13 WordPress Güvenlik Mitleri | Web Sitenizi Hacklenmekten Koruyun!

WordPress, dünyanın her yerinden geniş bir kullanıcı topluluğuna ev sahipliği yapmasına ve en iyi içerik yönetim platformu olmasına rağmen, bu bir numaralı nokta, sırtına bir hedef koyar ve birçok WordPress güvenlik efsanesi ortaya çıkar.

Sitelerinizi korumanın yanı sıra WooCommerce güvenliğini artırmanın yolu hakkında çok sayıda güvenlik tavsiyesi bulacaksınız, ancak bu, sitenizi korumak için gerçekten yararlı bir şey yapmayan birçok efsaneye yol açtı. Bu ipuçlarından bazıları, onu saldırılara karşı daha savunmasız bırakabilir.

WordPress Güvenlik Mitleri

En iyi 13 WordPress güvenlik efsanesini ve WordPress web sitenizi düzgün bir şekilde korumak için neler yapabileceğinizi inceleyelim.

1. wp-admin veya wp-login sayfalarınızı gizleyin ve kimse giriş URL'sini bulamaz

Bu fikrin arkasındaki mantık, potansiyel bilgisayar korsanlarının bulamadıkları şeyleri hacklemesini engellemektir. Giriş URL'niz standart WordPress /wp-admin/ URL'si değilse, kaba kuvvet saldırılarından korunmuyor musunuz? wp-admin URL'nizi gizlemek bazı saldırıları durdurmaya yardımcı olabilir, ancak hepsini durdurmaz.

Bu stratejinin çalışmamasının nedeni, REST API veya XML-RPC gibi normal bir İnternet tarayıcısı kullanmanın yanı sıra WordPress sitelerinize giriş yapmanın başka yolları da olmasıdır. Bu, WordPress giriş URL'sini değiştirseniz bile , kullandığınız bir eklenti veya temanın değiştirilen URL'ye bağlanabileceği anlamına gelir.

Arka uç özelliğinin gizlenmesi, çoğu doğrudan erişim girişimini önlemek için yeterince iyi olsa da, özel wp-admin veya wp-login URL'lerinizi bulanlar yine de giriş sayfalarınıza yönlendirilebilir.

Bunun işe yaramamasının bir başka nedeni de arka ucu tamamen gizlemenin sitenizi bozmasıdır. Yüklediğiniz her şey, wp-admin'in URL'de olacağını varsayar.

Oturum açma URL'sini gizlemek belirsiz olabilir, ancak WordPress oturum açmalarınızın asıl bağlantısını tamamen değiştiremez ve oturum açma URL'sini özelleştirmek aslında birçok soruna neden olabilir, çünkü birçok tema, eklenti ve uygulama wp-login.php'yi kendilerine sabit kodlar. temel kod.

Bu eklentiler, temalar vb. bağlantıyı bulamazsa bunun yerine bir hata bulurlar. Daha güvenilir bir çözüm, iki faktörlü kimlik doğrulama kullanmak ve güvenliği ihlal edilmiş parolaları reddetmek olacaktır.

2. Ekstra koruma için WordPress sürüm numaranızı ve tema adınızı gizleyin

Bu taktiğin arkasındaki fikir, bilgisayar korsanlarının bu bilgilere sahip olması durumunda sitenize erişmek için kullanabilmeleridir.

WordPress sürüm bilgilerinizi veya tema adınızı gizlemek, web sitenizde çalışan kodda bilinen güvenlik açıklarını arayan birçok bot olduğundan sizi güvenlik ihlallerinden korumaz .

Bu bilgileri gizlemek yerine, en son güvenlik yamalarının kurulu olduğundan emin olmak için WordPress kurulumunuzun her zaman güncel olduğundan emin olun .

3. wp-içerik dizininizi yeniden adlandırın ve güvendesiniz

Eklentileriniz, temalarınız ve medya yüklemeleri klasörünüzün tamamı sitenizdeki wp-içerik dizininde bulunur. Kullanılacak bir ton kod ve bilgi var, bu yüzden elbette bu bilgiyi korumak ihtiyatlı.

