Web Sitesi Güvenliği İçin Alınması Gereken Temel Önlemler

Web sitesi güvenliği; tek bir ürün veya ayarla tamamlanan bir iş değildir. Sertifika, erişim kontrolü, yedekleme, güncelleme ve izleme katmanlarının birlikte çalışmasını gerektirir. Bu yazı temel önlemleri açıklar; “tam koruma” veya saldırıların tamamen engelleneceği yönünde bir iddia taşımaz.

Siber güvenlik kategorisindeki hizmetler, riski azaltmaya yardımcı olacak teknik kontrolleri yapılandırmaya odaklanır. Öncelik sırası; varlık envanteri, kritik veriler ve mevcut açıklıkların görünürlüğüne göre belirlenmelidir.

SSL/TLS ve HTTPS

HTTPS, tarayıcı ile sunucu arasındaki trafiği şifreler ve kimlik doğrulama sinyali sağlar. Sertifikanın doğru kurulması, karışık içerik (mixed content) sorunlarının giderilmesi ve HSTS gibi ek başlıklar temel hijyendir. SSL ve HTTPS yapılandırması bu adımları kapsar.

WAF ve ağ katmanı kontrolleri

Web Application Firewall, bilinen saldırı kalıplarına karşı ek bir filtre katmanı sunabilir. Yanlış yapılandırma meşru trafiği de engelleyebilir; bu nedenle kural setleri izlenerek olgunlaştırılmalıdır. WAF ve firewall kurulumu tek başına yeterli güvenlik değildir; uygulama güvenliğiyle birlikte düşünülmelidir.

Kullanıcı yetkileri ve erişim

Yönetim panellerinde herkese yönetici vermek yaygın bir risktir. En az yetki ilkesi, güçlü kimlik doğrulama ve oturum süreleri temel önlemlerdir. Eski kullanıcı hesaplarının kapatılması, personel değişiminde unutulmamalıdır.

• Rol bazlı yetkilendirme
• Düzenli erişim gözden geçirme
• Hassas işlemler için ek doğrulama
• Başarısız giriş denemelerinin izlenmesi

Güncellemeler ve bağımlılıklar

CMS, eklenti, framework ve sunucu paketleri güncellenmedikçe bilinen açıklıklar açık kalır. Güncelleme penceresi ve test ortamı olmadan üretimde acele yama yapmak da risklidir. Düzenli bağımlılık taraması, bakım planının parçası olmalıdır.

Yedekleme ve geri dönüş

Yedek yoksa güvenlik olayı aynı zamanda süreklilik krizine dönüşür. Yedeklerin şifreli saklanması, düzenli geri yükleme testi ve RPO/RTO hedeflerinin yazılması önemlidir. Yedek “var” demek yetmez; geri dönebildiğinizi doğrulamak gerekir.

Loglama ve izleme

Olay olmadan log toplamak, olay anında neyin olduğunu anlamayı kolaylaştırır. Uygulama, web sunucusu ve güvenlik cihazı logları korelasyon kimliğiyle bağlanabilirse müdahale hızlanır. Alarm eşikleri gürültü üretmeyecek kadar dengeli seçilmelidir.

API entegrasyonları ve bilet sistemlerinde de aynı disiplin geçerlidir; OBUS API yazısı entegrasyon güvenliği bağlamını tamamlar. Performans ve tarama sağlığı için teknik SEO de güvenlikle kesişen operasyonel bir başlıktır.

Uygulama güvenliği hijyeni

Altyapı önlemleri, güvensiz kodu tek başına kurtarmaz. Girdi doğrulama, çıktı encode, CSRF koruması, güvenli çerez bayrakları ve sır yönetimi uygulama katmanının temelidir. Açık kaynak bileşenlerin lisans ve güvenlik duyuruları takip edilmelidir. “Eklenti kurduk, bitti” yaklaşımı risk üretir.

Geliştirme, staging ve üretim ortamları ayrılmalı; üretim verisi rastgele test ortamına kopyalanmamalıdır. Erişim anahtarları ortam değişkenlerinde veya güvenli saklama servislerinde tutulur. Kod deposuna sır yazmak, sonradan temizlense bile iz bırakabilir.

Olay müdahale hazırlığı

Güvenlik olayı olduğunda panik, zararı büyütür. Kim bilgilendirilir, hangi sistemler izole edilir, yedekten dönüş nasıl yapılır? Kısa bir olay müdahale taslağı, ilk saatleri yönetilebilir kılar. Müdahale sonrası kök neden analizi yapılmadan “kapattık” demek, tekrarı davet eder.

Üçüncü parti hizmetler (CDN, DNS, e-posta, ödeme) de olay yüzeyinin parçasıdır. Sağlayıcı kesintisi ile güvenlik olayı bazen benzer belirtiler üretir. İzleme panelleri bu ayrımı hızlandırmaya yardımcı olur.

