Yazılım
Web Sitesi Güvenlik Açığı Kontrolü
Sitenizin PHP ve yazılım sürümlerini, eklentilerini, sunucu ayarlarını ve dışarıdan görünen hatalarını izninizle kontrol ediyor; bulduğumuz açıkları önem sırasına koyup kapatıyor, bunu arama görünürlüğünüzü bozmadan yapıyoruz.
Kısa cevap
Web sitesi güvenlik açığı kontrolü, bir sitenin yazılım sürümlerinin, eklentilerinin, sunucu ve alan adı ayarlarının ve dışarıdan görünen hatalarının bilinen açıklara karşı incelenmesidir. UNIT İstanbul, Unit Software markasıyla bu kontrolü site sahibinin yazılı izniyle ve siteye zarar vermeyen yöntemlerle yapar; bulguları önem sırasına koyan bir rapor hazırlar ve düzeltmeleri uygular.
Sitemde güvenlik açığı var mı, nasıl anlarım?
Güvenlik açığı, sitenin yazılımında ya da ayarlarında başkasının izinsiz işlem yapmasına imkân veren bir zayıflıktır. Açıkların çoğu kendini belli etmez: site normal açılır, siparişler gelir, formlar çalışır. Bu yüzden "sitem çalışıyor, demek ki sorun yok" düşüncesi yanıltıcıdır.
Yine de bazı işaretler bir sorunun habercisi olabilir. Aşağıdakilerden birini görüyorsanız sitenizi vakit kaybetmeden kontrol ettirmenizi öneriyoruz:
- Beklenmedik yönlendirmeler: Ziyaretçiler ya da Google'dan gelenler başka bir siteye gönderiliyor.
- Tanımadığınız sonuçlar: Google'da sitenizin adıyla yabancı dilde, ilaç ya da bahis içerikli sayfalar çıkıyor.
- Bilinmeyen hesaplar: Yönetim panelinde sizin açmadığınız yönetici hesabı var.
- Uyarılar: Search Console'da güvenlik sorunu bildirimi, tarayıcıda "güvenli değil" uyarısı ya da barındırma firmasından gelen bir uyarı e-postası.
- Açıklanamayan yavaşlık: Trafik artmadığı hâlde sunucu kaynakları doluyor, site yavaşlıyor.
- Form ve e-posta sorunları: Formlardan anlamsız gönderimler geliyor ya da alan adınızdan sizin göndermediğiniz e-postalar çıkıyor.
Güvenlik açığı kontrolünde neleri inceliyoruz?
Bir sitenin güvenliği tek bir ayardan değil, birbirine bağlı katmanlardan oluşur. Kontrolde her katmanı ayrı ayrı inceliyor, bulguları aynı raporda topluyoruz.
| Alan | Neye bakıyoruz | Neden önemli |
|---|---|---|
| PHP ve sunucu yazılımı | Kullanılan sürüm, güvenlik desteğinin sürüp sürmediği, sunucu ayarları | Sunucu tarafındaki bir açık, sitedeki tüm yazılımları etkiler |
| İçerik yönetim sistemi | WordPress ya da kullanılan altyapının sürümü ve güncelleme durumu | Bilinen açıklar eski sürümlerde toplu olarak hedeflenir |
| Eklenti ve temalar | Güncel olmayan, terk edilmiş ya da kullanılmayan bileşenler | Saldırıların önemli bir kısmı eklenti açıklarından gelir |
| Hesaplar ve girişler | Yönetici hesapları, parola politikası, iki adımlı doğrulama, giriş sayfasının korunması | Ele geçirilen tek bir hesap tüm siteye erişim verir |
| Açıkta kalan dosyalar | Yedek dosyaları, ayar dosyaları, hata kayıtları, dizin listeleme | Veritabanı bilgisi ya da kaynak kod dışarı sızabilir |
| Bağlantı ve başlıklar | SSL sertifikası, yönlendirmeler, güvenlik başlıkları, çerez ayarları | Ziyaretçi verisinin yolda okunmasını ve sahte sayfalara gömülmeyi zorlaştırır |
| Formlar ve girdiler | İletişim, üyelik ve ödeme formlarının kötüye kullanıma karşı korunması | Spam, veri sızıntısı ve hesap ele geçirme denemelerinin giriş kapısıdır |
| Arama görünürlüğü | Search Console güvenlik bildirimleri, dizine giren yabancı sayfalar | Ele geçirilmiş siteler aramada uyarıyla gösterilir ya da düşer |
PHP açıkları neden bu kadar sık gündemde?
PHP, internetteki sitelerin çok büyük bir bölümünü çalıştıran programlama dilidir; WordPress, pek çok e-ticaret altyapısı ve kurumsal site onunla çalışır. Bu yüzden PHP'de bir açık bulunduğunda tek bir site değil, aynı sürümü kullanan sayısız site birden risk altına girer.
