WP Siteler için Güvenlik Tavsiyeleri 2

Özellikle Plesk veya cPanel kullanıyorsan, bu ayarların birçoğunu panel üzerinden de yönetebilirsin ama dosya seviyesinde kontrol her zaman daha garantidir.

İşte siteni bir adım daha ileriye taşıyacak teknik yapılandırmalar:

1. wp-config.php Dosyasını "Zırhlamak"

Bu dosya sitenin tapusudur. Sadece erişimi engellemek yetmez, içine şu satırları ekleyerek güvenliği artırabilirsin:

• Dosya Düzenleyiciyi Kapat: Panelden tema veya eklenti dosyalarının değiştirilmesini engeller. Birisi admin paneline sızsa bile kodlarına dokunamaz.

  PHP

   

  define( 'DISALLOW_FILE_EDIT', true );
  

• Hata Gösterimini Kapat: Sitede bir hata oluştuğunda saldırganlara sunucu yolunu veya PHP hatalarını göstermez.

  PHP

   

  define( 'WP_DEBUG', false );
  @ini_set( 'display_errors', 0 );
  

2. Veritabanı Güvenliği

Eğer siten yeniyse veya bir taşıma yapacaksan, varsayılan wp_ tablo önekini değiştirmek SQL Injection saldırılarının %90'ını boşa çıkarır.

• Örnek: wp_users yerine wbev_42_users gibi bir yapı kullanmak saldırganın tablo ismini tahmin etmesini imkansızlaştırır.

3. Kullanıcı Adı "Enumeration" Engelleme

Saldırganlar genelde siteniz.com/?author=1 yazarak yönetici kullanıcı adını öğrenmeye çalışır. Bunu engellemek için daha önce verdiğim .htaccess koduna ek olarak, Edit Author Slug gibi bir eklentiyle "nice name" kısmını değiştirebilirsin.

4. Sunucu Taraflı (WAF/ModSecurity) Kontrolü

Daha önce bahsettiğin ModSecurity ayarlarını "fast" moduna alacak olman mantıklı bir hamle. Ancak bu moddayken şunlara dikkat etmelisin:

• False Positive: Bazı güvenlik kuralları WordPress'in yasal işlemlerini (örn: yazı kaydetme) engelleyebilir. Ayarı değiştirdikten sonra bir yazı yayımlamayı dene.

• IP Beyaz Liste: Kendi IP adresini sunucu seviyesinde (Plesk/cPanel üzerinden) beyaz listeye (whitelist) eklemen, yanlışlıkla kendini bloklamanı engeller.

Küçük Bir İpucu: Atıl Dosyaları Temizle

WordPress kurulumuyla gelen ama hiç kullanılmayan şu dosyaları sunucudan silmek iyi bir alışkanlıktır:

1. readme.html (WordPress versiyonunu ifşa eder)

2. license.txt

3. Kurulum bittikten sonra gereksizdir)