Web Sitesi Güvenliği İçin Temel Önlemler

Web sitesi güvenliği, küçük işletme için karmaşık bir duvar örmek değildir. Önce kimin panele girebildiği, formun hangi kutuya düştüğü ve bir aksilikte geri dönecek kopyanın olup olmadığı bilinir. Bu üçü belirsizse şık bir kilit simgesi sizi rahatlatmamalıdır.

Bu yazı, saldırı yöntemi anlatmaz. İşletme sahibinin sorabileceği temel önlemleri sıralar. Hosting markası dayatılmaz. Panelin adı değişse de sorular aynıdır: hesap kimde, şifre kimde, güncellemeyi kim yapıyor, yedek nerede?

Hesapları kim tutar

Yönetim paneli, hosting hesabı ve alan adı kaydı üç ayrı kapı olabilir. Üçünün de şifresi aynı kişide ve aynı yapışkan kâğıtta duruyorsa, o kâğıdı gören herkes siteyi de alan adını da taşır. Şifre, dükkânın ortak sohbetine mesaj diye yazılmaz. Ortak bilgisayarda panel açık unutulmaz.

İşten ayrılan kişi, tasarımcı veya stajyer listede kalmamalıdır. Ayrılış günü şifre değişir. Yalnızca yeni şifreyi üretip eskisini de yürürlükte bırakmak yetmez. Eski e-posta hâlâ kurtarma adresi ise hesap o kutuya döner. Kurtarma adresi, sizin baktığınız bir kutu olmalıdır. Ajansın kişisel postası, sizin haberiniz olmadan yenileme ve şifre sıfırlama alıyorsa site sizde değildir.

Panele giren herkesin ayrı hesabı olması, mümkünse tercih edilir. Tek ortak “admin” kullanıcısıyla üç kişi giriyorsa, kim neyi değiştirdi bilinmez. Ayrı hesap yoksa en azından şifrenin kimde olduğu bir notta durur. Not, şifrenin kendisini duvara asmak değildir.

Güncelleme ve kullanılmayan parça

Hazır bir yayın sistemi kullanıyorsanız sürüm ve eklenti güncellemesi bakımın parçasıdır. Güncelleme, “bir ara bakarız” diye yıllarca ertelenirse panel eski kalır. Eski kalan panel, sizin içerik yazmanızı engellemese de sonradan onarımı zorlaştırır. Güncellemeden önce yedek alınır. Alınmadan basılan güncelleme, sayfayı bozarsa geri dönüş de olmaz.

Kullanmadığınız eklenti duruyorsa kapatılıp kaldırılması daha sade bir panel bırakır. Tanımadığınız bir dosyayı “güvenlik aracı” diye rasgele kurmak da önlem değildir. Ne işe yaradığını bilmediğiniz parça, hem yavaşlatır hem bakımı karıştırır. Tema dosyasına gelişigüzel yapıştırılan kod, sonraki güncellemede kaybolur veya sayfayı bozar. Değişiklik gerekiyorsa not edilir.

Form ve gelen kutu

İletişim formu, ziyaretçiye ayrıntılı sunucu hatası göstermemelidir. “Gönderildi” deyip kutuya düşmüyorsa bu bir güvenlik konusu olduğu kadar müşteri kaybıdır. Formu siz deneyin. İleti spam klasörüne düşüyorsa asıl kutuya da bakacağınız bir kural koyun. Kutuyu hiç açmayan bir adres, formun varlığından daha kötüdür.

Broşür niteliğindeki bir sitede kart numarası toplanmaz. Ödeme alacaksanız bunun ayrı ve bu iş için kurulan bir yolu olmalıdır. Tanıtım formuna kart alanı eklemek kolaylık değil risk biriktirmektir. Form, işin tarifini ve dönüş numarasını alsın yeter. Gelen ileti kişisel bilgi taşıyorsa kutu da parola ile durur, herkesin açık olduğu bir tezgahta durmaz.

