Almanız Gereken 5 Temel WordPress Güvenlik Önlemi (Ve Nasıl Uygulanır)

Hiçbir yazılım %100 güvenli değildir ve WordPress bu kuralın bir istisnası değildir. Dünya çapındaki tüm web sitelerinin yaklaşık dörtte birine güç veren platform, bilgisayar korsanları için doğal olarak karşı konulmaz bir hedeftir ve yıllar boyunca birçok saldırıya konu olmuştur.

2009'da keşfedilen çeşitli ciddi güvenlik açıkları gibi erken güvenlik tökezlemelerini hatırlayanlar, platformun doğası gereği güvensiz olduğunu uzun zaman önce yazmış olabilirler – bu yanlış olur.

Sorunlara neden olan her istismar veya güvenlik açığı için, kullanıcı raporları, WordPress'in özel güvenlik ekibi ve bağımsız geliştiricilerin çabalarının bir kombinasyonu sayesinde, yüzlerce olmasa da düzinelerce zamanında yakalanmıştır.

Bu makalede, sitenizi güvende tutmak için ustalaşmanız gereken beş temel güvenlik önlemini ve bunu yapmanıza yardımcı olacak bir dizi kullanışlı eklenti çözümünü ele alacağız.

Bilmeniz gerekenler ile başlayalım.

1. Güçlü Kullanıcı Adları ve Parolalar Kullanın

İnsanların bir WordPress kurulumu gerçekleştirirken yaptıkları en yaygın ve kolayca önlenebilir hata, varsayılan yönetici kullanıcı adını değiştirmemektir.

Bunun yapılmasının nedeni basittir: Birisi web sitenize kaba kuvvetle girmeye çalışıyorsa, varsayılan kullanıcı adını olduğu gibi bırakmak temelde denklemden bir değişkeni çıkarır ve kötü adamların yalnızca şifrenizi tahmin etmesi gerektiği anlamına gelir.

Kullanıcılar WordPress 3.0'dan bu yana kurulum sırasında kendi yönetici kullanıcı adlarını seçebiliyorlar. Yükleme işlemi sırasında bu seçeneği almadıysanız ve panonuzdaki WordPress güncelleme uyarılarını görmezden geliyorsanız, şu anda bu yükseltmeleri gerçekleştirmek ve işinizi halletmek için mükemmel bir zaman olabilir.

Parolanız ikinci savunma hattınızdır ve eminim size güçlü parolalar seçmeniz ve her site için benzersiz parolalar kullanmanız söylenmesinden bıkmış olsanız da, bu gerçekten yapmanız gereken bir şeydir. Bunu organize bir şekilde yaptığınızda bunun için gereken küçük miktardaki çaba, güvenliği ihlal edilmiş bir siteyi onarmaya çalışmanın zorluğuyla karşılaştırıldığında önemsizdir.

İyi bir şifre yöneticisi neredeyse her zaman güçlü şifre oluşturma araçları içerecek ve çeşitli oturum açmalarınızı yönetmeyi çok kolay hale getirecektir. LastPass, Roboform ve 1Password bu konuda mükemmel seçeneklerdir.

Ek bir güvenlik katmanı için, iThemes güvenliği (aşağıdaki listemizde ele alınmıştır) gibi eklentileri kullanarak iki faktörlü kimlik doğrulamayı da etkinleştirmelisiniz. Site sahiplerinin, oturum açmayı mümkün olduğunca sorunsuz hale getirmek için bu adımı gözden geçirmesi kolaydır. Yine de bilinmeyen kaynaklardan başarısız giriş denemeleri hakkında ilk bildirimlerinizi aldığınızda seçeneği etkinleştirmiş olmaktan memnun olacaksınız.

2. Giriş Ekranınızı Güvenli Hale Getirin

Kullanıcı adınız/şifre kombinasyonunuz Fort Knox kadar güvenli olsa bile, giriş ekranınız kaba kuvvet saldırılarına karşı güvenli değilse, atanmış bir saldırgan yeterli süre verildiğinde panonuza potansiyel olarak erişebilir.

Bunu önlemenin kolay bir yolu, belirli bir süre içinde herhangi bir tek kaynaktan izin verilen oturum açma denemelerinin sayısını sınırlamaktır. Aynı IP adresinin defalarca başarısız bir şekilde oturum açmaya çalışması, kötü bir belleğe sahip birine atfedilebilirken, kullanıcı adlarının ve parolaların farklı permütasyonlarını deneyen bir saldırgan olması çok daha olasıdır.