Ancak, içerik dizini adını değiştirmek, sitenize ekstra koruma katmanı eklemeyecektir. Tarayıcı geliştirici araçlarını kullanarak , wp içeriğinizin adını değiştirseniz bile bulunabilir .

Yeniden adlandırmak , çalışmak için kullanmaları gereken sabit kodlanmış bir wp-içerik dizini yoluna sahip eklentilerle çakışmalara bile neden olabilir .

Wp-içerik dizininiz hakkında endişelenmenizin tek nedeni, istismar edilebilecek bir güvenlik açığı olan bir eklenti veya tema içermesidir. Bunu önlemenin en iyi yolu, güvenlik açıklarını önlemek için temalarınızı ve eklentilerinizi güncel tutmaktır.

4. Bilgisayar korsanlığı yalnızca büyük sitelerde olur

WordPress siteniz düşük trafikli küçük olsa bile, sitenizin güvenliğini sağlamak söz konusu olduğunda proaktif olmak çok önemlidir.

Hacker, bir sitenin ne kadar büyük veya meşgul olduğu ile ilgilenmez. Savunmasız herhangi bir site, kötü niyetli siteler, spam e-postalar ve hatta bitcoin madenciliği için bir merkez haline gelebilir . Anahtar, site boyutu veya trafik düzeylerinden ziyade güvenlik açığıdır.

Eklentileri, temaları ve WordPress'in kendisini her zaman güncel tutarak bunu azaltabilir ve WordPress için güvenilir bir güvenlik eklentisi yükleyebilirsiniz. Kaliteli barındırma ve iki faktörlü kimlik doğrulama da saldırganları uzak tutmanın önemli parçalarıdır.

5. WordPress güvenli bir platform değil

Bu iddiayı daha önce duymuş olabilirsiniz, ancak bu doğru değil. Bugün çevrimiçi olarak en iyi içerik yönetim sistemlerinden biri olan WordPress, sağlam ve güvenilir güvenlik önlemleri olmadan şu an bulunduğu yere gelemedi.

En büyük güvenlik açığı kullanıcılardan gelmekte ve site sahipleri tarafından alınacak önlemlerle önlenebilmektedir. Saldırıların bir numaralı nedeni, güncel olmayan yazılımlardır ve çoğu eklenti, kodlarındaki olası güvenlik açıklarını düzeltmek için düzenli olarak yamalanır.

Temalarınızı ve eklentilerinizi her zaman güncel tuttuğunuzdan emin olun. Bir site saldırıya uğradığında, bu bir WordPress kusuru değildir; bu, kullanıcının saldırıya açık hale gelmesine neden olan, bir kullanıcının uyanıklığını yitirmesidir .

6. Düzenli güncellemeler sitenizi her zaman güvende tutar

Eklentilerinizi ve temalarınızı düzenli olarak güncellemek sitenizin güvenliğini sağlamak için hayati öneme sahip olsa da, sitenizin olası istismarı için her derde deva değildir . WordPress'te birçok eklenti ve tema mevcuttur ve bunların çoğu iki veya daha fazla yıldır güncellenmemiştir.

Uygun, düzenli bakım almayan eklentiler, yükleme sürelerinizi yavaşlatan veya daha da kötüsü sitenizi bozan eski özellikler içerebilir.

Eklentilerinizin sizi olası istismarlara karşı güvende tutmak için aktif destek aldığından emin olun ve saldırı riskini en aza indirmek için artık destek almayan eski eklentileri kaldırın .

7. Yedeklemeler web sitenizi her zaman düzeltir

Yedeklemeler, güvenliği ihlal edilmiş web sitelerini düzeltmek için en yaygın çözümlerden biridir. Tam site yedeklemesi (en iyi ücretsiz WordPress yedekleme eklentilerini kontrol edin) sitenizi geri yüklemenize izin verirken, sitenizi tehlikeye atan güvenlik açıklarının aynısını size bırakır.

