Web Sitesi Güvenliği: Site Hacklenmemesi İçin Yapılacaklar

Web sitesi güvenliği; bir sitenin çökmesi değil, itibarının ve trafiğinin korunması meselesidir. Hacklenen bir site; arama sonuçlarında "Bu site güvenliğinizi tehdit edebilir" uyarısıyla görünür, ziyaretçiler sayfaya girmekten vazgeçer, sıralama düşer ve kötü amaçlı yazılım yayılırsa müşteri verisi tehlikeye girer. Bu rehber; sızma riskini en aza indiren beş katmanlı korunma planını ve saldırı olduğunda izlenecek adımları anlatır.

Güvenlik Neden SEO ve İtibar Meselesidir?

Güvenlik ihlali, sitenin "arama" performansını doğrudan keser:

• Tehlikeli site uyarısı: Google, kötü amaçlı yazılım tespit ettiği siteleri arama sonuçlarında uyarıyla gösterir; tıklama oranı neredeyse sıfırlanır.
• Sıralama düşüşü: İhlal ve temizlik süreci boyunca site aramalardan düşer; sıralamanın toparlanması haftalar sürebilir.
• Veri ve yasal yük: Müşteri bilgisi sızıntısı, KVKK kapsamında idari yaptırım ve dava riski doğurur; küçük bir site için bile sonuçları ağırdır.
• Marka güveni: Uyarı sayfasını gören ziyaretçi, siteye geri dönmeyebilir; kayıp, trafikten büyüktür.

Yani güvenlik; "çok sonra düşünülür" bir bakım konusu değil, sitenin aramalardaki varlığını ve marka değerini koruyan bir ön yatırımdır. Sıralama kaybına karşı genel duruşu SEO ve Google Ads karşılaştırmamızda da vurguladığımız gibi, organik trafik birikimli bir varlıktır; bir gecede kaybedilmemesi için korunması gerekir.

Katman 1: SSL Sertifikası ve HTTPS

SSL sertifikası; site ile ziyaretçi arasındaki iletişimi şifreler ve tarayıcıda kilit simgesini gösterir. HTTPS, Google'ın resmî olarak onayladığı bir sıralama sinyalidir; form gönderimi, ödeme ve giriş alanı olan her site için zorunludur. Bugün ücretsiz sertifika sağlayıcıları (örneğin Let's Encrypt) ile SSL kurulumu maliyetsizdir; hosting firmaları da tek tıkla otomatik kurulum sunar. Siteniz hâlâ http ile çalışıyorsa, yapılacak ilk güvenlik işi HTTPS'ye geçmek ve tüm içeriği yeni adrese kalıcı yönlendirmektir.

Katman 2: Güncelleme ve Bakım Disiplini

Sitelerin çoğu, bilinen bir açıktan değil; güncellenmemiş yazılımdan hacklenir. İçerik yönetim sistemi, eklentiler ve tema; yayınlanan güvenlik yamalarıyla güncel tutulmalıdır. Sık yapılan hatalar:

• Kullanılmayan eklenti ve temaların silinmemesi (bunlar açık kapıdır),
• Otomatik güncellemenin kapatılması veya hiç açılmaması,
• Güncelleme öncesi yedek alınmaması.

Güncelleme disiplini, sitenin aylık bakım rutininin parçasıdır; bakımın kapsamı ve bütçesi web sitesi yıllık maliyet rehberimizde detaylı yer alır. Sitenin ne sıklıkla ve nasıl güncellendiğini bilmiyorsanız, ilk adım bu bilgiyi öğrenmektir.

Katman 3: Yedekleme Stratejisi

Hiçbir güvenlik önlemi %100 garanti değildir; yedek, saldırı sonrası en hızlı çıkış kapısıdır. Yedekleme için üç kural yeterlidir:

• Otomatik olmalı: El ile yedek almak unutulur; günlük otomatik yedek, standarttır.
• Site dışında tutulmalı: Yedek, aynı sunucuda saklanırsa sitenin ele geçirilmesiyle birlikte yedeğiniz de gider; harici depolama şarttır.
• Geri dönüş test edilmeli: Hiç denenmemiş yedek, "belki çalışır" yedektir; ayda bir yedekten geri dönüş denemesi yapılmalıdır.

