Küçük İşletme İçin Web Sitesi Güvenliği: SSL, Yedek, Güncelleme, Lisans

Küçük işletme siteleri genelde hedef seçilerek değil, otomatik taramalarla ele geçiriliyor: bilinen bir açık, güncellenmemiş bir eklenti, kolay bir parola. Yani saldırı kişisel değil; ama sonucu (site kapanması, Google uyarısı, müşteri kaybı) fazlasıyla kişisel oluyor.

Pahalı güvenlik ürünleri almadan, her küçük işletmenin yapabileceği asgari koruma setini sıralıyoruz.

1) SSL: adres çubuğunda kilit

SSL sertifikası, ziyaretçiyle site arasındaki trafiği şifreler. Bugün çoğu hosting paketi ücretsiz sertifika veriyor; kurulumu birkaç tıklama. Kontrol listesi:

• Site https:// ile açılıyor mu?
• http:// adresleri otomatik olarak https'e yönleniyor mu?
• Sayfada karışık içerik uyarısı var mı (http'den yüklenen görsel/betik)?
• Sertifikanın otomatik yenilenmesi açık mı?

2) Yedek: nerede, ne sıklıkta, geri dönüyor mu?

Yedek, güvenliğin kalbi. “Yedek var” demek yetmez; üç soruya cevap verebilmelisiniz:

1. Nerede duruyor? Sadece sunucudaysa, sunucu çöktüğünde yedek de gider. En az bir kopya sunucu dışında olmalı.
2. Ne sıklıkta alınıyor? İçerik değişim hızınıza göre günlük ya da haftalık.
3. Geri dönüyor mu? Hiç denenmemiş yedek, yedek sayılmaz. Yılda bir kez deneme dönüşü yapın.

3) Güncelleme disiplini

• Çekirdek, tema, eklenti düzenli güncellensin; güvenlik yamaları çoğunlukla burada gelir.
• Önce yedek, sonra güncelleme. Sıra bu; tersi değil.
• Kullanılmayan eklentiyi silin. Pasif eklenti de dosya olarak durur, açık taşıyabilir.
• Terk edilmiş eklentiler: yıllardır güncellenmeyen bir eklentiyi kullanmak, kapıyı açık bırakmaktır.

4) Lisanslı tema ve eklenti

“Nulled” (kırılmış) tema ve eklentiler bedava görünür; bedeli sonradan çıkar:

• Güvenlik güncellemesi alamazsınız.
• İçine yerleştirilmiş zararlı kod ihtimali yüksektir.
• Sorun çıktığında destek alamazsınız.

Sitenizi kim yaptıysa, kullanılan tema ve eklentilerin lisanslı olup olmadığını ve lisansın kimin adına alındığını sorun; bu bilgi teslim belgelerinde yer almalı.

5) Erişim ve parola

• Tek yönetici olmasın ama gereksiz yönetici de olmasın; ayrılan çalışanın hesabını kapatın.
• “admin” kullanıcı adı kullanmayın.
• Uzun parola + iki adımlı doğrulama. Parola yöneticisi kullanın.
• Panel, hosting, alan adı ve e-posta erişimleri sizde olsun. Ajans değişse bile hesaplar sizin adınıza kalır.

Alan adı ve hostingin neden sizin adınıza olması gerektiğini ayrı bir yazıda ayrıntılı anlattık.

Hacklendiyseniz: ilk 60 dakika

1. Siteyi bakım moduna alın ya da geçici olarak kapatın; zarar yayılmasın.
2. Bütün parolaları değiştirin (panel, hosting, veritabanı, e-posta).
3. Temiz bir yedeğe dönün, mümkünse olaydan önceki tarihe.
4. Çekirdek, tema ve eklentileri güncel sürümle yeniden kurun.
5. Arama konsolunda güvenlik uyarısı varsa, temizlik sonrası yeniden inceleme isteyin.

Sık sorulan sorular

İlgili yazılar

İlgili sayfalar: Web sitesi paketleri · Künye · Tüm yazılar