• İsim
• Ücretsiz sürüm
• Ücretli sürüm

  Ek yükseltmeler ve eklentiler ile
• Tam site yedekleme

  Tüm siteyi tüm dosyalarla yedeklemek mümkün mü?
• Veritabanı yedeklemeleri

  Sadece veritabanını yedeklemek mümkün mü
• Dropbox'a Yedeklemeler

  Yedek dosyaları Dropbox'a kaydetmek mümkün mü
• Amazon S3'e Yedeklemeler

  Yedekleme dosyalarını Amazon S3'e kaydetmek mümkün mü
• Google Drive'a Yedekler

  Yedekleme dosyalarını Google Drive'a kaydetmek mümkün mü?
• FTP'ye Yedeklemeler

  Yedekleme dosyalarını FTP'ye kaydetmek mümkün mü
• Rackspace'e Yedeklemeler

  Yedekleme dosyalarını Rackspace'e kaydetmek mümkün mü?
• Eposta bildirimi

  Yedekleme oluşturulduğunda e-posta bildirimi
• Yalnızca yedekleri değiştirir

  Sunucu kaynaklarını azaltmak ve yerden tasarruf etmek için yedeklemeye yalnızca yeni değişiklikler eklenir
• Zamanlanmış Yedeklemeler
• Gerçek zamanlı yedeklemeler

  Sitenizde her değişiklik yaptığınızda yedekleme dosyaları oluşturulur
• Siteyi taşı

  Siteyi kopyalayın veya yeni bir ana bilgisayara taşıyın
• Bireysel dosya geri yükleme

  Her şey yerine tek tek dosyaları/dosyaları yedekten geri yükleyin
• Arayüzden yedeklemeyi geri yükle
• Güvenlik ve Kötü Amaçlı Yazılım taraması

  Virüsler ve diğer enfeksiyonlar için arama seçenekleri
• Veritabanı onarımı ve optimizasyonu

  Wordpress veritabanını optimize etme seçenekleri
• Çoklu site desteği
• Ücretli sürüm için fiyat

  Tüm eklentiler ve özelliklerle (1-2 site için en ucuz plan)

• BackWPup

  Ayrıca ek eklentiler ve yükseltmeler içeren premium/ücretli sürümü vardır.
• Yalnızca ücretli sürümde
• 75$

  Standart plan için

KONTROL

• YedeklemeWordPress

  Ayrıca ek eklentiler ve yükseltmeler içeren premium/ücretli sürümü vardır.
• Yalnızca fiyatı yaklaşık 24 $ olan ücretli eklenti ile kullanılabilir
• Yalnızca fiyatı yaklaşık 24 $ olan ücretli eklenti ile kullanılabilir
• Yalnızca fiyatı yaklaşık 24 $ olan ücretli eklenti ile kullanılabilir
• Yalnızca fiyatı yaklaşık 24 $ olan ücretli eklenti ile kullanılabilir
• Yalnızca fiyatı yaklaşık 24 $ olan ücretli eklenti ile kullanılabilir
• 60$

  Kişisel plan için

KONTROL

• UpdraftPlus

  Ayrıca ek eklentiler ve yükseltmeler içeren premium/ücretli sürümü vardır.
• Yalnızca fiyatı yaklaşık 15 $ olan ücretli eklenti ile kullanılabilir
• ücretli eklenti

  Yalnızca fiyatı yaklaşık 30 $ olan ücretli eklenti ile kullanılabilir
• ücretli eklenti

  Sadece fiyatı 25$ civarında olan ücretli eklenti ile kullanılabilir
• 99$ (sınırsız sayıda site)

  Tüm eklentiler ve sınırsız sayıda site için geliştirici planı için

KONTROL

Peki, bunu nasıl düzeltirsiniz? Başarılı bir saldırıdan sonra sitenizi düzeltmek için yalnızca yedeklemelere güvenmeyin, çünkü son yedeklemenizden sonra meydana gelen işlemler gibi verileri ve kayıtları kaybedersiniz .

Bilgilerinizi kaydetmek için, başarılı bir bilgisayar korsanlığı girişiminin tuzağına düşmeden önce gerçek kod kusurlarına yamalar uygulama konusunda dikkatli olun.

8. WordPress tablo önekini değiştirmek güvenliğinizi artırır

Bu yaygın bir tavsiyedir. WordPress veritabanı tablolarınızın önekini değiştirmek, SQL enjeksiyon saldırılarını önleyecektir. Ancak, “wp_”yi farklı bir değere değiştirmek kadar basit değildir.

