# Web sitesi güvenliği: küçük işletmeler için 14 maddelik kontrol listesi > Sitesi hacklenen işletmelerin çoğu hedef seçilmedi, taranıp bulundu. SSL, güncelleme, yedek, yönetici erişimi ve KVKK tarafında yapılacaklar. Kaynak: https://turuncsoft.com/rehberler/web-sitesi-guvenligi-kontrol-listesi Son güncelleme: 2026-10-06 Hız ve güvenlik 1 Eylül 2026 12 dk okuma Güncelleme: 6 Ekim 2026 Sitesi hacklenen işletmelerin çoğu hedef seçilmedi, taranıp bulundu. SSL, güncelleme, yedek, yönetici erişimi ve KVKK tarafında ne yapılması gerektiği, madde madde. [Fatih Turunç](https://turuncsoft.com/hakkimizda#yazar) Kurucu ve yazılım geliştirici Kısa cevap Küçük işletme sitelerine saldırıların büyük kısmı otomatiktir: botlar bilinen açıkları tarar, bulduğu her siteyi dener. Bu yüzden korunma da sıradan bakımdır: güncel yazılım, benzersiz yönetici parolası, iki adımlı doğrulama, dışarıda tutulan ve geri yüklenebildiği test edilmiş yedek, silinmiş kullanılmayan eklentiler. Kişisel veri topluyorsanız KVKK yükümlülükleri de listenin parçası. Kısaca Önce alan adının, hosting’in ve Google hesaplarının sizin adınıza kayıtlı olduğundan emin olun. Sonra bu listeyi ayda bir gözden geçirin. İçindekiler 1. Alan adı ve bağlantı tarafında ne gerekiyor? 2. Yazılım tarafında neler güncel tutulmalı? 3. Yönetici erişimi nasıl korunur? 4. Site güvenliği neden düzenli bakım istiyor? 5. KVKK açısından hangi yükümlülükler var? 6. Ayda bir hangi kontroller yapılmalı? 7. Kaynaklar Sitesi hacklenen işletme sahiplerinin ilk tepkisi genelde aynı oluyor: “Biz kimseye bir şey yapmadık, niye bizi seçtiler?” Cevap, kimsenin sizi seçmediğidir. İnternette sürekli çalışan otomatik tarayıcılar var. Bilinen bir açığı, mesela belli bir eklentinin eski bir sürümünü, tarayıp buldukları her siteye aynı saldırıyı deniyorlar. Site küçük ya da büyük olması fark etmiyor; kapının açık olması yetiyor. İyi haber şu: bu tür saldırılara karşı korunmanın büyük kısmı olağanüstü bir güvenlik uzmanlığı değil, düzenli bakımdır. ## Alan adı ve bağlantı tarafında ne gerekiyor? ### 1\. HTTPS her sayfada zorunlu SSL/TLS sertifikası, ziyaretçi ile sunucu arasındaki trafiği şifreler. Sertifikasız site tarayıcıda “Güvenli değil” uyarısı alır; iletişim formu dolduran kimse kalmaz. Google da HTTPS’i uzun süredir bir sıralama sinyali olarak sayıyor. Sertifika bugün ücret gerektirmiyor: Let’s Encrypt üzerinden otomatik yenilenebiliyor. Sertifika yenilemesi elle takip edilecek bir iş olmamalı; otomatik yenilenmiyorsa bir gün mutlaka süresi dolar. Dikkat edilecek üç şey: - Otomatik yenileme: yenilemenin gerçekten çalıştığını hosting panelinden kontrol edin. - Tam yönlendirme: `http://` ile gelen her adres `https://` sürümüne yönlensin. - Karışık içerik yok: HTTPS sayfa içinde `http://` ile çağrılan görsel veya script kalmasın, yoksa tarayıcı yine uyarır. ### 2\. HSTS başlığı `Strict-Transport-Security` başlığı tarayıcıya “bu siteye bir daha asla şifresiz bağlanma” der. Bir kez ziyaret edildikten sonra araya girme saldırılarının bir kısmını baştan keser. ### 3\. Alan adı sizin adınıza kayıtlı olmalı Güvenliğin en çok atlanan maddesi teknik bile değil. Alan adı sizi yapan ajansın hesabında duruyorsa, bir anlaşmazlıkta siteniz de