WordPress sitelerine yönelik bot saldırıları genellikle üç ana hedefle yapılır: giriş bilgilerini ele geçirmek (Brute Force), içerik çekmek (Scraping) veya spam yorum/form gönderimi yapmak.
Özellikle sunucu tarafında ModSecurity gibi araçları "fast" modda kullandığın için, bot trafiğini sitene ulaşmadan (veya WordPress'i yormadan) engellemek en mantıklı yaklaşımdır. İşte botlara karşı en etkili savunma hattı:
1. Cloudflare (İlk Savunma Hattı)
Botları sunucuna hiç uğratmadan durdurmanın en iyi yolu Cloudflare gibi bir CDN kullanmaktır.
-
WAF (Web Application Firewall): Botların yoğun olduğu ülkeleri (örneğin sadece Türkiye odaklıysan diğer ülkeleri) engelleyebilirsin.
-
Bot Fight Mode: Cloudflare'in ücretsiz sunduğu bu özellik, bilinen kötü niyetli botları otomatik olarak bloklar.
-
Challenge (JS Challenge): Şüpheli görünen ziyaretçilere kısa bir "doğrulama" ekranı gösterir, botlar bu engeli aşamaz.
2. Giriş Sayfası ve Brute Force Koruması
Botların %90'ı wp-login.php dosyasını hedefler.
-
URL Değiştirme: Daha önce konuştuğumuz gibi giriş yolunu (
/giris-yapvb.) değiştir. -
XML-RPC Kapatma: Botlar bu dosya üzerinden binlerce şifre denemesini tek bir istekte yapabilir.
.htaccessile mutlaka kapat:Apache<Files xmlrpc.php> Order Deny,Allow Deny from all </Files>
3. Botların "User Agent" Bilgisine Göre Engelleme
Eğer belirli botların (örneğin Ahrefs, Semrush veya agresif tarayıcılar) siteni yorduğunu fark edersen, bunları .htaccess ile sunucu seviyesinde engelleyebilirsin:
RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} ^.*(Baiduspider|YandexBot|Sogou|AlphaBot).* [NC]
RewriteRule .* - [F,L]
4. Honeypot (Bal Küpü) Tekniği
Botlar formlardaki tüm alanları doldurmaya programlıdır. Honeypot tekniği ile formlara kullanıcıların görmediği (CSS ile gizlenmiş) gizli bir alan eklenir. Eğer o alan dolu gelirse, gönderen kesinlikle bir bottur.
-
Eklenti Tavsiyesi: "Stop Spammers" veya "WPBruiser". Bu eklentiler Captcha sormadan botları sessizce eler.
5. Dinamik İstek Sınırlandırma (Rate Limiting)
Aynı IP adresinden saniyede onlarca istek geliyorsa bu bir bottur.
-
Eğer Wordfence kullanıyorsan, "Rate Limiting" ayarlarından "If a crawler's rate exceeds..." seçeneğini aktif ederek aşırı istek gönderenleri otomatik engelleyebilirsin.
Sunucu Seviyesinde Kritik İpucu
Plesk veya cPanel kullanıyorsan, Fail2Ban özelliğinin aktif olduğundan emin ol. Fail2Ban, WordPress giriş loglarını izler ve üst üste hatalı giriş yapan botun IP adresini doğrudan sunucu güvenlik duvarından (iptables) yasaklar. Bu sayede botun isteği PHP'ye bile ulaşmaz, sunucu yükün azalır.
