Web sitesi güvenliği denince akla genellikle büyük şirketleri hedef alan karmaşık saldırılar gelir. Küçük işletme sahipleri de bu yüzden “Bizim sitemizde çalınacak bir şey yok” diye düşünür. Ancak saldırıların önemli bir kısmı belirli bir hedefi seçmez; otomatik araçlar internetteki siteleri tarar, güncellenmemiş bir eklenti, tahmin edilebilir bir şifre veya korumasız bir form bulduğunda devreye girer.
Ele geçirilen bir site; spam e-posta göndermek, ziyaretçileri dolandırıcılık sayfalarına yönlendirmek veya başka sitelere saldırmak için kullanılabilir. Sonuç, arama motorlarında uyarı etiketi, e-postalarınızın spam klasörüne düşmesi ve en önemlisi müşteri güveninin sarsılmasıdır. Bu yazıda küçük işletmeler için temel güvenlik önlemlerini öncelik sırasıyla ele alıyoruz.
1. Güncellemeler: en etkili ve en çok ihmal edilen önlem
İçerik yönetim sistemi, tema, eklentiler, sunucudaki programlama dili sürümü ve kullanılan kütüphaneler zaman zaman güvenlik açığı nedeniyle güncellenir. Açık duyurulduktan sonra güncellenmeyen siteler, otomatik taramaların en kolay hedefidir.
- Kullandığınız bütün bileşenlerin listesini çıkarın.
- Güncellemeleri düzenli aralıklarla, önce yedek alarak yapın.
- Kullanmadığınız eklenti ve temaları sadece devre dışı bırakmayın, tamamen kaldırın.
- Artık güncelleme almayan bir eklentiye veya sisteme bağlıysanız, alternatifini planlayın.
Özel yazılımla geliştirilmiş sitelerde de durum farklı değildir. Kullanılan çatının (framework) ve bağımlılıkların desteklenen sürümlerde tutulması, bakım sözleşmesinin bir parçası olmalıdır.
2. Şifreler ve iki adımlı doğrulama
Yönetim paneli, hosting kontrol paneli, alan adı hesabı, e-posta ve FTP veya SSH erişimi, sitenizin anahtarlarıdır. Bu hesaplardan biri ele geçirilirse diğer önlemlerin önemli bir kısmı anlamsızlaşır.
- Her hesap için farklı, uzun ve tahmin edilemez şifreler kullanın.
- Şifreleri hatırlamak yerine bir şifre yöneticisinde saklayın.
- Destekleyen her hesapta iki adımlı doğrulamayı açın; özellikle alan adı, hosting ve e-posta hesaplarında.
- Şifreleri e-postayla, mesajlaşma uygulamasıyla veya ortak bir Excel dosyasında paylaşmayın.
Ortak hesap yerine kişisel hesaplar
Ofiste herkesin aynı “admin” hesabıyla giriş yaptığı bir panelde, kimin neyi değiştirdiğini bilmek mümkün değildir. Her kullanıcıya kendi hesabını ve sadece ihtiyacı olan yetkiyi verin. Ayrılan çalışanların ve işi biten dış hizmet sağlayıcıların erişimlerini aynı gün kapatın.
3. Yedekleme ve geri dönüş planı
Hiçbir önlem riski sıfırlamaz; bu yüzden bir şey ters gittiğinde siteyi geri getirebilmek en az korumak kadar önemlidir.
- Dosyaların ve veritabanının otomatik olarak, düzenli aralıklarla yedeklendiğinden emin olun.
- Yedeklerin en az bir kopyasını sitenin bulunduğu sunucudan farklı bir yerde saklayın.
- Birkaç gün veya hafta geriye dönebilecek şekilde birden fazla yedek tutun; bir saldırı bazen günler sonra fark edilir.
- Yedekten geri yüklemeyi en az bir kez deneyin. Hiç denenmemiş bir yedeğin çalışacağından emin olamazsınız.
4. HTTPS ve güvenli bağlantı
Sitenin tamamı HTTPS üzerinden açılmalı ve HTTP adresler otomatik olarak HTTPS'e yönlenmelidir. SSL sertifikasının süresinin dolması, ziyaretçilerin tarayıcıda güvenlik uyarısı görmesine yol açar; otomatik yenileme ayarlı olduğundan emin olun. HTTPS tek başına sitenin güvenli olduğu anlamına gelmez, ancak ziyaretçiyle site arasındaki verinin korunması için temel şarttır.
5. Form güvenliği
İletişim, teklif, üyelik ve sipariş formları sitenin dış dünyaya açılan kapılarıdır. Kötü niyetli kullanımın en sık görüldüğü yerler de bunlardır.
- Spam koruması: Görünmez doğrulama yöntemleri, gizli alanlar veya CAPTCHA ile otomatik gönderimleri azaltın.