e-postanız da rehin kalır. Kayıt sahibi (registrant) şirketinizin adına olmalı, panel erişimi sizde durmalı. Bunun yanında: alan adına kayıt kilidi (registrar lock) koyun ve otomatik yenilemeyi açın. Süresi dolan alan adı, sitenin ve e-postanın birlikte kapanması demek. ## Yazılım tarafında neler güncel tutulmalı? ### 4\. Güncellemeleri geciktirmeyin Bir eklentinin güvenlik güncellemesi yayımlandığı an, o açık artık herkese açıktır: yayımlanan yama, aynı zamanda saldırganlar için tarif niteliğindedir. Güncelleme ile saldırı arasındaki süre kısa olabiliyor. Kural: çekirdek yazılım, tema ve eklentiler otomatik güncellensin; büyük sürüm atlamaları önce test kopyasında denensin. ### 5\. Kullanmadığınız eklenti ve temayı silin Pasif duran eklenti de sunucuda dosya olarak durur ve açığı istismar edilebilir. “Belki lazım olur” diye bırakılan eklentiler, en sık kullanılan giriş yollarından biridir. Devre dışı bırakmak yetmez, silin. ### 6\. Yönetici sayısını sınırlayın Herkese yönetici yetkisi vermeyin. İçerik girecek kişi editör yetkisiyle çalışabiliyorsa yönetici olmasın. İşten ayrılan veya iş biten kişilerin hesaplarını kapatın; ajans değiştirdiğinizde eski ajansın erişimini kaldırın. ### 7\. Yönetim panelini gizleyin ve sınırlayın Standart giriş adresleri (`/wp-admin`, `/administrator`) botların ilk denediği yerlerdir. Yapılabilecekler: giriş adresini değiştirmek, başarısız deneme sayısını sınırlamak, mümkünse panele yalnızca belli IP’lerden erişime izin vermek. ## Yönetici erişimi nasıl korunur? ### 8\. Parolalar benzersiz olsun En sık görülen senaryo şu: aynı parola hem hostingde hem e-postada hem de başka bir sitede kullanılmış; o başka site sızmış ve parola listesi dolaşıma girmiş. Saldırgan sizin siteye girmedi, sadece elindeki parolayı denedi. Her hesap için ayrı, uzun parola. Bunu akılda tutmanın yolu bir parola yöneticisi kullanmaktır; ekipte ortak kullanılan hesaplar için de paylaşımlı kasa mantığı işler. ### 9\. İki adımlı doğrulama (2FA) Hosting paneli, alan adı paneli, site yönetim paneli, e-posta ve Google İşletme Profili, hepsinde açık olmalı. Parola sızsa bile ikinci adım olmadan giriş yapılamaz. Bu, listedeki en yüksek getirili maddedir. ### 10\. Google İşletme Profilinizi de koruyun Yerel işletmeler için sitenin kendisi kadar kritik bir varlık [Google İşletme Profili](https://turuncsoft.com/hizmetler/google-isletme-profili). Ele geçirilen profilde telefon numarası, web adresi ve hatta işletme adı değiştirilebilir; müşteri sizi arıyor sanıp başkasına ulaşır. Profil sahipliği şirket hesabında olsun, yönetici erişimleri düzenli gözden geçirilsin, hesapta 2FA açık olsun. ## Site güvenliği neden düzenli bakım istiyor? ### 11\. Yedek: otomatik, dışarıda ve test edilmiş Üç şart birlikte sağlanmalı: - **Otomatik:** elle alınan yedek, ihtiyaç duyulduğunda hep birkaç ay eskidir. - **Dışarıda:** yedek sitenin durduğu sunucuda olmasın. Sunucu ele geçtiğinde ya da sağlayıcı çöktüğünde yedek de gider. - **Test edilmiş:** yılda en az bir kez yedekten geri dönmeyi deneyin. Bozuk yedek, yedek yokluğundan daha tehlikelidir çünkü yanlış bir güven verir. ### 12\. Sunucu ve PHP sürümü desteklenen sürümde olsun Destek dışı kalmış bir PHP veya veritabanı sürümü artık