WordPress sitesini güvence altına almak için 30 önemli adım
Hacker’ların yalnızca Microsoft ve Time Magazine gibi büyük web sitelerini hedeflediğini ve küçük ve orta web sitelerini umursamadıklarını düşünüyor musunuz? Haberleri size iletmeme izin verin: Hacker’lar aslında, küçük ve orta ölçekli web sitelerine saldırı başlatmayı tercih ediyorlar çünkü bu web sitesinin sitelerini güçlendirecek kaynaklara veya uzmanlığa sahip olmadığını biliyorlar. Ve bu nedenle, kolayca ihlal edilirler. Burada, WordPress web sitesini nasıl güvence altına alacağınızı göstereceğiz. Web siteniz aynı tehdit altındadır ve bilgisayar korsanları tarafından saldırıya uğramak daha önemlidir. Ve en kötü yanı, bilgisayar korsanlarının sitenize girmesiyle, hacklenen siteyi geliştirmek için bir kaynağa sahip büyük bir web sitesinin aksine, her şeyi kaybedeceksiniz. Ancak endişelenmenize gerek yok, bu makalede WordPress sitenizi bilgisayar korsanlarından ve botlardan koruyacak tüm önemli ve kolay uygulamayı tartışacağız.
TL; DR: Bu makalede listelenen birçok güvenlik adımı, Malcare gibi güvenlik eklentilerinin yardımıyla kolayca uygulanabilir. Bu, sitenizin güvenli kalmasını sağlayacak en önemli 3 işlevi çalıştırır ve tarama, temizlik ve koruma.
İçerik Gösterileri
WordPress kullanıcılarını koruyamıyor mu?
WordPress sitesi nasıl güvence altına alınır?
1. Eklentilerinizi, temalarınızı ve çekirdeğinizi düzenli olarak güncelleyin:
2. Her zaman tüm aktif olmayan temaları ve eklentileri silin
3. Terk edilmiş temaları ve eklentileri silin
4. Asla korsan temaları ve eklentileri kullanmayın
5. İyi bir barındırma paketi seçin
6. Benzersiz kullanıcı adlarını kullanın
7. Güçlü bir şifre uygulayın
8. Giriş çabalarının arıza seviyesini sınırlayın9. WordPress Giriş Sayfasını Gizle
10. WordPress sürüm numarasını silin
11. Bir WordPress Güvenlik Duvarı Hazırlayın
12. HTTP kimlik doğrulamasını kullanın
13. İki faktör kimlik doğrulaması uygulamak
14. Etkinlik olmadığında otomatik logout
15. Parolayı son kullanma işlemine ayarlayın
16. Günlük kötü amaçlı yazılım taraması
17. Günlük rezervleri planlayın
18. En öngörülemeyen ilkeleri uygulayın
19. Şüpheli IP adresini engelleyin
20. SSL Sertifikası kullanın
21. Dosya izninin doğru olduğundan emin olun
22. Her gün gerçek zamanlı aktiviteleri izleyin
23. Dosya düzenlemesini devre dışı bırakın
24. Veritabanı önekini değiştirin
25. PHP dosyalarının yürütülmesini devre dışı bırakın
26. Dizin Keşfini Devre Dışı Bırak
27. WordPress’te XML-RPC’yi devre dışı bırakın
28. WP-Config.php & .htaccess’i gizle
29. WordPress Key ve Tuzunu Değiştirin
30. Güvenlik tehditleri için Google Arama Konsolu’nu izleyin
Son zihin
2019’dan başlayarak, bir grup hacker yaramaz kullanıcı hesapları oluşturmak ve hacklenen sitelerde tehlikeli kodlar dikmek için 10’dan fazla WordPress eklentisini kullandı. Bundan yaklaşık bir yıl önce, bir grup diğer hacker 1,5 milyondan fazla sayfaya zarar verdiklerinde altın aldı. Güvenlik ihlalleri hakkındaki haberler yeni değil, ancak bu ölçekli hackleme çabası mevcut WordPress web sitesinin ne kadar güvenli olduğunu sorguluyor? Ve daha da önemlisi, WordPress neden kullanıcılarını korumak için hiçbir şey yapmadı?
