Web Sitesi Güvenliği ve SSL Sertifikası: Sitenizi Siber Tehditlere Karşı Koruyun

Web sitesi güvenliği, markanızın dijital varlığının temel taşıdır. Bir güvenlik açığı, müşteri verilerinin çalınmasına, itibar kaybına ve hatta yasal sorunlara yol açabilir. SSL sertifikası ise sitenizin güvenli olduğunu gösteren en temel unsurdur. Bu yazıda SSL sertifikasından başlayarak sitenizi korumak için atılacak temel adımları anlatıyorum.

SSL Sertifikası Nedir ve Neden Gereklidir?

SSL (Secure Sockets Layer), web siteniz ile ziyaretçilerin tarayıcısı arasındaki veri akışını şifreleyen bir güvenlik protokolüdür. SSL sertifikası olan siteler "https" ile başlar ve tarayıcıda kilit simgesi gösterir. Google, SSL sertifikası olmayan siteleri "Güvenli Değil" olarak işaretler ve sıralamada cezalandırır. Bugün neredeyse tüm hosting sağlayıcıları ücretsiz SSL sertifikası sunuyor, bu yüzden maliyet artık bir engel değil.

WordPress ve Hazır CMS'lerin Güvenlik Riskleri

WordPress gibi hazır CMS sistemleri, sürekli güncelleme gerektirir ve eklenti açıklarına karşı savunmasızdır. Her gün binlerce WordPress sitesi hacklenmektedir. Saf kod (HTML/CSS/JS) ile yazılan sitelerde ise bu riskler neredeyse sıfırdır.

Web Sitesi Güvenliği İçin Alınması Gereken Önlemler

SSL sertifikası kullanın: Tüm siteniz https ile çalışmalıdır. Güçlü şifreler kullanın: Yönetici panelleriniz için tahmin edilmesi zor şifreler belirleyin. Düzenli yedekleme yapın: Sitenizin yedeğini düzenli olarak alın. Güvenlik duvarı kullanın: Web uygulama güvenlik duvarı ile sitenizi koruyun.

Yedekleme sıklığı sitenizin ne kadar sık değiştiğine göre belirlenmeli. İçeriği ayda birkaç kez güncellenen kurumsal bir site için haftalık yedekleme yeterli olabilir, ama günlük sipariş veya form verisi alan bir site için günlük yedekleme daha güvenli bir seçim. Yedeğin varlığı kadar, o yedeğin gerçekten geri yüklenebilir olduğunu ara sıra test etmek de önemli; hiç test edilmemiş bir yedek, ihtiyaç anında çalışmayabiliyor. Yedekleme planının ayrıntısını, siteniz silinirse ne olacağıyla birlikte yedekleme ve felaket kurtarma yazımda anlattım.

Hacklenen Bir Site Nasıl Kurtarılır?

Siteniz hacklendiyse öncelikle hosting sağlayıcınızdan yardım alın. Yedeğiniz varsa siteyi geri yükleyin. Tüm şifreleri değiştirin. Güvenlik açığını tespit edip kapatın. Teknik bir destek almak en doğru yaklaşımdır.

HTTP Güvenlik Başlıkları Neden Görünmüyor ama Önemli

SSL ve şifre dışında, çoğu site sahibinin hiç duymadığı ama tarayıcı seviyesinde koruma sağlayan bir katman daha var: HTTP güvenlik başlıkları. Content-Security-Policy (CSP), sitenizin hangi kaynaklardan kod veya içerik yükleyebileceğini sınırlandırır, bu sayede siteye izinsiz bir script enjekte edilse bile çalışması engellenir. X-Frame-Options, sitenizin başka bir sayfanın içine görünmez bir çerçeve (iframe) olarak gömülüp kullanıcıyı kandırmasını (clickjacking) önler. HSTS (Strict-Transport-Security) ise tarayıcıya sitenize her zaman şifreli bağlantıyla gitmesini zorunlu kılar, düz http üzerinden bağlanma girişimini engeller.

Bu başlıklar görünür bir arayüz değil, sunucu yapılandırmasının bir parçası; sitenize bakan bir ziyaretçi bunların var olup olmadığını fark etmez, ama bir saldırgan fark eder. Kurduğum sitelerin tamamında bu başlıkları baştan tanımlıyorum, sonradan eklenmesi gereken bir yama değil, mimarinin bir parçası olarak ele alıyorum. Mevcut bir sitede bu başlıkların olup olmadığı, tarayıcının geliştirici araçlarındaki ağ (network) sekmesinden herkes tarafından kontrol edilebiliyor.

