Web sitesi güvenliğinin üç ayağı: SSL, yedekleme ve güncelleme

Web sitesi güvenliği çoğu küçük işletme için ancak bir şeyler ters gittiğinde gündeme gelen bir konu. Site açılmıyor, tarayıcı kırmızı uyarı veriyor, arama sonuçlarında alakasız bağlantılar çıkıyor ya da müşteriden "siteniz virüslü diyor" mesajı geliyor. O noktada yapılan konuşma hep aynı yerden başlıyor: "Peki yedek var mı?"

Bu yazıda, teknik ekibi olmayan bir işletmenin bile takip edebileceği sade bir çerçeve anlatacağım. Güvenliği tek bir ürünle değil, birbirini tamamlayan üç ayakla düşünmek gerekiyor: SSL, yedekleme ve güncelleme. Üçünden biri eksikse diğer ikisi sizi kurtarmaya yetmiyor.

Neden üçgen? Çünkü biri diğerinin yerini tutmuyor

Bu üç başlığın her biri farklı bir riske cevap veriyor:

• SSL, ziyaretçi ile sunucu arasındaki trafiği şifreler. Yani veri yolda korunur.
• Güncelleme, bilinen açıkları kapatır. Yani saldırganın içeri girme ihtimalini azaltır.
• Yedekleme, kötü senaryoda geri dönebilmenizi sağlar. Yani kayıp riskini sınırlar.

SSL'i olup hiç güncellenmeyen bir site, kilidi takılı ama kapısı açık bir dükkân gibidir. Her gün güncellenen ama yedeği olmayan bir site, bir sunucu arızasında sıfırdan başlar. Yedeği olup güncellenmeyen site ise aynı açıktan tekrar tekrar vurulur; her seferinde yedekten dönersiniz, bir hafta sonra yine aynı yerdesinizdir.

1. SSL: artık tercih değil, zorunluluk

SSL sertifikası, adresinizin http:// yerine https:// ile açılmasını ve tarayıcıda kilit simgesinin görünmesini sağlar. Bugün tarayıcılar, SSL'siz siteleri açıkça "güvenli değil" diye işaretliyor. Bir kullanıcının bu uyarıyı görüp formu doldurmasını beklemek gerçekçi değil.

Hangi sertifika yeterli?

Kurumsal tanıtım sitelerinin, blogların ve çoğu e-ticaret projesinin ihtiyacı DV (Domain Validation) sertifikalarla karşılanır. Let's Encrypt gibi ücretsiz ve otomatik yenilenen çözümler bu sınıfta ve teknik olarak kurumsal sertifikalarla aynı şifrelemeyi sunar. Banka, sigorta gibi kurumsal kimliğin doğrulanmasının önemli olduğu yapılarda OV/EV sertifikalar konuşulur; ortalama bir KOBİ sitesinde buna gerek yoktur.

Sadece sertifika almak yetmiyor

Sahada en çok gördüğümüz hata, sertifikanın kurulup işin bitmiş sayılması. Kontrol edilmesi gerekenler:

• http → https yönlendirmesi: Eski adres hâlâ açılıyorsa site iki ayrı sürüm gibi davranır, SEO tarafında da içerik tekrarı sorunu çıkar.
• Karışık içerik (mixed content): Sayfa https ile açılıyor ama içindeki bir görsel, font ya da script http ile çağrılıyorsa kilit simgesi bozulur. Genelde eski bir eklentiden ya da manuel yazılmış bağlantılardan kaynaklanır.
• Yenilenme: Ücretsiz sertifikalar çoğu zaman 90 günlüktür ve otomatik yenilenir. Otomasyon bozulduğunda kimse fark etmez, ta ki site bir pazartesi sabahı uyarı vermeye başlayana kadar. Yenilenme durumunun izlenmesi gerekir.
• www ve çıplak alan adı: Sertifikanın her iki varyantı da kapsadığından emin olun.

Son olarak bir yanlış anlamayı düzeltelim: SSL, sitenize kötü amaçlı yazılım bulaşmasını engellemez. Veriyi yolda şifreler, o kadar. Bir sitenin https olması içeriğinin temiz olduğunu göstermez.

