WordPress Güvenlik Eklentileri: En İyi Seçenekler ve Site Güvenliği Kontrol Listesi

WordPress dünyada en çok kullanılan içerik yönetim sistemi olduğu için aynı zamanda saldırganların da en çok hedef aldığı platformdur. İyi haber şu ki, hacklenen WordPress sitelerinin büyük kısmı güncellenmemiş eklentiler, zayıf şifreler ya da hatalı yapılandırma yüzünden etkilenir; yani önlemler büyük ölçüde sizin elinizdedir. Bu yazıda en çok kullanılan WordPress güvenlik eklentilerini karşılaştırıyor, eklentiden önce yapmanız gereken temel adımları ve hosting düzeyinde alınacak önlemleri anlatıyoruz.

WordPress Güvenlik Eklentisi Ne Yapar?

Güvenlik eklentisi, WordPress sitenizi saldırılara karşı izleyen ve koruyan yazılımdır. Kullandığı yöntemler eklentiden eklentiye değişse de genel olarak şu işlevleri sunar:

• Güvenlik duvarı (WAF): Zararlı istekleri siteye ulaşmadan filtreler.
• Zararlı yazılım taraması: Çekirdek, tema ve eklenti dosyalarında değişiklik ve virüs arar.
• Giriş koruması: Hatalı giriş denemelerini sınırlar, iki aşamalı doğrulamayı (2FA) destekler.
• Açık uyarıları: Bilinen güvenlik açığı bulunan eklenti ve temalar için bildirim gönderir.
• Etkinlik günlüğü: Kullanıcı ve dosya değişikliklerini kaydeder.

Popüler WordPress Güvenlik Eklentileri

Aşağıdaki eklentiler en yaygın tercihlerdir. Özellikler ve planlar zamanla değiştiği için karar vermeden önce güncel sayfalarına bakmanızı öneririz:

Eklentiden Önce Yapılacak Temel Güvenlik Adımları

Hiçbir eklenti, temel güvenlik hijyeninin yerini tutmaz. Aşağıdaki adımlar çoğu saldırıyı eklenti olmadan engeller:

1. Her şeyi güncel tutun. WordPress çekirdeği, tema ve eklentilerdeki güncellemelerin önemli kısmı güvenlik açığı kapatır. Otomatik güncellemeyi küçük sürümler için açık bırakın.
2. Kullanılmayan eklenti ve temaları silin. Devre dışı olması yeterli değildir; dosyalar sunucuda durduğu sürece açık barındırabilir.
3. Güçlü şifre ve 2FA kullanın. Yönetici hesaplarında uzun, benzersiz şifre ve iki aşamalı doğrulama zorunlu olmalıdır.
4. "admin" kullanıcı adından kaçının. Saldırganlar önce bu adı dener.
5. Giriş denemelerini sınırlayın. Brute force saldırılarını yavaşlatır ve engeller.
6. Düzenli yedek alın. Yedek, hack sonrası en güvenilir kurtarma yoludur; yedeği sitenin dışında saklayın.
7. Yalnızca güvenilir kaynaklardan eklenti kurun. Kırılmış (nulled) premium eklentiler sıklıkla arka kapı içerir.

wp-config.php ve Dosya Düzeyinde Sertleştirme

Birkaç küçük ayar saldırı yüzeyini belirgin şekilde azaltır. Aşağıdaki satırları wp-config.php dosyasına ekleyebilirsiniz:

// Yönetim panelinden tema/eklenti kod düzenlemeyi kapatır
define('DISALLOW_FILE_EDIT', true);

// Yönetim panelinden eklenti/tema kurulumunu ve güncellemesini kapatır (isteğe bağlı)
// define('DISALLOW_FILE_MODS', true);

// Yönetim ve giriş sayfasında SSL zorunlu kılar
define('FORCE_SSL_ADMIN', true);

Dosya izinlerini de gözden geçirin. Genel kural: klasörler 755, dosyalar 644, wp-config.php ise mümkünse 440 veya 400 olmalıdır. Hiçbir dosya ya da klasöre 777 izni vermeyin. Bu ayarların hata verdiği durumları WordPress permission denied hatası yazımızdan inceleyebilirsiniz.

