WP Siteler için Güvenlik Tavsiyeleri

WordPress en çok kullanılan içerik yönetim sistemi olduğu için saldırganların da ilk hedefidir. Aşağıdaki önlemlerle sitenizin ele geçirilme riskini büyük ölçüde azaltabilirsiniz. Önlemlerin çoğunu Plesk'teki WP Toolkit ile birkaç tıkla uygulayabilirsiniz.

1. Güncellemeler ve temizlik

• Çekirdek, tema ve eklentiler: Eski sürümler bilinen güvenlik açıkları barındırır. WP Toolkit'te otomatik güncellemeleri açabilirsiniz.
• Kullanılmayanları silin: Devre dışı bırakılan eklenti ve temalar da sunucuda durur ve açık barındırabilir. Kullanmadıklarınızı tamamen silin.
• PHP sürümü: Desteklenen güncel bir PHP sürümü kullanın: PHP sürümü nasıl değiştirilir?
• Gereksiz dosyalar: Ana dizindeki readme.html ve license.txt dosyaları WordPress sürümünüzü gösterir; silebilirsiniz.

2. Giriş güvenliği

• Kullanıcı adı: Yönetici kullanıcı adınız "admin" olmasın. Saldırganlar önce bu adı dener.
• Güçlü parola ve 2FA: En az 12 karakterli benzersiz bir parola kullanın ve iki adımlı doğrulama (2FA) eklentisi kurun.
• Giriş denemelerini sınırlayın: Art arda hatalı giriş yapan IP adreslerini geçici olarak engelleyen bir güvenlik eklentisi kullanın.
• Giriş adresini değiştirin: WPS Hide Login gibi bir eklentiyle wp-login.php adresini değiştirerek otomatik saldırıları azaltabilirsiniz.
• Kullanıcı adı taramasını engelleyin: Saldırganlar alanadiniz.com/?author=1 adresiyle kullanıcı adınızı öğrenmeye çalışır. Engellemek için: WP siteler için .htaccess önerileri

3. WP Toolkit ile güvenlik önlemleri

1. https://alanadiniz.com:8443 adresinden veya müşteri panelinizdeki hizmet sayfasından Plesk panelinize giriş yapın.
2. WordPress menüsünde sitenizi bulun ve Güvenlik sekmesini açın.
3. Uygulanmamış önlemleri işaretleyin ve Seçilenleri uygula'ya tıklayın. wp-config.php erişimini engelleme, dizin listelemeyi kapatma ve panelden dosya düzenlemeyi kapatma gibi önlemler tek tıkla uygulanır.

Bir önlem uyguladıktan sonra bir eklenti çalışmazsa aynı ekrandan önlemi geri alabilirsiniz.

4. Dosya ve veritabanı koruması

• Panelden dosya düzenlemeyi kapatın: Yönetim paneliniz ele geçirilse bile tema ve eklenti kodları değiştirilemez. wp-config.php dosyasına şu satırları ekleyin:

define( 'DISALLOW_FILE_EDIT', true );
define( 'WP_DEBUG', false );
@ini_set( 'display_errors', 0 );

• Tablo öneki: Yeni kurulumda varsayılan wp_ öneki yerine farklı bir önek (örneğin wbev72_) seçin. Mevcut sitede önek değiştirmek tüm tabloların yeniden adlandırılmasını gerektirir; önce yedek alın.
• Hazır şablon: wp-config güvenlik şablonu

5. SSL, yedek ve güvenlik eklentisi

• SSL: Ücretsiz Let's Encrypt sertifikası kurun ve tüm trafiği https:// adresine yönlendirin: HTTP'den HTTPS'e yönlendirme
• Yedek: Hiçbir önlem yedek kadar kurtarıcı değildir. Plesk'ten düzenli yedek alın: Web sitemin yedeğini nasıl alırım?
• Güvenlik eklentisi: Wordfence, Solid Security veya Sucuri eklentilerinden yalnızca birini kurun. Birden fazla güvenlik eklentisi birbiriyle çakışır.

Sunucu tarafındaki koruma

webevi sunucularında ModSecurity web uygulama güvenlik duvarı (WAF) ve Fail2Ban çalışır. Bu araçlar bilinen saldırı kalıplarını ve art arda hatalı giriş yapan IP adreslerini WordPress'e ulaşmadan engeller. Meşru bir işleminiz (örneğin yazı kaydetme) engelleniyorsa destek talebi açın; kuralı sitenize göre ayarlarız.

İlgili makaleler: WP bot saldırıları, wp-cron.php önerileri