WordPress kullanıcılarını koruyamıyor mu?Dünyanın en ünlü CM’leri olan WordPress, güvenli bir web sitesi oluşturma platformu oluşturmak için yapabileceği her şeyi yapmasını sağladı, ancak maalesef sadece birçok şey yapabilirdi.WordPress güvenliğini korumak için çalışan birçok insan olmasına rağmen, bu platform ayrı çalışmaz.Sitenize yüklenen çeşitli eklentiler ve temalar genellikle sitenizin savunmasız olmasına neden olur.Aslında, araştırdığımız yüzlerce ve binlerce WordPress sitesinden, çoğu hackleme savunmasız eklentilerle ilişkilendirilebilir.Talihsiz bir durumdur çünkü web siteniz için tasarlanmış ekosistem tüm bu sorunlara neden olur.
Daha da kötüsü, WordPress sitesinin çok popüler bir hedef olması. Bu yazma döneminde internette 75 milyon WordPress web sitesi var ve her gün yüzlerce yeni web sitesi inşa ediliyor. Böyle bir popülerliğin bir fiyatı vardır. Bu hedefi sırtınıza yerleştirir. Bu gibi durumlarda, WordPress’ten taşınmaya karar vermediğiniz sürece (bu arada, sitenizin saldırıya uğramayacağını garanti etmez), sitenizin korunduğundan emin olmak için adımlar atmalısınız. WordPress sitesi nasıl güvence altına alınır? WordPress web sitesi için 3 güvenlik seviyesi vardır – temel, orta ve gelişmiş. Temel adımlar çok önemlidir ve yapılması kolaydır. Orta ve gelişmiş eylem ekstra ve biraz riskli güvenlik katmanına katkıda bulunur. Önerdiğimiz, aşağıda listelenen adımlardan birini uygulamadan önce eksiksiz bir web sitesi yedeklemesi yapmaktır. Bir şey plana göre gitmediğinde, web sitenizin basit kurtarılması sizi tekrar aktif hale getirecek ve çalıştıracaktır.
WordPress sitenizi bilgisayar korsanlarından, botlardan ve diğerlerinden korumak ister misiniz? Web sitesi güvenlik denetimini çalıştırmanızı ve aşağıdaki adımları atmanızı öneririz. Eklentilerinizi, temalarınızı ve çekirdeklerinizi düzenli olarak güncelleyin: İnsanlar genellikle eksik güncellemelere alışkındır. Ya çok sık güncellenir ya da uyguladığınızda veya her ikisinde de web sitenize zarar verirler. Ancak eksik güncellemeler felaketlere neden olabilir, çünkü WordPress güncellemeleri sadece özellikleri ve yeni iyileştirmeleri sunmakla kalmaz, aynı zamanda güvenlik açığı için onarım ve yamalar eşlik eder. Bu güvenlik açığı, hem eklentilerde, temalarda hem de çekirdekte, davetsiz misafirleri web sitenize hoş geldiniz. Bu nedenle, bilgisayar korsanlarından kaçınmak istiyorsanız, en son sürüme tamir etmek çok önemlidir. Güncellemeler genellikle yayınlandığından, uygulamak için her hafta zaman ayırmanız en iyisidir. Reformun, uyumluluk sorunları nedeniyle web sitesine zarar verdiği bilinmektedir. Ancak iyi haber şu ki, gerçek sitenizde yapmadan önce evreleme sitesindeki (web sitenizin kopyası) güncellemeleri test edebilirsiniz. İsterseniz, bir sitenin nasıl oluşturulacağını öğrenebilirsiniz. 2. Her zaman tüm temaları ve eklentileri, aktif olmayan bir durumda bile tehdit etmeye karşı savunmasız olan aktif olmayan temaları ve eklentileri silin. Eğer kullanmazsanız, silmek en iyisidir. Ancak gelecekte eklentileri veya temaları kullanmayı planlıyorsanız, güncellemeye devam ettiğinizden emin olun.