xmlrpc.php ve Giriş Sayfası Saldırıları

WordPress'in xmlrpc.php dosyası, tek bir istekle çok sayıda şifre denemesine izin verdiği için brute force saldırılarının sık hedefidir. Jetpack veya mobil uygulama gibi XML-RPC'ye bağımlı bir özellik kullanmıyorsanız bu dosyaya erişimi kapatın. XML-RPC'nin ne olduğunu RPC nedir yazımızda anlattık. Aşırı istek kaynaklı engellemeleri ve hız sınırlamasını anlamak için 429 Too Many Requests hatası rehberimize de bakabilirsiniz.

Hosting Düzeyinde Güvenlik Neden Önemli?

WordPress güvenliğinin yarısı sunucu tarafında kararlaştırılır. İyi yapılandırılmış bir hosting altyapısı eklentilerin yapamadığı korumaları sunar:

Site Hacklendiyse Ne Yapmalı?

1. Siteyi bakım moduna alın ve hosting firmanızı bilgilendirin.
2. Tüm yönetici, FTP, veritabanı ve hosting şifrelerini değiştirin.
3. Temiz bir yedekten geri dönün; yedek yoksa çekirdek dosyaları WordPress'in resmi paketinden yeniden yükleyin.
4. Tüm eklenti ve temaları resmi kaynaktan yeniden kurun; bilinmeyen kullanıcıları ve yönetici hesaplarını silin.
5. Zararlı yazılım taraması çalıştırıp wp-content/uploads içinde PHP dosyası olup olmadığına bakın.
6. Açığın nasıl oluştuğunu logları inceleyerek bulun ve kapatın; ardından güvenlik duvarı ve 2FA gibi önlemleri etkinleştirin.
7. Google Search Console'da güvenlik sorunu uyarısı varsa temizlik sonrası yeniden inceleme isteyin.

Güvenlik Eklentisi Seçerken Sorulacak Sorular

Hangi eklentiyi seçerseniz seçin, karar vermeden önce şu soruların cevabını kontrol edin:

Güvenliği Sürekli İzlemek

Güvenlik bir kerelik kurulum değil, süregelen bir süreçtir. Uyarı e-postalarını gerçekten okuyun; yeni bir yönetici kullanıcı eklenmesi, çekirdek dosyalarda değişiklik ya da tekrarlayan giriş denemeleri gibi bildirimleri gözden kaçırmayın. Ayda bir eklenti ve tema listesini gözden geçirip kullanılmayanları silin, yedeklerin gerçekten geri yüklenebildiğini test edin ve hosting erişim loglarında olağan dışı trafiğe bakın.

Sık Sorulan Sorular

WordPress için güvenlik eklentisi şart mı?

Şart değildir ama güvenlik katmanı olarak faydalıdır. Temel adımlar (güncelleme, güçlü şifre, 2FA, yedek) eklentiden daha önemlidir; eklenti bunların üzerine ek koruma sağlar.

Birden fazla güvenlik eklentisi kurabilir miyim?

Önerilmez. Aynı işlevleri yapan eklentiler birbiriyle çakışabilir, siteyi yavaşlatabilir ve yanlış engellemeler üretebilir. Bir tanesini seçip iyi yapılandırın.

Güvenlik eklentisi siteyi yavaşlatır mı?

Özellikle tam site taraması yapan eklentiler sunucu kaynağı tüketebilir. Taramaları trafiğin az olduğu saatlere ayarlayın; bulut tabanlı güvenlik duvarları ise yükü sunucudan alır.

WordPress sitem neden sürekli hackleniyor?

En sık nedenler güncellenmemiş eklenti ve temalar, kırılmış premium eklentiler, zayıf şifreler ve hatalı dosya izinleridir. Temizlik yaparken açığı da kapatmazsanız saldırı tekrarlanır.

Hosting güvenliği ile eklenti güvenliği arasında fark nedir?

Eklenti WordPress içinde çalışır ve uygulama katmanını korur. Hosting güvenliği ise sunucu düzeyinde çalışır (ModSecurity, hesap izolasyonu, DDoS koruması). İkisi birbirini tamamlar; biri diğerinin yerini tutmaz.