WordPress sitelerine yapılan saldırıların büyük çoğunluğu aynı yerden, giriş sayfasından başlar. Saldırgan, wp-login.php adresine durmadan kullanıcı adı ve şifre kombinasyonları dener; buna kaba kuvvet saldırısı denir. Üstelik bunu elle değil, saniyede yüzlerce deneme yapan botlarla yapar. Bu kapıyı biraz zorlaştırmak, sitenin güvenliğini ciddi biçimde artırır ve seni saldırganların kolay hedefi olmaktan çıkarır.
admin kullanıcı adını kullanma
En yaygın ve en tehlikeli hata, kullanıcı adının admin olmasıdır. Düşün ki bir kilidi açmak için hem anahtarı hem anahtar deliğini bulman gerekir. Kullanıcı adı anahtar deliği, şifre ise anahtardır. Kullanıcı adın admin ise saldırgan anahtar deliğini zaten biliyor demektir; sadece doğru şifreyi bulması yeter, işi yarı yarıya kolaylaşır.
Kendine tahmin edilmesi zor bir kullanıcı adı aç, sonra admin hesabını sil. Şifren de uzun ve rastgele olsun; en az on iki karakter, içinde büyük harf, küçük harf, rakam ve işaret karışık. Böyle bir şifreyi aklında tutmaya çalışma, zaten tutamazsın; bir şifre yöneticisi bu işi senin yerine yapar ve her site için ayrı, güçlü bir şifre üretip saklar.
Deneme sayısını sınırla
Varsayılan haliyle WordPress, birinin kaç kez yanlış şifre girdiğini saymaz. Yani bir bot, siteye hiç zarar vermeden saatlerce, binlerce, hatta milyonlarca şifre deneyebilir. Er ya da geç doğru şifreyi bulma ihtimali vardır ve bu süreçte sunucunu da yorar.
Limit Login Attempts gibi bir eklenti bu açığı kapatır. Belli sayıda hatalı denemeden sonra, o adresi bir süreliğine engeller. Birkaç yanlış denemeden sonra kapı kapanınca, otomatik saldırılar daha ilk adımda durur. Wordfence gibi kapsamlı güvenlik eklentileri de bu özelliği içinde barındırır, yani ayrı bir eklenti kurmana bile gerek kalmayabilir.
İki adımlı doğrulama
Giriş güvenliğini en çok artıran tek adım, iki adımlı doğrulamadır. Kısaca 2FA denir. Açtığında, giriş yaparken şifrenin yanında bir de telefonundan gelen ya da bir uygulamanın ürettiği anlık kodu girmen istenir.
Bunun gücü şurada: şifren bir şekilde çalınsa bile, saldırganın elinde senin telefonun olmadığı için o koda ulaşamaz ve giremez. Yani tek bir savunma hattına değil, iki ayrı hatta güvenmiş olursun. Kurulumu birkaç dakika sürer. Özellikle birden fazla kişinin giriş yaptığı sitelerde bunu herkese zorunlu tutmak çok akıllıca olur.
Giriş adresini değiştir
Botların çoğu doğrudan wp-login.php adresini hedefler, çünkü bu adres tüm WordPress sitelerinde aynıdır. Giriş adresini kendine özel bir şeyle değiştirirsen, bu otomatik saldırıların büyük kısmı yanlış kapıyı çalar ve giriş sayfanı hiç bulamaz.
Bu tek başına yeterli bir güvenlik değildir; asıl koruma güçlü şifre ve 2FA’dır. Ama giriş adresini değiştirmek, siteye gelen gereksiz saldırı trafiğini ve bunun yarattığı sunucu yükünü belirgin biçimde azaltır. Bir tür görünmezlik sağlar.
Hepsi birlikte güç kazanır
Bu adımların hepsi ücretsiz ve her biri birkaç dakikalık iş. Tek tek bakıldığında küçük görünürler. Ama üst üste geldiklerinde, siteni otomatik saldırıların hedef listesinden büyük ölçüde çıkarırlar. Saldırgan kolay hedef arar; bu önlemleri almış bir site ona fazla zahmetli gelir ve çoğu zaman bir sonrakine geçer. Site büyüdükçe ve değer kazandıkça, bu küçük önlemler seni çok ciddi baş ağrılarından kurtarır.
İlgili Rehberler
- Siteyi düzenli yedeklemek neden şart
- Siteniz hacklendiyse adım adım ne yapmalı
- SSL sertifikası nedir, neden her sitede olmalı
Bu işleri kendiniz yapmak yerine profesyonel destek isterseniz, WordPress bakım ve teknik destek hizmetime göz atabilirsiniz.
Bu konunun tüm rehberi: WordPress Güvenlik Rehberi
