Kısa cevap: Web sitesi güvenliği tek bir eklenti ya da sertifikayla değil, katmanlı önlemlerle sağlanır. Yazılımı ve sunucuyu güncel tutmak, HTTPS kullanmak, yönetici hesaplarında güçlü şifre ve iki adımlı doğrulama zorunlu kılmak, yetkileri sınırlamak, formları güvenli kodlamak, düzenli ve site dışında saklanan yedek almak, WAF ile zararlı trafiği filtrelemek ve siteyi sürekli izlemek temel adımlardır.
Web siteleri neden saldırıya uğrar?
Pek çok işletme “bizim sitemizde çalınacak bir şey yok” diye düşünür. Oysa saldırıların büyük kısmı belirli bir firmayı hedeflemez; otomatik araçlar internetteki siteleri tarar ve bilinen açıkları olanları bulur. Ele geçirilen siteler spam yayınlamak, ziyaretçileri dolandırıcılık sayfalarına yönlendirmek, zararlı yazılım dağıtmak ya da başka saldırılarda kullanmak için değerlendirilir. Sonuç; arama motorlarında uyarı, reklam hesaplarında kısıtlama, müşteri verisinin sızması ve marka itibarında ciddi hasardır.
Web sitesi güvenliği için 12 adım
- Yazılımı güncel tutun. Sitenin altyapısı, kütüphaneler ve sunucu yazılımlarındaki güvenlik yamaları gecikmeden uygulanmalıdır. Güncellenmeyen bileşenler en yaygın giriş kapısıdır.
- HTTPS kullanın. SSL/TLS sertifikası, ziyaretçi ile sunucu arasındaki trafiği şifreler. Tüm sayfaların HTTPS üzerinden açıldığından ve HTTP isteklerinin yönlendirildiğinden emin olun. Ayrıntılar için SSL sertifikası nasıl alınır yazımıza bakabilirsiniz.
- Güçlü kimlik doğrulama: Yönetim paneli, hosting, alan adı ve e-posta hesaplarında benzersiz, uzun şifreler ve iki adımlı doğrulama (MFA) kullanın.
- En az yetki ilkesi: Her kullanıcıya yalnızca işini yapması için gereken yetkiyi verin. Ayrılan çalışanların ve eski ajansların erişimlerini hemen kapatın.
- Güvenli kodlama: SQL enjeksiyonu, XSS (siteler arası betik çalıştırma) ve CSRF gibi yaygın saldırılara karşı girdilerin doğrulanması ve filtrelenmesi gerekir. Bu, sitenin yazılım aşamasında çözülmesi gereken bir konudur.
- Formları koruyun. Spam ve bot gönderimlerine karşı doğrulama mekanizmaları, dosya yükleme alanlarında tür ve boyut kontrolü ve kişisel verilerin şifreli iletimi şarttır.
- Düzenli yedek alın. Yedekler otomatik alınmalı, sitenin bulunduğu sunucudan ayrı bir yerde saklanmalı ve geri yükleme düzenli test edilmelidir. Yaygın yaklaşım olan 3-2-1 kuralı: üç kopya, iki farklı ortam, bir kopya farklı lokasyonda.
- WAF kullanın. Web uygulama güvenlik duvarı (WAF), bilinen saldırı kalıplarını, kötü niyetli botları ve kaba kuvvet denemelerini siteye ulaşmadan filtreler.
- Güvenlik başlıklarını yapılandırın. HSTS, içerik güvenlik politikası (CSP) ve benzeri HTTP başlıkları tarayıcı tarafında ek koruma sağlar.
- Sunucuyu sıkılaştırın. Gereksiz servisleri kapatın, dosya izinlerini doğru ayarlayın, yönetim erişimlerini sınırlayın, hata mesajlarında sistem bilgisi göstermeyin.
- İzleyin ve kayıt tutun. Erişilebilirlik, şüpheli giriş denemeleri ve dosya değişiklikleri izlenmeli; olay anında ne olduğunu anlamak için loglar saklanmalıdır.
- Düzenli test edin. Güvenlik açığı taramaları ve kapsamı belirlenmiş sızma testleri, saldırganlardan önce zayıf noktaları bulmanızı sağlar.
E-ticaret ve form toplayan sitelerde ek önlemler
- Kart bilgileri sitenizde saklanmamalı; ödeme, bankanın veya ödeme kuruluşunun güvenli altyapısı ve 3D Secure doğrulaması üzerinden alınmalıdır.
