güncellemelerini devre dışı bırakır çünkü en son sürüm bazı eklentilerle uyumlu olmayabilir. Yine de hatırlanması gereken kritik şey, saldırıya uğramış bir web sitesinin geçici olarak bozulan bir eklentiden çok daha sorunlu olduğudur.

WordPress Çekirdeğini Değiştirmeyin

WordPress çekirdek kaynak dosyalarını düzenlemek berbat bir fikir çünkü bu, WordPress'inizi otomatik olarak en son sürüme güncelleme kolaylığını ortadan kaldırıyor; bu, önemini bir önceki noktada tartışmıştık. WordPress çekirdeğini değiştirdiyseniz, en yeni sürüme yapılan bir güncelleme bu değişiklikleri kaybetmenize neden olur.

Peki WordPress işlevselliğini değiştirmek istiyorsanız ne yapmalısınız?

Bir eklenti yazmak cevaptır. WordPress çekirdeğinden ödün vermek zorunda kalmadan istediğinizi yapma özgürlüğü verir.

Aynı şey temalar ve eklentiler için de geçerlidir. Çekirdek düzeltmeye yönelik herhangi bir girişim, en son sürüme güncelleme yeteneğinin kaybolmasına neden olacaktır. Genel olarak, arzu ettiğiniz işlevselliği elde etmenin her zaman başka yolları vardır ve özü değiştirmek gidilecek yol değildir.

Tüm eklentilerinizin ve Temalarınızın güncellendiğinden emin olun

Eklentilerinizi ve fikirlerinizi güncelleme ihtiyacının arkasındaki neden, WordPress'inizi güncel tutmanın arkasındaki neden ile aynıdır. Sitenizi hack saldırılarından korumak için manuel veya otomatik olarak en son sürüme güncel tutmak sizin sorumluluğunuzdadır.

WordPress.org'dan indirilen eklentileri kullanıyorsanız, otomatik arka plan güncellemelerini etkinleştirebilirsiniz ve diğer ticari eklenti güncellemeleri için eklenti mekanizmaları aracılığıyla halletmeniz gerekecektir. Ayrıca, en son güncellemeleri almak için eklenti üyeliklerinizi her zaman aktif tuttuğunuzdan emin olun.

Artık temalarınızı güncellemeye gelince, bir güncelleme yaptığınızda temanızda yaptığınız tüm değişikliklerin ne olacağı konusunda endişelenebilirsiniz. Temalarda değişiklik yaparken doğrudan asıl temada değişiklik yapmak yerine "alt temalar" üzerinden yapmanız gerekir.

Bunu yaptığınızda, şimdiye kadar yaptığınız değişiklikleri kaybetmeden temalarınızı kolayca en son sürüme güncelleyebilirsiniz. Hangi temaların güncelleme gerektirdiğini kontrol etmek için WordPress'inizde "Görünüm"e ve ardından "Temalar"a gidin. Eklentilerde olduğu gibi otomatik arka plan güncellemelerini de etkinleştirebilirsiniz.

Eklentileri, Temaları ve Komut Dosyalarını her zaman yalnızca resmi kaynaklarından indirin

Resmi olmayan kaynaklardan daha iyi bir fiyata veya ücretsiz olarak temalar ve eklentiler edinmek cazip gelebilir, ancak bunu yapmak akıllıca bir fikir değildir. Bunun nedeni, bu korsan temaların ve eklentilerin birçoğunun, kötü niyetli planlarını gerçekleştirmeleri için bir arka kapı olarak hizmet etmek üzere bilgisayar korsanları tarafından yanlış bir şekilde ayarlanmasıdır.

WordPress'inizin güvenli olduğundan emin olmak için kaliteli eklentiler ve temalar bulmak için her zaman güvenli sitelere güvenmelisiniz. Bunlardan en yaygın olanı WordPress.org'dur. Diğer güvenilir siteler WordPress.com, ThemeForest.net, CodeCanyon.net vb.'dir.

Siteniz her zaman PHP'nin en son sürümünü çalıştırmalıdır.

PHP, WordPress'in temel motorudur ve epeyce sürüm güncellemesi ile gelir.

Ancak Global WordPress İstatistikleri sayfasına göre, WordPress kurulumlarının neredeyse %80'i artık desteklenmeyen PHP sürümlerinde çalışıyor! Bu bir endişe nedenidir çünkü öncelikle web siteniz en son sürümlerle gelen performans özelliklerinden faydalanmaz ve bu da önceki sürümde bulunan güvenlik hatalarının giderilememesi anlamına gelir.

