WordPress Güvenli mi? Yanlış Bilinenlerin Arkasındaki Gerçek

Birçok kişi WordPress’in “güvensiz”, “kolay hacklenebilir” bir sistem olduğunu düşünüyor. Bu düşünce maalesef yanlış anlamalara dayanıyor. WordPress’in kendisi açık kaynaklı, dünya çapında milyonlarca web sitesinde kullanılan bir içerik yönetim sistemidir (CMS). Hızla güncellenir ve geniş bir güvenlik topluluğu tarafından desteklenir.

WordPress’in güvensiz görünmesinin temel nedeni yanlış kullanım, güncel olmayan yazılımlar ve güvenlik önlemlerinin alınmamasıdır. Popüler olması, onu saldırı hedefi haline getirir; ancak doğru yapılandırma ile WordPress siteleri gayet güvenli hale getirilebilir.

Bu yazıda aşağıdaki konuları ele alacağız:

• WordPress’te yaygın saldırı türleri ve neden etkili oldukları
• Güvenlik eklentileri ve neden mutlaka kullanılmaları gerektiği
• Basit güvenlik ayarlarıyla saldırılardan nasıl korunabileceğiniz
• Yapılması gerekenler ve yapılmaması gerekenler

WordPress’te En Sık Görülen Saldırı Türleri

Aşağıdaki saldırılar, çoğu zaman site sahibinin ihmalinden kaynaklı olarak etkili olurlar. Bunları anlamak, doğru önlemleri almayı kolaylaştırır:

1. XML-RPC Saldırıları

XML-RPC, eski bir WordPress API özelliğidir ve kötü niyetli kullanıcıların çok sayıda istek göndererek siteyi yavaşlatmasına ya da erişim sağlamasına neden olabilir.

2. Bruteforce Saldırıları

Sitenizin giriş formuna yüzlerce – hatta binlerce yanlış parola denenmesiyle yapılan saldırılardır. Basit kullanıcı adı ve şifre kombinasyonları bu tür saldırılara kolay hedef olur.

3. ?author=1 ve /wp-json/wp/v2/users Gibi URL Sorgulamaları

Bu URL’ler, sistemdeki kullanıcı adlarını ortaya çıkarabilir. Kullanıcı adlarının bilinmesi, şifre tahmini saldırılarını kolaylaştırır.

4. Eski Eklenti ve Tema Açıkları

Güncel olmayan tema ve eklentilerde bulunan açıklar, hackerların kötü amaçlı araçlar (örneğin WPScan gibi) kullanarak tespit etmelerine ve saldırmalarına yol açabilir.

WordPress’i Hacklenmekten Nasıl Korursunuz?

1. Kesinlikle Bir Güvenlik Eklentisi Kullanın

WordPress’te hacklenmemek için güvenlik eklentisi kullanmak şarttır. Basit saldırılardan korunmak için bu eklentiler:

Wordfence Security

Popüler bir firewall (güvenlik duvarı) ve malware scanner eklentisidir. Giriş koruması, IP engelleme ve dosya bütünlüğü kontrolü sunar.

Resmî web sitesi:
👉 https://www.wordfence.com/

Sucuri Security

Web sitesi güvenliğini kapsamlı şekilde ele alır. Dosya taraması, firewall, malware temizleme gibi özellikleri vardır. Sadece wordpress için değil, birçok CMS paneli için kullanımı mümkündür.

Resmî web sitesi:
👉 https://sucuri.net/

Security Optimizer – The All-In-One Protection Plugin (Bizim Tavsiyemiz)

Web sitenizi korumak için kapsamlı bir çözüm sunar. Firewall, malware tarama, giriş koruması ve spam engelleme gibi tüm kritik güvenlik önlemleri tek bir eklentide toplanmıştır.

Resmî web sitesi:
👉 https://world.siteground.com/wordpress-plugins/siteground-security

Bu eklentiler, WordPress’in çekirdek yapısına ek güvenlik katmanları sağlar.

2. Cloudflare Turnstile veya CAPTCHA Kullanın

Bruteforce ve spam saldırılarına karşı sitenizde Cloudflare Turnstile ya da benzeri bir doğrulama sistemi kullanmak çok etkilidir. Bu tür araçlar, otomatik botları engeller ve sadece gerçek kullanıcıların giriş yapmasına izin verir.

CAPTCHA, belli bir kullanım sonrası ücret talep etmektedir, fakat Cloudflare Turnstile tamamen ücretsizdir. Bu sebeple daha fazla tavsiye edilir.

Bu sayede:

• Giriş sayfanız saldırı botları tarafından zorlanamaz
• Form spam’leri azalır
• Kaynak kullanımı düşer

3. Admin Kullanıcısı ile Yazı Yazmayın

WordPress’te sık yapılan hatalardan biri admin hesabını doğrudan içerik üretimi için kullanmaktır.

