Web Sitesi Güvenliği Nasıl Sağlanır? KOBİ Kontrol Listesi

Bir KOBİ sitesini korumak pahalı ürünlerden çok düzenli alışkanlıklara dayanır: tüm sayfaları HTTPS ile sunmak, yazılımı ve eklentileri güncel tutmak, site dışında saklanan ve geri yüklemesi denenmiş yedekler almak, yönetici hesaplarında benzersiz parola ve iki adımlı doğrulama kullanmak, güvenlik başlıklarını tanımlamak ve formları kötüye kullanıma karşı korumak. Kişisel veri topluyorsanız KVKK yükümlülükleri de bu listenin parçasıdır.

Küçük işletmelerin sitesi neden hedef olur?

Pek çok saldırı belirli bir firmayı seçmez; otomatik araçlar internetteki siteleri bilinen açıklar için tarar. Güncellenmemiş bir eklenti, tahmin edilebilir bir yönetici parolası ya da korumasız bir form, sitenin büyüklüğünden bağımsız olarak kapı aralar. Sonuç; sitenize eklenen spam sayfaları, ziyaretçileri başka adrese yönlendiren kodlar, çalınan form verileri ya da tarayıcının gösterdiği bir güvenlik uyarısı olabilir.

En sık karşılaşılan tehditler

• SQL enjeksiyonu: Form veya adres çubuğu üzerinden veritabanına yetkisiz sorgu göndermek.
• XSS (siteler arası betik çalıştırma): Sayfaya zararlı betik yerleştirip ziyaretçinin tarayıcısında çalıştırmak.
• Kaba kuvvet saldırıları: Yönetici paneline otomatik parola denemeleri yapmak.
• Zararlı yazılım: Açık bir eklentiden sızıp siteye gizli kod eklemek.
• DDoS: Siteyi yoğun sahte trafikle erişilemez hale getirmek.
• Oltalama (phishing): Alan adınızı taklit eden sahte sayfa veya e-postalarla müşterilerinizi kandırmak.

Güvenlik kontrol listesinde neler olmalı?

HTTPS ve HSTS nasıl kurulur?

HTTPS, ziyaretçi ile sunucu arasındaki trafiği şifreler. Chrome gibi tarayıcılar HTTPS olmayan sayfaları "Güvenli değil" diye işaretler; Google da HTTPS'i hafif bir sıralama sinyali olarak kullanır. Ücretsiz sertifikalar da ücretli olanlar kadar güçlü şifreleme sağlar; asıl önemli olan sertifikanın otomatik yenilenmesidir, çünkü süresi dolan bir sertifika siteyi bir gecede erişilmez gösterir.

HSTS (Strict-Transport-Security başlığı), tarayıcıya sitenize yalnızca HTTPS ile bağlanmasını söyler; böylece sonraki ziyaretlerde şifresiz ilk istek ve ona dayanan araya girme saldırıları ortadan kalkar. Önce kısa bir max-age değeriyle başlayın, tüm alt alan adlarınızın HTTPS desteklediğinden emin olduktan sonra süreyi uzatın. Tarayıcıların ön yükleme (preload) listesine girmek, geri alması zahmetli bir karardır; acele etmeyin.

Güncelleme ve yedekleme nasıl planlanır?

Güncellemeler

Yayımlanan her güvenlik yaması, kapattığı açığı saldırganlara da duyurur; güncellemeyi geciktirmek bu yüzden risklidir. İçerik yönetim sistemi, eklentiler, tema, sunucudaki PHP sürümü ve kütüphaneler güvenlik desteği süren sürümlerde olmalıdır. Kullanmadığınız eklenti ve temaları devre dışı bırakmakla yetinmeyin, kaldırın. Eklenti sayısı arttıkça saldırı yüzeyi de büyür; bu konuyu WordPress mi özel yazılım mı? yazımızda ayrıca karşılaştırdık.