Bu yöntemin site güvenliğinizi artırmak için her şeyi yapacağına dair henüz bir kanıt yok. Ve mükemmel bir şekilde yürütülmezse tüm sitenizi riske atabilir .

Bunun gibi önlemler “güvenlik tiyatrosu” olarak kabul edilir, çünkü aslında çok az başarı elde ederken güvenliğinizi artırmak için çok çaba harcadığınızı hissettirirler. Sitenizi SQL enjeksiyon saldırılarına karşı korumak için üç yönlü bir güvenlik yaklaşımı gerekir.

Eklentilerinizi, temalarınızı ve çekirdeğinizi sürekli olarak yamalamanın ve güncellemenin yanı sıra etkili bir Web Uygulaması Güvenlik Duvarına ihtiyacınız olacak. Ve elbette, sitenizi şüpheli oturum açma girişimleri veya kötü amaçlı yazılımlara karşı izlediğinizden emin olun.

9. Sitemin bir SSL sertifikası var, bu yüzden tamamen güvenli

SSL sertifikaları hakkında akılda tutulması gereken bir şey, sağladıkları güvenliğin tamamen işlemsel olmasıdır. Yalnızca siteniz ve ziyaretçileriniz arasında iletilen bilgileri (kredi kartı bilgileri ve kişisel veriler gibi) korur (WordPress sitesine nasıl ücretsiz SSL sertifikası ekleyeceğinizi görün).

Ancak SSL sertifikaları , sitenin kendisinde bulunan dosya ve verileri korumaz . Sitenizin verilerini kapsamak için bir Web Uygulaması Güvenlik Duvarına sahip olmak ve eklentilerinizin, temalarınızın ve çekirdek dosyalarınızın güncel olduğundan emin olmak çok önemlidir.

10. Web sitem güvenli; CDN veya bulut güvenlik duvarı kullanıyorum

İçerik dağıtım ağları veya CDN'ler ve Cloudflare, Incapsula veya Sucuri gibi bulut güvenlik duvarı hizmetleri, trafiği sunucularına yeniden yönlendirerek ve trafiği güvenlik duvarı kurallarına göre filtreleyerek sitelerinizin güvenliğini sağlar. Trafiğiniz güvenlik duvarı kurallarına uygunsa sitenize gider.

Bunun sitenizin gerçek sunucu konumunu ifşa etmekten kaçınmanın mükemmel bir yolu olduğunu düşünebilirsiniz, ancak sitenizin kaynak IP adresi yine de sizi ele verebilir .

• İçerik dağıtım ağı
• En büyük hacimsel saldırılara karşı koruma
• Tam uygulama katmanı görünürlüğü
• DNS sunucularına yönelik saldırıların azaltılması
• Web dışı altyapı hizmetlerinin korunması

  (FTP, SMTP, VOIP, vb.)
• Uygulama Katmanı saldırılarının algılanması ve azaltılması
• Güvenlik kurallarının anında özelleştirilmesi ve yayılması
• Gerçek zamanlı görünürlük ve kontrol
• Kaynak IP adreslerinin DDoS saldırılarına karşı korunması
• Ağ altyapısı için harici DDoS saldırı izleme
• Sıkıştırma ve küçültme
• İçerik ve ağ optimizasyonu
• Hem statik hem de dinamik olarak oluşturulmuş içeriğin önbelleğe alınması
• Önbelleğe alınmış kaynakları doğrudan fiziksel bellekten sunma
• Gerçek zamanlı önbellek güncellemeleri için SSD'lerde ikincil düzey önbelleğe alma
• PCI uyumlu Web Uygulaması Güvenlik Duvarı (WAF)
• Giriş kontrolu
• IP itibar tabanlı izleme sistemi
• Güvenlik kurallarının Self Servis Özelleştirilmesi
• 60 saniyelik güvenlik kuralı yayılımı
• Kötü amaçlı yazılım bulaşmasına karşı koruma sağlamak için arka kapı koruması
• API Entegrasyonu
• Çalınan şifreleri önlemek için iki faktörlü kimlik doğrulama
• Küresel sunucu yük dengeleme
• Uygulama katmanı Yerel sunucu yük dengeleme
• Uygulama katmanı site yük devretme
• Gerçek zamanlı uygulama katmanı sağlığı izleme
• Uygulama teslim kuralları