Bu nedenle sitenizin PHP'nin en son sürümünü çalıştırdığından emin olmanız önemlidir.

WordPress çekirdeğini güncellerken, eklentiler ve temalar oldukça net bir görevdir. PHP sürüm güncellemeleri çoğunlukla barındırma sunucunuza bağlıdır. Güvenli bir barındırma sunucusu seçmenin önemli olmasının nedenlerinden biri de budur. WordPress kurulumunuzla birlikte PHP'nin en son sürümlerini size sunacaktır. Güvenli bir WordPress barındırma hizmeti ayrıca, işi sitenizin maruz kaldığı en son güvenlik açıklarını kontrol etmek ve bunları azaltmak için önlemler almak olan proaktif bir ekibe sahip olacaktır.

Sitenizi yalnızca güvenilir ağlar üzerinden güncelleyin

Havaalanı ve hatta yerel bir kafe gibi yerlerde ücretsiz internet Wifi kullanmayı kim sevmez ki? Ancak, bu Açık Wifi Bağlantılarının gözetlenmesinin kolay olduğunu unutmayın. WordPress yönetici sitenize böyle bir ağ üzerinden erişmekten kaçınmalısınız. Ve özellikle konu web sitenizi güncellemek olduğunda, her zaman evinizdeki veya ofisinizdeki gibi güvenilir sistemleri kullanın.

Bir Anti-Virüs kullanın

Masaüstünüzde bir virüs olursa, kendini web sitenize kopyalayarak hızla yayılabilir. Bu, genellikle virüsler tarafından sitenize bulaşmak için kullanılan bir şemadır. Daha sonra casusluk yapabilir ve şifrelerinize, hatta bankanıza ve kişisel bilgilerinize erişebilir. Bu nedenle, iş istasyonunuzun güvenilir ve güncel bir antivirüs kullandığından emin olmalısınız.

WordPress güvenlik eklentilerini kullanarak sitenizi güvenli hale getirin

Bir güvenlik eklentisi, sitenizin hangi güvenlik açıklarına maruz kaldığını bilmenizi sağlar ve bunları nasıl düzelteceğiniz konusunda size rehberlik eder. Bir eklenti kullanmak, WordPress sitenizi güvence altına almanın basit ama güvenli bir yoludur ve sizden çok az çaba gerektirir veya hiç çaba gerektirmez. Taramalar yürütürler ve web sitenizde izlenen tüm sorunların ayrıntılı bir incelemesini sunarlar.

Bazı güvenilir güvenlik eklentileri; Total Security, Vulnerable Plugin Checker, iThemes Security Pro ve Plugin Inspector'dır.

Sitenizi yedekleyin

Yukarıdaki tüm önlemler başarısız olursa ve sitenizin güvenliği hala tehlikeye giriyorsa, bu adım sizi kurtaracak şeydir.

Siteniz için yedeklemeler oluşturmak ve planlamak önemlidir. Bu planlı yedeklemeler, bir sitenin güvenlik politikasının vazgeçilmez bir parçasıdır, çünkü sitenizin güvenliği ihlal edilirse, zarar görmeden önceki bir sürüme kolaylıkla geri yüklenmesini sağlar.

Yalnızca bir bilgisayar korsanlığı durumunda değil, aynı zamanda bir aksilik veya teknik hata durumunda da yedeklere sahip olmak, sitenizi kısa sürede tekrar çalıştırabilmenizi sağlar.

Birincil, temel güvenlik önlemlerimizin listesi burada sona eriyor!

Güvenlik fanatiklerimiz için WordPress güvenlik ipuçlarını tartışacağımız ikinci bölüme geldik. Bu, web siteleri için çeşitli koruma katmanları isteyen yöneticiler içindir.  

WordPress Gizli Kimlik Doğrulama Anahtarlarını ayarladığınızdan emin olun

wp-config.php dosyanızda 8 adet WordPress güvenlik ve kimlik doğrulama anahtarı bulacaksınız. Bunlar, veritabanında nasıl saklandıklarına bir rastgelelik öğesi ekleyerek WordPress şifrelerinizi çıkarmayı zorlaştıran keyfi değişkenlerden başka bir şey değildir.

Nasıl kullanabileceğinize bir göz atalım.

