Adım Adım Web Güvenliği: Sıfırdan Kurulum (Güncel)

Web Güvenliği Kurulumu: İlk Gün Yapılacaklar​

Yeni bir site, forum ya da içerik sistemi kurulduğunda güvenlik kararları en başta verilmelidir. Sonradan eklenen önlemler de işe yarar, fakat ilk kurulumda doğru temel atılırsa bakım daha kolay, sorun çözümü daha hızlı ve kullanıcı güveni daha sağlam olur.

Bu rehber, web güvenliğini sıfırdan kurarken izlenecek pratik sırayı anlatır. Amaç karmaşık bir teknik liste sunmak değil; küçük ekiplerin ve site sahiplerinin gerçekten uygulayabileceği bir başlangıç düzeni oluşturmaktır.

Güncelleme: 2026-06-13

---

Kurulum Öncesi Hazırlık​

İlk adım, sitenin nerede çalışacağını ve kimlerin erişim sahibi olacağını netleştirmektir. Hosting paneli, FTP/SFTP hesabı, veritabanı kullanıcısı, forum yönetici hesabı ve e-posta hesabı birbirinden ayrı tutulmalıdır. Aynı parola veya aynı yönetici bilgisi birden fazla yerde kullanılmamalıdır.

Kurulum yapılmadan önce alan adı, SSL, DNS ve yedekleme planı da hazırlanmalıdır. Bu plan yoksa site yayına alındıktan sonra küçük bir hata bile uzun kesintiye dönüşebilir.

• Alan adı: DNS kayıtları belgelenmeli, gereksiz yönlendirmeler temizlenmelidir.
• SSL: HTTPS zorunlu olmalı, HTTP istekleri 301 ile HTTPS’e taşınmalıdır.
• Yedek: Dosya ve veritabanı yedeğinin nerede tutulacağı baştan belirlenmelidir.
• Erişim: Yönetici, FTP ve veritabanı hesapları ayrı parolalarla korunmalıdır.

İlk Kurulum Kontrol Listesi​

Kurulum bittikten hemen sonra aşağıdaki kontroller yapılmalıdır:

• Varsayılan kullanıcıları değiştirin: `admin`, `test`, `demo` gibi tahmin edilebilir hesaplar kullanılmamalıdır.
• Güçlü parola ve 2FA kullanın: Özellikle yönetici paneli ve hosting panelinde çok faktörlü doğrulama açılmalıdır.
• Gereksiz dosyaları kaldırın: Kurulum dosyaları, test scriptleri ve örnek sayfalar web kökünde bırakılmamalıdır.
• Dosya izinlerini kontrol edin: Yazma izni yalnızca gerekli dizinlerde bulunmalıdır.
• E-posta gönderimini test edin: Şifre sıfırlama ve bildirim e-postaları çalışmıyorsa güvenlik süreçleri aksar.

Kurulum notu' Alıntı:

Yayına çıkmadan önce “nasıl geri dönerim?” sorusunun cevabı hazır değilse kurulum tamamlanmış sayılmaz.

Genişletmek için tıkla ...

Panel ve Yönetici Alanı​

Yönetici alanı için en önemli kural, gereksiz hesabı azaltmaktır. Her yönetici hesabının gerçek sahibi, görevi ve iletişim bilgisi belli olmalıdır. Geçici destek hesabı açıldıysa iş bitince kapatılmalıdır.

Forum veya CMS tarafında rol bazlı yetki kullanılmalıdır. İçerik yazarı, moderatör ve tam yönetici aynı yetkiye sahip olmamalıdır. Yetki ne kadar genişse hata veya kötüye kullanım etkisi de o kadar büyür.

Güncelleme ve Eklenti Disiplini​

İlk gün yapılan en yaygın hata, gereksiz eklenti kurmaktır. Her eklenti yeni bir bakım sorumluluğu getirir. Kurulumda sadece gerçekten gerekli paketler seçilmeli, geri kalan ihtiyaçlar site oturduktan sonra değerlendirilmelidir.

• Eklenti kaynağı güvenilir mi?
• Son güncelleme tarihi makul mü?
• Kurulu sistem sürümüyle uyumlu mu?
• Kaldırıldığında siteyi bozacak kadar kritik mi?

Bu soruların cevabı belirsizse eklenti kurulmadan önce tekrar düşünülmelidir.

Yedek ve Geri Dönüş Testi​

Yedek almak tek başına yeterli değildir. Yedeğin geri yüklenebilir olduğunu test etmek gerekir. En azından kurulum sonrası ilk tam yedek alınmalı, veritabanı ve dosya yedeğinin ayrı ayrı erişilebilir olduğu kontrol edilmelidir.

Küçük projelerde bile şu kayıt tutulmalıdır: yedek zamanı, yedek türü, saklama yeri ve geri yükleme sorumlusu. Bu kayıt, sorun anında dakikalar kazandırır.

Mikro Vaka​

Yeni kurulan bir forumda yönetici, kurulum klasörünü web kökünde bırakır ve yedek almadığını fark etmez. İlk hafta eklenti denemesi sırasında beyaz ekran oluşur. Temiz yedek olmadığı için sorun çözümü dosya karşılaştırmasına ve manuel müdahaleye kalır.

Aynı forum kurulumdan hemen sonra yedek alsaydı, kurulum klasörünü kapatsaydı ve eklenti denemelerini sıraya koysaydı geri dönüş birkaç dakika sürecekti.

İç Bağlantılar​

• Web güvenliği için temel adımlar
• Web güvenliği bakım rutini
• SSL nedir ve neden önemlidir?

Dış Kaynaklar​

• OWASP Top 10 – Web uygulamalarında kritik riskleri anlamak için.
• MDN HTTP Observatory – HTTP güvenlik başlıklarını değerlendirmek için.

SSS​

• İlk kurulumda en önemli adım nedir? Yönetici erişimi, yedek ve HTTPS temelini düzgün kurmaktır.
• Kurulum dosyaları neden kaldırılmalı? Gereksiz dosyalar bilgi sızdırabilir veya yanlış yapılandırma riski oluşturabilir.
• Her eklenti güvenli midir? Hayır. Kaynak, güncelleme geçmişi ve uyumluluk kontrol edilmelidir.
• Yedek testi ne zaman yapılmalı? İlk kurulumdan hemen sonra ve düzenli bakım dönemlerinde.
• Tek yönetici hesabı yeterli mi? Genellikle evet; acil durum için ayrı, güçlü korunan ikinci hesap planlanabilir.

Özetle​

Güvenli kurulum; ayrı erişimler, temiz dosya yapısı, güçlü yönetici koruması ve test edilmiş yedekle başlar. İlk gün yapılan doğru tercihler, aylar sonra yaşanabilecek büyük sorunları küçültür.

Başlangıç Rotasında Oku​

Bu konu, Web Güvenliği Başlangıç Rotası içindeki adımlardan biridir. Rotayı baştan sona takip ederseniz hesap, güncelleme, yedek, HTTPS, izleme ve hata çözüm kontrollerini sıralı bicimde tamamlayabilirsiniz.

---