Önemli bir ayrıntı: PHP sunucuda çalışır. WordPress'i ya da eklentileri güncellemek PHP'yi güncellemez; düzeltmeyi barındırma sağlayıcısı ya da sunucuyu yöneten ekip uygular. Güvenlik desteği sona ermiş eski PHP sürümleri ise yeni açıklar için düzeltme almaz. Son PHP açıklarını ve siteyi kapatmak gerekirse arama görünürlüğünün nasıl korunacağını PHP açığında yama ve bakım sayfası kuralı haberimizde anlattık.
Güvenlik kontrolünü nasıl yapıyoruz?
Kontrole yalnızca site sahibinin yazılı izniyle ve kapsamı birlikte belirledikten sonra başlıyoruz. Kullandığımız yöntemler siteye zarar vermez, veri silmez ve ziyaretçilerin deneyimini bozacak yük oluşturmaz.
- Envanter: PHP, veritabanı, içerik yönetim sistemi, tema ve eklentilerin sürümlerini listeliyoruz.
- Bilinen açıklarla karşılaştırma: Her bileşeni, kamuya açık güvenlik bildirimleriyle karşılaştırıyoruz.
- Dışarıdan inceleme: Bir ziyaretçinin ya da otomatik bir aracın siteden neleri görebildiğini kontrol ediyoruz: açıkta kalan dosyalar, hata mesajları, giriş sayfaları, başlıklar.
- Yapılandırma incelemesi: Erişim verildiğinde sunucu, panel ve alan adı ayarlarını gözden geçiriyoruz.
- Kod ve dosya incelemesi: Gerekli görülürse sitenin dosyalarında beklenmedik değişiklik, arka kapı ya da zararlı kod arıyoruz.
Açık bulunursa ne yapıyoruz?
Her bulguyu etkisine ve istismar edilme kolaylığına göre üç gruba ayırıyoruz: hemen kapatılması gerekenler, kısa sürede planlananlar ve bir sonraki bakım döneminde ele alınacaklar. Raporda her bulgunun ne olduğu, neden önemli olduğu ve nasıl kapatılacağı sade bir dille yazılıdır.
Güncellemeleri önce yedek alarak, mümkünse bir test ortamında deniyor, ardından canlı siteye uyguluyoruz. Sunucu tarafındaki düzeltmeler için barındırma sağlayıcınızla yazışmayı da üstleniyoruz. Site ele geçirilmişse zararlı kodu temizliyor, parolaları ve erişim anahtarlarını yeniliyor, arka kapıları arıyor ve gerekiyorsa Search Console üzerinden yeniden inceleme talebinde bulunuyoruz.
Güncelleme sırasında arama görünürlüğü nasıl korunur?
Acil bir yama için siteyi kısa süre kapatmak gerekebilir. Bu sırada sayfaların hata sayfası göstermesi, arama motorlarına sitenin kaldırıldığı izlenimini verebilir. Doğru yöntem, bakım süresince geçici kesintiyi bildiren durum kodunu döndürmek, bu süreyi olabildiğince kısa tutmak ve robots dosyasının erişilebilir kalmasını sağlamaktır.
Ele geçirilmiş sitelerde arama motorlarına giren yabancı sayfaların temizlenmesi ve uyarıların kaldırılması da işin parçasıdır. Bu adımları SEO ekibimizle birlikte yürütüyor, Search Console'da tarama hatalarını ve güvenlik bildirimlerini izliyoruz.
Güvenlik kontrolü ile sızma testi arasındaki fark nedir?
Güvenlik açığı kontrolü, sitedeki bilinen zayıflıkları bulmaya ve önceliklendirmeye odaklanır: hangi yazılım eski, hangi ayar eksik, hangi dosya açıkta. Sızma testi ise bir saldırganın izleyeceği yolu taklit ederek bu zayıflıkların gerçekten istismar edilip edilemeyeceğini sınayan, daha kapsamlı ve daha uzun bir çalışmadır.
Kurumsal sitelerin ve küçük e-ticaret mağazalarının çoğu için doğru başlangıç, düzenli bir açık kontrolü ve bulguların kapatılmasıdır. Ödeme altyapısı, büyük müşteri veritabanı ya da mevzuat gereği denetim yükümlülüğü olan projelerde sızma testi ayrıca planlanabilir; bu ihtiyacı kontrolün sonunda birlikte değerlendiriyoruz. Sızma testi gerekiyorsa kapsamını ve izinlerini de yazılı olarak netleştiriyoruz.
Hangi sitelerin düzenli kontrole ihtiyacı var?