3. Terk edilmiş WordPress temaları ve eklentileri silin, dünyanın önde gelen CM’leridir ve bir eklenti deposu ve büyümeye devam eden temaya sahiptir. Geliştirici bunu çeşitli nedenlerle yapar, ancak temayı veya eklentiyi korumak farklı bir futbol oyunudur. Bazen geliştiriciler, ödeme müşterilerinin eksikliği gibi nedenlerle yazılımı artırmaya odaklanamadıklarında, yazılımı terk ederler. Ve en kötü yanı, rutin güncellemeler olmadan, temalara ve eklentilere sızmak için güvenlik açığıdır. Güvenlik açığı, bildiğimiz gibi, web sitenize erişmek için kullanılabilir. Geride kalan temaları ve eklentileri silmeniz ve geride kalan yazılımı izlemeniz çok önemlidir. Asla Korsan Temalar ve Eklentiler Korsan Eklentiler ve Temalar kullanmak için çok caziptir, ancak korsan yazılımın bir tuzak olduğunu biliyorsunuz. Web sitenizdeki eklentiyi veya temayı etkinleştirdiğiniz anda ve daha önce yüklenmiş olan tehlikeli bir kod (WordPress sitenizin arka kapısı olarak adlandırılır) vardır. Bilgisayar korsanlarının sitenize erişmesi için kapıyı açar. Hemen tüm korsan yazılımları silmeli ve gelecekte kullanmaktan kaçınmalısınız. 5. İyi Bir Hosting Paketi Seçin 3 ana WordPress ana bilgisayar vardır: Paylaşılan, Yönetilen ve VPS barındırma. Birlikte barındırma en ucuz ve en çeken dikkat. İnsanlar, eksikliklerini tam olarak öğrenmeden web siteleri oluşturmak için kullanma eğilimindedir.
Çoğu durumda iyi işlev gören ucuz barındırma genellikle güvenlik tehditlerini ele alacak kaynaklardan yoksundur.Bu, ciddi siber güvenlik sorunlarının temelidir.Öte yandan, yönetilen barındırma ve VPS barındırma gibi barındırma sağlayıcıları, web sitenizi güvenli ve aktif tutmak ve istediğiniz zaman çalıştırmak için tasarlanmıştır..Kullanıcı adınızın tahmin edilmesi kolaysa, bilgisayar korsanının yalnızca sandalet kelimesini bilmesi gerekir.Tahmin edilmesi zor benzersiz bir kullanıcı adı seçin.
7. Güçlü bir şifre uygulayın WordPress Oturum Açma Sayfası, bilgisayar korsanlarının favorisidir. Bunu kaba kuvvet saldırıları gibi genel hack çabalarından korumalısınız. Brute Force saldırıları, kullanıcı adları ve şifrelerin çeşitli kombinasyonlarını doğru bulana kadar deneyen otomatik botları içerir. Öngörülebilir şifre birkaç dakika içinde çözülebilir. Ancak güçlü bir şifreniz varsa, gelişmiş şifre hackleme tekniğine karşı hayatta kalabilir. Aşağıda, güçlü bir şifre oluşturmaya yardımcı olacak bir kılavuz bulunmaktadır. 8. Giriş çabalarının arıza seviyesini sınırlandırdığımız gibi, daha önce bahsettiğimiz gibi, Brute Force saldırısında, şifre web sitenizi hacklemek için tasarlanmış bir bot tarafından tahmin edildi. Arıza giriş çabalarının miktarını sınırlamak, doğru kimlik bilgilerini tahmin etmenin botlarını mükemmel bir şekilde önleyebilir. Captcha tabanlı koruma (Malcare tarafından sağlandığı gibi) kaba kuvvet saldırılarını kolayca hayal kırıklığına uğratabilir. Bu WordPress Oturum Açma Koruması için CAPTCHA tabanlı koruma hakkında daha fazla bilgi edinin.
