Wordpress Sitenizde Güvenlik Açığı Bırakmayın

Milyonlarca kullanıcısı bulunan ücretsiz CMS yazılımı wordpress, her geçen gün daha da popüler olmaya devam ediyor. Fakat onun yaygın olması, güvenlik açıkları üzerinde çalışan kötü amaçlı bilgisayar korsanlarınında sayısını arttırıyor. Maalesef bu tarz durumlarda yapmanız gereken ilk şey "güncel kalmak" olacaktır. Öte yandan ise sizler için bir kaç güvenlik notum olacaktır. Lütfen güvenlik ile ilgili not aldığım maddelere dikkat ediniz. Çünkü korsanların en yaygın kullandığı yöntemlere karşı almış olduğum savunmadır.

Öncelikle maddeler halinde bunların neler olduğunu yazalım:

1. Wordpress sitenizi güncel tutun
2. Login / Giriş yani Admin panelinizin erişim sayfasına giden URL'yi değiştirin
3. Sunucu bilgilerinizi sergilemeyin :)
4. Robots.txt dosyasında verilen izinleri kontrol edin
5. wp-cron.php dosyasına olan erişimi kapatın
6. Tema ve eklenti yüklerken dikkatli olun
7. Korsan tema sitenize kurmayın
8. İnsan doğrulama ve diğer temel kontrolleri yapan hosting ile çalışın
9. HTTPS'yi kullanın yani SSL yüklü olsun
10. Dedicated IP ile sitenizi diğer sitelerinde olduğu IP'den ayrı tutun

Evet yukarıda saydığım 10 temel madde sizler için vazgeçilmez olsun. Yığınla ücret ödeyerek ve zaman harcayarak açmış olduğunuz internet sitenizi basit bir saldırıya kurban etmeyin. Projenize vermiş olduğunuz tüm emekler tek bir saldırıda çöp olur gider. Veya yedek almışsanız da yine baş ağırtmış olması bile canınızı sıkar. Gerek yok! Doğru yerdesiniz ve aklınıza takılan ne varsa yorum alanında bana sorabilirsiniz. Bilgimin yettiği kadar yardımcı olmaya çalışırım.

1- Wordpress Tema, Eklenti ve Sürüm Güncellemesi

Wordpress sitesinin de belirttiği üzere internet dünyasındaki yayında olan tüm sitelerin %43'ü WP kullanıyor. O zaman daha fazla hedefteyiz demektir. İlk güvenlik adımımız olan güncelleme işlemi basittir. Admin panelinize eriştiğinizde "Giriş" in hemen altında "Güncellemeler" sekmesi yer alıyor. Buradan en son çıkan wordpress sürümünü, eklentileri ve temalarınızı tek tıkla güncel tutabilirsiniz. Ki tutmalısınız da :) Bu adım basit ama önemli bir önlemdir.

Ayrıca yazı yazılırken ki en son wordpress sürümünün 6.5.2 olduğunu hatırlatalım. Son sürümü bu sayfadan indirebilirsiniz.

2- Wordpress Login URL Değiştirme

Bunu iki yoldan yapabilirsiniz. İlk yöntem canınızı sıkmadan kolay yoldan eklenti indirerek bu işlemi yapmak. Bunun içinde size lazım olacak eklentinin adı "WPS Hide Login" dir. Oldukça basit ve milyon kez indirilmiş, test edilmiş, oldukça yaygın kullanılan bir eklentidir. Kurduktan sonra "Ayarlar" sekmesinde eklentiye ulaşabilirsiniz. Sayfa açıldığında en altta iki satır olacaktır. İlki belirlemek istediğiniz yeni giriş URL'sini belirlemek, ikincisi ise 404 sayfasının URL yapısını değiştirmek. İkisini de yapabilirsiniz.

3- Sunucu Bilgilerinizi Gizleyin

Bilgisayar korsanlarının bilgi toplama aşamasındaki ilk uğrak yerleri sizin sunucu bilgileriniz olacaktır. Eğer sunucu bilgileriniz çarşı pazar yerinde sergilenir gibi açık ise bu zaafiyet verdiğinizin anlamıdır. Bunu derhal kapatmalısınız. Peki ama nasıl? diyorsunuz doğal olarak :) Bende sizlere özetle şunları hazırladım;

Eğer cPanel kullanıyorsanız httpd.conf yapılandırma dosyasını açın. Benim kullandığım editör nano, fakat siz istediğinizi kullanmakta özgürsünüz.

Aşağıda yazmış olduğum ilgili yerleri bulun ve benimki ile aynı yapın.

İşte bu kadar! Artık sunucu bilgileriniz kapatılmıştır. Kimse kolay kolay sunucu bilgilerinize erişemeyecektir.

4- Robots.txt Dosyasının İzinlerini Kontrol Edin

İnternet sitenizin bodyguard ı yani özel güvenliği ile tanışın. Sitenize kimler girebilir veya giremez hepsini kontrol eden mekanizmadır. Adı aslında Robot Engelleme Standardı (Robots Exclusion Standard) olarak geçer. Web botları, örümcekleri ve böceklerinin filtrelendiği yerdir. Bu nedenle bu dosyayı bence namahreminiz olarak bilin! Her elini kolunu sallayan sitenize giremez.