- Toplanan kişisel veriler için KVKK kapsamında aydınlatma, saklama süresi ve erişim kuralları belirlenmelidir.
- Müşteri hesaplarında şifreler güvenli biçimde (geri döndürülemez şekilde) saklanmalı, şifre sıfırlama süreçleri kötüye kullanıma karşı korunmalıdır.
- Yönetim paneline erişim mümkünse belirli kullanıcılar ve ek doğrulama ile sınırlandırılmalıdır.
Kişisel veri işleyen sitelerde yükümlülükler işletmeden işletmeye değişebileceği için güncel durumu avukatınıza veya KVKK danışmanınıza teyit ettirmenizi öneririz.
Güvenlikte kim neden sorumlu?
Güvenlik sorunlarının bir kısmı “bunu kimin yapacağı belli değildi” boşluğundan doğar. Sorumlulukları baştan netleştirmek gerekir:
- Hosting veya sunucu sağlayıcısı: Fiziksel altyapı, ağ ve genellikle işletim sistemi seviyesindeki temel güvenlik.
- Siteyi geliştiren ekip: Uygulama kodu, güncellemeler, form güvenliği, yetki yapısı ve güvenlik başlıkları.
- İşletmenin kendisi: Şifre ve hesap disiplini, çalışan erişimlerinin yönetimi, alan adı ve hesapların şirket adına kayıtlı olması.
Çalışan farkındalığı da en az teknik önlemler kadar önemlidir: yönetim paneli şifresini isteyen sahte bir e-posta, en güçlü altyapıyı bile etkisiz kılabilir. Ekibinizi oltalama girişimlerine karşı bilinçlendirmek için oltalama nedir, nasıl korunulur yazımızı paylaşabilirsiniz.
Siteniz saldırıya uğradıysa ne yapmalı?
- Paniğe kapılmadan siteyi geçici olarak bakım moduna alın veya erişimi kısıtlayın.
- Tüm yönetici, hosting, veri tabanı ve e-posta şifrelerini değiştirin.
- Temiz olduğundan emin olduğunuz bir yedekten geri dönün, ardından açığı kapatın; açık kapatılmadan geri dönülen site tekrar ele geçirilebilir.
- Arama motoru ve tarayıcı uyarılarını kontrol edin; temizlik sonrası yeniden inceleme talep edin.
- Kişisel veri etkilendiyse yasal bildirim yükümlülüklerini hukuki destekle değerlendirin.
Sık yapılan hatalar
- “Yönetici” gibi tahmin edilebilir kullanıcı adları ve tüm hesaplarda aynı şifre.
- Yedeği yalnızca aynı sunucuda tutmak; sunucu giderse yedek de gider.
- SSL sertifikasını tek başına “güvenlik” sanmak; HTTPS yalnızca iletimi korur, sitedeki açığı kapatmaz.
- Kaynağı belirsiz eklenti ve hazır kod parçalarını siteye eklemek.
- Güvenliği proje bitince unutmak; güvenlik, web sitesi bakımının sürekli bir parçasıdır.
Racoun nasıl yardımcı olur?
Sitelerimizi hazır tema ve dış eklentilere bağımlı kalmadan kendi altyapımızda kodladığımız için saldırı yüzeyini baştan küçük tutuyoruz; HTTPS, güvenli formlar ve KVKK uyumlu yapı standart olarak gelir. Teknoloji birimimiz Pedante Bilişim ve Racurity markası, çözüm ortaklarımızın altyapısıyla web sitesi güvenliği ve WAF, yedekleme, güvenlik açığı taraması ve sızma testi hizmetleri sunuyor. Genel çerçeve için siber güvenlik sayfamıza göz atabilirsiniz.
Sık sorulan sorular
SSL sertifikası sitemi tamamen güvenli yapar mı?
Hayır. SSL, ziyaretçi ile sunucu arasındaki veriyi şifreler; ancak güncel olmayan yazılım, zayıf şifre veya kodlama hatası gibi açıkları kapatmaz. Diğer önlemlerle birlikte kullanılmalıdır.
Küçük bir kurumsal site de saldırıya uğrar mı?
Evet. Saldırıların çoğu otomatik taramalarla yapılır ve sitenin büyüklüğüne bakmaz; açığı olan her site hedef olabilir.
Sitemin hacklendiğini nasıl anlarım?
Tanımadığınız sayfalar veya yönlendirmeler, arama sonuçlarında yabancı dilde spam başlıklar, tarayıcı uyarıları, ani yavaşlama ve hosting firmasından gelen uyarılar yaygın belirtilerdir.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
