WordPress Güvenlik Nasıl Sağlanır?

Teknoloji Forum' Alıntı:

WordPress Güvenlik Nasıl Sağlanır?

Genişletmek için tıkla ...

• Güvenilir hosting kullan: Ucuz ama güvenliksiz shared hosting yerine bilinen firmaları tercih et.
• PHP / MySQL / Linux güncel olsun: En az PHP 8.x kullan, eski sürümler güvenlik açığı barındırır.
• Firewall ve WAF: Sunucu tarafında mod_security, Cloudflare gibi WAF çözümleri kullan.
• Yedekleme: Günlük otomatik yedek alsın, mümkünse harici lokasyona (farklı sunucu / bulut).

• Her şeyi güncel tut:
  • WordPress çekirdeği
  • Temalar (özellikle aktif olan)
  • Eklentiler
• Korsan (nulled) tema/eklenti kullanma: %90 ihtimalle arka kapı (backdoor) içerir.
• Kullanmadığın eklentiyi/temayı sil: Sadece devre dışı bırakmak yetmez, tamamen kaldır.
• Minimum eklenti mantığı: Ne kadar az eklenti, o kadar az saldırı yüzeyi.

• Admin kullanıcı adını “admin” yapma: Farklı, tahmin edilmesi zor bir kullanıcı adı kullan.
• Güçlü şifre kullan: Büyük-küçük harf, sayı, özel karakter karışımı, en az 12 karakter.
• İki adımlı doğrulama (2FA): Google Authenticator, Authy gibi uygulamalarla girişe 2FA ekle.
• Gereksiz adminleri sil: Kullanıcı rollerini kontrol et, gerekirse editör/author rollerini kullan.

• Giriş deneme sayısını sınırla:
  • Eklenti: Limit Login Attempts Reloaded, Wordfence gibi
• reCAPTCHA ekle: Brute force bot saldırılarını ciddi azaltır.
• Giriş URL’sini değiştirme (isteğe bağlı): Bazı güvenlik eklentileri wp-login URL’sini değiştirebiliyor.
• IP kısıtlaması (mümkünse): Statik IP’n varsa wp-admin’e sadece o IP’den erişim izni verilebilir (htaccess veya sunucu seviyesinde).

• Wordfence veya iThemes Security ya da All In One WP Security:
  • Giriş denemesi limiti
  • Temel firewall
  • Dosya bütünlüğü taraması (core dosyaları değişmiş mi kontrol)
  • Şüpheli trafik ve IP engelleme

<files wp-config.php>
 order allow,deny
 deny from all
</files>

• Dosyalar için genelde: 644
• Klasörler için genelde: 755
• Asla 777 verme[/b] (tam yetki = büyük güvenlik riski)

define( 'DISALLOW_FILE_EDIT', true );

• XML-RPC’yi kapat (kullanmıyorsan): Sık brute force hedefi olur. Bazı güvenlik eklentileri tek tıkla kapatıyor, yoksa .htaccess ile engellenebilir.
• REST API erişimi: Çok kısıtlamak bazı eklentileri bozabilir ama misafire açık olan uç noktaları gözden geçirmek faydalı.

• Otomatik yedek: UpdraftPlus, JetBackup (sunucu tarafı) vb. ile
• Yedek içeriği: Dosyalar + veritabanı birlikte alınmalı
• Farklı lokasyona yedek: Aynı sunucuda yedek olması, hack veya disk arızasında işine yaramayabilir.

• Sunucu logları: Access log ve error log içinde anormal istekler var mı?
• Güvenlik eklentisi raporları: Wordfence vb. tarama sonuçlarını ara ara kontrol et.
• Google Search Console: “Güvenlik sorunları” bölümü, Google sitende zararlı yazılım bulursa uyarır.

• Her yerden aynı şifreyi kullanma
• FTP yerine SFTP / SSH kullan
• Panellerin (cPanel, Plesk vb.) şifresini de güçlü tut
• Tema/eklenti kodu bilmeden rastgele “güvenlik snippet”’ı yapıştırma