iThemes Güvenlik Ayarları Kontrol Listesi: iThemes Güvenliği Nasıl Kurulur

iThemes Güvenlik eklentisi, tek tıklamalı bir WordPress Güvenlik kontrolü içerir, ancak diğer ayarlar ve eklentiyi web sitenizde nasıl düzgün bir şekilde yapılandıracağınız hakkında hala sorularınız olabilir.

Bu gönderide, ayarlar, Pro özellikleri ve temel WordPress güvenlik temelleri hakkında bir açıklama içeren eksiksiz bir iThemes Güvenlik kurulum kontrol listesinden geçeceğiz.

Tek Tıkla Kurulum WordPress Güvenlik Kontrolü

• Güvenlik Kontrolünü çalıştırın. iThemes Security'yi etkinleştirdikten sonra yapmak isteyeceğiniz ilk şey Güvenlik Kontrolünü çalıştırmaktır. Bu özellik, ortamınızı etkilemeyeceğini bildiğimiz önerilen ayarlarımızı etkinleştirerek size zaman kazandırmak için tasarlanmıştır. Two-Factor gibi bazı özelliklerin yine de ek yapılandırmaya ihtiyaç duyacağını unutmayın.

Genel Ayarlar

• Güvenlik bildirimleri için e-postanızın doğru olduğundan emin olun.
• Bildirimlerin yüklenmesine yardımcı olması için Özet E-posta Gönder'i etkinleştirin.
• Çeşitli kilitleme mesajlarını özelleştirebilirsiniz.
• İşte ana yasak ayarları. Bu, IP'lerin ne zaman kalıcı olarak yasaklanacağını belirlemek için özelliklerin kullandığı ölçüttür. Yasaklanan IP'ler .htaccess dosyasına yazılır.
• Kilitlenmesini önlemek için IP'nizi burada beyaz listeye alın.
• Güvenlik günlüklerinizi veritabanında mı yoksa sunucunuzda depolanan bir dosyada mı depolayacağınızı seçin.
• Kaynakların korunmasına yardımcı olmak için günlüklerin ne kadar süreyle tutulacağını seçin
• InfiniteWP hizmetini kullanıyorsanız, bunun için uyumluluğu etkinleştirmek isteyeceksiniz.
• Destek tarafından istenmedikçe Dosya Kilitlemeyi Devre Dışı Bırak özelliğini etkinleştirmeyin.
• Varnish veya Cloudflare gibi bir proxy hizmeti kullanmadığınızı biliyorsanız, IP'leri daha iyi tanımlamak için Proxy Hizmetini Geçersiz Kıl'ı etkinleştirebilirsiniz.
• Sitedeki güvenlik açıklarını belirlemek istiyorsanız Not Raporunu etkinleştirin. Not Raporu Modülünde kimlerin görebileceğini ayarlayabilirsiniz.

404 Algılama

• 404 Algılamayı etkinleştirmeden önce sitenizi bir 404 denetleyicisi ile kontrol etmek isteyeceksiniz. Sitenizde çok sayıda 404 varsa, meşru kullanıcıları ve botları kilitleyebilirsiniz.
• Kilitlemeler Hakkında bölümünde, Genel ayarlarınızdaki kilitleme kriterlerinizi fark edeceksiniz. 404 Algılama kilitleme ayarlarınız bu kriteri karşıladıktan sonra, IP'ler .htaccess'e yazılacak ve kalıcı olarak yasaklanacaktır.
• Kilitlenmeye neden olmasını istemediğiniz 404'leri biliyorsanız, bunları 404 beyaz listesine yerleştirebilirsiniz.
• Kilitlenmelere neden olmamasını istediğiniz dosya uzantılarını belirtebilirsiniz.

Uzakta Modu

Dışarıda Modu, gerekmediğinde kendiniz dahil olmak üzere giriş sayfanızı tamamen kilitlemenin bir yolunu sunar.

• Ne zaman etkinleştirmek istediğinizi yapılandırmadan önce, geçerli saatinizin site saatiyle eşleştiğinden emin olun.
• Bir kez etkinleştirilmesini veya her gün tekrarlanmasını seçin.
• Dışarıda Modu etkinken siteye girmeniz gerekiyorsa, wp-content > uploads > ithemes-security içinde bulunan itsec_away.confg dosyasını silmeniz gerekir.