  (ör. çerezlere, başlığa vb. dayalı yönlendirmeler)
• Bilet Sistemi
• Telefon desteği
• HTTP/2 Desteği

  HTTP/2, web sitesi yükleme hızlarında ve yanıt verme hızında önemli iyileştirmeler sunan HTTP protokolünün en son evrimidir.
• Veri merkezleri
• Menşei-Çekme
• Push (CDN sunucularına yükleyin)
• Tümünü temizle/temizle
• gzip
• Tüm orijin sunucu başlıklarını onurlandırır
• Origin sunucu başlıklarını geçersiz kılabilir
• Gönderilen dosyalar için önbelleğe alma başlıklarını ayarlayın
• Özel CNAME'ler
• HTTPS
• Bağlantı Koruması
• Canlı sohbet
• Ücretsiz yedeklemeler
• WordPress ile entegrasyon
• Fiyat

• kapsül
• Her zaman
• 30
• Orijinden yeniden gönder veya kenarda sıkıştır
• Paylaşılan sertifika, ücretsiz plan hariç tümünde ücretsizdir.
• Paylaşılan sertifika, ücretsiz plan hariç tümünde ücretsizdir.
• WordPress'ten bağımsız olarak entegre olur. DNS ayarlarını değiştirmeniz gerekiyor. Tüm talimatları e-postada ve Incapsula panosunda alacaksınız.
• Ücretsiz ve ücretli planlar

  Ücretsiz bir plan, bot koruması, erişim denetimi, oturum açma koruması, CDN ve Optimize Edici, web sitesi analitiği ve topluluk desteğini içerir. Ücretli bir PRO planı aylık 59 dolardan başlar ve ücretsiz planla aynı özelliklerin yanı sıra SSL desteği, gelişmiş performans ve e-posta desteği içerir.

kapsül

• Bulut Parlaması
• Manuel
• 86
• WordPress'ten bağımsız olarak entegre olur. CloudFlare'e üye olmanız ve ardından alan adınıza yeni DNS sunucuları atamanız yeterlidir. CloudFlare oradan alır.
• Ücretsiz ve ücretli planlar

  Küçük web siteleri ve bloglar için uygun ücretsiz bir temel plan ve 20 - 200 $ arasında değişen ücretli paketler sunarlar.

CloudFlare CDN'si

• Akamai
• 100.000'den fazla
• Orijinden yeniden gönder veya kenarda sıkıştır
• Akamai ürünleri için fiyat almak için onlarla iletişime geçmeniz gerekir.

Akamai

• MaxCDN
• MaxCDN yakında DDOS ve WAF sunmaya başlayacak
• MaxCDN yakında DDOS ve WAF sunmaya başlayacak
• MaxCDN yakında DDOS ve WAF sunmaya başlayacak
• MaxCDN yakında DDOS ve WAF sunmaya başlayacak
• MaxCDN yakında DDOS ve WAF sunmaya başlayacak
• MaxCDN yakında DDOS ve WAF sunmaya başlayacak
• MaxCDN yakında DDOS ve WAF sunmaya başlayacak
• 75
• CDN, gzipleme işlemini gerçekleştirir
• Çekme bölgenizi kurduktan sonra, MaxCDN'yi önbellek eklentisi aracılığıyla entegre edebilirsiniz. Örneğin W3 Total Cache, Super Cache veya WP Rocket.
• 9$/ay'dan 299$/ay'a kadar

  Gigabayt başına özel fiyatlandırma da vardır

MaxCDN

• AnahtarCDN
• 25
• Yalnızca kaynak sunucu Gzip yaparsa
• Ayarladıktan sonra önbellek eklentisi aracılığıyla entegre edebilirsiniz. Örneğin W3 Total Cache, Super Cache veya WP Rocket.
• Kullandıkça Öde

  Herhangi bir paket satın almanıza gerek yoktur. Fiyat 0,04 USD / GB'den başlar

AnahtarCDN

Bu, bulut güvenlik duvarı sağlayıcılarında yaygın bir sorundur ve basit çözüm, sitenize uç nokta güvenlik önlemleri uygulamaktır. Verilerinizi başlangıç ​​noktasında korursanız, bu, bilgisayar korsanlarına ve diğer saldırı biçimlerine karşı en iyi doğrudan savunmadır.