Giriş ekranınız, doğru bilgileri sağlayamazlarsa, kullanıcılara hangi alanda hata yaptıkları konusunda da bilgi vermemelidir. Yukarıda belirtildiği gibi, saldırganların bir değişkeni ortadan kaldırarak seçeneklerini daraltmalarına yardımcı olabilecek her şeyden kaçınılmalıdır.

Captcha'lar, oturum açma ekranlarını botlardan gelen saldırılara karşı korurken de değerli bir araç olabilir. Becerikli bilgisayar korsanları, geçmişte siteleri kaba kuvvet uygulamak için gerçek insanlara çiftçilik captcha çözümü sunmuş olsalar da, hala küçük bir barikat kurmanıza yardımcı oluyorlar ve özellikle de kurulumlarının ne kadar kolay olduğu göz önüne alındığında, göz ardı edilmemelidir.

Alabileceğiniz başka bir önlem, şüpheli olarak kabul edilebilecek bir giriş denemesi olduğunda size gönderilecek bildirimleri yapılandırmaktır. Örneğin, gösterge panosuna erişimi olan tek kişi olmanız mı gerekiyor? O zaman neden Rusya'daki bir adam sabahın üçünde giriş yapmaya çalışıyor? Daha önce kara listeye alınmış IP adreslerini engellemek için bir güvenlik duvarı kurmak da mantıklı bir harekettir. Tüm bunlar, daha sonra listeleyeceğimiz eklentiler aracılığıyla gerçekleştirilebilir.

3. Dosya ve Klasör İzinlerini Anlayın

Vakaların büyük çoğunluğunda, WordPress varsayılanlarıyla çok fazla uğraşmanıza gerek yoktur, ancak genel olarak dosya izin modları hakkında en azından üstünkörü bir anlayışa sahip olmanıza değer.

Karşılaşacağınız en yaygın iki mod 644 ve 755'tir. Bunlar temel olarak her bir dosya veya dizini yöneten kurallar kümesini belirleyen kategorilerdir (yani dosyaları kim okuyabilir, açabilir veya değiştirebilir).

644 kipi altında kategorize edilen dosyalar ve dizinler sahipleri (sunucuda onları oluşturan kullanıcı) tarafından okunabilir ve yazılabilir (bu UNIX-speak'in herhangi bir şekilde değiştirilmesidir), ancak yalnızca herkes tarafından okunabilir. Bu, birçok dosya türü için ideal ayardır.

Bu arada 755 modu, tüm kullanıcıların bu dizine geçmesine izin verdiği için çoğunlukla klasörler için kullanılır. Zaman zaman belirli klasörlerin 755 olarak ayarlanmasını gerektiren eklentilerle karşılaşacaksınız.

Dosya ve klasör izinleri, yeniyseniz kafa karıştırıcı bir konu olabilir, ancak başka bir şey hatırlamıyorsanız, bir izin modunu 777 olarak ayarlamaktan her zaman kaçınmanız gerektiğini unutmayın – – bir eklenti sizden açıkça istese bile – ne yaptığınızı tam olarak bilmiyorsanız.

Bu mod temelde büyük bir hayırdır, çünkü kesinlikle herhangi bir kullanıcıya tam erişim sağlar, istedikleri zaman dizinleri okumalarına, yazmalarına veya silmelerine izin verir ve potansiyel olarak her türlü soruna neden olur.

4. Yedekleme, Yedekleme, Yedekleme

Ölümün gölgesi vadisinden geçsem bile, hiçbir kötülükten korkmayacağım, çünkü görevimi yerine getirerek yedekleri yaptım.

Yedeklemeler, site güvenliğinin o kadar basit ama çok önemli bir parçasıdır ki, müjde olarak vaaz edilmeleri gerekir.

Talihsiz bir güvenlik ihlali durumunda – felaket veya başka türlü – yeterli yedeklemeye sahip olduğunuz için çok müteşekkir olacaksınız. Bunları önceden yerine oturtamazsanız dönüş yolu uzun ve acı verici olabilir.