• Panel, hosting ve alan adı şifreleri ayrı ayrı kimin elinde, yazın.
• Ayrılan kişinin erişimini kapatın.
• Güncellemeden önce yedek alın.
• Formu deneyin; kart numarası istemeyin.

Adres çubuğu ve karışık bağlantı

Ziyaretçi ile site arasındaki bağlantının şifrelenmesi temel bir beklentidir. Süresi dolmuş veya adı tutmayan sertifika, tarayıcıda uyarı çıkarır. Uyarı gören kişi numarayı aramadan çıkar. Sertifikanın ne işe yaradığı ve neden yenilenmesi gerektiği, HTTPS sertifikası yazısında durur. Kilit, panelin sizde olduğunu kanıtlamaz.

Sayfa kilitli görünüp içindeki görsel eski bir http adresinden geliyorsa tarayıcı karışık içerik uyarabilir veya görseli kesebilir. Yayın öncesi, sitenin kendi görsellerinin aynı güvenli adresten geldiği kontrol edilir. Başka siteden kopyalanmış sıcak bağlantı, hem o site kapanınca resimsiz kalır hem sizin sayfanızı başkasının dosyasına bağlar.

Yedek, önlemin parçasıdır

Önlem yalnızca kapıyı kilitlemek değildir. Kapı zorlandığında veya yanlış bir güncelleme sayfayı bozduğunda dünün hâline dönebilmek de önlemdir. Yedek, sitenin durduğu diskin içinde tek kopyaysa disk gidince yedek de gider. Kopyanın başka bir yerde durması gerekir. Bunu kim alır, ne sıklıkla alır ve geri yüklemeyi kim dener, bakım konuşmasında yazılır.

Talepler yalnızca e-postadaysa, site yedeği o postaları geri getirmez. Posta kutusu da sizin eriştiğiniz bir hesaptadır. Kutuyu yalnızca eski ajans açabiliyorsa, form çalışıyor görünse de yazılan size ulaşmıyor olabilir. Yedek düzeni, yedekleme ve bakım rehberinde adım adım anlatılır.

Sitede tutulan bilgi

Tanıtım sitesi, müşteri arşivi olmak zorunda değildir. Formdan gelen adı ve telefonu panelin içinde yıllarca açık bir tabloda biriktirmek, o panele giren herkese aynı listeyi verir. Gelen kutusu yetiyorsa liste panelde durmak zorunda değildir. Tutulacaksa kimin baktığı bellidir.

Yorum alanı herkese açıksa, bakılmadan yayınlanan ileti hem reklam hem küfür taşıyabilir. Yorum kullanılmayacaksa kapatılır. Kullanılacaksa birinin okuması gerekir. Sahte yıldız kutusu da güvenlik değil güven sorunudur. Elinizde olmayan yorumu siteye yazmayın.

Ayda bir bakılacak kısa liste

Her gün panele girmek gerekmez. Ayda bir şu kadarı yeter: site açılıyor mu, form düşüyor mu, sertifika uyarısı var mı, tanımadığınız bir kullanıcı eklenmiş mi, yedek alınan tarih eski mi? Bu bakış yarım saat sürer. Yıllarca hiç bakılmayan site, numara değişince de fark edilmez.

Şüpheli bir değişiklik görürseniz şifreyi değiştirin ve yedeğin tarihine bakın. Ne olduğunu çözmek için rasgele dosya silmek, çalışan sayfayı da götürebilir. Bilmediğiniz bir dosyayı “zararlıdır” diye kendiniz ayıklamaya çalışmak yerine, yedeği olan kişiyle sayfayı karşılaştırın. Önlem, panik halinde deneme yapmak değildir.

Hesapların sizde durması, güncellemenin takvime bağlanması ve formun gerçekten gitmesi, temel önlemin üç ayağıdır. Bunlar bakım kapsamında konuşulur. Ayrıntı için web sitesi bakım ve destek sayfasına bakabilirsiniz.