WordPress Güvenlik Rehberi: Sitenizi Koruma Kılavuzu (2026)

WordPress Güvenlik Tehditleri

WordPress, dünya genelinde tüm web sitelerinin %43'ünden fazlasını güçlendirmektedir. Bu popülerlik onu siber saldırganların bir numaralı hedefi haline getirmektedir. 2025 verilerine göre her gün ortalama 90.000 WordPress sitesine saldırı girişimi yapılmaktadır.

Güvenlik önlemlerinizi almadan önce, hangi tehditlerle karşı karşıya olduğunuzu bilmeniz gerekir. İşte en yaygın WordPress güvenlik tehditleri:

WordPress Güvenlik Kontrol Listesi

Aşağıdaki kontrol listesi, WordPress sitenizi korumak için atmanız gereken temel adımları içermektedir. Bu listeyi düzenli olarak gözden geçirin:

1. WordPress çekirdeğini en son sürüme güncelleyin.

2. Tüm eklentileri ve temaları güncelleyin.

3. Kullanılmayan eklenti ve temaları silin (devre dışı bırakmak yetmez!).

4. Güçlü ve benzersiz şifreler kullanın (minimum 16 karakter).

5. İki faktörlü doğrulama (2FA) aktifleştirin.

6. wp-admin giriş URL'sini değiştirin.

7. Giriş denemelerini sınırlandırın (Limit Login Attempts).

8. SSL sertifikası kurun ve HTTPS'i zorunlu kılın.

9. Güvenlik eklentisi kurun (Wordfence veya Sucuri).

10. Web Application Firewall (WAF) yapılandırın.

11. Düzenli otomatik yedekleme ayarlayın.

12. Dosya izinlerini kontrol edin (wp-config.php: 400).

13. Veritabanı tablo ön ekini değiştirin (wp_ yerine özel).

14. XML-RPC'yi devre dışı bırakın (kullanmıyorsanız).

15. wp-config.php dosyasına güvenlik ayarları ekleyin.

16. PHP dosya düzenlemeyi devre dışı bırakın (DISALLOW_FILE_EDIT).

17. Düzenli güvenlik taraması yapın.

Güçlü Şifre ve Kullanıcı Yönetimi

WordPress güvenliğinin ilk hattı güçlü şifre politikasıdır. Brute force saldırılarının büyük çoğunluğu zayıf şifreler nedeniyle başarılı olur.

• Minimum 16 karakter: Büyük/küçük harf, rakam ve özel karakter içermeli.

• Her hesap için benzersiz şifre: Aynı şifreyi farklı hizmetlerde kullanmayın.

• Şifre yöneticisi kullanın: Bitwarden, 1Password veya KeePass gibi araçlarla şifrelerinizi yönetin.

• "admin" kullanıcı adını kullanmayın: Özel ve tahmin edilmesi zor bir kullanıcı adı belirleyin.

• Kullanıcı rollerini doğru atayın: Her kullanıcıya sadece ihtiyacı olan yetkiyi verin (en az yetki prensibi).

• Boşta kalan oturumları otomatik sonlandırın: Inactive Logout eklentisi ile hareketsiz oturumları kapatın.

İki Faktörlü Doğrulama (2FA)

İki faktörlü doğrulama, şifrenize ek olarak ikinci bir kimlik doğrulama katmanı ekler. Şifreniz çalınsa bile 2FA olmadan hesabınıza erişilemez.

WordPress'te 2FA kurmak için WP 2FA veya Google Authenticator eklentilerini kullanabilirsiniz. Kurulum birkaç dakika sürer ve güvenliğinizi katbekat artırır.

SSL Sertifikası

SSL Nedir?

SSL (Secure Sockets Layer), siteniz ile ziyaretçileriniz arasındaki veri iletişimini şifreleyen bir güvenlik protokolüdür. SSL aktif olduğunda siteniz HTTPS üzerinden çalışır ve tarayıcıda kilit simgesi görünür.

SSL Neden Önemli?

• Veri güvenliği: Kullanıcı bilgileri, şifreler ve ödeme verileri şifrelenir.

• Google sıralama faktörü: HTTPS, Google'ın resmi sıralama faktörlerinden biridir.

• Kullanıcı güveni: Tarayıcılardaki "Güvenli Değil" uyarısı ziyaretçileri kaçırır.

• KVKK uyumu: Kişisel veri işleyen siteler için SSL zorunludur.

SSL Nasıl Kurulur?

Çoğu hosting firması ücretsiz Let's Encrypt SSL sertifikası sunmaktadır. cPanel üzerinden tek tıkla aktifleştirilebilir. Kurulumdan sonra WordPress ayarlarından site URL'sini HTTPS olarak güncellemeyi unutmayın.

WordPress Güvenlik Eklentileri

Doğru güvenlik eklentisi seçimi, sitenizin korunmasında kritik öneme sahiptir. İşte en popüler WordPress güvenlik eklentilerinin karşılaştırması:

Güvenlik Duvarı (WAF) Ayarları

Web Application Firewall (WAF), sitenize gelen kötü niyetli trafiği sunucunuza ulaşmadan önce filtreler. İki tür WAF bulunmaktadır:

• Uygulama Seviyesi WAF: Sunucunuzda çalışır (Wordfence gibi). Tüm trafiği analiz eder, ancak sunucu kaynaklarını kullanır.

• DNS/Bulut Tabanlı WAF: Sucuri veya Cloudflare gibi hizmetler. Trafik sunucunuza ulaşmadan filtrelenir, DDoS koruması dahildir.