Küçük ekipler için öncelik sırası

Her kontrolü aynı anda kurmak mümkün olmayabilir. Küçük ekipler için pratik sıra genelde şöyledir: HTTPS ve güncellemeler, yedekleme ve geri dönüş testi, yetki sadeleştirme, WAF/temel filtreler, loglama. Bu sıra mutlak doğru değildir; risk profilinize göre değişir. Önemli olan görünür bir öncelik listesiyle ilerlemektir.

1. Kritik varlık ve veri envanteri
2. Temel hijyen (HTTPS, yama, yedek)
3. Erişim ve yetki sadeleştirme
4. İzleme ve olay müdahale taslağı

Tedarikçi ve eklenti riski

Modern siteler onlarca üçüncü parti script ve eklenti taşır. Analitik, sohbet, ısı haritası veya reklam etiketleri yeni saldırı yüzeyi açabilir. Her eklenti için “gerçekten gerekli mi?” sorusu sorulmalıdır. Gerekliyse güncel tutulmalı, yetkisi sınırlanmalı ve yüklenme şekli gözden geçirilmelidir.

DNS, e-posta ve barındırma hesaplarının ele geçirilmesi, uygulama açığından daha hızlı büyük zarar üretebilir. Bu hesaplarda çok faktörlü doğrulama ve en az yetki ilkesi uygulanmalıdır. Domain süresi ve sertifika yenileme takvimi operasyon checklist’ine yazılmalıdır.

Periyodik güvenlik gözden geçirmesi; penetrasyon testi iddiası olmadan bile yapılandırma sapmalarını yakalar. Küçük ekipler üç aylık kısa kontrollerle başlayabilir. Bulguların kapatılması izlenmezse gözden geçirme ritüele dönüşür.

Gündelik operasyon checklist’i

Güvenlik yalnızca büyük projelerle ilerlemez. Haftalık kısa kontroller; sertifika süresi, başarısız giriş denemeleri, yedek tamamlanma durumu ve kritik güncelleme kuyruğu gibi maddeleri kapsayabilir. Bu ritüel 20–30 dakika sürebilir; ancak ihmal edilen küçük sapmalar büyüyerek olay olur.

Çalışan farkındalığı da teknik kontroller kadar etkilidir. Oltalama (phishing) ve zayıf parola alışkanlıkları, pahalı WAF kurulumunu baypas edebilir. Kısa bilgilendirmeler ve yönetici hesaplarında zorunlu çok faktörlü doğrulama, pratik kazanımlardır.

Düzenleyici gereksinimler sektöre göre değişir. Kişisel veri işleyen sitelerde saklama, silme ve erişim talepleri için süreç tanımlanmalıdır. Yazılım bu süreçleri destekleyebilir; politika ve sorumluluk ise kurumundadır. Teknik önlem ile hukuki uyum birlikte düşünülmelidir.

Bu başlık altında ekip içi sorumluluk paylaşımı da netleştirilmelidir. Kim karar verir, kim uygular, kim doğrular? Yazılı olmayan varsayımlar gecikme ve çatışma üretir. Kısa bir RACI benzeri netlik, özellikle birden fazla birimin dokunduğu projelerde işe yarar. Ayrıca başarı ölçütlerini baştan yazmak, proje bitiminde subjektif tartışmaları azaltır. Ölçütler mükemmel olmak zorunda değildir; ortak ve gözlemlenebilir olması yeterlidir. Düzenli kısa kontrol toplantıları, büyük kriz toplantılarından daha etkilidir. Son olarak, öğrendiklerinizi bir sonraki faza taşıyacak basit bir not tutma alışkanlığı oluşturun; kurumsal bellek böyle birikir.

Uygulama sırasında geri bildirim toplamak için küçük bir kullanıcı grubu seçmek faydalıdır. Bu grup hem olumlu hem olumsuz deneyimi açıkça iletebilmelidir. Geri bildirimler biriktirilip sınıflandırılmadan her isteğe anında yanıt vermek kapsamı tekrar şişirir. Önceliklendirme; etki, sıkılık ve uygulama maliyeti üzerinden yapılmalıdır. Böylece ekip enerjisi dağılıp gitmez. Zamanla oluşan iyileştirme listesi, ürünün gerçek ihtiyaçlarla büyümesini sağlar.

Sonuç

Web sitesi güvenliği; SSL, WAF, yetki, güncelleme, yedekleme ve loglama katmanlarının birlikte yürütülmesidir. Hiçbir önlem seti mutlak güvenlik sağlamaz; ancak riski görünür ve yönetilebilir kılar. Mevcut durumunuzu envanterleyerek öncelikli adımları birlikte planlayabiliriz.

Güvenlik iyileştirme talebiniz için iletişim veya teklif kanallarını kullanın.