# WordPress sitesini güvenli hale getirin

> Hostingdeki WordPress sitenizi koruyun: güncel tutun, hesapları güçlü şifre ve iki adımlı girişle koruyun, kullanılmayan eklentileri kaldırın, sıkılaştırın.

Zorluk: Başlangıç

WordPress'e yönelik saldırılar otomatiktir: botlar buldukları her sitede bilinen eklenti açıklarını ve yaygın şifreleri dener. Birkaç alışkanlık bunların neredeyse tamamını engeller. Bu rehber WordPress yönetim panelinde ve cPanel'de **WP Toolkit** ile yapılacakları anlatır.

## Başlamadan önce

- Dosyaların ve veritabanının yedeğini alın; bkz. [hosting hesabınızı yedekleme ve geri yükleme](/guides/hosting-backup-restore).
- Yönetim paneline bir yönetici hesabıyla giriş yapın.

## 1. adım: WordPress'i, eklentileri ve temaları güncel tutun

- Güncellemeleri **Dashboard › Updates** altında kurun.
- **Plugins › Installed Plugins** altında, kendi kendine güncellenmesine güvendiğiniz eklentiler için **Enable auto-updates**'e tıklayın.
- Artık bakımı yapılmayan eklentileri ve temaları değiştirin.

**Doğrulama:** **Dashboard › Updates** bekleyen güncelleme göstermez.

## 2. adım: Hesapları koruyun

- Her yönetici için uzun ve benzersiz bir şifre kullanın; profil sayfasındaki güç göstergesi şifreyi güçlü olarak göstermelidir.
- Kullanıcı adı olarak `admin` veya `webmaster` kullanmayın.
- Her yönetici hesabına bir eklentiyle iki adımlı giriş ekleyin.
- **Users › All Users** altında tanımadığınız hesapları kaldırın ve herkese ihtiyaç duyduğu en düşük rolü verin (örneğin **Administrator** yerine **Editor**).

## 3. adım: Kullanmadıklarınızı kaldırın

Kullanmadığınız eklentileri devre dışı bırakıp silin ve kullanmadığınız temaları silin (yedek olarak bir varsayılan tema tutun). Eklentileri ve temaları yalnızca WordPress.org dizininden veya üreticinin kendi sitesinden kurun. Ücretli eklentilerin "nulled" kopyalarını asla kurmayın: çoğu zaman zararlı yazılım içerirler.

## 4. adım: Dosya düzenleyiciyi kapatın

Yönetim paneli eklenti ve tema dosyalarını düzenleyebilir. Yönetici şifresini ele geçiren bir saldırgan bununla kod ekleyebilir. `wp-config.php` içinde, `/* That's all, stop editing! Happy publishing. */` satırının üstünde kapatın:

```php
define( 'DISALLOW_FILE_EDIT', true );
```

**Doğrulama:** **Theme File Editor** ve **Plugin File Editor** girdileri yönetim paneli menülerinden kaybolur.

## 5. adım: WP Toolkit'te sıkılaştırma önlemlerini uygulayın (cPanel)

1. cPanel'de **WP Toolkit**'i açın (**Applications** bölümünde).
2. Sitenin kartında **Status** altındaki **Security**'ye bakın. **Fix Security** kritik önlemlerin eksik olduğunu, **Check Security** bazı önerilen önlemlerin eksik olduğunu gösterir.
3. Mesaja tıklayın. Açılan panelde istediğiniz önlemleri veya tümünü seçmek için listenin üstündeki onay kutusunu seçin, ardından **Secure**'a tıklayın.

Önlemler arasında `wp-includes` ve `wp-content/uploads` içinde PHP'yi engelleme, klasör listelemeyi engelleme, güvenli dosya izinleri, `admin` kullanıcısını yeniden adlandırma ve pingback'leri kapatma bulunur. Bir önlem bir şeyi bozarsa onu seçin ve **Revert**'e tıklayın.

> **Not**
>
> WP Squared veya PanelAlpha kullanıyorsanız 1-4. adımları WordPress yönetim panelinde uygulayın ve panelinizdeki site ayarlarında kendi güvenlik seçeneklerine bakın.

## 6. adım: Dosya izinlerini ve HTTPS'i kontrol edin

- Klasörler `755`, dosyalar `644`. Asla `777` kullanmayın.
- Yönetim paneli dahil tüm site için HTTPS kullanın; bkz. [ücretsiz SSL'i açma ve HTTPS'e zorlama](/guides/hosting-free-ssl-https).

## 7. adım: Geri yükleyebileceğiniz yedekler tutun

Hosting hesaplarını ek ücret olmadan haftalık ve aylık yedekliyoruz. Büyük güncellemelerden önce dosyaların ve veritabanının kendi kopyanızı da indirin ve birkaç eski kopya saklayın: bir hack çoğu zaman günler sonra fark edilir.

## Sorun giderme

**WP Toolkit bir önlemi uyguladıktan sonra site bozuldu.** Güvenlik panelini yeniden açın, son önlemi seçin ve **Revert**'e tıklayın. `wp-content` içinde PHP'yi engellemek, orada kendi PHP dosyalarını çalıştıran eklentileri bozabilir.

**İki adımlı girişi açtıktan sonra giriş yapamıyorsunuz.** Eklentinin yedek kodlarını kullanın. Yedek kodlarınız yoksa eklentiyi kapatmak için `wp-content/plugins` içindeki klasörünü SFTP veya File Manager ile yeniden adlandırın, giriş yapın ve yeniden kurun.

**Bilinmeyen yöneticiler, dosyalar veya yönlendirmeler buluyorsunuz.** Site zaten ele geçirilmiş olabilir; bkz. [hacklenmiş web sitesini temizleme](/guides/clean-hacked-website).

## Sonraki adımlar

- Bir şey zaten ters gittiyse: [WordPress hatalarını düzeltme](/guides/fix-wordpress-errors).
- Hız: [LiteSpeed Cache](/guides/wordpress-litespeed-cache).

## Sık sorulan sorular

### Bir güvenlik eklentisine ihtiyacım var mı?

Bu rehberdeki temel önlemler için yok. Güncellemeler, güçlü şifreler, iki adımlı giriş ve daha az eklenti saldırıların çoğunu önler. Yalnızca gerçekten kullandığınız özellikler (örneğin iki adımlı giriş) için eklenti ekleyin.

### Otomatik güncellemeler güvenli mi?

Çoğu site için evet: kaçırılan bir güvenlik güncellemesi, nadiren bozulan bir güncellemeden daha büyük bir risktir. Geri dönebilmek için yedek tutun ve büyük mağaza veya üyelik eklentilerini önce test edin.

### wp\_ tablo ön ekini değiştirmeli miyim?

WordPress, farklı bir ön ekin bazı SQL enjeksiyonu saldırılarını engelleyebileceğini söyler. Mevcut bir sitede bunu elle değiştirmek siteyi bozabilir; güncellemeler ve güçlü şifreler daha önemlidir.

### Sitemin zaten hacklendiğini düşünüyorum. Ne yapmalıyım?

Fark ettiğiniz dosyaları silmekle yetinmeyin. Hacklenmiş web sitesini temizleme rehberimizi izleyin ve hesabı kontrol etmenize yardımcı olabilmemiz için bir destek talebi açın.

---

Kaynak: <https://hyperdc.com/tr/guides/products/secure-wordpress-site>\
Son güncelleme: 2026-10-16