WordPress Güvenlik Önlemleri: Kurumsal Site İçin 12 Maddelik Kontrol Listesi

Son güncelleme: 29.10.2026

WordPress'te en büyük güvenlik riski güncellenmeyen eklenti ve temalardır; ikinci sırada zayıf yönetici hesapları gelir. WordPress çekirdeği küçük güvenlik sürümlerini kendiliğinden kurar, eklenti ve temalarda ise otomatik güncelleme varsayılan olarak kapalıdır. Aşağıdaki 12 madde, kurumsal bir sitede düzenli olarak kontrol edilmesi gerekenlerdir.

Kontrol listesi

1. Çekirdek, tema ve eklentiler güncel

WordPress 3.7 sürümünden beri çekirdeğin küçük bakım ve güvenlik sürümleri otomatik kurulur. Eklenti ve temalar için otomatik güncelleme seçeneği 5.5 sürümüyle geldi, ancak her eklenti için ayrı ayrı açılması gerekir. Yönetim panelindeki Güncellemeler ekranında bekleyen güncelleme varsa site risk altındadır.

2. Kullanılmayan eklenti ve temalar silinmiş

Devre dışı bırakılan bir eklentinin dosyaları sunucuda durmaya devam eder ve açığı varsa istismar edilebilir. Kullanmadığınız eklentiyi devre dışı bırakmakla yetinmeyin, silin. Aktif tema dışında yalnız bir varsayılan tema yedekte kalsın.

3. Korsan (nulled) tema ve eklenti yok

Ücretli bir temanın "ücretsiz" dağıtılan kopyaları sıklıkla arka kapı içerir. Ayrıca güncelleme almadıkları için zamanla açık birikir. Lisanslı sürümü kullanın ya da ücretsiz bir alternatife geçin.

4. PHP sürümü destek kapsamında

WordPress, sunucudaki PHP üzerinde çalışır. Desteği bitmiş bir PHP sürümü güvenlik yaması almaz. Hangi sürümlerin destek aldığını php.net üzerinden kontrol edin. Ekim 2026'da yayımlanan kritik açıkları PHP2Shell yazımızda anlattık.

5. Yönetici hesapları güçlü ve iki adımlı doğrulamalı

"admin" kullanıcı adı, tahmin edilebilir parola ve ortak kullanılan tek yönetici hesabı en sık gördüğümüz zayıflıklardır. WordPress'te iki adımlı doğrulama hazır gelmez, bir eklentiyle eklenir. Her kişinin kendi hesabı olsun, işten ayrılanların hesabı aynı gün kapatılsın.

6. Roller kısıtlı

İçerik giren herkesin Yönetici olması gerekmez. WordPress'teki Editör ve Yazar rolleri eklenti kurma ve ayar değiştirme yetkisi taşımaz. Yönetici sayısı ne kadar azsa ele geçirilebilecek kritik hesap o kadar azdır.

7. Giriş denemeleri sınırlı

Giriş sayfası (wp-login.php) otomatik parola denemelerinin hedefidir. Belirli sayıda hatalı denemeden sonra IP adresini geçici olarak engelleyen bir eklenti ya da güvenlik duvarı kuralı bu saldırıları boşa çıkarır.

8. Panelden dosya düzenleme kapalı

WordPress, yönetim panelinden tema ve eklenti dosyalarını düzenlemeye izin verir. Yönetici hesabı ele geçirilirse saldırgan bu ekrandan zararlı kod ekler. wp-config.php dosyasına şu satır eklenerek kapatılır:

define( 'DISALLOW_FILE_EDIT', true );

9. HTTPS her sayfada

SSL sertifikası tüm sayfalarda geçerli olmalı ve http:// adresler https:// adrese yönlenmeli. Sertifikanın bitiş tarihini ve e-posta güvenlik ayarlarınızı domain analizi aracımızla kontrol edebilirsiniz.

10. Yedek sunucunun dışında ve geri yüklemesi denenmiş

Yalnız aynı sunucuda duran yedek, sunucu ele geçirildiğinde veya bozulduğunda yedekle birlikte kaybolur. Yedeğin bir kopyası başka bir yerde tutulmalı ve en az bir kez geri yüklenerek çalıştığı görülmeli. Yedek hem dosyaları hem veritabanını kapsamalı.

11. Güvenlik duvarı (WAF) var

Web uygulama güvenlik duvarı, bilinen saldırı kalıplarını siteye ulaşmadan durdurur. Yeni bir açık duyurulduğunda yama kurulana kadar geçen sürede de koruma sağlar. Hosting firmanızın sunduğu ya da DNS üzerinden çalışan bir hizmet kullanılabilir.