- Gönderim sınırı: Aynı kaynaktan kısa sürede çok sayıda gönderimi sınırlayın.
- Girdi doğrulama: Formdan gelen her veri sunucu tarafında kontrol edilmeli; sadece tarayıcıdaki kontrollere güvenilmemelidir.
- Dosya yükleme: Dosya yüklemeye izin veriyorsanız türünü ve boyutunu sınırlayın, yüklenen dosyaların çalıştırılamayacağı bir yerde saklanmasını sağlayın.
- Kişisel veri: Formda sadece gerçekten ihtiyaç duyduğunuz bilgiyi isteyin; aydınlatma metnini formun yanında gösterin.
6. Yönetim panelini korumak
Yönetim paneli adresi çoğu sistemde herkes tarafından bilinir. Başarısız giriş denemelerini sınırlamak, mümkünse paneli belirli IP adresleriyle kısıtlamak ve oturum süresini makul tutmak, kaba kuvvet denemelerine karşı etkili önlemlerdir. Panelde yapılan kritik işlemlerin kaydını tutmak, bir sorun yaşandığında neyin ne zaman değiştiğini anlamayı kolaylaştırır.
7. Alan adı ve e-posta güvenliği
Alan adınız, sitenizin ve e-postanızın temelidir. Alan adının işletme adına kayıtlı olduğundan, kayıt hesabına sizin erişebildiğinizden ve otomatik yenilemenin açık olduğundan emin olun. Süresi dolan bir alan adı, siteyi ve e-postayı aynı anda durdurur.
E-posta tarafında SPF, DKIM ve DMARC kayıtlarının doğru yapılandırılması, alan adınız adına sahte e-posta gönderilmesini zorlaştırır ve e-postalarınızın teslim edilme oranını iyileştirir.
8. Ziyaretçi verilerini azaltın
Saklamadığınız veri çalınamaz. Formlardan gelen başvuruların, eski sipariş kayıtlarının veya üyelik bilgilerinin yıllarca veritabanında birikmesi, olası bir sızıntının etkisini büyütür. Hangi verinin ne kadar süre tutulacağını belirleyin; süresi dolan kayıtları silin veya anonim hâle getirin. Form bildirimlerinin e-posta kutularında da birikmediğini unutmayın; e-posta hesabı ele geçirildiğinde bu bilgiler de açığa çıkar.
9. Barındırma tarafını sorgulayın
Sitenin güvenliği, üzerinde çalıştığı sunucunun güvenliğinden bağımsız değildir. Hosting sağlayıcınıza şu soruları sorun: Sunucu yazılımları kim tarafından ve ne sıklıkla güncelleniyor? Güvenlik duvarı ve kötü amaçlı yazılım taraması var mı? Aynı sunucudaki başka bir sitenin ele geçirilmesi sizin sitenizi etkileyebilir mi? Kendi yönettiğiniz bir sunucu kullanıyorsanız bu soruların cevabı sizin ya da hizmet aldığınız ekibin sorumluluğundadır.
10. İzleme ve erken uyarı
Bir sorunu ne kadar erken fark ederseniz zarar o kadar sınırlı kalır. Sitenin erişilebilirliğini izleyen basit bir servis, Google Search Console'da güvenlik sorunları bildirimleri ve sunucu tarafında şüpheli dosya değişikliklerini tespit eden araçlar, küçük işletmeler için bile kurulması kolay önlemlerdir.
Öncelik sırası
Hepsini aynı anda yapamıyorsanız şu sırayla başlayın:
- Kritik hesaplarda güçlü şifre ve iki adımlı doğrulama
- Sunucu dışında saklanan, test edilmiş yedek
- Sistem ve eklenti güncellemeleri, kullanılmayanların kaldırılması
- Formlarda spam koruması ve sunucu tarafı doğrulama
- İzleme ve düzenli kontrol
Bu listeyi bir kez uygulayıp bırakmak yerine, takvime bağlayın: örneğin şifre ve kullanıcı listesinin gözden geçirilmesini, yedekten geri yükleme denemesini ve eklenti kontrolünü belirli aralıklarla yapılacak işler olarak planlayın.
Bu işlerin bir kısmı tek seferlik, bir kısmı ise süreklidir. Sürekli olanları kimin yapacağını netleştirmek için bakım ve destek hizmetlerini hizmetlerimiz arasında inceleyebilirsiniz.
Sonuç
Küçük bir işletmenin web sitesi için güvenlik, pahalı araçlardan önce düzenli alışkanlıklarla başlar: güncel sistem, güçlü ve kişiye özel hesaplar, test edilmiş yedek ve korunan formlar. Sitenizin mevcut durumunu birlikte gözden geçirmek isterseniz bizimle iletişime geçebilirsiniz.