Buradaki tek potansiyel dezavantaj, yedeklemelerin güncel olmaması durumunda potansiyel veri kaybını riske atabileceğiniz yarı düzenli yedeklemeler yapıyor olmanızdır. Haftalık veya iki haftada bir yedekleme çoğu web sitesi için fazlasıyla yeterli olmalıdır ve bunlar eklentiler aracılığıyla otomatikleştirilebilir, böylece bunları manuel olarak gerçekleştirmeyi hatırlamanız gerekmez.

Büyük bir gereksiz yedekleme kitaplığı bulundurmaktan endişe ediyorsanız, bu olabilir. Ama sonra yine 2015 – çevrimiçi ve çevrimdışı depolama alanı hem gülünç derecede ucuz hem de içerdiği maliyet, getirdiği iç huzuruna değer. Ayrıca, yerden tasarruf etmek için belirli bir süre geçtikten sonra en eski anlık görüntüleri her zaman döndürerek depodan çıkarabilirsiniz.

5. WordPress'i Güncel Tutun

Hem WordPress'in kendisi hem de yüklediğiniz tüm eklentiler için "mevcut güncelleme" bildirimleriyle uğraşmak zorunda kalmanın ne kadar can sıkıcı olabileceğini hepimiz biliyoruz. Ancak, geliştirme ekiplerinin sürekli güncellemeleri zorlama sorunu yaşamasının bir nedeni var ve bu sadece yeni özellikler eklemek için değil.

WordPress'i kullanmak ne kadar kolay olsa da, yine de oldukça karmaşık bir CMS'dir. Bunun üzerine eklentiler ve aralarındaki etkileşimler eklediğinizde, geliştiricilerin kullanıcılarını korumak için üzerinde durmaları gereken oldukça büyük bir güvenlik açığı kutusunu açmış olursunuz.

Bu son güncellemeyi atlamak, bilgisayar korsanlarının faydalanmayı seveceği veya kullanmadığı göze batan bir güvenlik açığına sahip bir web sitesine sahip olmak arasındaki fark anlamına gelebilir.

Hazır buradayken, değişiklik günlüklerini de gözden kaçırmayın! Eklentiler veya WordPress sürümleri arasındaki uyumluluk sorunları hakkında önemli bilgileri kaçırabilirsiniz. Bu, bir web sitesini istemeden bozabilecek türden şeyler.

WordPress güvenlik sürümlerine dikkat etmek özellikle önemlidir, bu nedenle sitenizin mümkün olduğunca sık güncel olup olmadığını kontrol etmek için biraz zaman ayırın.

Endişelenme, Bunun İçin Bir Eklenti Var

Pekala, şimdi her WordPress site sahibinin aşina olması gereken beş temel güvenlik önlemini temel olarak anladınız. Codex'in Sertleştirme WordPress bölümünde WordPress sitesinin kendisi hakkında daha fazla harika bilgi bulabilirsiniz.

Şimdi dikkatimizi, sitenizi güvence altına almakla ilgili bazı ağır yüklerin üstesinden gelmenize yardımcı olacak mevcut en iyi eklentilerden bazılarına çevireceğiz.

Devam etmeden önce kısa bir uyarı: Herhangi bir eklentide olduğu gibi, ne kadar uzak olursa olsun, seçimlerimizde yer alan bazı özelliklerin açılmasının sitenizde kesintiye veya hatalara neden olma olasılığı vardır. Yeni kurulumlarda kurulumları genellikle daha kolaydır, bu nedenle canlı bir siteyle uğraşıyorsanız herhangi bir şey ayarlamadan önce tam bir yedekleme yapmanızı öneririz.

Beş olağanüstü genel WordPress güvenlik eklentisi seçimimize bakalım.

1. Wordfence Güvenliği

Uyumluluk: 4.3.1

Son güncelleme: 2015-9-14

Derecelendirme: 5 üzerinden 4,9 (bir milyonun üzerinde yükleme ile)

Şu anda WordPress için mevcut en popüler güvenlik eklentisi olan Wordfence Security, hem ücretsiz hem de premium sürümlere sahiptir. Kötü amaçlı kaynaklardan gerçek zamanlı engelleme, oturum açma güvenliği, kötü amaçlı yazılım taramaları, güvenlik duvarı, çoklu site desteği ve diğer birçok özellik sunar.

İzleme seçenekleri, WordPress kurulumunuza gelen tüm trafiği gerçek zamanlı olarak taramanıza ve insanları, botları, giriş denemelerini ve "site bulunamadı" hatalarını ayırmanıza olanak tanır.

