WordPress Güvenlik Rehberi 2026: Web Sitenizi Tehditlerden Koruyun

2026'da WordPress Güvenliğinin Neden Her Zamankinden Daha Önemli Olduğu

WordPress, internet üzerindeki tüm web sitelerinin %43'ünden fazlasını güçlendirerek, siber saldırılar için en büyük hedef haline geliyor. 2025 yılında, güvenlik araştırmacıları WordPress eklentileri, temaları ve çekirdek yazılımında 5.800'den fazla güvenlik açığı belgelendirdi. Küçük işletmeler için bir web sitesi ihlalinin ortalama maliyeti, duraklama süresi, veri kaybı, itibar hasarı ve kurtarma masrafları göz önüne alındığında artık 25.000 $'dan fazladır.

İyi haber şu ki, WordPress saldırılarının büyük çoğunluğu otomatik ve fırsatçı. Bilinen güvenlik açıklarını, zayıf şifreleri ve yanlış yapılandırılmış kurulumları hedef alıyorlar. Sistematik bir güvenlik yaklaşımını takip ederek, saldırı vektörlerinin %95'inden fazlasını ortadan kaldırabilir ve sitenizi saldırganların daha kolay hedeflere yönelmesini sağlayacak şekilde sağlam bir hedef haline getirebilirsiniz.

Bu kılavuz, sunucu yapılandırmasından günlük bakım uygulamalarına kadar WordPress güvenliğinin her katmanını kapsamaktadır. Kişisel bir blog veya yüksek trafikli bir e-ticaret mağazası işletiyor olun, bu stratejiler derinlemesine bir güvenlik duruşu oluşturmanıza yardımcı olacaktır.

Yaygın WordPress Tehditlerini Anlamak

Sitenizi savunmadan önce, neye karşı savunma yaptığınızı anlamanız gerekir. İşte 2026'da WordPress kurulumlarını hedef alan en yaygın saldırı türleri.

Kaba Kuvvet Saldırıları

Kaba kuvvet saldırıları, giriş bilgilerinizi tahmin etmeye çalışarak binlerce veya milyonlarca kullanıcı adı ve şifre kombinasyonunu dener. Otomatik botlar, sürekli olarak /wp-login.php ve /xmlrpc.php uç noktalarını hedef alır. Tipik bir WordPress sitesi günde yüzlerce kaba kuvvet denemesi alır ve "admin" gibi yaygın kullanıcı adlarına sahip siteler özellikle savunmasızdır.

SQL Enjeksiyonu (SQLi)

SQL enjeksiyonu saldırıları, kötü bir şekilde temizlenmiş giriş alanlarını kullanarak kötü niyetli veritabanı sorguları yürütür. Saldırganlar hassas verileri çıkarabilir, içerikleri değiştirebilir, yönetici hesapları oluşturabilir veya hatta veritabanı sunucusunun tam kontrolünü ele geçirebilir. WordPress'in hazırlıklı ifadelerini kullanmayan savunmasız eklentiler ve temalar, birincil giriş noktasıdır.

Cross-Site Scripting (XSS)

XSS saldırıları, diğer kullanıcıların görüntülediği web sayfalarına kötü niyetli JavaScript enjekte eder. Saklanan XSS özellikle tehlikelidir çünkü kötü niyetli script veritabanında kalır ve birisi etkilenen sayfayı her yüklediğinde çalışır. Bu, oturum kaçırma, çerez hırsızlığı ve kendi alan adınızdan gerçekleştirilen kimlik avı saldırılarına yol açabilir.

Kötü Amaçlı Yazılım ve Arka Kapılar

Saldırganlar erişim sağladıktan sonra, genellikle arka kapılar — şifreleri değiştirdiğinizde bile erişimlerini yeniden kazanmalarına izin veren gizli scriptler — kurarlar. Yaygın saklama yerleri arasında sahte eklenti dosyaları, değiştirilmiş tema işlevleri ve yükleme dizinindeki karmaşık kodlar bulunur. Kripto madencileri, spam enjektörleri ve SEO spam, en yaygın yükler arasındadır.