9. WordPress Oturum Açma Sayfalarını Gizle Tüm WordPress web siteleri, bu-‘Yoursite.com/WP-Admin ‘gibi görünen varsayılan oturum açma sayfalarına sahiptir. Bu bilgi sayesinde bilgisayar korsanları, yüz binlerce WordPress web sitesine kaba kuvvet saldırıları başlatmak için tasarlanmış otomatik botları yapar. Saldırıdan kaçınmanın bir yolu, giriş sayfanızı ‘kendiniz.com/wp-admin’den’ kendinizi.com/newloginpage ‘gibi bir şeye dönüştürmektir.
WordPress deposunda, varsayılan giriş sayfanızın URL’sini değiştirmek için kullanılabilecek birkaç eklenti vardır. 10. WordPress Sürüm Numarasını Sil web sitenizi güncellemek WordPress web sitenizi güvence altına almak için önemli bir adım olmasına rağmen, güncellemeleri ertelemek isteyebileceğiniz zamanlar vardır. Örneğin, Gutenberg’in yeni WordPress editörü eski klasikten çok farklı. Gutenberg, WordPress 5.0 ve birçok site sahibi ile piyasaya sürüldü, çünkü temel güncellemeleri ertelemek için yeni editörlere geçmek konusunda isteksizdi. Güncel olan çekirdek, davetsiz misafirler için bir karşılama işareti olabilir. WordPress sürümünü gizlerseniz, eski bir çekirdek çalıştırma konusunda endişelenmenize gerek yoktur. Yabancıların web siteniz tarafından hangi WordPress sürümlerinin çalıştığını bilmesini önlemek istiyorsanız, bu makaleyi okumanızı öneririz – WordPress sürüm numaralarını nasıl sileceğinizi. 11. Bir WordPress güvenlik duvarı hazırlayın, Web Giriş sayfanıza erişmeden önce bilgisayar korsanlarını veya kötü botları engelleyebiliyorsanız daha iyi değil mi? Güvenlik duvarı tam da öyle yaptı! Bu, WordPress sitenizi ziyaret etmek isteyen gelen trafiği filtreliyor. WordPress güvenlik duvarı, sitenizin güvenli kalmasını sağlayan kötü trafiği (yani bilgisayar korsanları ve botlar) savuşturur. Giriş sayfası WordPress sitesindeki diğer sayfalardan daha sık saldırıya uğradığından, sayfanın üzerine bir koruma katmanı eklemek mantıklıdır. Tweet 12 için tıklayın. HTTP Kimlik Doğrulama Kullanın Giriş sayfası, WordPress sitesindeki diğer sayfalardan daha sık saldırıya uğradığından, sayfanın üzerine bir koruma katmanı eklemek mantıklıdır. HTTP kimlik doğrulaması bunu başarmanıza yardımcı olacaktır. Sitede HTTP kimlik doğrulaması uygulanır
HTTP kimlik doğrulaması, istenmeyen ziyaretçileri giriş sayfasına nasıl engelleyeceğinizi sağlar.HTTP kimlik doğrulamasını web sitenize yükledikten sonra, özel bir HTTP kimlik bilgileri seti olmadan giriş sayfasına erişmek mümkün değildir.