Önerilen yaklaşım:

• İçerik yazmak için Editor rolü
• Temel düzenleme için Author
• Sadece gerektiğinde Admin rolü kullanın

Bunun nedeni, admin hesabının tahmin edilmesi durumunda tüm siteye erişim izinlerinin açılmasıdır. Editor veya Author rollerine sınırlı izinli hesaplar kullanmak, riskleri ciddi oranda azaltır.

4. Eklentileri Sürekli Güncel Tutun

Güncel olmayan eklentiler, hackerların kötü amaçlı araçlarla (örneğin WPScan gibi) taranabilir. Bu araçlar, sitenizin eski sürümdeki açıkları tespit ettikten sonra buna bağlı saldırılar yapabilir.

Bu yüzden:

• Tüm eklentileri düzenli güncelleyin
• Tema güncellemelerini takip edin
• WordPress çekirdeğini güncel tutun

Ekstra Güvenlik Önlemleri

5. XML-RPC’yi Devre Dışı Bırakın

XML-RPC, modern API istekleri yerine eski ve saldırılara açık bir protokoldür. Kullanılmıyorsa kapatılmalıdır.

Bunu .htaccess üzerinden hızlıca yapabilirsiniz:

# XML-RPC’yi Kapat
<Files xmlrpc.php>
  order deny,allow
  deny from all
</Files>

6. wp-config.php Dosyasını Güçlendirin

Wp-config.php, WordPress’in en hassas dosyasıdır. Şunları eklemek, saldırıları zorlaştırır:

define('DISALLOW_FILE_EDIT', true); // Eklenti dosya editlerini kapatır
define('FORCE_SSL_ADMIN', true); // Admin girişini SSL yapar

7. Dosya İzinlerini Doğru Yapılandırın

WordPress dizin izinleri olması gerektiği gibi yapılandırılmalıdır. Örnek:

• Dizin: 755
• Dosya: 644

Yanlış izinler, kötü amaçlı yazılımların dosyalarınıza erişmesini kolaylaştırabilir.

8. Güçlü Kullanıcı Adı ve Şifre Kullanın

Bu çok temel ama etkili bir güvenlik önlemidir.
“admin” kullanıcı adını kullanmamak ve karmaşık parolalar tercih etmek saldırı yüzeyini azaltır.

WordPress’te Yapılmaması Gerekenler

1. Basit Kullanıcı Adı ve Şifre Kullanmayın

Bruteforce saldırıları genellikle “admin / 123456” gibi kombinasyonları dener. Basit şifreler ile saldırılardan kaçınamazsınız.

2. Crack (Korsan) Eklentiler Kurmayın

Korsan temalar veya eklentiler:

• Zararlı yazılım içerebilir
• Güncelleme almaz
• Güvenlik açıkları barındırır

Bunlar, hackerların sitenize sızmasını kolaylaştırır.

3. Gereksiz Eklenti Kullanmayın

Her ekstra eklenti, ekstra kod demektir. Fazla kod = fazla potansiyel güvenlik açığıdır. Mümkün olan en az sayıda eklenti kullanın ve sadece güvenilir, güncel eklentiler tercih edin.

4. Tema ve Çekirdeği Güncel Tutmayın

Bu yanlış bir davranıştır. Tema ve WordPress çekirdeğini güncel tutmak güvenlik için zorunludur.

5. Backup (Yedek) Almayı İhmal Etmeyin

Zaten güvenlik kapsamında olmazsa olmazdır.
Günlük veya haftalık yedekleme, saldırı sonrası hızla toparlanmanızı sağlar.

WordPress Güvenli mi? Sonuç

Kısa cevap: Evet, WordPress siteleri güvenlidir.
Ancak doğru yapılandırılmazsa, güncel tutulmazsa ve gerekli güvenlik önlemleri alınmazsa saldırılara maruz kalabilir.

WordPress’in kendisi değil, yanlış kullanım ve eksik güvenlik önlemleri siteleri savunmasız bırakır.

Doğru yaklaşımla:

• Basit saldırılardan etkilenmeyen
• Botların giriş denemelerine kapalı
• Güncel ve sağlam bir altyapıya sahip
• Spam ve brute force’a karşı dayanıklı

bir WordPress sitesi sahibi olabilirsiniz.

Sıkça Sorulan Sorular (FAQ)

WordPress neden hacklenir?
Genellikle güncel olmayan eklenti, zayıf şifre ve güvenlik önlemi eksikliğinden.

XML-RPC kapatılmalı mı?
Kullanılmıyorsa evet. Basit saldırı yüzeyini azaltır.

WordPress güvenlik eklentisi gerekli mi?
Evet. Firewall ve brute force koruması sağlar.

Crack eklenti güvenli mi?
Hayır. Zararlı yazılım ve açık barındırır.

Backup neden önemli?
Herhangi bir saldırı sonrası geri dönüş sağlar.

---