DDoS Saldırıları

Dağıtılmış Hizmet Reddi (DDoS) saldırıları, sunucunuzu trafikle boğarak sitenizi meşru ziyaretçilere erişilemez hale getirir. WordPress siteleri, arama sorguları, XML-RPC pingback'leri ve REST API uç noktaları gibi kaynak yoğun işlemleri hedef alan uygulama katmanı DDoS saldırılarına karşı özellikle savunmasızdır.

WordPress Güçlendirme: Temel Seviye Güvenlik

WordPress kurulumunuzu güçlendirmek, gereksiz özellikleri devre dışı bırakmak, dosya izinlerini sıkılaştırmak ve ortamınızı yaygın saldırılara karşı dirençli hale getirmek anlamına gelir. Bu, boyutu veya amacı ne olursa olsun her WordPress sitesinde uygulamanız gereken önlemlerdir.

Güvenli Dosya İzinleri

Yanlış dosya izinleri, en yaygın güvenlik hatalarından biridir. WordPress dosyalarınız bu izin standartlarına uymalıdır:

• Dizinler: 755 (sahibi okuyabilir/yazabilir/çalıştırabilir; grup ve kamu okuyabilir/çalıştırabilir)
• Dosyalar: 644 (sahibi okuyabilir/yazabilir; grup ve kamu sadece okuyabilir)
• wp-config.php: 400 veya 440 (sahibi sadece okuyabilir — sitenizdeki en hassas dosya)
• .htaccess: 444 (herkes için sadece okunabilir; Apache'nin okuması gerekir)

Hiçbir dosya veya dizini 777 olarak ayarlamayın. Bir eklenti 777 izinleri talep ediyorsa, alternatif bir eklenti bulun çünkü bu ciddi bir kırmızı bayraktır.

wp-config.php'yi Güvence Altına Alma

wp-config.php dosyası, veritabanı kimlik bilgilerinizi, kimlik doğrulama anahtarlarınızı ve diğer hassas yapılandırmaları içerir. Dosya izinlerini kısıtlamanın ötesinde, bu güvenlik iyileştirmelerini ekleyin:

• wp-config.php dosyasını WordPress kök dizininizden bir üst dizine taşıyın (WordPress orada otomatik olarak bulacaktır)
• WordPress tuz üreticisinden benzersiz kimlik doğrulama anahtarları ve tuzlar ekleyin
• Varsayılan veritabanı tablo ön ekini wp_ yerine özel bir dize ile değiştirin
• Dosya düzenlemeyi devre dışı bırakın: define('DISALLOW_FILE_EDIT', true);
• Eklenti/tema yüklemeyi devre dışı bırakın: define('DISALLOW_FILE_MODS', true); (üretim siteleri için)
• Yönetici için SSL zorlayın: define('FORCE_SSL_ADMIN', true);
• Gönderi revizyonlarını sınırlayın: define('WP_POST_REVISIONS', 5);

XML-RPC'yi Devre Dışı Bırakma

XML-RPC, dış uygulamaların WordPress ile iletişim kurmasına olanak tanıyan eski bir protokoldür. WordPress'in ilk günlerinde faydalı olsa da, REST API büyük ölçüde işlevselliğini değiştirmiştir. XML-RPC, kaba kuvvet amplifikasyon saldırıları (saldırganlar tek bir istekte yüzlerce şifre deneyebilir) ve pingback özelliği aracılığıyla DDoS saldırıları için sıkça istismar edilmektedir. Bunu .htaccess dosyanıza ekleyerek veya bir güvenlik eklentisi kullanarak devre dışı bırakın.

Giriş Denemelerini Sınırlama

WordPress, varsayılan olarak giriş denemelerini sınırlamaz, bu da kaba kuvvet saldırılarını son derece kolay hale getirir. 3-5 başarısız denemeden sonra IP adreslerini en az 15 dakika boyunca kilitleyen giriş denemesi sınırlaması uygulayın ve tekrar eden suçlular için kilitleme sürelerini artırın. Çoğu güvenlik eklentisi bu özelliği içerir ve tam bir güvenlik paketi yüklemeden bunu yöneten hafif bağımsız eklentiler de mevcuttur.

Giriş URL'sini Değiştirme

Belirsizlik yoluyla güvenlik tam bir strateji olmasa da, varsayılan giriş URL'sini /wp-login.php yerine özel bir yola değiştirmek, otomatik kaba kuvvet trafiğini önemli ölçüde azaltır. WordPress kurulumlarını tarayan botlar varsayılan giriş URL'sini hedef alır ve özel bir URL bu gürültüyü tamamen ortadan kaldırır.