11. IP engelleme, bilgisayar korsanlarını uzak tutar

Şüpheli girişleri kaydetmek ve IP adreslerini izlemek için çevrimiçi olarak yararlı hizmetler vardır ve hatta bu IP'leri tamamen engelleyebilir.

IP engellemenin bilgisayar korsanlarının sitenize erişmesini önlemenin etkili bir yöntemi olduğunu düşünebilirsiniz, ancak bilgisayar korsanları sürekli olarak IP'leri değiştirir ve amaçlarına ulaşmak için çoğu zaman birden fazla IP'den çalışır.

Bir IP adresini engellediğinizde, sıraya koydukları bir sonrakine kolayca geçebilirler . Daha da kötüsü, IP'leri düzgün bir şekilde engellememek sitenizi çökertebilir ve bu da düzeltilmesi zaman alabilir.

12. Tek ihtiyacınız olan güvenli bir kullanıcı adı ve şifre

Benzersiz bir yönetici kullanıcı adı ve güçlü, karmaşık bir parola sitenizde uygun güvenlik için hayati önem taşırken, potansiyel bilgisayar korsanlarını engellemek için kusursuz bir yöntem değildir .

Siteleri ihlal etmek için kullanılan yaygın bir taktik, standart "yönetici" kullanıcı adıyla binlerce ortak şifre arasında geçiş yapmak için botları kullanmaktır.

Adınızı admin olarak değiştirdiğinizden ve şifrenize büyük ve küçük harfler, sayılar, noktalama işaretleri ve kırılmayı zorlaştıracak diğer benzersiz semboller dahil olmak üzere birden çok karakter türü eklediğinizden emin olun.

Yine de, etkili bir kullanıcı adı/şifre kombinasyonunun her şeyden korumayacağını unutmayın. Bilgisayar korsanları, güncel olmayan temalar veya eklentilerdeki güvenlik açıkları, veri ihlalleri ve hatta kimlik avı düzenleri dahil olmak üzere sitenize saldırmak için başka yöntemlere sahiptir.

13. Kullanmadığınız eklentileri/temaları devre dışı bırakın

Bu, birçok site sahibinin yaptığı yaygın bir hatadır. Eski eklentileri kaldırmak yerine devre dışı bırakırlar. Ancak, güncellemelerin veya güvenlik düzeltmelerinin olmaması nedeniyle etkin olmayan eklentiler ve temalar bile istismar edilebilir .

Devre dışı bırakılan eklentileri ve temaları güncelleyebilseniz de, güvenlik risklerini en aza indirmek için ihtiyacınız olmayan şeyleri kaldırmak daha iyi bir seçenektir.

WordPress Güvenlik Mitleri Sonuç

WordPress sitelerinin saldırıya uğramasının birçok nedeni vardır. Bu WordPress güvenlik efsanelerini okuduktan sonra, sitenizdeki güvenliği optimize etmek biraz göz korkutucu gelebilir. Güvenlik önleminin etkili olup olmayacağını ve basitçe “güvenlik tiyatrosu”nun ne olduğunu söylemek her zaman kolay değildir .

WordPress sitenizi güvende tutmak, içerik hırsızlığını önlemenin yanı sıra çok önemlidir. Bir sitenin saldırılara karşı %100 savunmasız olmasını sağlamanın bir yolu olmasa da, site yönetiminize ve bakımınıza dahil edebileceğiniz, saldırı riskini en aza indirebilecek ve size iç rahatlığı sağlayabilecek birçok uygulama ve önlem vardır .

Güvende olmak için, web sitenizi korumak ve güvenlik katmanlarını uygulamak için etkinleştirebileceğiniz çok sayıda ayar ve seçenek sunan iThemes Security, WordFence, MalCare, Swift Security veya Hide My WP gibi WordPress güvenlik eklentisini yüklemek en iyisidir. Daha fazla bilgi için bkz. iThemes Security incelemesi, MalCare incelemesi, Wordfence vs iThemes Security, Swift Security vs Hide My WP.