HTTPS, güncelleme, yedekleme, yönetim paneli koruması ve daha fazlası: web sitenizi saldırılara karşı güçlendirecek 8 temel güvenlik önlemi.
Web siteleri, saldırganlar için en kolay hedeflerden biridir: internete açıktır, genellikle bir yönetim paneli vardır ve çoğu kurumda güvenliği kimsenin sorumluluğunda değildir. Oysa kurumsal bir site hacklendiğinde yalnızca itibar kaybı değil, müşteri verisi, e-posta itibarı ve arama motoru sıralaması da zarar görür. Ağ ve bilgi güvenliği projelerinden öğrendiğimiz sekiz temel önlemi derledik.
1. Her yerde HTTPS kullanın
Tüm sayfaların güvenli bağlantı üzerinden sunulması, iletişim formundan yönetim paneline giden verilerin dinlenmesini engeller. HTTP adreslerini kalıcı olarak HTTPS’e yönlendirin ve HSTS başlığıyla tarayıcıların yalnızca güvenli bağlantı kullanmasını sağlayın. Sertifikanın yenilenmesini otomatikleştirin; süresi dolan bir sertifika ziyaretçiye güven uyarısı gösterir.
2. Yazılımı ve eklentileri güncel tutun
Başarılı saldırıların büyük bölümü, yıllar önce yayınlanmış ve düzeltilmiş açıklardan gelir. İçerik yönetim sistemini, eklentileri ve sunucu yazılımlarını düzenli güncelleyin; kullanmadığınız eklenti ve temaları kaldırın. Her ek bileşen, saldırı yüzeyini büyütür. Bu konuya hazır tema ve eklenti kullanımının riskleri açısından bakmak isterseniz hazır tema mı, özel tasarım mı karşılaştırması faydalı olabilir.
3. Yönetim panelini koruyun
Yönetici hesapları için güçlü ve benzersiz parola, mümkünse ikinci doğrulama kullanın. Yönetim paneli adresini herkese açık bırakmak yerine denemeleri sınırlayın, art arda hatalı girişleri engelleyin ve kullanılmayan yönetim adreslerini tamamen kapatın.
4. Düzenli ve test edilmiş yedek alın
Yedek, fidye yazılımına ya da hatalı bir güncellemeye karşı son çaredir. Kodu, veritabanını ve yüklenen dosyaları ayrı ayrı yedekleyin, yedeklerden en az birini sunucunun dışında saklayın ve geri yüklemeyi gerçekten deneyin. Bulut yedekleme çözümlerimizle bu süreci otomatik hâle getirebilirsiniz.
5. Gereksiz dosya ve bilgilere erişimi kapatın
Yapılandırma dosyaları, sürüm kontrol klasörleri, yedek ve günlük dosyaları dışarıdan erişilebilir olmamalıdır. Hata sayfalarında teknik ayrıntı göstermeyin; canlı ortamda hata ayıklama modunu kapalı tutun.
6. Formları ve dosya yüklemeyi sınırlayın
İletişim formlarına gelen otomatik spam, hem posta kutunuzu hem sunucuyu yorar. Gizli alan, süre kontrolü ve istek sınırlama gibi görünmez önlemler, ziyaretçiyi yormadan botları ayıklar. Dosya yükleme gerekiyorsa türü ve boyutu kısıtlayın, yüklenen dosyaları çalıştırılabilir bir klasörde tutmayın.
7. Tarayıcı güvenlik başlıklarını etkinleştirin
İçerik güvenlik politikası, çerçeveleme koruması ve tür koklama engeli gibi başlıklar, yaygın saldırı türlerini tarayıcı düzeyinde zorlaştırır. Bu başlıklar sunucu ya da uygulama tarafında bir kez doğru yapılandırıldığında tüm sayfalarda geçerli olur; yapılandırma sonrası mutlaka bir tarayıcı güvenlik testiyle doğrulayın.
8. İzleyin ve olay planı hazırlayın
Siteye ulaşılabilirliği, sertifika süresini ve anormal giriş denemelerini izleyin. Bir olay yaşandığında kimin ne yapacağını önceden belirleyin: erişimi kesme, kanıtı saklama, parolaları yenileme ve gerekirse temiz bir yedeğe dönme. Kişisel veri sızıntısı durumunda KVKK bildirim yükümlülüklerini de bilmeniz gerekir.
Güvenlik bir kez yapılan iş değil
Bu önlemlerin çoğu, site kurulurken doğru mimari seçildiğinde kolayca uygulanır; sonradan eklemek ise hem pahalı hem de eksik kalır. Yeni bir kurumsal site planlıyorsanız, güvenlik, hız ve mobil uyum gereksinimlerini baştan konuşabileceğiniz bir web tasarım firmasını seçerken dikkat edilecek noktaları gözden geçirmenizi öneririz. Sunucu, ağ ve bilgi güvenliği altyapınız için ise bizimle iletişime geçebilirsiniz.