Her sitenin bir saldırı için yeterince değerli olduğunu varsaymak gerekir; saldırıların çoğu belirli bir firmayı değil, açığı olan her siteyi hedefleyen otomatik taramalarla başlar. Şu sitelerde düzenli kontrolü özellikle öneriyoruz:
- Ödeme ve müşteri verisi işleyen e-ticaret siteleri
- Form, üyelik ya da randevu sistemiyle kişisel veri toplayan kurumsal siteler
- Uzun süredir güncellenmemiş ya da eski altyapıda çalışan siteler
- Yapan ajansla ya da yazılımcıyla bağı kopmuş, kimin yönettiği belirsiz siteler
- Çok sayıda eklenti kullanan WordPress siteleri
Eski altyapı güncellenemeyecek durumdaysa siteyi yenilemek daha güvenli ve daha az maliyetli olabilir. Bu durumda web sitesi yapımı ve web ve e-ticaret sayfalarımızdaki yaklaşımla ilerliyoruz.
Sitenin güvenliğini sürdürmek için neler yapılmalı?
- Güncelleme düzeni: Çekirdek yazılım, tema ve eklentiler düzenli aralıklarla, yedek alınarak güncellenir.
- Yedekler: Yedekler siteden ayrı bir yerde tutulur ve geri yüklemenin çalıştığı ara ara denenir.
- Hesap güvenliği: Yönetici hesapları kişiye özeldir, güçlü parola ve iki adımlı doğrulama kullanılır.
- Sadelik: Kullanılmayan eklenti, tema ve hesaplar kaldırılır.
- En az yetki: Herkes yalnızca işini yapmak için gereken yetkiye sahip olur.
- İzleme: Search Console bildirimleri, sunucu uyarıları ve dosya değişiklikleri takip edilir.
Sitenizin güvenliğine nereden başlamalı? Önerimiz
Sitenizde açık olup olmadığını merak ediyorsanız önerdiğimiz sıra şöyle:
- Erişimleri toplayın: Alan adı, barındırma ve yönetim paneli bilgilerinin kimde olduğunu netleştirin.
- Sürümü öğrenin: PHP ve içerik yönetim sistemi sürümünüzü barındırma panelinden ya da site sağlığı ekranından not edin.
- Yedek alın: Herhangi bir değişiklikten önce güncel bir yedeğin siteden ayrı bir yerde olduğundan emin olun.
- Kontrol ettirin: Envanteri bilinen açıklarla karşılaştıran ve bulguları önceliklendiren bir kontrol yaptırın.
- Düzeni kurun: Güncelleme, yedekleme ve izleme işini kimin yapacağını yazılı olarak belirleyin.
Site adresinizle bize yazmanız yeterli; kapsamı konuşup kontrole başlayalım. İletişim sayfasından ya da sayfanın altındaki formdan ulaşabilirsiniz.
Nasıl çalışıyoruz
İzin ve kapsam
Kontrol edilecek siteleri, erişimleri ve çalışma saatlerini birlikte belirliyor, yazılı izninizi alıyoruz.
Envanter ve tarama
Yazılım sürümlerini listeliyor, bilinen açıklarla karşılaştırıyor ve siteyi dışarıdan zarar vermeyen yöntemlerle inceliyoruz.
Rapor ve öncelik
Bulguları etkisine göre sıralayan, her birinin nasıl kapatılacağını sade bir dille anlatan raporu paylaşıyoruz.
Düzeltme
Yedek alarak güncellemeleri ve ayar düzeltmelerini uyguluyor, sunucu tarafı için barındırma sağlayıcınızla yazışıyoruz.
Doğrulama ve izleme
Düzeltmelerin çalıştığını yeniden kontrol ediyor, arama görünürlüğünü izliyor ve düzenli kontrol takvimi öneriyoruz.
Neler teslim ediyoruz
- Yazılı izin ve kapsam belgesi
- Yazılım, tema ve eklenti sürüm envanteri
- Önem sırasına konmuş bulgu raporu
- Uygulanan düzeltmelerin listesi
- Yedek ve geri dönüş planı
- Search Console güvenlik ve tarama kontrolü
- Düzenli kontrol ve güncelleme takvimi önerisi
Teklif al
Teklif süreci nasıl işliyor?
İlk adım bir mesaj. Gerisini biz hazırlıyoruz; neye, neden ve ne kadar ödeyeceğinizi yazılı olarak görmeden hiçbir işe başlamıyoruz.
Bize yazın
WhatsApp'tan ya da e-postayla işinizi, hedefinizi ve web sitenizin adresini kısaca anlatın.
Ücretsiz ön analiz
Arama görünürlüğünüzü, yapay zekâ cevaplarındaki durumunuzu ve varsa reklam hesaplarınızı inceleyip tek sayfalık bir özet hazırlıyoruz.
Strateji görüşmesi
Özeti birlikte değerlendiriyor; öncelikleri, hedefleri ve ölçülecek göstergeleri netleştiriyoruz.