Yedekleme

Yedeğin değeri, geri yüklenebildiği kadardır. Yaygın 3-2-1 kuralını uygulayın: verinin üç kopyası, iki farklı ortamda, biri sunucudan ve barındırma firmasından bağımsız bir yerde. Hem dosyaları hem veritabanını yedekleyin, yedekleri şifreleyin ve belirli aralıklarla bir test ortamına geri yükleyerek deneyin. Fidye yazılımına karşı en güvenilir sigorta, saldırganın ulaşamayacağı bir yedektir.

Yönetici hesaplarını nasıl korursunuz?

Yönetim paneli, barındırma paneli, alan adı hesabı ve kurumsal e-posta aynı zincirin halkalarıdır; birinin ele geçirilmesi diğerlerini de açabilir. Her biri için uzun ve benzersiz parolalar kullanın, bunları bir parola yöneticisinde saklayın. Parolaları belirli aralıklarla zorla değiştirmek yerine sızıntı şüphesi olduğunda değiştirin; güncel güvenlik rehberleri de uzunluğu ve benzersizliği öne çıkarıyor.

İki adımlı doğrulamayı (2FA) açabildiğiniz her yerde açın; SMS yerine doğrulama uygulaması veya donanım anahtarı daha dayanıklıdır. Ayrılan çalışanların ve eski hizmet sağlayıcıların erişimlerini kapatın, herkese yalnızca ihtiyacı kadar yetki verin ve giriş denemelerini sınırlayarak kaba kuvvet saldırılarını yavaşlatın.

Hangi güvenlik başlıklarını eklemelisiniz?

Güvenlik başlıkları, sunucunun her yanıtla tarayıcıya gönderdiği kısa talimatlardır; çoğu, sunucu ayarına tek satırla eklenir.

• Strict-Transport-Security: Bağlantıyı HTTPS'e kilitler.
• Content-Security-Policy (CSP): Sayfanın hangi kaynaklardan betik, stil ve çerçeve yükleyebileceğini sınırlar, XSS'in etkisini azaltır. frame-ancestors yönergesiyle sitenizin başka sitelerde çerçeve içinde açılmasını da engellersiniz.
• X-Content-Type-Options: nosniff: Tarayıcının dosya türünü tahmin etmesini engeller.
• Referrer-Policy: Başka sitelere geçerken adres bilgisinin ne kadarının paylaşılacağını belirler.
• Permissions-Policy: Kamera, mikrofon ve konum gibi tarayıcı özelliklerinin kullanımını kısıtlar.

Eski rehberlerde geçen X-XSS-Protection başlığı artık önerilmiyor; güncel tarayıcılar bu korumayı kaldırdı. CSP'yi önce Content-Security-Policy-Report-Only kipinde deneyin, siteyi bozmadığından emin olunca etkinleştirin. Trafiğiniz yoğunsa veya DDoS riski taşıyorsanız sunucunun önüne konan bir web uygulama güvenlik duvarı (WAF) ve DDoS koruması sunan bir içerik dağıtım ağı ek bir katman sağlar.

Formları spam ve saldırılara karşı nasıl korursunuz?

• Tüm girdileri sunucu tarafında doğrulayın; tarayıcıdaki kontroller kolayca atlanır.
• Veritabanı sorgularında parametreli sorgu kullanın, ekrana yazdırılan kullanıcı verisini kodlayarak (escape) basın.
• Formlara CSRF belirteci ekleyin.
• Görünmez tuzak alanı (honeypot) ve IP başına istek sınırı ekleyin; gerekirse kullanıcıyı yormayan bir doğrulama (CAPTCHA) servisi kullanın.
• Dosya yüklemeye izin veriyorsanız türü ve boyutu sınırlayın, yüklenen dosyaları çalıştırılamayan bir klasörde saklayın.

Bu kontrollerin dayandığı yaygın açık türleri, web güvenliğinde referans kabul edilen OWASP Top 10 listesinde özetleniyor. Portföyümüzdeki Uğur Özkol Sigorta gibi online teklif ve başvuru formu içeren sitelerde bu önlemler daha da kritiktir, çünkü form doğrudan kişisel veri taşır.

KVKK açısından nelere dikkat etmelisiniz?