Tüm kullanıcılarınızın şifreyi birkaç ayda bir değiştirmesi gereken bir politika uygulayın. Bu iyi bir uygulamadır ve güvenliğin nasıl devam eden bir prosedür olduğu hakkında iyi bir hatırlatmadır. 16. Günlük hackleme kötü amaçlı yazılım taraması, büyümeye devam eden bir süreçtir. Her yıl, hackerların sofistike araçlar geliştirdiğini ve web sitelerine nüfuz etmenin daha iyi yollarını bulduğunu görüyoruz. Bu gibi durumlarda, bir güvenlik tarayıcısı kullanmak güvenlik duruşunuzda büyük bir fark yaratabilir. WordPress güvenlik tarayıcılarının yardımıyla, sitenize zarar vermeden önce kötü amaçlı yazılım yakalayabilirsiniz. Aşağıda, aralarından seçim yapabileceğiniz ilk 5 WordPress kötü amaçlı yazılım tarayıcılarının bir koleksiyonu bulunmaktadır. 17. Program Daily, WordPress sitesini uzun süredir çalıştıran herkesin beklenmedik bir felaket olacağını bilir. Hangi formun olacağını tahmin edemeseniz de, felaket gerçekleşmeden önce bir kurtarma planı hazırlayabilirsiniz. WordPress sitenizi güvence altına almanın en iyi yolu kaybetmediğiniz zamandır. Yedeklemenin devreye girdiği yer burası. Onlar sizin güvenlik ağınız. Örneğin, bir şeyler ters gittiğinde, web siteniz güncellemelerden zarar görürse, yedekleme yardımıyla sitenizi normale döndürebilirsiniz. Bu nedenle, web sitenizin tam yedeklemesini düzenli olarak alın. (Önerilen 5 En İyi WordPress Rezerv eklentileri okuyun.) 18. Her kayıtlı WordPress kullanıcısının en az ayrıcalıklı olan ilkeleri uygulamak bir kullanıcı rolü vardır. Yönetici veya editör, yazar, katkıda bulunan, müşteri veya süperadmin olabilir. Kullanıcının rolünü tahsis etmeden önce iki kez düşünmelisiniz.
Her rol bir dizi otorite ve sorumluluk ile donatılmıştır.Güç ve büyük güvenlik sorunlarının kötüye kullanılmasına neden olabileceğine tam olarak inanmayan kişilere yönetici gibi büyük bir rol gönderin. Kullanıcının rolünü değiştirin
Sitenizi HTTPS’ye aktarmanın 3 temel avantajı olacaktır: Birincisi, önemli bilgileri güvenli tutması için ziyaretçiler ve web siteniz tarafından geçen tüm bilgileri şifreleyecektir. Sonuç olarak, sitenizin ziyaretçileri arasında güven oluşturur. Bu iki numaralı fayda. Üç numaralı fayda, SSL sertifikalarını önemli bir sıralama faktörü olarak gördüğü için sertifikanın Google sıralamayı artırmasıdır. 21. Doğru dosya izni WordPress web sitesinin dosyalar ve veritabanlarından yapıldığından emin olun. Her dosyanın dosyanın değiştirilip değiştirilemeyeceğini belirleyen bir izin kümesi vardır. WordPress Dosya izni, sitenizin güvenliğini sağlamada önemli bir rol oynar. Yanlış izin setine sahip olmak, çeşitli hatalara ve hatta güvenlik ihlallerine neden olabilir. Örneğin, WP-Config dosyası çok önemli bir WordPress’dir ve karıştırılmamalıdır. ‘Salt okunur’ olarak düzenlenmelidir. Örneğin, bu ‘okuma ve yaz’ olarak değiştirilir, herkes bilginiz olmadan dosyaları düzenleyebilir ve sitenizde değişiklik uygulayabilir. Bu nedenle, .htaccess dosyaları ve wp-config dosyaları gibi tüm önemli dosyaları salt okunur olarak ayarlamak önemlidir. Dosya iznini değiştirin
22. Her gün gerçek zamanlı etkinlikleri izleyin WordPress sitenizde olan her şeyi izlemek, ilk aşamalarda şüpheli davranışı tanımlamanızı sağlar. Bu, web sitenize zarar vermeden önce sızma olasılığını engellemeye yardımcı olacaktır. Bir depoda gerçek zamanlı olarak etkinlikleri izlemenize yardımcı olacak birkaç eklenti vardır. İncelediğimiz şey bu – Günlük Denetim Güvenliği WP. 23. WordPress dosyasının düzenlenmesini devre dışı bırakma, kullanıcıların kod görüntülerini düzenlemelerine ve gösterge tablosundan yüklenen temaya eklemelerine olanak tanır. Bu ciddi güvenlik sorunlarına neden olur, çünkü bilgisayar korsanları yönetici erişimi alırsa, temaları ve eklentileri düzenleyebilir. Çoğu WordPress kullanıcısı temaları ve eklentileri düzenlemediğinden, bu tehlikeli kodlar eklemek ve fark edilmeden iyi bir yerdir. Kod, saldırganın gelecekte web sitelerine erişmesine yardımcı olacaktır. Ancak dosya düzenlemesini devre dışı bırakırsanız, temanız ve eklentinizde depolanan tehlikeli kodlar hakkında endişelenmenize gerek yoktur. Dosya düzenlemesini manuel olarak risk altında olarak devre dışı bırakma, ancak Malcare istemcisi iseniz, Dosya Düzenlemesi’ni.nonactive düğmesini tıklayarak devre dışı bırakabilirsiniz.