Yasaklanan Kullanıcılar

Hack Repair Default Blacklist, ihtiyacınız olmayabilecek bilinen birkaç kötü aktör ve bot içeren bir kara listeye olanak tanır. Ancak, üçüncü taraf uygulamalardan yararlanan bazı sitelerin bunlardan bazılarına ihtiyacı vardır. Etkinleştirdikten sonra sitenizin tam işlevselliğini kontrol edin.

• Sitenizden yasaklanacak IP'lerin ve IP aralıklarının listesi. IPv4 veya IPv6 biçimlerini kullanabilirsiniz.
• Belirli kullanıcı aracılarını yasaklayabilirsiniz.

Yerel Kaba Kuvvet Koruması

Kilitlemeler Hakkında bölümünde, Genel ayarlarınızdaki kilitleme kriterlerinizi fark edeceksiniz. Brute Force kilitleme ayarlarınız bu kriterleri karşıladığında, IP'ler .htaccess'e yazılacak ve kalıcı olarak yasaklanacaktır.

• "admin" kullanıcı adıyla oturum açmaya çalışan bir kullanıcıyı otomatik olarak kilitlemeyi seçebilirsiniz. Sitenizde bu kullanıcı adına sahip bir kullanıcı yoksa bu özelliği etkinleştirmelisiniz.

Veritabanı Yedeklemeleri

• Manuel olarak bir yedekleme oluşturun ve bir zamanlama ayarlayın.
• Yedekleme yöntemini ve kaç yedeğin tutulacağını seçin.
  Günlükler veya geçici tablolar gibi yedeklenmeniz gerekmeyen tablolarınız varsa, kaynakları korumak için bunları hariç tutabilirsiniz.
• Zamanlanmış yedeklemeleri etkinleştirmeyi seçerseniz, ne sıklıkta çalışacağını ayarlayabilirsiniz.

Dosya Değişikliği Algılama

Sitenizde neler olduğuna bağlı olarak bu, eklentideki en yoğun kaynak gerektiren özellik olabilir.

• Taramaları daha verimli hale getirmek için Bölünmüş Dosya Taramayı etkinleştirin.
• Taranan dosya ve dizinleri dahil etmeyi veya hariç tutmayı seçebilirsiniz. Beyaz gürültüyü susturmaya yardımcı olmak için genellikle bilinen işlemlere sahip dosyaları hariç tutmanızı öneririm. Buna bir örnek, dosyaları, yedekleme dizinlerini ve .htaccess dosyasını önbelleğe almak olabilir. Tabii ki, bu kişisel tercihtir.
• Dosya değişikliklerinden nasıl haberdar olunacağını seçin.
• Çevrimiçi Dosyaları Karşılaştır, iThemes ve WordPress Core dosyalarınızı tarar ve herhangi bir değişikliğin kötü amaçlı olup olmadığını size bildirir.

Dosya İzinleri

Dosya İzinleri, dizininize ve dosya izinlerinize hızlı bir genel bakış sağlar ve önerilen değerleri verir. Farklı ortamlar farklı izinler kullanır ve sorun değil.

• Dizinlerinizin 777 ve dosyalarınızın 666 olmadığından emin olun.

Ağ Kaba Kuvvet Koruması

• Bunu etkinleştirdiğinizde, iThemes kara listemizi "kalabalıkla paylaşabilirsiniz". Ağımızdaki başka bir sitede herhangi bir IP yasaklanmışsa, sitenizden de yasaklanacaktır.

SSL

• SSL modülü, sitenizin tamamında, sayfa başına veya siteniz SSL'yi destekliyorsa gösterge tablosunda SSL'yi zorlamanıza olanak tanır. SSL'li sitelerin mutlaka buna ihtiyacı olmadığını, yalnızca https'ye yönlendirmeleri zorlamayan sitelerin buna ihtiyacı olduğunu unutmayın.

Güçlü Parola Uygulaması

• Kullanıcıları, WordPress şifre ölçer tarafından derecelendirilen güçlü şifreler kullanmaya role göre zorlayabilirsiniz.

