01Sorun ve çözüm
WordPress güvenlik denetimi, sitenizi yönetim paneli, dosya sistemi ve veritabanı düzeyinde inceler. Yüklü her eklenti ve temanın sürümünü bilinen zafiyet kayıtlarıyla karşılaştırıyor, çekirdek dosyaların orijinalinden farklılaşıp farklılaşmadığını kontrol ediyor, kullanıcı hesaplarını ve yetkileri tek tek gözden geçiriyoruz. Denetim, sitenin zaten ele geçirilmiş olup olmadığına dair izleri de arar.
Devamını okuDaha az göster
Rapor, neyin kaldırılması, neyin güncellenmesi, neyin başka bir eklentiyle değiştirilmesi gerektiğini site yöneticisinin uygulayabileceği sırayla verir.
02Kimler için
WordPress güvenlik denetimi hangi siteler için gerekli
Kurulumdan bu yana elden geçmemiş her WordPress sitesi denetimden fayda görür.
- WooCommerce ile satış yapan ve sipariş ile üye verisi saklayan e-ticaret siteleri
- Birden fazla editörün içerik girdiği, kullanıcı rollerinin zamanla karıştığı kurumsal ve haber siteleri
- Ajans değişikliği ya da site devri sonrasında neyin kurulu olduğunu bilmeyen site sahipleri
- Sitesinde tanımadığı bir yönetici hesabı, beklenmedik bir yönlendirme ya da yavaşlama fark eden işletmeler
- Aynı barındırma hesabında birçok WordPress kurulumu çalıştıran ajanslar ve serbest geliştiriciler
03İhtiyaçlar
WordPress sitelerinde risk biriktiren noktalar
Açıkların çoğu kurulumdan sonraki yıllarda, küçük kararların üst üste binmesiyle oluşur.
- 01
Eklenti ve tema yığını
Etkin olmayan eklentiler de sunucuda durdukça saldırıya açıktır. Uzun süredir güncelleme almayan, WordPress dizininden kaldırılmış ya da lisanssız kaynaktan indirilmiş bileşenler ayrıca işaretlenir.
- 02
Kullanıcılar ve roller
Gereğinden fazla yönetici, ayrılmış çalışanların açık hesapları, tahmin edilebilir kullanıcı adları ve REST API üzerinden kullanıcı adlarının listelenebilmesi incelenir.
- 03
Dosya sistemi ve yapılandırma
wp-config.php dosyasının konumu ve izinleri, yükleme klasöründe çalıştırılabilir PHP dosyası bulunup bulunmadığı, panelden dosya düzenlemenin açık olup olmadığı ve hata ayıklama modunun durumu kontrol edilir.
- 04
Giriş ekranı ve XML-RPC
Yönetim paneline yönelik parola deneme saldırılarına karşı sınırlama, çok faktörlü doğrulama ve kullanılmıyorsa XML-RPC uç noktasının kapatılması değerlendirilir.
04Özellikler
WordPress güvenlik denetimi hizmeti neleri kapsar
Denetim hem bugünkü açıkları hem de geçmişte yaşanmış olabilecek bir ele geçirmeyi hedefler.
- 01
Bileşen envanteri ve zafiyet eşlemesi
Çekirdek, eklenti ve tema sürümleri WPScan gibi zafiyet veritabanlarıyla karşılaştırılır; her açık için güncelleme, değiştirme ya da kaldırma önerisi yazılır.
- 02
Dosya bütünlüğü kontrolü
Çekirdek dosyalar resmî sürümle karşılaştırılır; eklenti ve tema klasörlerinde gizlenmiş kod parçaları, kodlanmış betikler ve beklenmedik dosyalar aranır.
- 03
Veritabanı incelemesi
Seçenekler tablosundaki yönlendirmeler, yazılara eklenmiş gizli bağlantılar, kayıtlı zamanlanmış görevler ve arayüzde görünmeyen yönetici hesapları kontrol edilir.
- 04
Sıkılaştırma listesi
Güvenlik anahtarlarının yenilenmesi, dosya izinleri, yönetim paneli erişim sınırlaması ve yedekleme düzeni için uygulanabilir bir kontrol listesi teslim edilir.
05Entegrasyonlar
Denetimde ele alınan eklentiler ve servisler
Sitenin güvenliğini taşıyan eklentiler ve dış servisler de doğru çalışıp çalışmadıkları açısından incelenir.