API Anahtarı Sızıntısı: Az Bilinen ama Sık Görülen Açık

Sitenizde bir form, chatbot veya harita entegrasyonu varsa, bu genelde bir üçüncü taraf servisin API anahtarını gerektirir. Bu anahtarın doğrudan sayfanın kaynak koduna (istemci tarafına) yazılması yaygın bir hata; herkes tarayıcıdan "kaynağı görüntüle" dediğinde bu anahtarı görebiliyor ve kötüye kullanabiliyor. Doğru yaklaşım, hassas anahtarları sunucu tarafında (örneğin bir fonksiyon üzerinden) tutmak, tarayıcıya hiç göndermemek. Sitelerimde kullandığım tüm API anahtarları bu şekilde, yalnızca sunucu tarafında tanımlı.

Bu konuları tek tek kendiniz takip etmek yerine, mevcut bir sitenin bu açılardan durumunu net bir raporla görmek isterseniz güvenlik denetimi hizmetimden faydalanabilirsiniz; dosya ve satır bazlı somut bulgularla ilerliyorum, genel bir "güvenlidir" ifadesiyle geçiştirmiyorum, her bulguyu nerede olduğu ve nasıl düzeltildiğiyle birlikte raporluyorum.

Web sitesi güvenliği, ihmal edilemeyecek kadar önemlidir. Saf kodlu, güvenli ve düzenli yedeklenen bir site ile siber tehditlere karşı önlem alabilirsiniz. Tüm projelerimde güvenliği ön planda tutuyorum.

Yönetici hesaplarını korumak

Siteye girişin en zayıf halkası çoğu zaman kodun kendisi değil, hesaplardır. Barındırma paneli, alan adı hesabı, e-posta ve site yönetim paneli için ayrı ve güçlü parolalar kullanın, mümkün olan her yerde iki adımlı doğrulamayı açın. Alan adınızda transfer kilidi açık olmalı: bu, alan adının izniniz olmadan başka bir firmaya taşınmasını zorlaştırır.

Sunucuda unutulan dosyalar

Siteler yayına alınırken yedek arşivleri, eski test sayfaları, kurulum dosyaları ya da sürüm kontrol klasörleri kamuya açık dizinde unutulabiliyor. Bu dosyalar adresi bilen herkes tarafından indirilebilir ve içinde şifre ya da yapılandırma bilgisi bulunabilir. Kurduğum sitelerde bu tür dosyaları yayına almıyorum, gizli klasörlere gelen istekleri ise kuralla kapatıp 404 döndürüyorum.

E-posta güvenliği: SPF, DKIM ve DMARC

Alan adınızdan sahte e-posta gönderilmesini zorlaştıran üç DNS kaydı var: SPF, DKIM ve DMARC. Bunlar tanımlı değilse biri adınıza fatura ya da ödeme talebi gibi e-postalar gönderebilir ve gerçek e-postalarınız da spam klasörüne düşebilir. Kayıtlar tek seferlik kurulur ve alan adı sağlayıcınızın panelinden yönetilir.

Bir siteye güvenlik gözüyle ilk nasıl bakıyorum?

İlk işim adres çubuğuna /.git, /.env ve /yedek gibi yolları yazmak. Cevap 404 olmalı. Bir dosya iniyorsa sorun büyük demektir. Sonra güvenlik başlıklarına, sertifikanın bitiş tarihine ve çerez ayarlarına bakıyorum. Bunları elle tek tek denemek uzun sürdüğü için kendi panelimde bir güvenlik taraması çalıştırıyorum. Tarama hassas yolları, başlıkları ve sertifika süresini tek raporda gösteriyor. Rapor bulguyu söylüyor, düzeltmeyi ayrıca yapıyorum. WordPress kullanan bir sitede aynı kontrole eklenti listesi de girer, bu farkı WordPress mi saf kod mu yazımda anlattım.

Güvenlik kontrolü ne sıklıkla yapılmalı?

Her güncellemeden sonra ve en az üç altı ayda bir şunlara bakmanızı öneririm: SSL sertifikasının bitiş tarihi, güvenlik başlıklarının yerinde olup olmadığı, yedeğin geri yüklenebildiği, artık kullanılmayan hesapların ve eklentilerin silinmiş olduğu.

Sık Sorulan Sorular