2. Yedekleme: test edilmemiş yedek, yedek sayılmaz

Yedeklemenin değeri, bir şey bozulduğunda ortaya çıkar. O yüzden kurulum anında değil, geri yükleme anında ölçülür. "Hostingde otomatik yedek var" cümlesi, o yedeğin ne sıklıkta alındığı, kaç gün saklandığı ve geri yüklemenin kaç dakika sürdüğü bilinmiyorsa pek bir şey ifade etmez.

3-2-1 kuralı

Sektörde yaygın kabul gören basit bir çerçeve var:

• 3 kopya veri (aslı + iki yedek)
• 2 farklı ortam (örneğin sunucu diski + bulut depolama)
• 1 kopya site sunucusunun dışında

Üçüncü madde kritik: yedek, yedeklediği sunucunun üzerinde duruyorsa sunucu komple elden gittiğinde yedek de gider. Fidye yazılımı senaryosunda da aynı şey geçerli.

Neyi, ne sıklıkta?

Bir web sitesinin yedeği iki parçadan oluşur: dosyalar (tema, eklenti, yüklenen görseller) ve veritabanı (yazılar, sayfalar, ayarlar, varsa siparişler ve üyeler). İkisi birlikte alınmazsa geri yükleme tutarsız olur.

Sıklık, içeriğin değişme hızına göre belirlenir:

• Ayda bir güncellenen tanıtım sitesi: haftalık yedek genelde yeterli.
• Düzenli blog yayını olan kurumsal site: günlük yedek.
• Sipariş alan e-ticaret: günlük tam yedek + gün içi veritabanı yedeği. Bir günlük sipariş kaybı, hiç yedek olmamasıyla hemen hemen aynı krizi yaratır.

Saklama süresi de önemli. Sadece son yedeği tutuyorsanız, sorunu üç gün sonra fark ettiğinizde elinizdeki tek yedek zaten bozulmuş sürüm olur. Günlük yedeklerin 15-30 gün, haftalık yedeklerin birkaç ay saklanması makul bir dengedir.

Yılda en az bir kez tatbikat

Yedeği test etmenin tek yolu geri yüklemeyi denemek. Bunu canlı sitede değil, ayrı bir test ortamında yapıyoruz. On beş dakikalık bu denemeden çıkan sonuç çoğu zaman şaşırtıcı oluyor: bazen veritabanı yedeği eksik alınıyor, bazen dosya yedeği yükleme klasörünü atlıyor. Sorunu gerçek bir krizde değil, sakin bir salı öğleden sonra öğrenmek çok daha ucuz.

3. Güncelleme: açıkların büyük kısmı bilinen açıklar

Hacklenen sitelerin önemli bir bölümü, aylar önce yaması çıkmış bir eklenti açığından giriyor. Yani saldırgan özel bir yöntem bulmuyor; herkesin bildiği kapıyı deniyor ve kapalı olmadığını görüyor.

Neyin güncellenmesi gerekiyor?

• İçerik yönetim sistemi çekirdeği (WordPress, Laravel tabanlı panel vb.)
• Eklentiler ve temalar — en sık ihmal edilen katman burası
• Sunucu tarafı: PHP sürümü, veritabanı sürümü, sunucu yazılımı. Desteği bitmiş bir PHP sürümünde çalışmak, artık yama almayan bir sistemde çalışmak demektir.
• Üçüncü parti kütüphaneler ve mobil tarafta kullanılan paketler

Güncellemeden korkmanın sebebi haklı ama çözümü var

"Güncellersem site bozulur" endişesi tamamen yersiz değil. Çözüm güncellemeyi ertelemek değil, test ortamı (staging) kullanmak. Sitenin bir kopyasında güncellemeleri uygulayıp iletişim formu, menü, ürün sayfası, ödeme adımı gibi kritik noktaları kontrol ediyor, sorun yoksa canlıya alıyoruz. Güncelleme öncesi yedek almak da bu akışın değişmez parçası; zaten üçgenin birbirine bağlanma noktası tam burası.