- 01
Güvenlik eklentileri
Wordfence ya da Sucuri gibi bir eklenti kuruluysa ayarlarının etkin olup olmadığı, uyarıların kime gittiği ve güvenlik duvarı kurallarının açık olduğu kontrol edilir.
- 02
Yedekleme
UpdraftPlus gibi eklentilerle ya da barındırma firmasıyla alınan yedeklerin nerede durduğu, sunucunun dışında bir kopya bulunup bulunmadığı ve geri yüklemenin denenip denenmediği incelenir.
- 03
WooCommerce ve ödeme eklentileri
Örneğin iyzico ya da PayTR gibi ödeme kuruluşlarının eklentilerinin güncelliği, sipariş verilerine erişen roller ve müşteri hesabı ayarları değerlendirilir.
- 04
Barındırma ve CDN
PHP sürümü, sunucu düzeyindeki koruma ve Cloudflare gibi bir hizmet kullanılıyorsa yönetim paneline özel erişim kuralları gözden geçirilir.
06Süreç
WordPress güvenlik denetimi hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
Denetimi canlı siteye zarar vermeden yürütmek
Denetim için tercihen sitenin bir kopyası üzerinde çalışılır; kopya alınamıyorsa canlı sitede yalnızca okuma yapılır, eklenti güncelleme ya da kaldırma gibi değişiklikler sizin onayınız olmadan uygulanmaz. Erişim, denetime özel açılan ve iş bitince silinen bir yönetici hesabı ile salt okuma yetkili bir veritabanı kullanıcısı üzerinden verilir.
Devamını okuDaha az göster
Ele geçirme izi bulunursa durum öncelik değiştirir: hangi dosya ve kayıtların etkilendiği, sızmanın hangi eklentiden ya da hesaptan başladığı ve sitenin temiz bir kopyadan mı yoksa yerinde temizlikle mi kurtarılacağı ayrı bir planla ele alınır. Üye ve sipariş verisi barındıran sitelerde olası bir erişimin KVKK açısından değerlendirilmesi için durum size ayrıntılı olarak raporlanır.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
WordPress güvenlik denetimi hakkında sık sorulan sorular
Güvenlik eklentisi kurulu; ayrıca denetime gerek var mı?
Eklenti bilinen saldırı kalıplarını engeller ve dosya değişikliklerini izler, ama yanlış ayarlanmış olabilir, eski bir eklentideki mantık hatasını göremez ve gereksiz yönetici hesaplarını sorgulamaz. Denetim, eklentinin de doğru çalışıp çalışmadığını kontrol eder.
WordPress güvenlik denetimi fiyatları neye göre değişir?
Yüklü eklenti ve tema sayısı, WooCommerce gibi kapsamlı eklentilerin varlığı, çoklu site kurulumu olup olmadığı, ele geçirme şüphesi bulunması ve bulguların düzeltilmesinde destek istenmesi teklifi belirler.
Sitemiz hacklendi; denetim mi yoksa temizlik mi gerekiyor?
İkisi birlikte gerekir. Yalnızca görünen zararlı kodu silmek, saldırganın bıraktığı arka kapıyı ve giriş yolunu kapatmaz. Denetim, temizliğin neyi kapsaması gerektiğini ve sızmanın kaynağını ortaya koyar.
Otomatik güncellemeleri açmalı mıyız?
Küçük güvenlik sürümleri için çoğunlukla evet. Büyük sürüm atlamalarında ve çok sayıda eklentinin birbirine bağımlı olduğu sitelerde ise önce bir test kopyasında denemek daha güvenlidir. Denetim raporunda sitenize uygun güncelleme düzeni önerilir.
Kullanılmayan eklentileri kaldırmak siteyi bozar mı?
Etkin olmayan bir eklentiyi kaldırmak genellikle siteyi etkilemez. Yine de kısa kod ya da özel alan kullanan eklentiler için önce bağımlılık kontrolü yapılır ve kaldırma işlemi yedek alındıktan sonra uygulanır.
Bir WordPress güvenlik denetimi firması olarak yönetici parolamızı istiyor musunuz?
Hayır. Sizin parolanızı kullanmak yerine denetime özel bir hesap açmanızı isteriz; çalışma bitince bu hesabı silebilirsiniz. Böylece kimin ne zaman giriş yaptığı da ayrı izlenebilir.
10İlgili hizmetler