WordPress güvenlik ipuçları : Web Siteniz güvende mi?
WordPress güvenlik konusunda başarılı eklentiler sunsa da sizin de alabileceğiniz bazı önlemler ile bunu pekiştirebilirsiniz.
Bir web sitesinin yada bloğun güvenliği her şeyden önemlidir. Çünkü büyük emekler verilerek oluşturulan bir web sitesi saldırılar sonucu başkalarının eline geçtiğinde gerçekten canınızı acıtabilir.
WordPress güvenlik ipuçları
Böyle istenmeyen bir durumla karşı karşıya kalmamak için mutlaka önlem almak gerekiyor. Bu makalemde size WordPress admin panelinizini saldırı girişimlerine karşı koruyabileceğiniz ipuçlarından bahsedeceğim.
Genelde yeni bir WordPress kurulumundan sonra site sahipleri yönetici panelinin adresiyle çok ilgilenmezler. WordPress’in varsayılan giriş adresi standart olduğu için saldırganlar için yönetici giriş adresini tahmin etmek hiç de zor değil.
Dolayısıyla ilk etapta bu adresi değiştirmek en mantıklı hareket olacaktır. Bunun için size tavsiyem Stealth Login eklentisidir. Eklenti sayesinde giriş, çıkış ve kayıt adreslerini dilediğiniz adres ile değiştirebilirsiniz.
Malesef şifre oluşturma konusunda hala dikkatli davranmıyoruz. Oluşturduğumuz şifrelerde telefon numaraları, ad soyad, doğum tarihi, ardışık rakamlar gibi kolayca tahmin edilebilen şifreler kullanıldığında tahmin etmesi de kolaylaşmaktadır. Güçlü bir şifre oluşturmak için mutlaka büyük ,küçük harf, rakam ve sembol kullanın. Her yherde kullandığınız şifrelerden kullanmayın.
Kullanıcı giriş denemelerini sınırlandırmak oldukça etkilidir. Yanlış girilen bilgilerden dolayı belirli bir süre girişi engelleyebilirsiniz. Bu konuda Wp Limit Login Attemps eklentisi oldukça kullanışlıdır.
Wp-admin klasörünü erişime engelleyip sadece kendi ip niz için izin verebilirsiniz. Bunun için htaccess dosyanıza aşağıdaki kodu ekleyip içerisine kendi ip adresinizi yazmanız yeterli olacaktır.
NOT : Eğer sabit ip adresi kullanıyorsanız bu işlemi yapın. diğer türlü her modem açılışında ip adresiniz değişeceği için sürekli olarak htaccess dosyasını düzenlemeniz gerekecektir.
AuthUserFile /dev/null AuthGroupFile /dev/null AuthName "WordPress Admin Giriş Kontrolü" AuthType Basic <LIMIT GET> order deny,allow deny from all # whitelist Syed's IP address allow from xx.xx.xx.xxx </LIMIT>
WordPress kurulumunda oluşturulan varsayılan kullanıcı adı olan “admin” çoğu kişi tarafından değiştirilmez ve tahmin edilmesi en kolay kullanıcı adı olduğundan risk taşımaktadır. Kullanıcı adınızı sadece sizin bileceğiniz bir isim ile değiştirin.
Kötü niyetli kişilerin admin paneli giriş denemelerinde karşılaştığı hata mesajlarından kullanıcı adının doğru olup olmadığını anlayabilir. Yanlış şifre yazıldığında şifre yanlış dediği için kişi, kullanıcı adından emin olabilir. Bu riske girmemek için hata mesajını kaldırmak daha iyi olabilir. Bunun için kullandığınız temanın functions.php dosyasının en altına aşağıdaki kodu eklemeniz yeterli.
function no_wordpress_errors(){ return 'Bilgiler Yanlış'; } add_filter( 'login_errors', 'no_wordpress_errors' );
Eğer eklenti olarak bir alternatif arıyorsanız Acunetix Secure eklentisi işinizi fazlasıyla görecektir.