12. Site izleniyor

Sitenin kapandığını müşteriden duymak istemezsiniz. Erişilebilirlik izleme, dosya değişikliği bildirimi ve Search Console güvenlik uyarıları birlikte kullanıldığında sorun erken fark edilir. Eklentilerinizdeki açıkları WPScan, Patchstack veya Wordfence gibi açık veritabanlarından takip edebilirsiniz.

Özet tablo

WordPress'in yerleşik Site Sağlığı ekranı (Araçlar > Site Sağlığı) PHP sürümü, güncellemeler ve HTTPS gibi maddelerin bir kısmını tek ekranda gösterir.

Site hacklendiyse ilk adımlar

Ana sayfada tanımadığınız içerik, Google'da sitenizin adıyla çıkan alakasız sayfalar ya da tarayıcının "zararlı site" uyarısı, sitenin ele geçirildiğinin işaretleridir. Sırasıyla:

1. Erişimi daraltın: Siteyi bakım moduna alın ya da hosting panelinden geçici olarak kapatın.
2. Bütün parolaları değiştirin: WordPress yöneticileri, hosting paneli, FTP/SFTP ve veritabanı.
3. Temiz yedeği bulun: Saldırıdan önceki yedeği geri yükleyin. Yedek yoksa dosyalar tek tek temizlenir; bu iş çok daha uzun sürer.
4. Açığı kapatın: Geri yüklenen site aynı açığı taşır. Çekirdek, tema, eklenti ve PHP'yi güncelleyin, kullanılmayanları silin.
5. Arka kapı arayın: Saldırgan geri dönmek için yükleme klasörüne veya tema dosyalarına kod bırakmış olabilir.
6. Google'a bildirin: Search Console'daki Güvenlik Sorunları raporundan inceleme isteyin.

Sitede form, üyelik veya sipariş üzerinden kişisel veri toplanıyorsa ve bu veriler ele geçirildiyse, KVKK kapsamında Kişisel Verileri Koruma Kurulu'na bildirim yükümlülüğü doğabilir. Kurul bu bildirimin en kısa sürede ve en geç 72 saat içinde yapılmasını bekler; hukuk danışmanınızla birlikte değerlendirin.

Bu işleri kim yapmalı?

Kontrol listesindeki maddeler tek seferlik değildir. Güncellemeler her hafta gelir, açıklar her ay duyurulur. İçeride bu işi üstlenecek kimse yoksa web sitesi bakım hizmetimizde güncelleme, yedek ve izlemeyi biz yürütürüz; her güncellemeden önce yedek alır, sonrasında siteyi kontrol ederiz.

Sık Sorulan Sorular

WordPress güvenli değil mi?

WordPress çekirdeği düzenli güvenlik güncellemesi alır. Sorunların çoğu güncellenmeyen eklenti ve temalardan, zayıf parolalardan ve desteği bitmiş PHP sürümlerinden kaynaklanır.

Otomatik güncellemeyi açmalı mıyım?

Küçük çekirdek sürümleri zaten otomatik kurulur. Eklentilerde otomatik güncelleme güvenlik açısından faydalıdır ama siteyi bozma riski taşır; açarsanız güncel bir yedek ve düzenli kontrol şarttır.

Güvenlik eklentisi kurmak yeterli mi?

Hayır. Güvenlik eklentisi giriş denemelerini sınırlamak ve dosya değişikliğini bildirmek gibi işleri yapar; güncellenmeyen bir eklentideki açığı ya da sunucu dışı yedeğin yokluğunu telafi etmez.

Ücretsiz SSL yeterli mi?

Kurumsal bir web sitesi için genellikle evet. Let's Encrypt gibi ücretsiz sertifikalar aynı şifrelemeyi sağlar; önemli olan sertifikanın otomatik yenilenmesi ve tüm sayfalarda geçerli olmasıdır.

Site hacklendiğinde Google sıralamam düşer mi?

Google ele geçirilmiş sitelerde aramada uyarı gösterebilir ve spam sayfaları dizinden çıkarır. Temizlik yapılıp Search Console'dan inceleme istendikten sonra uyarı kaldırılır.

Kaynaklar

• WordPress Developer Resources: WordPress'i sağlamlaştırma
• WordPress.org: Otomatik arka plan güncellemeleri
• WordPress.org: Eklenti ve tema otomatik güncellemeleri
• PHP.net: Desteklenen sürümler
• web.dev (Google): Siteniz ele geçirildiyse
• KVKK: Veri ihlali bildirimi (Kurul kararı 2019/10)