WordPress sitesini güvenli hale getirin

WordPress'e yönelik saldırılar otomatiktir: botlar buldukları her sitede bilinen eklenti açıklarını ve yaygın şifreleri dener. Birkaç alışkanlık bunların neredeyse tamamını engeller. Bu rehber WordPress yönetim panelinde ve cPanel'de WP Toolkit ile yapılacakları anlatır.

1. adım: WordPress'i, eklentileri ve temaları güncel tutun

• Güncellemeleri Dashboard › Updates altında kurun.
• Plugins › Installed Plugins altında, kendi kendine güncellenmesine güvendiğiniz eklentiler için Enable auto-updates'e tıklayın.
• Artık bakımı yapılmayan eklentileri ve temaları değiştirin.

Doğrulama: Dashboard › Updates bekleyen güncelleme göstermez.

2. adım: Hesapları koruyun

• Her yönetici için uzun ve benzersiz bir şifre kullanın; profil sayfasındaki güç göstergesi şifreyi güçlü olarak göstermelidir.
• Kullanıcı adı olarak admin veya webmaster kullanmayın.
• Her yönetici hesabına bir eklentiyle iki adımlı giriş ekleyin.
• Users › All Users altında tanımadığınız hesapları kaldırın ve herkese ihtiyaç duyduğu en düşük rolü verin (örneğin Administrator yerine Editor).

3. adım: Kullanmadıklarınızı kaldırın

Kullanmadığınız eklentileri devre dışı bırakıp silin ve kullanmadığınız temaları silin (yedek olarak bir varsayılan tema tutun). Eklentileri ve temaları yalnızca WordPress.org dizininden veya üreticinin kendi sitesinden kurun. Ücretli eklentilerin "nulled" kopyalarını asla kurmayın: çoğu zaman zararlı yazılım içerirler.

4. adım: Dosya düzenleyiciyi kapatın

Yönetim paneli eklenti ve tema dosyalarını düzenleyebilir. Yönetici şifresini ele geçiren bir saldırgan bununla kod ekleyebilir. wp-config.php içinde, /* That's all, stop editing! Happy publishing. */ satırının üstünde kapatın:

define( 'DISALLOW_FILE_EDIT', true );

Doğrulama: Theme File Editor ve Plugin File Editor girdileri yönetim paneli menülerinden kaybolur.

5. adım: WP Toolkit'te sıkılaştırma önlemlerini uygulayın (cPanel)

1. cPanel'de WP Toolkit'i açın (Applications bölümünde).
2. Sitenin kartında Status altındaki Security'ye bakın. Fix Security kritik önlemlerin eksik olduğunu, Check Security bazı önerilen önlemlerin eksik olduğunu gösterir.
3. Mesaja tıklayın. Açılan panelde istediğiniz önlemleri veya tümünü seçmek için listenin üstündeki onay kutusunu seçin, ardından Secure'a tıklayın.

Önlemler arasında wp-includes ve wp-content/uploads içinde PHP'yi engelleme, klasör listelemeyi engelleme, güvenli dosya izinleri, admin kullanıcısını yeniden adlandırma ve pingback'leri kapatma bulunur. Bir önlem bir şeyi bozarsa onu seçin ve Revert'e tıklayın.

6. adım: Dosya izinlerini ve HTTPS'i kontrol edin

• Klasörler 755, dosyalar 644. Asla 777 kullanmayın.
• Yönetim paneli dahil tüm site için HTTPS kullanın; bkz. ücretsiz SSL'i açma ve HTTPS'e zorlama.

7. adım: Geri yükleyebileceğiniz yedekler tutun

Hosting hesaplarını ek ücret olmadan haftalık ve aylık yedekliyoruz. Büyük güncellemelerden önce dosyaların ve veritabanının kendi kopyanızı da indirin ve birkaç eski kopya saklayın: bir hack çoğu zaman günler sonra fark edilir.

Sorun giderme

WP Toolkit bir önlemi uyguladıktan sonra site bozuldu. Güvenlik panelini yeniden açın, son önlemi seçin ve Revert'e tıklayın. wp-content içinde PHP'yi engellemek, orada kendi PHP dosyalarını çalıştıran eklentileri bozabilir.

İki adımlı girişi açtıktan sonra giriş yapamıyorsunuz. Eklentinin yedek kodlarını kullanın. Yedek kodlarınız yoksa eklentiyi kapatmak için wp-content/plugins içindeki klasörünü SFTP veya File Manager ile yeniden adlandırın, giriş yapın ve yeniden kurun.

Bilinmeyen yöneticiler, dosyalar veya yönlendirmeler buluyorsunuz. Site zaten ele geçirilmiş olabilir; bkz. hacklenmiş web sitesini temizleme.

Sonraki adımlar

• Bir şey zaten ters gittiyse: WordPress hatalarını düzeltme.
• Hız: LiteSpeed Cache.