Bu anahtarları paylaşmanız veya herkese açık hale getirmeniz gerekmez.

Giriş Denemelerini Sınırla

Kaba zorlamadan ve bilgisayar korsanlarının şifrenizi bulmak için bunu nasıl kullandığından zaten bahsettik. Bu nedenle, oturum açma girişimlerini sınırlamak için bir mekanizma koymak çok önemlidir.

Neyse ki, bunu sizin için yapan bir eklenti var. "Limit Login WordPress" eklentisi, birçok yanlış şifre girişimini algılar ve belirli bir süre için daha fazla denemeyi devre dışı bırakır, bu da başarısız kaba zorlama çabalarına neden olur ve sitenizin güvenliğini artırır.

İki Faktörlü Kimlik Doğrulamayı Etkinleştir

Bu nedenle 2FA'yı etkinleştirmek, giriş bilgilerinizi güçlendirmenin ve giriş bilgilerinize yönelik kaba kuvvet saldırılarından kaçmanın tam kanıtlı bir yoludur.

PHP yürütmesini devre dışı bırak

Bilgisayar korsanları sitenize herhangi bir erişim sağladığında, yaptıkları ilk şeylerden biri PHP'yi bir dizinden çalıştırmaktır. Akıllıca bir şey, bunu tamamen devre dışı bırakmaktır. Ardından, WordPress web sitenizde bir güvenlik açığı olsa bile, bu koruma, bir bilgisayar korsanının sitenizi engelleme çabalarının geri kalanını proaktif olarak bozar.

Bu, WordPress güvenliğine yönelik güçlü bir adımdır ve bunu gerektirebilecek belirli temaların ve eklentilerin bozulmasına neden olabilir, ancak yine de onu wp-includes ve uploads'deki en riskli dizinlere uygulamanız tavsiye edilir.

Bu korumayı .htaccess dosyanıza aşağıdaki kodu ekleyerek uygulayabilirsiniz:

Dosya Düzenlemeyi Devre Dışı Bırak

Varsayılan olarak WordPress yöneticilerinin PHP dosyalarını düzenlemesine izin verildiğinden, bir web sitesi oluşturmanın ilk aşamalarındayken genellikle eklentiler ve tema dosyalarıyla uğraşırız. Ancak, web sitemiz geliştirildiğinde, bu düzenleme seçeneğini çok az kullanacağız.

Bu nedenle, web sitesi hazır ve canlı olduğunda WordPress yöneticileri için dosya düzenlemeyi devre dışı bırakmanız önerilir. Bunun nedeni, bir bilgisayar korsanı sitenize giriş yapmayı başarsa bile, düzenleme ayrıcalıklarından yoksun olacakları ve kötü planlarını yürütmek için dosyaları değiştiremeyecekleridir. Dosya düzenlemeyi devre dışı bırakmak için wp-config.php dosyasına şu komutu girin: define('DISALLOW_FILE_EDIT', true);

WordPress veritabanlarınızı ayırın

Tüm sitelerinizi aynı veritabanında oluşturursanız ve bunlardan birinin güvenliği ihlal edilirse, aynı veritabanında barındırılan diğer tüm WordPress siteleri de büyük bir saldırı tehdidi altındadır. WordPress'inizi kurarken her zaman yeni bir veritabanı oluşturmalı ve ona ayrı bir veritabanı adı, veritabanı ve şifre vermelisiniz. Bunların kullandığınız diğer sitelerden veya oturum açmalardan farklı olduğundan emin olun.

Bunun yaptığı şey, sitelerinizden biri saldırıya uğrarsa, aynı paylaşılan barındırma hesabında bile enfeksiyonun diğer yerlerinize yayılmasını durduracaktır.

Kullanılmıyorsa, XML-RPC'yi devre dışı bırakın

Bir uygulama, WordPress'inize API (Uygulama Programlama Arayüzü) olarak bilinen bir şey aracılığıyla erişebilir. Bunu size basit terimlerle açıklamak için, sitenizi güncellemek için telefon uygulamanızı kullanan bir XML-RPC örneği. XML-RPC işlevini kullanan belirli eklentiler de vardır.