Güvenlik Eklentileri: İlk Savunma Hattınız

Özel bir güvenlik eklentisi, manuel olarak uygulaması pratik olmayan birden fazla koruma katmanı ekler. İşte 2026'da en yaygın olarak kullanılan WordPress güvenlik çözümlerinin bir karşılaştırması.

Güvenlik başlıklarınızı SecurityHeaders.com adresinde test edin ve A veya A+ notu hedefleyin. Content-Security-Policy en güçlü ancak yapılandırması en karmaşık olanıdır. Uygulamadan önce sorunları belirlemek için rapor modu ile başlayın.

Yedekleme Stratejisi: Güvenlik Ağı

Hiçbir güvenlik kurulumu hatasız değildir. Sağlam bir yedekleme stratejisi, başarılı saldırılara, sunucu arızalarına ve insan hatalarına karşı sigorta poliçenizdir. 3-2-1 yedekleme kuralını izleyin: verilerinizin en az 3 kopyasını, 2 farklı depolama türünde, 1 kopyasını ise dışarıda saklayın.

Yedekleme Bileşenleri

• Veritabanı: Tüm içeriğiniz, ayarlarınız, kullanıcı verileriniz ve siparişleriniz. En az günde bir yedekleyin, aktif e-ticaret siteleri için saatte bir.
• Dosyalar: WordPress çekirdeği, temalar, eklentiler ve yüklemeler. Haftada bir veya her önemli değişiklikten sonra yedekleyin.
• Yapılandırma: Sunucu yapılandırmaları, .htaccess, wp-config.php. Her değişiklikten sonra yedekleyin.

Otomatik programlı yedeklemeler için UpdraftPlus Premium kullanın ve bulut depolama entegrasyonu sağlayın. Yedeklerinizi Amazon S3 ve Google Drive gibi en az iki farklı konumda saklayın. Yedeklerin geçerliliğini sağlamak için kurtarma sürecinizi üç ayda bir test edin. Daha derin bir inceleme için WordPress Yedekleme Kılavuzumıza göz atın.

Kötü Amaçlı Yazılım Tespiti ve Temizliği

Güçlü önleyici tedbirlere rağmen, kötü amaçlı yazılımları tespit etme ve kaldırma planınız olmalıdır. Erken tespit, zararı en aza indirir ve iyileşmeyi hızlandırır.

Enfeksiyon Belirtileri

• Tanıdık olmayan web sitelerine beklenmedik yönlendirmeler
• Oluşturmadığınız yeni yönetici kullanıcıları
• Açıklayamadığınız yakın tarihli zaman damgalarına sahip değiştirilmiş dosyalar
• Arama sıralamalarında ani düşüş veya Google uyarıları
• Sunucu kaynak kullanımında ani artışlar (CPU, bellek, bant genişliği)
• Alan adınızdan arama sonuçlarında spam içerik görünmesi
• Web sitenizde şüpheli davranışlarla ilgili müşteri şikayetleri

Kötü Amaçlı Yazılım Temizleme Süreci

1. İzole Et: Siteyi çevrimdışı alın veya bakım moduna geçirin, böylece daha fazla zarar görmesini engelleyin ve ziyaretçileri koruyun
2. Tarama: Tüm enfekte dosyaları belirlemek için Wordfence veya Sucuri SiteCheck kullanarak kapsamlı bir kötü amaçlı yazılım taraması yapın
3. Belge: Dosya yolları, değiştirilme tarihleri ve kötü amaçlı yazılım türleri dahil olmak üzere tüm bulguları kaydedin
4. Temizle: WordPress çekirdeğini değiştirin
5. Yeni kopyalarla dosyaları güncelleyin, şüpheli dosyaları eklentilerden/temalardan/yüklemelerden kaldırın
6. Güncelle: Tüm eklentileri, temaları ve WordPress çekirdeğini en son sürümlere güncelleyin
7. Güçlendirin: Tüm şifreleri sıfırlayın, güvenlik anahtarlarını yeniden oluşturun, kullanıcı hesaplarını gözden geçirin, dosya izinlerini kontrol edin
8. İzleme: Temizlik sonrası en az 30 gün boyunca gerçek zamanlı dosya izlemeyi etkinleştirin
9. İnceleme talep et: Google tarafından kara listeye alındıysanız, Arama Konsolu aracılığıyla bir yeniden değerlendirme talebi gönderin

Olay Müdahale Planı

Her WordPress sitesinin bir saldırı gerçekleşmeden önce belgelenmiş bir olay müdahale planına sahip olması gerekir. Siteniz tehlikeye girdiğinde hızlı ve sistematik bir şekilde hareket etmelisiniz. Panik, durumu daha kötü hale getirebilecek hatalara yol açar.