Sistem Değişiklikleri

• Sistem Dosyaları – Hassas dosyaların halk tarafından görüntülenmesini engeller.
• Dizin Tarama – Bir index.php dosyası olmadığında kullanıcıların sitenin dizin listesini görmelerini engeller.
• İstek Yöntemlerini Devre Dışı Bırak – İz, silme ve izleme isteği yöntemleriyle isabetleri filtreleyin. Bu, bu HTTP protokol yöntemlerinin sitenize erişmesini engeller. Yasal olarak kullanılabilseler de, çapraz komut dosyası oluşturma saldırılarında da kullanılabilirler. REST API kullanıyorsanız, bunları devre dışı bırakmamalısınız.
• Şüpheli Sorgu Dizeleri – SQL enjeksiyonlarıyla mücadeleye yardımcı olur.
• İngilizce Olmayan Karakterler – SQL enjeksiyonlarıyla mücadeleye yardımcı olur, ancak İngilizce olmayan sitelerde asla kullanılmamalıdır.
• Uzun URL'ler – SQL enjeksiyonlarıyla mücadeleye yardımcı olur.
• Dosya Yazma İzinleri – .htaccess ve wp-config.php dosyalarını daha güvenli bir 444 izniyle değiştirir. Varsayılan olarak, daha az güvenli bir 644'tür.
• Yüklemelerde PHP'yi Devre Dışı Bırak – Bu, işlevselliği etkilemez. Dış kaynakların potansiyel olarak kötü amaçlı komut dosyaları yürütmesini engeller.
• Eklentilerde PHP'yi Devre Dışı Bırak – Bu, işlevselliği etkilemez. Dış kaynakların potansiyel olarak kötü amaçlı komut dosyaları yürütmesini engeller.
• Temalarda PHP'yi Devre Dışı Bırak – Bu, işlevselliği etkilemez. Dış kaynakların potansiyel olarak kötü amaçlı komut dosyaları yürütmesini engeller.

WordPress Düzenlemeleri

• Windows Live Writer – Kontrol panelinizin dışında blog yazmak için üçüncü taraf bir uygulama kullanmıyorsanız, bu dosyaya erişimi devre dışı bırakın.
• Gerçekten Basit Keşif – Onu kullanan bir hizmet kullanmıyorsanız, devre dışı bırakın.
• Yorum Spam'i – Bunu etkinleştirmek spam'ı azaltmaya yardımcı olur.
• Dosya Düzenleyici – Bunu etkinleştirmek, yalnızca sunucuya doğrudan erişimi olanlarla tema ve eklentileri düzenlemeyi sınırlayan Dosya Düzenleyiciyi devre dışı bırakır.
• XML-RPC – Bu dosya sitenize erişime izin verebilir. Sitenizdeki hiçbir şey kullanmıyorsa, devre dışı bırakın. Jetpack veya WordPress Mobil uygulamasını kullanıyorsanız, Geri Pingleri Devre Dışı Bırak olarak ayarlayın.
• XML-RPC İsteği Başına Birden Çok Kimlik Doğrulama Denemesi – XML-RPC dosyası, bir kaba kuvvet saldırısının istek başına yüzlerce deneme yapmasına izin verebilir. Bu devre dışı bırakılmalıdır.
• REST API – Varsayılan olarak, REST API gönderilere, kullanıcılara ve medyaya genel erişim sağlayabilir. Yalnızca bu bilgilere erişimi olan oturum açmış kullanıcılarla sınırlandırılmalıdır.
• jQuery'yi Güvenli Bir Sürümle Değiştirin – Bu özellik, WordPress sürümünüz için doğru jQuery sürümünü kullanmanızı sağlar.
• Oturum Açma Hata Mesajları – Hata mesajlarını devre dışı bırakmak, oturum açmanın başarısız olma nedenini gizleyerek saldırıyı daha fazla izole etmeyi zorlaştırır.
• Benzersiz Takma Adı Zorla – Bu, yeni kullanıcıları ve profillerini güncelleyen kullanıcıları, kullanıcı adlarının toplanmasını önlemek için bir takma ad kullanmaya zorlayarak kullanıcı numaralandırmayla mücadeleye yardımcı olur.
• Kullanıcı adı toplamayı daha da önleyin.
• Sekmeye Karşı Koruyun – Bir dış siteye bağlanıldığında kimlik avı saldırılarını önler.
• E-posta Adresi veya Kullanıcı Adı ile Giriş Yap – Kullanıcıların kullanıcı adı, e-posta adresi veya her ikisi ile giriş yapıp yapamayacağını seçin.
• Ek Dosya Geçiş Saldırısını Azaltın – WordPress 4.9.6 ve önceki sürümleri, belirli yeteneklere sahip bir kullanıcının, yükleme dizini dışındaki dosyaları silme girişiminde bulunmasına potansiyel olarak izin verebilir.