güvenlik yaması almaz. Hosting panelinizden sürümü kontrol edin; eski sürümde kaldıysanız güncellemeden önce siteyi test kopyasında deneyin. ### 13\. Güvenlik başlıkları Sunucu tarafında eklenen birkaç HTTP başlığı, bütün bir saldırı sınıfını ucuza kapatır: | Başlık | Ne yapar | | --- | --- | | `Content-Security-Policy` | Sayfada hangi kaynaktan kod çalışabileceğini sınırlar | | `X-Content-Type-Options: nosniff` | Tarayıcının dosya türünü tahmin etmesini engeller | | `Referrer-Policy` | Dışarı çıkan bağlantılarda adres bilgisinin sızmasını sınırlar | | `Strict-Transport-Security` | Şifresiz bağlantıyı baştan reddettirir | | `Content-Security-Policy: frame-ancestors` (ya da `X-Frame-Options`) | Sitenizin başka bir sitede çerçeve içinde gösterilmesini engeller; tıklama hırsızlığına karşı en ucuz önlemdir | ### 14\. Form ve dosya yükleme noktalarını kapatın İletişim ve teklif formları, spam botlarının ve enjeksiyon denemelerinin ilk uğradığı yerdir. Sunucu tarafında doğrulama yapın, dosya yükleme varsa yalnızca beklenen türlere izin verin ve yüklenen dosyaların çalıştırılabildiği bir dizine düşmediğinden emin olun. ## KVKK açısından hangi yükümlülükler var? Türkiye’de kişisel veri işleyen her web sitesinin, iletişim formu bile olsa, yerine getirmesi gereken yükümlülükler var: - **Aydınlatma metni:** Hangi verinin hangi amaçla işlendiği, ne kadar saklandığı, kime aktarıldığı açıkça yazılmalı. - **Açık rıza:** Pazarlama izni ile hizmet için gereken veri işleme ayrı ayrı ele alınmalı; tek bir kutucukla her şeye onay alınmamalı. - **Çerez yönetimi:** Zorunlu olmayan çerezler ziyaretçi onay vermeden çalışmamalı. - **Veri minimizasyonu:** Formda gerçekten gerekmeyen alanı istemeyin. Toplanmayan veri sızmaz. - **Yurt dışı aktarım:** Sunucu, analitik veya form servisi yurt dışındaysa aktarım şartlarının sağlanması gerekir. - **VERBİS:** Kayıt yükümlülüğü kapsamındaysanız kaydınızı yaptırın. Bir veri ihlali yaşandığında Kurul’a ve ilgili kişilere bildirim yükümlülüğü doğar. Bu yüzden güvenlik, IT işi olmanın ötesinde bir uyum meselesidir. ## Ayda bir hangi kontroller yapılmalı? Karmaşık bir güvenlik programına gerek yok. Ayda bir şu altı maddeye bakmak riskin önemli bölümünü azaltır: 1. Güncellemeler yapıldı mı, bekleyen var mı? 2. Son yedek ne zaman alındı, dışarıda mı duruyor? 3. Yönetici listesinde tanımadığınız hesap var mı? 4. Sertifikanın otomatik yenilemesi çalışıyor mu, alan adı ne zaman bitiyor? 5. Search Console’da güvenlik uyarısı var mı? 6. Sitede kullanılmayan eklenti birikti mi? [Kurumsal web sitesi](https://turuncsoft.com/hizmetler/kurumsal-web-sitesi) projelerimizde bu maddelerin çoğu mimari kararla baştan çözülüyor: site statik olarak üretildiği için sunucuda çalışan bir yönetim paneli veya veritabanı saldırı yüzeyi bırakmıyor, güncelleme bekleyen eklenti listesi oluşmuyor. Bakım anlaşması olan projelerde bu rutini biz yürütüyoruz; olmayanlarda listeyi teslimde veriyoruz ki kendiniz takip edebilesiniz. Firmanıza özel bir uygulama ya da entegrasyon gerekiyorsa [özel yazılım](https://turuncsoft.com/hizmetler/ozel-yazilim) hizmetimiz var; platform seçiminin güvenliğe etkisi için [WordPress, Wix ya da özel yazılım