En etkili koruma için her iki katmanı birlikte kullanmanızı öneririz: Cloudflare DNS seviyesinde filtreleme + Wordfence uygulama seviyesinde koruma.

Dosya İzinleri ve wp-config.php Güvenliği

Doğru dosya izinleri, yetkisiz erişimi önlemenin en temel yollarından biridir. WordPress dosyaları için önerilen izinler:

# Dizinler için 755
find /path/to/wordpress/ -type d -exec chmod 755 {} \;

# Dosyalar için 644
find /path/to/wordpress/ -type f -exec chmod 644 {} \;

# wp-config.php için daha kısıtlayıcı
chmod 400 wp-config.php

wp-config.php dosyasına eklemeniz gereken kritik güvenlik ayarları:

// Dosya düzenlemeyi devre dışı bırak
define('DISALLOW_FILE_EDIT', true);

// Otomatik güncellemeyi etkinleştir
define('WP_AUTO_UPDATE_CORE', true);

// Hata raporlamayı kapat (production)
define('WP_DEBUG', false);
define('WP_DEBUG_DISPLAY', false);

// SSL zorunlu kıl (admin paneli)
define('FORCE_SSL_ADMIN', true);

// Veritabanı tablo ön ekini değiştir
$table_prefix = 'wpd_';

// Güvenlik anahtarlarını güncelleyin
// https://api.wordpress.org/secret-key/1.1/salt/

Otomatik Yedekleme

Yedekleme, güvenlik zincirinin en kritik halkasıdır. Saldırı, sunucu arızası veya insan hatası durumunda sitenizi yedekten geri yükleyebilirsiniz.

• 3-2-1 kuralını uygulayın: 3 kopya, 2 farklı ortam, 1 tanesi uzak konumda.

• Günlük otomatik yedek alın: UpdraftPlus, BlogVault veya BackupBuddy kullanın.

• Yedekleri test edin: Düzenli olarak geri yükleme testi yapın — çalışmayan yedek, yedek değildir.

• Yedekleri farklı konumda saklayın: Google Drive, Amazon S3 veya Dropbox gibi uzak depolamaya yedekleyin.

Malware Temizleme — Sitem Hacklendi Ne Yapmalıyım?

Siteniz hacklendiğini fark ettiyseniz panik yapmayın. Adım adım şu işlemleri uygulayın:

1. Siteyi bakım moduna alın — ziyaretçilerin zararlı içeriğe maruz kalmasını engelleyin.

2. Hosting firmanızı bilgilendirin — sunucu düzeyinde destek alabilirsiniz.

3. Tüm şifreleri değiştirin — WordPress admin, FTP, hosting, veritabanı.

4. Güvenlik taraması yapın — Wordfence veya Sucuri ile kapsamlı tarama.

5. Zararlı dosyaları tespit edin ve temizleyin.

6. WordPress çekirdeğini yeniden kurun (temiz dosyalar ile üzerine yazma).

7. Tüm eklenti ve temaları güncelleyin veya temiz sürümle değiştirin.

8. Veritabanını kontrol edin — zararlı SQL enjeksiyonlarını temizleyin.

9. Temiz yedekten geri yükleme yapın (eğer temiz yedek varsa).

10. Güvenlik önlemlerini güçlendirin ve izleme başlatın.

WordPress Güvenlik Taraması

Düzenli güvenlik taraması, tehditleri erken aşamada tespit etmenin en etkili yoludur. Hem otomatik araçlar hem de manuel kontroller birlikte kullanılmalıdır.

• Otomatik tarama: Wordfence veya Sucuri SiteCheck ile haftalık otomatik tarama ayarlayın.

• Dosya bütünlüğü kontrolü: WordPress çekirdek dosyalarının orijinal sürümlerle eşleşip eşleşmediğini kontrol edin.

• Kara liste kontrolü: Google Safe Browsing, Norton ve McAfee kara listelerini kontrol edin.

• Uptime izleme: UptimeRobot ile sitenizin erişilebilirliğini 7/24 izleyin.

Sıkça Sorulan Sorular

WordPress güvenli mi?

WordPress çekirdeği güvenlidir ve düzenli olarak güvenlik yamaları yayınlanır. Güvenlik sorunlarının büyük çoğunluğu güncel olmayan eklentiler, zayıf şifreler ve yanlış yapılandırmalardan kaynaklanır.

En iyi WordPress güvenlik eklentisi hangisi?

Tek site için Wordfence, çoklu site yönetimi için Sucuri öneriyoruz. Her ikisi de güçlü güvenlik duvarı, malware tarama ve brute force koruması sunar.

WordPress sitemi hacklediler, ne yapmalıyım?

Öncelikle siteyi bakım moduna alın, tüm şifreleri değiştirin ve güvenlik taraması yapın. Temiz yedekten geri yükleme en hızlı çözümdür. Deneyimsizseniz profesyonel yardım almanızı öneririz.

SSL sertifikası ücretsiz mi?

Evet, Let's Encrypt ile ücretsiz SSL sertifikası alabilirsiniz. Çoğu hosting firması bunu tek tıkla kurmanıza olanak tanır. Premium SSL sertifikaları ise yıllık 500-5.000 TL arasında değişir.

WordPress güvenlik güncellemelerini otomatik yapabilir miyim?

Evet, WordPress çekirdek güncellemeleri varsayılan olarak otomatik yapılır. Eklenti ve tema güncellemeleri için wp-config.php'ye uygun sabitleri ekleyebilir veya Easy Updates Manager eklentisini kullanabilirsiniz.