WordPress Tuzları

WordPress, fazla teknik olmadan, oturum açmış kullanıcıların ve yorum yapanların kimliğini doğrulamak için çerezleri (veya tarayıcınızda depolanan bilgileri) kullanır, bu nedenle WordPress ayrıca wp-config.php dosyasında gizli kimlik doğrulama güvenlik anahtarları ve tuzları içerir. Diğer şifreler gibi, WordPress tuzlarınızı da zaman zaman değiştirmek iyi bir uygulamadır.

Gelişmiş özellikler

• Arka Ucu Gizle – Arka Ucu Gizle özelliği, oturum açma bilginizi değiştirmenize olanak tanır. WordPress yönetici URL'nizi değiştirmek, iyi bir ekstra güvenlik katmanı ekler, ancak İki Faktörlü ve Güçlü Parolaların yerini almamalıdır. Bu özellik, diğer eklentiler ve temalarla çakışma olasılığı nedeniyle Gelişmiş ayarlar sayfasındadır.

Yönetici Kullanıcı

Bazı WordPress kurulumları, 1 veritabanı kullanıcı kimliğine sahip standart bir yönetici kullanıcı adı ile gelir. Bu özellik, her ikisini de değiştirmenize olanak tanır.

• Sitenizin bir kullanıcı adı yöneticisi yoksa, değiştirme seçeneği mevcut olmayacaktır.
• Bu özelliği kullanmadan önce bir yedekleme yapmalısınız. Güncelleme sırasında bir şeyler ters giderse, kurtarmanın en kolay yolu budur.

İçerik Dizinini Değiştir

Bu özellik, wp-içerik dizininizi yeniden adlandırarak gizlemenize olanak tanır.

• Site bozulursa geri alma seçeneği vardır, ancak bu özelliği kullanmadan önce yine de bir yedekleme yapmalısınız.

Veritabanı Önekini Değiştir

• Varsayılan olarak, tüm WordPress sitelerinde wp_ öneki bulunur. Bu özellik, sitenizi rastgele bir şeye değiştirerek daha da gizler.
• Bu özelliği kullanmadan önce bir yedekleme yapmalısınız. Güncelleme sırasında bir şeyler ters giderse, kurtarmanın en kolay yolu budur.

Sunucu Yapılandırması ve wp-config.php Kuralları

• iThemes Security'nin bu dosyalara yazmasına izin vermemiş olabilirsiniz veya herhangi bir nedenle yazamıyor olabilir. Bunları manuel olarak eklemek için burada bulabilirsiniz.

iThemes Security Pro Özellikler pro

Sihirli Bağlantılar

Kullanıcı adınız bir kaba kuvvet saldırısı nedeniyle kilitlendiğinde kullanılacak alternatif bir bağlantı olduğunda Sihirli Bağlantıların bir e-posta alması için etkinleştirin.

Kötü Amaçlı Yazılım Tarama Planlaması

sitecheck.sucuri.net kötü amaçlı yazılım tarayıcısını entegre ettik. Sağ kenar çubuğundaki tarayıcı, ana sayfanızı hızlı bir şekilde tarar.

• Zamanlamayı etkinleştirmek, tarayıcıyı tüm sitenizi günde iki kez taramaya ayarlayacaktır. Sorunlar bulunduğunda bir bildirim e-postası yapılandırabilir veya günlükleri kontrol edebilirsiniz.

Ayrıcalık Yükseltme

• Herhangi bir kullanıcıya geçici Yönetici ayrıcalıkları verebilir ve istediğiniz gün içinde süresinin dolması için ayarlayabilirsiniz.

parola gereksinimleri

• Parola Süresi Sonu – WordPress parolanızı rutin olarak güncellemek en iyi uygulamadır. Password Expiration ile, rollere göre kullanıcıları X gün içinde parolalarını güncellemeye zorlayabilirsiniz.
• Güçlü Parolalar – Kullanıcıları, kullanıcı rolüne göre güçlü parolalar kullanmaya zorlayın.
• Ele Geçirilmiş Parolaları Reddet – Kullanıcıları Have I Been Pwned tarafından izlenen parola ihlallerinde görünmeyen parolaları kullanmaya zorlayın.

reCAPTCHA

• reCAPTCHA ile giriş sayfanıza, kayıt ve yorumlarınıza ekstra bir savunma katmanı ekleyebilirsiniz. Çoğumuzun aşina olduğu V2 ile kullanıcının bir kutuyu işaretlemesini bile gerektirmeyen yeni Görünmez reCAPTCHA arasında seçim yapabilirsiniz.
• Kaç başarısız denemenin bir kilitleme ile sonuçlanacağını yapılandırabilirsiniz.