İyi bir yedek stratejisi; saldırı, hatalı güncelleme veya insan hatası sonrası sitenin saatler içinde eski hâline dönmesini sağlar. Saldırı sonrasında yedekten dönüş de bir çözüm olsa da önce temizlik yapılmalıdır; kirli yedeğe dönmek, virüsü geri getirmektir.

Katman 4: Erişim Yönetimi ve Parola Güvenliği

Saldırıların önemli bir bölümü; zayıf parola, paylaşılan yönetici girişi veya açık kalmış oturum üzerinden yapılır. Erişim katmanının kuralları şunlardır:

• Güçlü ve benzersiz parolalar: Yönetici ve e-posta hesapları için tek kullanımlık rastgele parolalar; aynı parolanın başka sitede kullanılmaması.
• İki adımlı doğrulama (2FA): Yönetici paneline girişte şifreyle birlikte tek kullanımlık kod; en ucuz ve en etkili önlemlerden biridir.
• Rol bazlı erişim: Sitede çalışan herkes yönetici olmamalıdır; içerik yazan kişiye editör, teknik iş yapana geliştirici rolü verilir.
• Giriş denemesi koruması: Art arda hatalı giriş denemelerinin engellenmesi (brute force koruması), varsayılan kurulumlarda açık bırakılır.

Erişim yönetimi; özellikle sitenin birden fazla kişi veya ajans tarafından yönetildiği durumlarda kritikleşir. Eski çalışan ve eski ajans hesaplarının kapatılması, firma değişimlerinde ilk yapılması gereken iştir; bu süreci firma seçme rehberimizde anlattığımız geçiş sürecinin güvenlik adımı olarak düşünebilirsiniz.

Katman 5: Kötü Amaçlı Yazılım Taraması ve Saldırı Sonrası

Korunma katmanları tamamlanmış bir site için ayda bir kötü amaçlı yazılım taraması yeterlidir; hosting firmalarının çoğu bu taramayı ücretsiz sunar. Tarama sonucunda şüpheli dosya bulunursa site yayından alınmalı, yedek ve değişiklik kayıtları incelenmeli, temizlik sonrası Google'a inceleme isteği gönderilmelidir. Google'ın sürece yaklaşımı resmî dokümanında açıktır: siteniz tehlikeye girdiyse kullanıcıları korumak için Chrome ve arama sonuçlarında uyarı gösterilir ve temizlikten sonra inceleme isteğiyle geri kazanım başlar: Kötü amaçlı yazılım ve uyarılar (Google Yardım).

Saldırı sonrası sürecin yönetimi; tespit, karantina, temizlik, yedekten dönüş ve yeniden dizine giriş adımlarından oluşur. Bu süreçte hangi sayfaların etkilendiğini ve Google'ın ne gördüğünü Google Search Console rehberimizde anlattığımız güvenlik bölümünden takip etmeniz gerekir; inceleme isteği de buradan yapılır.

Sonuç: Beş Katmanı Birlikte Kurun

Web sitesi güvenliği; tek bir araçla değil, beş katmanın birlikte çalışmasıyla sağlanır: SSL, güncelleme disiplini, otomatik ve harici yedek, erişim yönetimi ve düzenli tarama. Bu katmanların ortak özelliği; düşük maliyetli ve düzenli bakım gerektiren işler olmasıdır. Geciken her önlem, saldırı sonrası ödenecek faturayı büyütür. Sitenizin güvenlik ayarlarını birlikte gözden geçirmek isterseniz kurumsal web tasarım hizmetimiz kapsamında güvenlik denetimi de sunuyoruz; mevcut sitenizin yedek ve güncelleme düzenini kontrol etmek için iletişim sayfamızdan bize ulaşabilirsiniz.