WordPress 2025 Güvenlik Rehberi

Web Sitenizi Günümüz Tehditlerine Karşı Nasıl Korursunuz?

WordPress, 2025 itibarıyla dünya genelindeki tüm web sitelerinin yaklaşık %43’ünden fazlasını güçlendirmeye devam ediyor. Açık kaynaklı yapısı, geniş tema ve eklenti yelpazesi sayesinde tercih edilse de, bu popülerlik WordPress’i aynı zamanda siber saldırganlar için de cazip bir hedef haline getiriyor.

Bu rehberde, 2025 yılı itibarıyla WordPress sitelerini korumak için uygulanabilecek en güncel ve etkili güvenlik yöntemlerini ele alıyoruz. Hazırsanız başlayalım.

1. 2025’te WordPress Güvenliğini Tehdit Eden Başlıca Riskler

a) Otomatik Bot Saldırıları

Yaygın olarak “Brute Force” yöntemleriyle giriş denemeleri yapan botlar, özellikle varsayılan kullanıcı adı admin olan siteleri hedef alıyor.

b) Eklenti ve Tema Açıkları

Popüler ama güncellenmeyen eklentiler, kötü niyetli kod enjeksiyonlarına kapı aralayabiliyor.

c) Zero-Day Zafiyetler

Henüz geliştiriciler tarafından bilinmeyen veya yamanmamış açıklar, özellikle yüksek trafikli siteler için büyük tehlike oluşturuyor.

d) XML-RPC Exploitleri

Bu protokol üzerinden yapılan DDoS veya pingback saldırıları hala ciddi bir tehdit.

2. Güvenlik İçin Temel Önlemler

WordPress’i ve tüm bileşenlerini güncel tutun

• Çekirdek, tema ve eklenti güncellemeleri, olası açıkların en hızlı şekilde kapatılmasını sağlar.
• Otomatik güncellemeler (minor) aktifleştirilmeli.

Güçlü bir kullanıcı adı ve parola kombinasyonu kullanın

• “admin” gibi varsayılan adlardan kaçının.
• Şifreler: En az 12 karakter, büyük/küçük harf, sembol ve rakam içermeli.

İki Faktörlü Kimlik Doğrulama (2FA) uygulayın

• Kullanıcı girişlerinde bir ikinci doğrulama katmanı (örneğin e-posta veya Google Authenticator) kullanılmalı.

Güvenilir barındırma (hosting) sağlayıcıları tercih edin

• WordPress için optimize edilmiş sunucular ve güvenlik duvarları olan bir firma seçin.
• PHP versiyonu 8.2 veya üzeri kullanılmalı.

3. Gelişmiş Güvenlik Önlemleri

a) Web Uygulama Güvenlik Duvarı (WAF) kullanın

WAF’lar, trafiği analiz ederek saldırıları daha ulaşmadan engeller. Önerilen servisler:

• Cloudflare (Pro/Enterprise planları)
• Sucuri Firewall
• Wordfence Premium

b) Saldırı Girişimlerini Engelleyen Eklentiler

• Wordfence, iThemes Security veya All In One WP Security gibi eklentilerle brute force, spam, SQL injection gibi saldırılara karşı koruma sağlayabilirsiniz.

c) Oturumları sınırlayın

• Kullanıcı başına eş zamanlı oturum sayısını sınırlandırmak, hesapların kötüye kullanılmasını zorlaştırır.

d) XML-RPC’yi devre dışı bırakın

Eğer kullanılmıyorsa, XML-RPC bağlantısını .htaccess veya eklenti yoluyla devre dışı bırakmak saldırı yüzeyini daraltır.

4. Dosya ve Sunucu Güvenliği

Dosya izinlerini doğru ayarlayın

• wp-config.php: 400 veya 440
• Diğer dosyalar genelde 644
• Dizinler: 755 olmalıdır.

wp-config.php dosyasını koruyun

• Bu dosya, veritabanı ve site ayarlarını içerdiğinden özel koruma altına alınmalıdır.

HTTPS (SSL) zorunlu hale getirilmeli

• Let’s Encrypt ile ücretsiz SSL kullanabilir veya özel sertifika satın alabilirsiniz.

5. Güvenlik İzleme ve Yedekleme

a) Güvenlik denetimi yapın

• Haftalık olarak sitenizi tarayın.
• Wordfence, WPScan, Sucuri SiteCheck gibi araçlarla güvenlik analizleri yapın.

b) Otomatik yedekleme sistemleri kurun

• UpdraftPlus, BlogVault veya Jetpack Backup gibi araçlarla günlük yedekler alın.
• Yedekleri farklı bir sunucuda veya bulut depolamada saklayın.

6. Admin Paneli ve Giriş Erişimi Güvenliği

• wp-login.php sayfasını yeniden adlandırın (örneğin: /giris-paneli)
• Admin paneline IP sınırlaması getirin
• Giriş denemelerini sınırlayın (örnek: 3 denemeden sonra IP ban)

7. En Yaygın Güvenlik Hataları

• Varsayılan veritabanı öneki olan wp_’yi değiştirmemek
• Kullanılmayan eklentileri devre dışı bırakmak yerine silmemek
• Sadece görsel gibi görünen ama aslında aktif çalışan tehlikeli temaları yüklemek
• FTP yerine SFTP veya SSH kullanmamak

8. Güvenlik Denetiminden Geçmiş Önerilen Eklentiler (2025)

Değerlendirme

WordPress, doğru önlemlerle kullanıldığında son derece güvenli bir içerik yönetim sistemi olabilir. 2025 yılında artan siber tehditler göz önüne alındığında, proaktif güvenlik stratejileri, yalnızca büyük şirketler için değil, küçük bloglar ve e-ticaret siteleri için de hayati önem taşıyor.

Unutmayın: Güvenlik bir ürün değil, bir süreçtir. Sürekli takip, güncelleme ve test gerektirir.