İletişim, teklif veya bülten formuyla ad, telefon ya da e-posta topluyorsanız 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındasınız. Formun yanında verinin hangi amaçla işlendiğini anlatan bir aydınlatma metni bulunmalı; pazarlama iletisi gibi zorunlu olmayan işlemler için ayrı açık rıza alınmalıdır. Zorunlu olmayan çerezlerde de Kurum'un çerez rehberi, onayın önceden işaretlenmiş kutularla değil, kullanıcının aktif seçimiyle alınmasını bekler.

Kanun, veri sorumlusundan verilerin güvenliği için uygun teknik ve idari tedbirleri almasını ister; bu yazıdaki önlemler o tedbirlerin parçasıdır. Bir veri ihlali yaşanırsa ilgililere ve Kurul'a bildirim yükümlülüğü doğar. Ayrıntılar ve güncel düzenlemeler için Kişisel Verileri Koruma Kurumu sitesini esas alın; işletmenize özel değerlendirme için bir hukukçuya danışın.

Güvenliği adım adım nasıl kurarsınız?

1. Tüm hesapların listesini çıkarın, parolaları yenileyin ve 2FA'yı açın.
2. HTTPS'i, yönlendirmeleri ve sertifika yenilemesini kontrol edin.
3. Yazılımı, eklentileri ve sunucu sürümlerini güncelleyin; kullanılmayanları kaldırın.
4. Otomatik ve site dışı yedeklemeyi kurun, bir geri yüklemeyi deneyin.
5. Güvenlik başlıklarını ekleyin, CSP'yi rapor kipinde başlatın.
6. Formlara sunucu tarafı doğrulama, spam koruması ve istek sınırı ekleyin.
7. Aydınlatma metnini, çerez tercihlerini ve gizlilik politikasını gözden geçirin.
8. Bu listeyi takvime bağlayıp düzenli aralıklarla tekrarlayın.

Bu rutini kendiniz yürütmek yerine bir ekibe bırakmak isterseniz bakım ve destek paketlerimiz güvenlik güncellemelerini, yedeklemeyi ve teknik desteği kapsıyor. Paketler aylık 4.999 ₺'den başlıyor (KDV hariç, en az 3 ay); güncel fiyatlar ve kapsam için hizmet sayfasına bakabilirsiniz.

Sık Sorulan Sorular

Ücretsiz SSL sertifikası yeterli mi?

Şifreleme açısından evet. Ücretsiz ve ücretli sertifikalar aynı güçte şifreleme sağlar; aralarındaki fark kimlik doğrulama düzeyi ve verilen destek gibi konulardadır.

Sitem saldırıya uğradıysa ilk ne yapmalıyım?

Tüm yönetici, barındırma ve e-posta parolalarını değiştirin, siteyi temiz bir yedekten geri yükleyin ve saldırganın girdiği açığı kapatmadan yeniden yayına almayın. Search Console'daki Güvenlik Sorunları raporunu da kontrol edin; Google siteyi işaretlediyse temizlikten sonra inceleme isteyebilirsiniz.

Güvenlik eklentisi kurmak yeterli mi?

Tek başına yeterli değil. Eklenti bazı saldırıları engeller, ama güncel olmayan yazılımı, zayıf parolayı ya da eksik yedeği telafi etmez; üstelik kendisi de güncel tutulması gereken bir yazılımdır.

Paylaşımlı barındırma güvensiz mi?

Kendiliğinden güvensiz değildir, ancak hesaplar arasındaki yalıtım ve sunucu güncellemeleri sağlayıcıya bağlıdır. Form ve ödeme gibi hassas işlemleri olan siteler için yalıtılmış bir sunucu ve düzenli bakım daha sağlam bir temel sunar.

KVKK'ya uymamanın yaptırımı var mı?

Evet, kanunda idari para cezaları öngörülüyor ve tutarlar her yıl güncelleniyor. Güncel tutarları ve yükümlülükleri Kurum'un duyurularından takip edin.

Sitenizin bu listeden hangi maddeleri karşıladığını birlikte gözden geçirelim. İletişim sayfamızdan bize ulaşın; güvenlik açısından öncelikli adımları ve gerekiyorsa yeni bir web sitesi tasarımı seçeneğini konuşalım.

Son güncelleme: Ekim 2026