Wordfence'in ana satış noktası, kötü niyetli sızma girişimlerini günlüğe kaydetmek ve “ağ” üzerindeki diğer tüm sitelerden gelen kaynakları engellemek için devasa aktif kullanıcı tabanından nasıl yararlandığıdır. Özünde, yazılım daha fazla insan yükledikçe saldırıları önlemede daha iyi hale gelir.

2. iThemes Güvenliği

Uyumluluk: 4.3.1

Son güncelleme: 2015-9-15

Derecelendirme: 5 üzerinden 4,7 (600.000'den fazla yükleme ile)

Daha önce Better WP Security olarak bilinen iThemes Security, hem ücretsiz hem de premium sürümlerde bulunan yerleşik bir WordPress güvenlik çözümüdür ve çoğu site sahibinin tabanını kapsayacak şekilde fazlasıyla yeterli olmalıdır.

Özellikleri arasında Google Authenticator veya Authy ile iki faktörlü kimlik doğrulama, kötü amaçlı yazılım taramaları, zorunlu şifre son kullanma tarihleri, dosya karşılaştırma, diğer kullanıcılara geçici olarak yönetici ayrıcalıkları verme yeteneği ve kullanıcı eylemlerinin ayrıntılı günlükleri bulunur.

3. Hepsi Bir Arada WP Güvenlik ve Güvenlik Duvarı

Uyumluluk: 4.3.1

Son Güncelleme: 2015-9-18

Derecelendirme: 5 üzerinden 4,9 (200.000'den fazla yükleme ile)

Adının hakkını veren bir çözüm. All In One WP Güvenlik ve Güvenlik Duvarı, size bir Güvenlik Gücü Ölçer, bir Güvenlik Noktası Dağılımı ve varsayılan kullanıcı adları, oturum açma kilitlemeleri, dosya izinleri ve güvenlik duvarı gibi kritik özelliklerin durumunu gösteren kullanıcı dostu bir arayüze sahiptir.

Özellikleri ince ayarı tercih edenler için temel, orta ve ileri bölümlere ayrılmıştır ve bunlar arasında hesap ve oturum güvenliği, kayıt güvenliği, veritabanı yedekleme, dosya sistemi koruması, kara listeye alma, güvenlik duvarı işlevleri, kaba kuvvet saldırı önleme ve çok daha fazlası bulunur.

Eklenti 11 dilde de mevcut olup, çok dilli siteler için mükemmel bir seçenektir.

4. Kurşun Geçirmez Güvenlik

Uyumluluk: 4.3.1

Son güncelleme: 2015-9-9

Derecelendirme: 5 üzerinden 4,7 (100.000'den fazla yükleme ile)

Bulletproof Security, WordPress kurulumlarında bulunan en yaygın güvenlik kusurlarından bazılarını çözmek için tek durak noktasıdır. .htaccess koruması, oturum açma güvenlik protokolleri, otomatik veritabanı yedeklemeleri, HTTP hata günlükleri, kimlik doğrulama tanımlama bilgilerinin sona ermesi ve çok sayıda başka özellik içerir.

Ayrıca, gerçek zamanlı dosya izleme, izinsiz giriş tespit ve önleme sistemleri, yalnızca eklentileriniz için bir güvenlik duvarı, istenmeyen posta önleme önlemleri ve modüler kapsama için 16 ayrı eklenti ekleyen 59,95 ABD doları tutarında profesyonel bir premium sürüm de bulunmaktadır.

Eklentinin kurulumu, manuel olarak veya her güvenlik özelliğini otomatik olarak açan tek tıklamalı bir sihirbaz aracılığıyla gerçekleştirilebilir.

5. Sucuri Güvenliği

4.2.5'e kadar uyumlu

Son güncelleme: 2015-7-30

Derecelendirme: 5 üzerinden 4,6 (100.000'den fazla yükleme ile)

Başka bir sağlam genel çözüm olan Sucuri Security, genel güvenlik denetimi, dosya değişiklikleri ve izinleri, kötü amaçlı yazılım taraması, kara listeler, güvenlik duvarı ve bildirimler sağlar.