Kullanılmayan eklenti ve temaları silmek de bir güvenlik önlemidir. Pasif duran bir eklenti, dosyaları sunucuda durduğu için hâlâ risk taşır. Benzer şekilde, uzun süredir geliştirilmeyen, son güncellemesi yıllar öncesine dayanan eklentilerden uzak durmak gerekir.

Üçgenin dışında, ama ihmal edilmemesi gereken dört şey

• Yönetici parolaları ve iki adımlı doğrulama: Panel girişinde 2FA açmak, kaba kuvvet denemelerinin çoğunu anlamsız kılar. "admin" kullanıcı adından vazgeçmek de bedava bir iyileştirme.
• Yetki seviyeleri: İçerik giren kişinin yönetici yetkisine ihtiyacı yoktur. Editör yetkisi çoğu zaman yeterlidir.
• Form ve yorum spam'i: Korumasız iletişim formları hem gelen kutunuzu hem sunucu kaynaklarınızı tüketir.
• Alan adı ve e-posta güvenliği: Domain süresinin dolması, teknik olarak en basit ama sonucu en ağır kazalardan biri. SPF/DKIM kayıtları da kurumsal e-postalarınızın spam'e düşmemesi için önemli.

Kötü senaryoda ilk bir saat

Siteye bir şey olduğundan şüpheleniyorsanız sıralama şöyle olmalı:

1. Paniğe kapılıp dosya silmeyin. Mevcut durumun bir kopyasını alın; bozuk hali bile delil niteliğindedir.
2. Tüm yönetici parolalarını, FTP ve veritabanı şifrelerini değiştirin.
3. Siteyi geçici olarak bakım moduna alın; ziyaretçilerin zararlı içerikle karşılaşmasını engelleyin.
4. Temiz olduğundan emin olduğunuz bir tarihteki yedeğe dönün.
5. Dönüş yaptıktan sonra mutlaka tüm güncellemeleri uygulayın. Aksi halde aynı açık hâlâ açık demektir.
6. Arama motoru araçlarında zararlı yazılım uyarısı varsa yeniden inceleme talebi gönderin.

Bu işi kim takip edecek?

Teknik olarak zor bir listeden bahsetmiyoruz; zor olan süreklilik. Haftalık güncelleme kontrolü, aylık yedek doğrulaması ve sertifika takibi, yoğun bir işletmede kolayca unutulur. Bu yüzden projelerimizde barındırma, alan adı ve güncellemeleri paket kapsamına dahil ediyoruz; müşteri "siteme bakan var mı" sorusunu her yıl yeniden sormasın diye. Kapsam baştan netleştiği için sonradan çıkan sürpriz kalem de olmuyor. Detayları paketler sayfasında açıkça yazıyoruz.

Teslim sırasında verdiğimiz panel eğitiminde de bu başlıklara ayrı bir bölüm ayırıyoruz: içerik ekleyen kişi, neyi güncellemesi gerektiğini ve neye dokunmaması gerektiğini bilerek başlasın istiyoruz.

Kısa kontrol listesi

• Site https ile açılıyor, http otomatik yönleniyor mu?
• Sertifika yenilenme tarihi takip ediliyor mu?
• Yedekler site sunucusunun dışında bir yerde de duruyor mu?
• Son 12 ayda bir geri yükleme denemesi yapıldı mı?
• Çekirdek, eklenti ve PHP sürümü güncel mi?
• Kullanılmayan eklenti/tema temizlendi mi?
• Yönetici hesaplarında iki adımlı doğrulama açık mı?
• Alan adı yenilenme tarihi takvimde mi?

Bu sekiz maddeye yılda birkaç saat ayırmak, bir kriz anında harcanacak günlerin yerine geçer. Mevcut sitenizin bu başlıklarda nerede durduğunu merak ediyorsanız ya da yeni bir proje planlıyorsanız hizmetlerimizi inceleyebilir, kısa bir değerlendirme için iletişim sayfasından yazabilirsiniz. Gelen mesajlara aynı iş günü içinde dönüyoruz.