WordPress sürekli olarak geliştirildiği için kısa süre içerisinde yeni sürümler , yamalar çıkarmaktadır. Bazı kişiler için güncelleme işlemi sıkıcı olabilmektedir. Fakat unutmamak gerekiyor ki her yeni sürüm mevcut olan hata yada güvenlik açıklarını kapattığı için güncel sürümü kullanmak son derece önemlidir.
WordPress güvenlik konusunda size farklı alternatifler sunmakla birlikte, ücretli ve ücretsiz olarak oldukça fazla eklenti desteği bulunmaktadır. Fakat herkes eklenti kurmaktan hoşlanmadığı için kendi kendinize önlem alabilirsiniz.
Çok güzel bir yazı olmuş eline sağlık.
Wordpress hakkında iyi tecrübelerim olduğu için bu konuda biraz söz sahibi olarak bir kaç öneri de ben vereyim.
1- Admin panel giriş yolu değişimi için eklenti kullanmaya gerek yok wp-load.php ve wp-login.php içinde kodlara yeni yolu ekleyerek değiştirin.
2- Admin panel girişine çift sorgulu panel yapın (bunu ben paylaştım detayı görmek isteyenler; http://alicomez.com/wordpress-2-asamali-admin-panel.slw )
3- htacces ile web scanner araçlarının sitenizi analiz etmesini engelleyebilirsiniz. bunun için yine ( http://alicomez.com/optimize-edilmis-htacces.slw )
4- WordPress için gereksiz veya güvenlik açığı oluşturabilecek alanların kapatılması için ( http://alicomez.com/wp-core-hack-yapalim.slw )
Aslında eklenti ne kadar az kullanılırsa güvenlik açığı o derecede az olur. WordPress’in sistem olarak Hack yapılma durumu şu anda çok zor hatta imkansıza yakın ancak eklenti ve temalardaki hatalardan kaynaklı hack olayları yaşanıyor.
Bu konuda bir ara bende yazı yazabilirim (üşenmezsem 🙂 )
Paylaşımın için teşekkürler Ali . Herkes kodlarla uğraşmak istemediği için genelde güvenilir eklentiler tercih ediliyor. Ama elbette ne kadar az eklenti o kadar hızlı ve güvenilir site tespiti doğru:)
Güzel bir yazı olmuş. Uzun süredir WordPress alt yapısını kullananlar genellikle bunları bilir fakat bilmeyenler de oluyor fakat yeni WordPress kullanıcıları için kesinlikle bilinmesi ve uygulanması gereken bilgiler 🙂 Teşekkürler
üstadım merhaba,
wordpress ile yeni tanıştım ve sunduğunuz bilgilerden istifade ederek deneme amaçlı bir sayfa oluşturdum. buddypress eklentisiyle kullanıcı blog denemesi. Ancak daha çok yeni olmasına rağmen wordpress giriş yapıldığında “Bu bağlantılı güvenlikli değil, buraya yazdığınız hesap bilgileri ele geçirilebilir” şeklinde uyarı veriyor. Neden acaba?
Bu tarz guvenlik uyarilari genelde https olmayan web adreslerinde cikar. Eger https sertifikasi kullanirsaniz sirun kalmayacaktir fakat ben bu konuya cok takilmayin derim
Çok teşekkür ederim cevap verdiğiniz için. Müsaadenizle bir önerim olacak; Soru sorarak çıktım ve sonra aklıma geldi acaba cevaplandı mı diye. Tabi ki hangi sayfanın yorum kısmına yazdığımı not almadım. Bunun üzerine teker teker bütün sayfalara girip aradım ve nihayet burada buldum. Oysaki verdiğiniz cevap e mail adresine de gitse, hatta “yorumunuz cevaplandı” olarak gitse, oradan direk bu sayfaya yönlendirilse daha faydalı olur diye düşünüp paylaşmak istiyorum.
Bu arada hangi sayfada olduğunu hatırlamıyorum ancak “herkes” sözcüğünü “herkez” olarak defalarca yazmışsınız. Katkıda bulunayım dedim. Selamlar.
Uyarınız için teşekkürler. Kelimenin hiç farkında değilim:) Bundan sonra daha fazla dikkat ederim:)