Ayarlar İçe ve Dışa Aktarma

• Ayarlarınızı paylaşmak istediğiniz birçok siteniz olabilir veya bunların bir yedeğini alabilirsiniz. Bu özellik işi gerçekten kolaylaştırıyor. Bir dışa aktarma oluşturmak ve almak için bir e-posta girin veya ayarları siteye yüklemek zorunda olduğunuz bir dışa aktarma seçin.

İki Faktörlü Kimlik Doğrulama

• Bu, eklentideki en iyi, en güvenli özelliklerden biridir. Bir saldırgan WordPress kimlik bilgilerinizi bir şekilde ele geçirirse, cihazınıza, e-postanıza veya yedek kodlarınıza erişmesi de gerekir.
• Kullanıcıları rollerine veya yeteneklerine göre Two-Factor kullanmaya zorlayın.
• Two-Factor kullanmayan kullanıcılarınız veya eski yazılımlara sahip bir siteniz varsa, onları da kullanmaya zorlayabilirsiniz.

Kullanıcı Günlüğü

• Bu, sitede oturum açma ve içeriği değiştirme gibi kullanıcı eylemlerini izlemek için kullanışlıdır.

Sürüm Yönetimi

Sitelerinizdeki her şeyi güncel tutmak çok önemlidir. Yazılım her zaman bir güvenlik açığına sahip olma şansına sahiptir ve güncel kalmazsanız, keşfedildikten sonra istismar edilebilir. Bu özellikler, WordPress Core'u, eklentileri ve temaları otomatik olarak güncellemenize olanak tanır ve site güncel olmayan yazılımlar çalıştırdığında ekstra bir güvenlik katmanı ekler.

• Eski WordPress Sitelerini Tara – Güvenliği ihlal edilmiş olabilecek eski WordPress kurulumları için barındırma hesabınızda günlük tarama yapmak üzere bir tarama ayarlayın.
• Eski Yazılımları Çalıştırırken Siteyi Güçlendirin – Mevcut yazılım güncellemeleri en az bir aydır güncellenmediğinde ekstra güvenlik sağlar.
• Otomatik Güncelleme WordPress Çekirdeği, Eklentiler ve Temalar – Sitedeki tüm yazılımlar için otomatik güncellemeleri yapılandırın.

Kullanıcı Güvenlik Kontrolü

Bu özellik, kullanıcılarınıza hızlı bir genel bakış sağlar. İki Faktörü yapılandırıp yapılandırmadıklarını görün ve değilse, etkinleştirmeleri için onlara bir e-posta gönderin. Kullanıcı parolalarının ne kadar güçlü olduğunu, en son ne zaman etkin olduklarını, kaç oturum açtıklarını görün ve kullanıcı rollerini geçici olarak ayarlayın.

iThemes Güvenlik Günlükleri

iThemes Güvenlik Günlükleri, sitede günlüğe kaydedilen tüm eylemlere ilişkin bir genel bakış sunar. Tüm Günlüğe Kayıtlı Veriler bölümü size tüm eylemlere ilişkin bir genel bakış sunar.

• Eylemlerin daha ayrıntılı Günlükleri için, açılır menüden Geçersiz Oturum Açma Denemeleri, Kullanıcı Eylemleri, 404 Hata Bulundu, Dosya Değişiklik Geçmişi ve Kötü Amaçlı Yazılım Taraması'nı seçebilirsiniz.
• Bazılarının, eylem hakkında daha spesifik bilgiler gösterecek bir ayrıntılar bağlantısı vardır.

Not raporu

Sitedeki güvenlik açıklarını belirlemeye ve çözmeye yardımcı olan Not Raporunu hangi kullanıcıların görebileceğini yapılandırın.

Web Seminerini İzleyin: iThemes Security Setup Essentials

iThemes Security Pro'yu edinin

WordPress sitenizi güvenli hale getirmenin ve korumanın 30'dan fazla yolu olan WordPress güvenlik eklentimiz iThemes Security Pro'yu edinin.

iThemes Security Pro'yu edinin