Bildirimler e-posta yoluyla iletilir ve saat başına bir maksimum ayarlayabilir, kötü niyetli olarak kabul edilmeden önce aynı IP adresinden başarısız oturum açma eşiği tanımlayabilir ve hem başarılı hem de başarısız oturum açma ve değişiklik gönderme konusunda uyarı alabilirsiniz.

Tek Amaçlı Çözümler

Daha önce bahsedilen çok amaçlı eklentilerimiz çoğu durum için harika olsa da, web sitenizin yalnızca belirli bir yönünü güvence altına almakla ilgilenebilirsiniz.

Sonuçta, yalnızca belirli bir işi yapmakla ilgileniyorsanız, düzinelerce özelliği yapılandırmak gerçek bir güçlük olabilir. İşte üç kullanışlı tek amaçlı çözümün hızlı bir özeti.

1. WP-DB-Yedekleme

4.2.5'e kadar uyumlu

Son güncelleme: 2015-7-8

Derecelendirme: 5 üzerinden 4,6 (500.000+ yükleme ile)

WP-DB-Backup, adından da anlaşılacağı gibi, temel WordPress veritabanı dosyalarınızı yedeklemenizi sağlayan çok basit bir eklentidir.

Geliştirici bilinçli bir seçim yaptı, çünkü siteniz ihlal edilirse veya çökerse kurtarmanız gereken birincil şey onlar çekirdek veritabanı dosyalarının yedeklenmesine izin verir.

Veritabanınızı bir yedekten geri yüklemek için phpMyAdmin gereklidir, bu nedenle barındırma kontrol panelinizin bunu içerdiğinden emin olun. (%99,9 olacağından eminiz, ancak dikkatli olmaktan asla zarar gelmez).

2. Oturum Açma Güvenlik Çözümü

4.2.5'e kadar uyumlu

Son güncelleme: 2015-5-25

Derecelendirme: 5 üzerinden 4,3 (20,000+ yükleme ile)

Login Security Solution, adından da anlaşılacağı gibi, giriş ekranınızın güvenliğini sağlamaya adanmış basit bir eklentidir. “Form doldurucu” programları tarafından yapılan oturum açma denemelerini algılama, mevcut oturum açma denemelerini geçmiş denemelerle eşleştirme ve bir hesabın ele geçirilip geçirilmediğini belirleme gibi süreç içindeki anormallikleri algılamak için oluşturulmuştur. Ayrıca şifrelerinizin gücünü analiz edebilir, kullanıcıları sürekli olarak değiştirmeye zorlayabilir ve bir ihlal girişimi olduğunda sizi bilgilendirebilir.

Barbekü: Kötü Sorguları Engelle

Uyumluluk: 4.3.1

Son güncelleme: 2015-8-8

Derecelendirme: 5 üzerinden 5 yıldız (50.000+ yükleme ile)

Kötü Sorguları Engelle, listelerimizden herhangi birinin mükemmel bir inceleme puanına sahip tek üyesidir – sadece 35 incelemeden bahsediyor olsak bile etkileyici. Hafiftir, kurulumu kolaydır ve trafiğinizi tarayarak ve hatalı sorguları veya kötü amaçlı URL isteklerini engelleyerek tam da yapması gerekeni yapar.

Özet

Bu makaleden bir şey alacaksanız, o da şu olmalıdır: Panik yapmayın! Bilginizi genişletmek, sitenizi kilitlemenin ve sakin kalmanın anahtarıdır. İşte beş temel güvenlik önlemimizin kısa bir özeti:

• Güçlü kullanıcı adları ve şifreler kullanın.
• Giriş ekranınızı güvenli hale getirin.
• Dosya ve klasör izinlerini anlayın.
• Sitenizi yedekleyin.
• WordPress'i güncel tutun.

Bir site sahibi veya geliştiricisi olarak, her zaman endişelenecek güvenlik açıkları ve saldırı vektörleri olacaktır, ancak güvenli bir WordPress kurulumunu sürdürmek hiç bu kadar kolay olmamıştı. Platformun kendisi yıllar içinde önemli ölçüde güçlendirilmiştir ve ayarlarınızda arama yapmanıza ve geceleri daha iyi uyumanıza yardımcı olmak için yukarıda özetlediğimiz gibi mükemmel eklenti çözümleri vardır.

Paylaşmak istediğiniz herhangi bir WordPress güvenlik ipucunuz var mı? Yorumlarda bize bildirin.

sibgat / Shutterstock.com'dan makale küçük resmi.