Müdahale Aşamaları

1. Algılama: İzleme uyarıları, ziyaretçi raporları veya güvenlik tarama sonuçları aracılığıyla ihlali belirleyin
2. Sınırlama: Daha fazla zararı önleyin — tüm şifreleri değiştirin, şüpheli IP'leri engelleyin, gerekirse siteyi izole edin
3. Soruşturma: Saldırı vektörünü, ihlalin kapsamını ve etkilenen verileri belirleyin. Erişim günlüklerini, dosya değiştirme sürelerini ve veritabanı değişikliklerini gözden geçirin
4. Ortadan kaldırma: Tüm kötü amaçlı yazılımları, arka kapıları ve yetkisiz değişiklikleri kaldırın. Mümkünse bilinen temiz bir yedekten geri yükleyin
5. İyileşme: Siteyi geliştirilmiş güvenlik önlemleriyle çevrimiçi hale getirin. Yeniden enfeksiyonu izlemek için dikkatli olun
6. Alınan dersler: Olayı belgeler, güvenlik prosedürlerinizi güncelleyin ve tekrarını önlemek için ek kontroller uygulayın

Güvenlik Denetimi Kontrol Listesi

Bu kontrol listesini, WordPress kurulumunuzun düzenli bir güvenlik denetimini gerçekleştirmek için kullanın. İş siteleri için bu listeyi aylık, kişisel bloglar için ise üç aylık olarak gözden geçirmenizi öneririz.

Doğru barındırma ortamını seçmek, temel bir güvenlik kararını temsil eder. İyi yapılandırılmış bir sunucu, hiçbir eklentinin kopyalayamayacağı güvenlik avantajları sunar. Ayrıntılı öneriler için WordPress Barındırma Rehberimizi okuyun. Ve önerilen güvenlik ve yardımcı eklentilerin tam listesi için WordPress eklentileri rehberimize göz atın.

Sıkça Sorulan Sorular

WordPress doğası gereği güvensiz mi?

Hayır. WordPress çekirdeği, özel bir güvenlik ekibi tarafından geliştirilmekte ve düzenli yamanmaktadır. WordPress güvenlik olaylarının çoğu, güncel olmayan eklentiler, zayıf şifreler ve kötü barındırma yapılandırmalarından kaynaklanmaktadır — WordPress'in kendisindeki güvenlik açıklarından değil. Doğru bir şekilde bakım yapıldığında ve güçlendirildiğinde, WordPress, dünya çapında büyük işletmeler, hükümetler ve haber kuruluşları tarafından kullanılan güvenli bir platformdur.

Eklentilerimi ve temalarımı ne sıklıkla güncellemeliyim?

Güncellemeleri en az haftada bir kontrol edin ve güvenlik yamalarını 24 saat içinde uygulayın. Ana sürüm güncellemeleri, uyumluluğu sağlamak için birkaç gün bekleyebilir, ancak güvenlik güncellemeleri hemen uygulanmalıdır. Güvendiğiniz eklentiler için otomatik güncellemeleri etkinleştirin ve güncellemeden önce her zaman güncel bir yedek bulundurun.

Barındırma sağlayıcımın WAF'ı varsa güvenlik eklentisine ihtiyacım var mı?

Evet. Barındırma düzeyindeki WAF'lar ve WordPress güvenlik eklentileri tamamlayıcı işlevler sunar. Bir barındırma WAF'ı, trafiği ağ düzeyinde filtrelerken, Wordfence gibi bir eklenti, kötü amaçlı yazılım taraması, oturum açma güvenliği ve dosya bütünlüğü izleme gibi uygulama düzeyinde koruma sağlar. Bu kombinasyon, her iki çözümden çok daha güçlü bir katmanlı savunma oluşturur.

