Web sitesi güvenliği denince çoğu kişinin aklına ana sayfaya garip bir yazının konduğu ya da sitenin tamamen çöktüğü bir saldırı gelir. Bunlar da olur, ama sık rastlanan tablo daha sessizdir. Sitenize fark edilmeden eklenen bir kod ziyaretçilerin bir kısmını bahis sitelerine yönlendirir ya da Google'daki sonucunuzun altında "Bu site saldırıya uğramış olabilir" uyarısı belirir. Firmaların çoğu bunu ancak bir müşteri haber verdiğinde öğrenir.
Bu tür olayların büyük kısmı birkaç temel ayar ve düzenli güncellemeyle önlenebiliyor. Bu ayarların yapılıp yapılmadığı da büyük ölçüde dışarıdan görülebiliyor.
Adres https ile açılıyor mu?
Tarayıcıya sitenizin adresini başında http:// olacak şekilde yazın. Doğru kurulmuş bir site sizi kendiliğinden https:// adresine götürmeli ve adres çubuğunda "Güvenli değil" uyarısı görünmemeli.
HTTPS, ziyaretçi ile siteniz arasındaki bağlantıyı şifreler. Bu olmadan, örneğin bir kafenin ortak Wi-Fi ağında, formunuza yazılan ad, telefon ve mesaj başkaları tarafından okunabilir. Tarayıcılar şifresiz sayfaları açıkça "güvenli değil" diye işaretliyor. Bu uyarıyı gören ziyaretçinin formu doldurma ihtimali de düşük.
İki yaygın sorun var. Birincisi, site https ile açılıyor ama http ile girildiğinde yönlendirme yapmıyor. İkincisi, sayfa https ile açılıyor ama içindeki bazı görseller ve dosyalar hâlâ http adresinden yükleniyor. Buna "karışık içerik" denir. Tarayıcı bu dosyaları engelleyebilir ve sayfa bozuk görünür.
SSL sertifikasının süresi ne zaman doluyor?
Adres çubuğundaki simgeye tıklayıp sertifika bilgilerine bakarsanız sertifikayı kimin verdiğini ve geçerlilik bitiş tarihini görürsünüz. Süresi dolmuş bir sertifikada tarayıcı, siteyi açmadan önce ziyaretçiye tam sayfa bir uyarı gösterir. Ziyaretçi açısından bu, sitenin kapalı olmasından pek farklı değildir.
Sertifika süreleri giderek kısalıyor. 15 Mart 2026'dan bu yana, tarayıcıların tanıdığı sertifika kuruluşlarının verdiği SSL sertifikaları en fazla 200 gün geçerli. Bu süre Mart 2027'de 100 güne, Mart 2029'da 47 güne inecek. Sertifikayı yılda bir kez elle yenileme dönemi kapanıyor. Barındırma firmanıza sertifikanın otomatik yenilenip yenilenmediğini sorun. Let's Encrypt gibi ücretsiz ve kendiliğinden yenilenen sertifikalar çoğu kurumsal site için yeterlidir.
Bağlantının hangi şifreleme sürümüyle kurulduğu da önemli. TLS 1.0 ve 1.1 artık güvenli sayılmıyor ve güncel tarayıcılar bunları desteklemiyor. Sunucunuzun TLS 1.2 ve 1.3 kullandığını SSL Labs testi ile görebilirsiniz. Test, sertifika zincirindeki hataları da gösterir.
Arka planda eski yazılım çalışıyor mu?
Pek çok saldırı belirli bir firmayı hedef almaz. Bilinen bir açığı olan eski yazılımı otomatik olarak arayan programlar interneti sürekli tarar ve bulduklarını dener. WordPress gibi bir içerik yönetim sisteminin, temasının ya da eklentilerinin güncellenmemesi bu yüzden en sık rastlanan risktir.
Dışarıdan bakınca birkaç işaret var. Sayfanın kaynak kodunda kullanılan sistemin ve sürümünün açıkça yazması bunlardan biri. Bir diğeri de açıkları yıllar önce duyurulmuş bir JavaScript kütüphanesinin, örneğin eski bir jQuery sürümünün, sitede hâlâ kullanılması. Sitenizin yönetim paneline giriyorsanız bekleyen güncelleme sayısına bakmak en hızlı kontrol olur.
Kullanılmayan eklentileri kapatmak yetmez; kaldırın. Kapatılmış bir eklentinin dosyaları da sunucuda durmaya devam eder.
Güvenlik başlıkları
Bu bölüm biraz daha teknik, ama kontrol etmesi kolay. Sunucu her sayfayla birlikte tarayıcıya bazı talimatlar gönderebilir. Bunlara güvenlik başlıkları denir ve bazı yaygın saldırı türlerini tarayıcı düzeyinde engellerler.
| Başlık | Ne işe yarar? |
|---|---|
| Strict-Transport-Security (HSTS) | Tarayıcıya siteyi yalnızca HTTPS ile açmasını söyler |
| X-Content-Type-Options | Tarayıcının dosya türünü tahmin etmesini engeller |
| X-Frame-Options ya da frame-ancestors | Sitenizin başka bir sitenin içine gizlice yerleştirilmesini önler |
| Content-Security-Policy | Sayfada hangi kaynaklardan kod çalışabileceğini sınırlar |
| Referrer-Policy | Başka bir siteye geçerken adres bilgisinin ne kadarının paylaşılacağını belirler |
Sitenizde bunların olup olmadığını securityheaders.com gibi ücretsiz araçlarla görebilirsiniz. Eksik olmaları sitenizin hemen saldırıya açık olduğu anlamına gelmez, ama saldırganın işini kolaylaştırır. Content-Security-Policy dışındakiler genellikle sunucu ayarlarına birkaç satır eklenerek çözülür.
Content-Security-Policy ise sitenin kullandığı kaynaklara göre ayrıca hazırlanmalı. Yanlış yazılırsa sitenin bazı bölümlerini bozabilir. Önce yalnızca rapor eden modda denemek iyi bir yöntemdir.
Güvenliği ayakta tutan bakım düzeni
Yukarıdaki kontrollerin hepsi geçse bile, sitenin bir yıl sonra da güvenli olup olmayacağını bakım belirler.
En başta düzenli ve sitenin dışında saklanan yedek. Bir sorun çıktığında siteyi bir gün önceki haline döndürebilmek, en kötü senaryoyu birkaç saatlik bir aksaklığa indirir. Yedeğin yalnızca aynı sunucuda durması yetmez; sunucuya bir şey olursa yedek de onunla gider.
Bir de güncellemeleri takip eden belli bir kişi ya da firma gerekir. Siteyi yapan ile bakımını üstlenen çoğu zaman aynı kişi değildir. Aradaki boşlukta yıllarca dokunulmamış siteler oluşur. Bu işin kimde olduğunu bilin ve yazılı olarak belirleyin.
Bu yazıdaki kontrollerin bir kısmını tarayıcıdan kendiniz yapabilirsiniz; yedek ve güncelleme düzenini ise barındırma firmanıza ya da sitenizi yapan kişiye sormanız gerekecek.