Yazılı teklif
Kapsamı, teslimatları, çalışma takvimini ve ücreti açıkça yazan bir teklif gönderiyoruz. Onayınızla başlıyoruz.
Teklif isteyin
Formu doldurun; hedefinizi ve mevcut durumunuzu inceleyip size yazılı bir teklifle dönelim.
Hizmet:Güvenlik Açığı Kontrolü
Sıkça Sorulan Sorular
- Sitemde açık olup olmadığını kendim nasıl kontrol ederim?
- Önce PHP ve içerik yönetim sistemi sürümünüzü öğrenin; WordPress'te Araçlar menüsündeki Site Sağlığı ekranı bu bilgiyi gösterir. Ardından eklentilerin güncel olup olmadığına, yönetim panelinde tanımadığınız hesap bulunup bulunmadığına ve Search Console'da güvenlik bildirimi olup olmadığına bakın. Bu kontrol ilk fikri verir; bilinen açıklarla ayrıntılı karşılaştırma için uzman bir inceleme gerekir.
- WordPress'i güncellemek PHP açığını kapatır mı?
- Hayır. PHP sunucuda çalışan ayrı bir yazılımdır ve WordPress ya da eklenti güncellemesi onu değiştirmez. PHP düzeltmesini barındırma sağlayıcınız ya da sunucuyu yöneten ekip uygular. Kontrol sırasında sunucunuzdaki PHP sürümünü tespit ediyor, gerekiyorsa sağlayıcınızla yazışarak düzeltilmiş sürüme geçişi takip ediyoruz.
- Güvenlik kontrolü siteme zarar verir mi?
- Hayır. Kontrolü yazılı izninizle, kapsamını birlikte belirleyerek ve siteye zarar vermeyen yöntemlerle yapıyoruz. Veri silen, siteyi yoran ya da ziyaretçileri etkileyen denemeler yapmıyoruz. Güncelleme ve düzeltmeleri de yedek alarak, mümkünse önce bir test ortamında uyguluyoruz.
- Sitem hacklendiyse ne yapmalıyım?
- Önce paniğe kapılmadan erişim bilgilerinizi değiştirin ve barındırma sağlayıcınıza haber verin. Siteyi silmeyin; zararlı kodun nereden girdiğini bulmak için dosyalar gerekir. Biz zararlı kodu temizliyor, arka kapıları arıyor, açığı kapatıyor ve gerekirse Search Console üzerinden yeniden inceleme talebinde bulunarak arama görünürlüğünüzü geri kazanmaya çalışıyoruz.
- Barındırma firmam güvenliği zaten sağlamıyor mu?
- Barındırma firması genellikle sunucunun ve altyapının güvenliğinden sorumludur; sitenizin içindeki yazılımlar, eklentiler, kullanıcı hesapları ve ayarlar ise çoğunlukla sizin sorumluluğunuzdadır. Bu iki alan arasındaki boşluk, açıkların en sık görüldüğü yerdir. Kontrolde her iki tarafa da bakıyor ve kimin neyi düzelteceğini netleştiriyoruz.
- Ücretsiz tarama araçları yeterli mi?
- Ücretsiz araçlar ilk fikir için faydalıdır; açıkta kalan dosyalar ya da eksik başlıklar gibi dışarıdan görünen sorunları yakalayabilir. Ancak sunucu ayarlarını, kullanıcı hesaplarını ve sitenin içindeki yazılımları göremezler ve bulduklarının ne kadar önemli olduğunu sizin için önceliklendirmezler. Raporlarındaki bulguları da kontrolümüzde değerlendiriyoruz.
- Kontrol ne kadar sürer ve ne kadar tutar?
- Süre ve kapsam sitenin büyüklüğüne, kullanılan altyapıya ve erişimlere göre değişir. Tek bir kurumsal sitenin kontrolü ile çok sayıda eklentili bir e-ticaret sitesinin kontrolü aynı değildir. Kısa bir görüşmeden sonra kapsamı, süreyi ve teslimatları yazılı bir teklifle paylaşıyoruz.
- Kontrolden sonra yeniden kontrol gerekir mi?
- Evet. Yazılımlarda her ay yeni açıklar bulunur ve dün güvenli olan bir sürüm yarın güncelleme gerektirebilir. Bu yüzden tek seferlik kontrolün ardından güncelleme, yedekleme ve izlemeyi kapsayan düzenli bir bakım takvimi öneriyoruz. Önemli bir açık duyurulduğunda sitenizin etkilenip etkilenmediğini ayrıca kontrol ediyoruz.
Görünürlüğünüzü
bugün ölçelim.
Mevcut arama görünürlüğünüzü ve üretken motorlardaki durumunuzu çıkarıyoruz. Ücretsiz, tek sayfa, gerçek veriyle.