Giriş URL'sini değiştirmek güvenlik için etkili midir?

Giriş URL'sini değiştirmek, otomatik kaba kuvvet gürültüsünü azaltan faydalı bir ikincil önlemdir. Ancak, bu asla tek başına bir kaba kuvvet koruması olmamalıdır. Her zaman giriş denemelerini sınırlama, güçlü şifreler ve iki faktörlü kimlik doğrulama ile birleştirin. Kararlı saldırganlar, çeşitli sayım teknikleri aracılığıyla özel giriş URL'lerini keşfedebilir.

WordPress sitemin hacklendiğini nasıl anlarım?

Yaygın göstergeler arasında beklenmedik yönetici kullanıcıları, değiştirilmiş dosyalar, şüpheli yönlendirmeler, arama sonuçlarında spam içerik, Google kara liste uyarıları, olağandışı sunucu kaynak kullanımı ve yükleme veya eklenti dizinlerinizdeki yeni dosyalar yer alır. Düzenli kötü amaçlı yazılım taramaları ve dosya bütünlüğü izleme, önemli hasar vermeden önce ihlalleri erken tespit etmeye yardımcı olur.

Bir hack keşfettikten hemen sonra ne yapmalıyım?

Öncelikle, tüm şifreleri değiştirin (WordPress yönetici, veritabanı, FTP, barındırma paneli). İkincisi, siteyi çevrimdışı hale getirin veya bakım moduna alın. Üçüncüsü, kötü amaçlı yazılım taraması yapın ve kaldırın. Dördüncüsü, tüm yazılımları güncelleyin. Beşincisi, dosyalarınızda ve veritabanınızda arka kapıları kontrol edin. Son olarak, enfeksiyon yaygınsa temiz bir yedekten geri yükleyin. Olay müdahale kayıtlarınız için her şeyi belgeler.

Ücretsiz güvenlik eklentileri koruma için yeterli mi?

Ücretsiz güvenlik eklentileri, temel güvenlik duvarları, oturum açma sınırlamaları ve periyodik kötü amaçlı yazılım taramaları gibi temel bir koruma seviyesi sağlar. Ancak, premium sürümler gerçek zamanlı tehdit istihbaratı, gelişmiş tarama yetenekleri, öncelikli destek ve ülke engelleme ve gerçek zamanlı IP kara listeleri gibi özellikler sunarak güvenlik duruşunuzu önemli ölçüde iyileştirir. İş ve e-ticaret siteleri için premium yatırım oldukça haklıdır.

SSL/TLS güvenliğe nasıl yardımcı olur?

SSL/TLS, ziyaretçilerinizin tarayıcıları ile sunucunuz arasında iletilen tüm verileri şifreler. Bu, saldırganların oturum açma kimlik bilgileri, ödeme detayları ve kişisel veriler gibi hassas bilgileri ortadan kaldırmasına engel olur. HTTPS ayrıca sunucu kimliğinizi doğrular, ziyaretçileri sitenizin sahte versiyonlarına yönlendiren DNS sahtekarlığı saldırılarını önler.

wp-config.php güvenlik ayarları en önemlileri nelerdir?

Kritik ayarlar arasında: dosya düzenlemeyi devre dışı bırakma (DISALLOW_FILE_EDIT), benzersiz kimlik doğrulama anahtarları ve tuzlar kullanma, özel bir veritabanı tablo öneki ayarlama, yönetici için SSL zorunlu kılma, minimum gerekli ayrıcalıklarla açık veritabanı kimlik bilgilerini tanımlama ve üretim için uygun hata ayıklama ve hata görüntüleme ayarlarını ayarlama (WP_DEBUG false, display_errors off) yer alır.

Tam bir güvenlik denetimini ne sıklıkla gerçekleştirmeliyim?

İş web siteleri ve çevrimiçi mağazalar için, kapsamlı bir güvenlik denetimini aylık olarak gerçekleştirin. Kişisel bloglar ve düşük trafiğe sahip siteler için üç aylık denetimler yeterlidir. Planlı denetimlerin yanı sıra, herhangi bir güvenlik olayı, büyük güncelleme veya sitenizdeki önemli bir değişiklik sonrası ad-hoc incelemeler yapın. Otomatik izleme araçları, manuel denetimler arasında sürekli gözetim sağlayabilir.