Her WordPress sitesinin giriş sayfası varsayılan olarak aynı adrestedir: siteadi.com/wp-login.php ya da /wp-admin. Botlar da tam olarak bunu bilir ve gün boyu bu adrese şifre denemesi yapar. Giriş adresini değiştirmek, bu otomatik saldırıların çoğunu daha kapıdan çevirir. Bu yazıda adresi bir eklentiyle nasıl değiştireceğini ve nelere dikkat etmen gerektiğini anlatıyorum.
wp-login.php neden botların hedefi
Kaba kuvvet saldırıları tahmine dayanır: bot, bilinen giriş adresine sürekli kullanıcı adı ve şifre kombinasyonu gönderir. Adres herkeste aynı olduğu için saldırgan hiç uğraşmadan nereye saldıracağını bilir. Bu denemeler şifreni kıramasa bile sunucuyu meşgul eder, site yavaşlar, bazen hosting kaynağını tüketir. Giriş adresini kendine özel bir yola taşıdığında, bu botlar eski adreste boşa denemeye devam eder ve seni bulamaz. Bu güvenliği tek başına yeterli yapmaz ama saldırı yüzeyini küçültür. Sunucu günlüklerine bakan herkes, wp-login.php adresine günde yüzlerce hatta binlerce başarısız deneme geldiğini görür; bu trafik tamamen otomatiktir ve kişiye özel değildir. Adresi değiştirdiğinde bu denemelerin büyük bölümü eski yola gelmeye devam eder ve boşa düşer, sunucun da rahatlar. Küçük paylaşımlı barındırmalarda bu, sitenin genel yanıt süresine bile olumlu yansır.
Giriş adresini eklentiyle değiştirme
En pratik yol bir eklenti kullanmak çünkü dosyalarla uğraşmadan, güvenli biçimde yapar. WPS Hide Login tek işe odaklı, hafif ve ücretsiz bir eklenti. Daha kapsamlı bir güvenlik paketi istiyorsan iThemes Security de aynı özelliği sunar.
- WPS Hide Login eklentisini kur ve etkinleştir.
- Ayarlar bölümünde yeni giriş adresin için bir yol gir; örneğin giris-kapisi gibi tahmin edilmesi zor ama hatırlayabileceğin bir kelime.
- Yetkisiz kişi eski /wp-admin adresine geldiğinde nereye yönleneceğini belirle; genelde ana sayfa ya da 404 uygun olur.
- Ayarları kaydet ve yeni adresini bir yere not et.
Kaydettikten sonra artık siteadi.com/wp-login.php çalışmaz, giriş yalnızca belirlediğin yeni adresten yapılır. Eklenti bunu dosyaları değiştirerek değil, WordPress’in kendi yönlendirme mekanizmasını kullanarak yapar; yani wp-login.php dosyasına dokunmaz, sadece ona giden yolu kapatır. Bu yüzden eklentiyi devre dışı bıraktığında eski adres kendiliğinden geri gelir ve hiçbir şey bozulmaz. Yeni adresi kaydettiğin yerden teyit et ve çıkış yapmadan önce başka bir tarayıcıda deneyerek çalıştığından emin ol.
Dikkat edilmesi gerekenler
Yeni adresini unutursan kendin de giremezsin. Bu durumda eklentiyi FTP ya da hosting dosya yöneticisiyle wp-content/plugins klasöründen geçici olarak devre dışı bırakırsan giriş eski haline döner. Adresi bir parola yöneticisinde sakla. Bu yöntem güvenliğin tek katmanı olmamalı; yanına güçlü şifre, iki faktörlü doğrulama ve giriş deneme sınırlaması da ekle. Önbellek eklentin varsa giriş sayfasını önbelleğe almadığından emin ol, yoksa yönlendirme beklenmedik davranabilir. Bazı güvenlik eklentileri bu özelliği zaten içerir, iki ayrı eklentiyle aynı işi yapmaya çalışırsan çakışabilirler, birini seç. Yeni adres için gerçek bir kelime yerine tahmin edilmesi zor bir dizi seçersen daha iyi korunursun; admin, giris ya da login gibi apaçık adlar botlar tarafından ikinci sırada denenir. Çok dilli ya da üyelik sistemi olan sitelerde değişiklik sonrası giriş, kayıt ve şifre sıfırlama bağlantılarının hâlâ doğru çalıştığını test et, çünkü bazı temalar bu bağlantıları eski adrese sabit yazmış olabilir. Giriş güvenliğini bir bütün olarak ele almak istersen WordPress güvenlik rehberi yazımda diğer katmanları da bulabilirsin.
Sık sorulan sorular
Giriş adresini değiştirmek SEO’ya zarar verir mi?
Hayır. Giriş sayfası arama motorlarında dizine eklenmez ve ziyaretçilerin gördüğü içerik sayfalarıyla ilgisi yoktur. Adresi değiştirmek sadece seni ve ekibini ilgilendirir.
Bu yöntem tek başına yeterli güvenlik sağlar mı?
Hayır, sadece bir katman. Botların çoğunu uzak tutar ama hedefli bir saldırgan adresi başka yollarla bulabilir. Güçlü şifre, 2FA ve düzenli güncellemeyle birlikte kullanınca anlamlı olur.
Giriş güvenliğini baştan sona kurmak için uğraşmak istemiyorsan, WordPress bakım ve teknik destek hizmetiyle adres değişikliğinden 2FA’ya kadar tüm katmanları ben kurabilirim. Durumunu konuşmak için ücretsiz ön analiz isteyebilirsin.
Bu konunun tüm rehberi: WordPress Güvenlik Rehberi