Bu dosya wordpress in yüklü olduğu ana dizinde yer alır. Robots.txt olarak görünen bir dosyadır. Eğer dosyayı sunucu dizininde göremezseniz panik yok, çünkü gizli dosyalar arasında yer alıyor. Ayarlardan gizli dosyaları göster dedikten sonra görmeniz mümkündür.

Şimdi dosyayı açtınız ve izinler ile ilgili neler olmalı veya olmamalı? Öncelikle sitenizin güvenliği için bazı alanların kapatılması gerekir. Tabi özel olarak Google, Yandex ve diğer arama motorlarının botlarına da izin vermeniz gerekir. Aslında bunu tek tek yapmıyoruz. Aşağıda en genel hali ile sizler için bir robots.txt oluşturdum.

User-agent: *
Allow: /
Disallow: /wp-admin/
Disallow: /?s=
Disallow: /?s=*
Disallow: */feed/*
Disallow: */amp/*
Disallow: */?amp/*
Disallow: */?nonamp=*
Disallow: */?query-55-*
Disallow: */?p=*
Disallow: *_jb_static*
Disallow: *wp-json*
Disallow: *?mailpoet_page=subscriptions*
Disallow: */kategori/*
Disallow: */search/*

User-agent: Bingbot
Disallow: /
User-agent: Googlebot-News
Allow: / 

Sitemap: https://www.mehmetnuriarslan.com/sitemap.xml

Gördüğünüz üzere "/wp-admin/" klasörünü engelliyoruz. Botların ve ziyaretçilerin orada işi olmaz. Güvenlik açısından bunu yapmanız lazım. Öte yandan feed, amp vb. gibi tüm gereksiz şeyleri kapatıyoruz. Ben kendi botumda kategoriyi de kapattım fakat isterseniz siz orayı açık bırakabilirsiniz.

5- wp-cron.php Dosyasının Erişimini Engelleyin

Bu adım oldukça önem arz adiyor. Nedeni ise olası bir DDoS saldırısına karşı siteyi altın tepside sunmasıdır. Cron işleri yani cron çalıştırıldığında site yavaşlar. Şimdi bunun milyonlarca kez üst üste yapıldığını düşünsenize! İşte o zaman siteniz açılmaz. Bu adımı iki türlü kapatabilirsiniz. İster robots.txt dosyasında "Disallow" yaparak veya sunucu üzerinden cron işlerini kapatarak. Bunu size bırakıyorum. Eğer yinede zorlanırsanız bir yorum kadar uzağınızda olacağım.

6- Zararlı Yazılım İçeren Tema veya Eklenti Kurulumuna Dikkat!

Hoşunuza giden bir tema olur veya eklenti farketmez, eğer orjinal internet sitesinden veya wordpress bağlantısından yine orjinal adı lisansı ile indirmezseniz bu da büyük sıkıntı olur. Çünkü aynı isimde görünen eklentiler olabilir. Biri diğerini taklit edip yani asıl eklentiymiş gibi görünerek korsanlık yapabilir. Orjinal eklenti veya temaları indirdiğinizden emin olmanız gerekir. Aksi halde siteniz gümler!

Peki orjinal olduğunu nasıl anlarsınız? Öncelikle, tema veya eklentinin resmi bir internet adresi varsa eğer, oradan indirin. Yoksa, wordpress.org sitesinde dizinlenen tema veya eklentilerin yorum sayılarına ve yorum içeriklerine bakın. İndirme sayılarına da bakabilirsiniz. Bu bilgiler genelde sizi doğru dosyaya ulaştıran parametreler olur.

Örneğin yukarıdaki paylaştığım görselde "Klasik Düzenleyici" eklentisini 5 milyondan fazla indirmişler. Bu güvenilir yani orjinal olduğunu gösteren bir parametredir. Ayrıca bu eklentiye dikkat ederseniz, 1169 adet oylama verilmiş. Hem de 5 üzerinden 5 yıldız ile oylanmıştır.

7- Korsan Tema İle Başlamak "Büyük Hata" Olur!

Malumunuz tema fiyatları maalesef çok yüksek olabiliyor. Ama bu durum sizi kesinlikle korsan temalara teşvik etmesin. Korsan bir tema ile başlamanız yapacağınız en büyük yanlış olur. İnternette korsan bir yığın wp tema var. Hepside çöp durumdadır. Virüs veya zararlı yazılımlar içeriyor. Emeklerinizi tek kelime ile çöp etmiş olursunuz. Ki kaldı ki, zararlı yazılım içermese bile korsana kesinlikle karşı olmalıyız. Bizde yazılım sektöründeyiz. Bir temayı üretmek ciddi emek ve zaman harcar. Buna saygı duymak lazım. Orjinal olarak satın almak en mantıklı hareket olur.