24. WordPress veritabanı veritabanı önekini değiştirme, web sitesi içeriğiniz ve yapılandırmanız için bir depolama tesisidir. Bu, hedefi arkasına yerleştiren sitenizin çok önemli bir parçasıdır. Hacker, veritabanına erişmek ve kullanmak için spam bağlantısı enjeksiyonumuzu veya SQL enjeksiyonumuzu getirir. Veritabanı yapısı genel bilgidir. 11 standart tabloda görünür ve her tabloda ‘wp_’ önekine sahiptir
. Önek değiştirirseniz, mutluluğu korumadan çıkarabilir ve veritabanından yararlanmayı zorlaştırabilirsiniz. Bu öneki başka bir şeye dönüştürmek iyi bir WordPress güvenlik uygulamasıdır. 25. WordPress Web sitesinin yürütülmesini devre dışı bırakın PHP, birçok dosya ve klasörden oluşur. Yükle klasör, web sitesi resminizin depolandığı yerdir. Yükleme klasöründe asla php dosyaları bulamazsınız. PHP dosyaları bir dizi komut içerir ve işlevleri yerine getirmek için kullanılır. PHP dosyaları .php uzantısı olduğu için kolayca tanınır. Yükleme klasöründe böyle bir dosya bulursanız, büyük olasılıkla davetsiz misafir tarafından yerleştirilmesi muhtemeldir. Spam e -postaları gönderme gibi kötü etkinlikler yapmak için PHP dosyalarını kullanacaktır. Yükleme klasöründe PHP’nin yürütülmesini devre dışı bırakmak, web sitenizi güvence altına almanıza gerçekten yardımcı olabilir. PHP yürütmeyi nasıl devre dışı bırakacağınız aşağıda açıklanmıştır. 26. Dizini Devre Dışı Bırakma Keşifleri Bazen Web Standartları yerine Dosya ve Klasörler Listesi görüntüleyebilir. Genellikle dizin dosyası olmadığında (index.html, index.php, vb.) Olur. Bunun gibi durumlarda veriler açıktır ve kolayca kullanılabilir. Web sitenizin kamuya önemli verileri görüntüleyip göstermediğini kontrol etmek istiyorsunuz. Öyleyse, WordPress sitesindeki dizin araştırmalarının devre dışı bırakıldığından emin olmanız gerekir. Bu makale bunu yapmanıza yardımcı olacaktır – Dizin Keşfi Nasıl Devre Durdurulur?
WordPress Security Tuz, web sitenizin kontrol paneline her erişmek istediğinizde nasıl girmediğinizi hiç fark ettiniz mi?Hesabınızı girdikten sonra WordPress, giriş bilgilerinizi şifreleyerek tarayıcı çerezinizde saklar.WordPress, şifreleri şifrelemek için güvenlik ve tuz anahtarlarını kullanır, böylece bilgisayar korsanları çerezlerinizi çalmayı başarsa bile, şifre kodunuzu kıramazlar.Bilgisayar korsanlarının güvenlik anahtarlarınızı çaldığı ve kodu kırmayı ve sitenize bilginiz olmadan erişmeyi başardıkları durumu düşünün.Güvenlik anahtarını ve tuzu değiştirirseniz, tarayıcı çerezi yakında iptal edilir.Web sitesinden kovulacak. Malcare ile güvenlik anahtarlarını değiştirme