karşılaştırmasına](https://turuncsoft.com/rehberler/hazir-tema-mi-ozel-tasarim-mi) bakın. Sitenizin hızı da güvenlik gibi düzenli bakım ister: [site hızı rehberi](https://turuncsoft.com/rehberler/web-sitesi-hizi-core-web-vitals). ## Kaynaklar Bu rehberdeki teknik eşikler ve kural tanımları aşağıdaki birincil kaynaklara dayanıyor. - [OWASP Top 10: en yaygın web güvenlik açıkları](https://owasp.org/Top10/) - [Let’s Encrypt: ücretsiz SSL sertifikası](https://letsencrypt.org/) - [Kişisel Verileri Koruma Kurumu](https://www.kvkk.gov.tr/) SSS ## Bu yazıyla ilgili sık sorulanlar Aradığınız cevap burada yoksa doğrudan sorun; yazılı olarak yanıtlıyoruz. Sorunuz listede yok mu? - [hello@turuncsoft.com](mailto:hello@turuncsoft.com) - [Teklif formunu doldurun](https://turuncsoft.com/teklif) ### Küçük bir işletmenin sitesini kim niye hacklesin? Çoğu saldırı sizi hedef almaz. Botlar internette bilinen bir açığı tarar ve bulduğu her siteye girer. Amaç genelde veri çalmak değil; siteyi spam yönlendirmesi, sahte sayfa barındırma veya kripto madenciliği için kullanmaktır. Yani 'bende çalınacak bir şey yok' korunma sebebi değildir. ### SSL sertifikası sitemi güvenli yapar mı? Hayır, sadece trafiği şifreler, araya giren biri veriyi okuyamaz. Sitenin kendi yazılımındaki açığı, zayıf parolayı veya güncellenmemiş eklentiyi engellemez. SSL gereklidir ama tek başına yeterli değildir. ### Sitem hacklendi, ilk ne yapmalıyım? Önce siteyi bakım moduna alın, sonra bütün parolaları (hosting, panel, veritabanı, FTP, e-posta) değiştirin. Ardından temiz olduğunu bildiğiniz bir yedeğe dönün. Hacklenmiş dosyayı temizlemeye çalışmak genelde arka kapıyı gözden kaçırmakla biter. Search Console’da 'Güvenlik Sorunları' bölümünü kontrol edin ve temizlik sonrası yeniden inceleme isteyin. ### Yedek almak yeterli mi? Yedek alınıyor olması yetmez; geri dönülebildiği test edilmiş olmalı. Bir de yedek sitenin durduğu sunucuda tutuluyorsa, sunucu ele geçtiğinde yedek de gider. Yedeğin ayrı bir yerde durması gerekir. ## Diğer rehberler - [Hız ve güvenlik Web sitesi hızı 2026: Core Web Vitals eşikleri ve siteyi asıl yavaşlatan 7 şey Sitem neden yavaş açılıyor? LCP, INP ve CLS eşikleri ne anlama geliyor, hangi ölçüm aracı doğruyu söylüyor ve hızı gerçekten neyin düzelttiği. Ölçülebilir bir rehber. Okuyun](https://turuncsoft.com/rehberler/web-sitesi-hizi-core-web-vitals) - [Teknoloji WordPress, Wix mi yoksa özel yazılım mı? İşletmeler için karşılaştırma Hazır tema, site kurucu platform ve sıfırdan geliştirme arasındaki gerçek fark nedir? Maliyet, hız, SEO, güvenlik ve sahiplik açısından hangisinin hangi işletmeye uyduğu. Okuyun](https://turuncsoft.com/rehberler/hazir-tema-mi-ozel-tasarim-mi) - [SEO Search Console dizin durumları: hangisi normal, hangisi sorun? Search Console Sayfalar raporundaki durumlar ne anlama gelir? Taranan ancak dizine eklenmeyen, keşfedildi, yönlendirmeli, noindex, 404 ve 5xx için ne zaman endişelenmeli, ne yapmalı. Okuyun](https://turuncsoft.com/rehberler/search-console-dizin-durumlari) ## İhtiyaç analiziyle başlayalım. İşinizi dinliyor, neyin gerekli olduğunu birlikte belirliyoruz. Kapsam ve fiyat yazılı olarak iletilir. [Teklif alın](https://turuncsoft.com/teklif) [İletişime geçin](https://turuncsoft.com/iletisim)