Ancak, herhangi bir üçüncü taraf uygulaması kullanmıyorsanız ve WordPress eklentilerinizin hiçbirinin web sitenizi XML-RPC aracılığıyla kullanmadığından eminseniz, bunu devre dışı bırakmak akıllıca olacaktır çünkü XML-RPC, web sitenizi hacklemek için bir araç olarak kullanılabilir. alan.

wp-config.php Dosyanızın güvenliğini sağlayın

wp-config.php dosyası, veritabanı oturum açma bilgileriniz, hash şifre tuzları vb. gibi birçok gerekli yapılandırma ayarını saklayan en kritik verilerden biridir. Buraya kimsenin girmesini istemezsiniz ve bu nedenle güvenlik önlemleri. Bu kritik WordPress yapılandırma dosyasını korumak için alınması gerekir.

PHP Yürütmesini devre dışı bırakmadıysanız (15. maddede tartışılmıştır), bu komutu .htaccess dosyalarınıza ekleyin:

Güvenlik Duvarını Yükle

Çok basit tutmak için, Yazılım Ateş Topları, şeylerin içeri girmesini veya dışarı çıkmasını engeller. Bu durumda, bilgisayar korsanlarının web sitenize (veya web sitenizin partisine) yaklaşmasını önlemeye yardımcı olurlar. Bir Web Uygulaması Güvenlik Duvarı (WAF) kullanmanız gerekir ve WordPress barındırma hizmetlerinde genellikle ücretsiz olarak bulunan en güvenilir ve açık kaynaklı güvenlik duvarlarından biri "ModSecurity" güvenlik duvarıdır.
Barındırma hizmetinizin bunu sağlayıp sağlamadığını öğrenebilir ve varsa, boşuna ve etkinleştirebilirsiniz.

İdeal olarak, bol kaynakları hızlı bir şekilde sunarak sitenizin performansını artırmak için bir İçerik Dağıtım Ağı Güvenlik Duvarı (CDN) kullanmalısınız. CDN'ler ayrıca web sitenizi çok sayıda WordPress güvenlik sorununa karşı korur.

PHP Hata Raporunu Durdur

Hata raporlama, bir web sitesi geliştirirken faydalıdır, çünkü sizi hatalardan haberdar eder ve bunları hemen düzeltebilirsiniz. Ancak, çalışan ve çalışan bir web sitesinde hata raporlama etkinleştirildiğinde, bilgisayar korsanları için çok önemli ipuçları olarak hizmet eder ve işlerini olması gerekenden çok daha rahat hale getirir. Hata raporları, arayan herkese çok önemli bilgiler verebilir.

Böylece , site yayına girdikten sonra PHP Hata raporlamasını devre dışı bırakmak, en azından web sitenizle ilgili hassas bilgilerin ifşa edilmesinden kaynaklanan WordPress güvenlik risklerinin en aza indirilmesini sağlar. PHP hata raporlamasını devre dışı bırakmak için php.ini dosyanızda aşağıda belirtildiği gibi değişiklik yapın:

WordPress Güvenliğinizi izlemek için Güvenlik Günlüğü'nü kullanın

Günlüklerinizi izlemek, sitenizde hangi saldırıların olduğunu öğrenmenize ve onları durdurmak için sizi donatmanıza yardımcı olur. WordPress güvenliğinizi geliştirmenin oldukça iyi bir yoludur. Minimal bir örnek vermek gerekirse, bilgisayar korsanlığı girişimlerinin çoğunun belirli bir bölgeden, muhtemelen web sitenizin karşılamadığı bir bölgeden geldiğini anlarsanız, güvenlik duvarınızı kullanarak o alanı engelleyebilirsiniz. Düzenli denetim günlüklerini tutmak için bir güvenlik Denetim Eklentisi kullanmanız önerilir.

Bu kadar!

Bununla, WordPress sitenizin güvenliğini tam olarak sağlamaya yönelik uzun, kapsamlı kılavuzumuzun sonuna geldik. Hiç şüphe yok ki, web sitenizi daha önce sağlamak için fazla düşünmemiş olsaydınız, bu kontrol listesi sizin için biraz zor olabilirdi. Ancak iyi olan şu ki, bu adımların çoğu, bunları uygulamak için sizden çok fazla çaba gerektirmeyecek ve zaman geçtikçe, WordPress bakım rutininizin düzenli bir parçası haline gelecek. Adil olmak gerekirse, çoğunuz yukarıda bahsedilen tüm adımları uygulamayacaksınız ve sorun değil. Ancak bu güvenlik önlemlerinden ne kadar fazlasını üstlenirseniz siteniz o kadar güvenli olur. Şimdi sizden biraz ekstra çaba uzun bir yol kat edecek!