İleri Seviye Web Güvenliği: Sıfırdan Kurulum

İleri Seviye Web Güvenliği: Sıfırdan Kurulum​

Sıfırdan kurulum, güvenlik kararlarının en temiz verilebildiği aşamadır. Eski eklenti yükü, karışık yetki geçmişi ve unutulmuş test dosyaları yokken daha sade, izlenebilir ve güvenli bir yapı kurulabilir.

Bu rehber, yeni bir forum veya içerik sitesi kurulurken ileri seviye güvenlik yaklaşımının nasıl planlanacağını anlatır. Konu yalnızca teknik ayar değildir; erişim, yedek, kayıt akışı, log ve bakım sorumluluğu aynı anda düşünülmelidir.

---

Kurulumdan Önce Kararları Yazın​

Alan adı, hosting paneli, veritabanı, FTP/SFTP, e-posta ve yönetici hesabı kurulmadan önce erişim planı hazırlanmalıdır. Hangi hesabın kimde olduğu, hangi parola yöneticisinde saklandığı ve acil durumda kimin müdahale edeceği net olmalıdır.

• Alan adı: DNS ve SSL sorumlusu belli olmalıdır.
• Hosting: Panel erişimi tek kişiyle sınırlı kalmamalı, ama gereksiz kişiye verilmemelidir.
• Veritabanı: Uygulama kullanıcısı minimum yetkiyle açılmalıdır.
• Yönetici hesabı: Tahmin edilebilir kullanıcı adı kullanılmamalıdır.

Dosya Yapısını Temiz Tutun​

Kurulum tamamlandıktan sonra test dosyaları, örnek scriptler, eski arşivler ve gereksiz kurulum çıktıları public alanda bırakılmamalıdır. Web kökünde yalnızca gerçekten çalışması gereken dosyalar bulunmalıdır. Kritik dosyalar değişmeden önce yedeklenmelidir.

Kurulum notu' Alıntı:

Public dizinde ne işe yaradığı bilinmeyen dosya varsa kurulum bitmiş sayılmaz.

Genişletmek için tıkla ...

Yönetici Panelini Sertleştirin​

Yönetici paneli için 2FA, güçlü parola, sınırlı kullanıcı ve düzenli hesap gözden geçirme uygulanmalıdır. Tam yetkili kullanıcı sayısı düşük tutulmalı, içerik üreticilerine yönetici yetkisi verilmemelidir.

Forumlarda moderatör rolü güçlü olabilir, fakat sistem ayarlarına erişmemelidir. Bu ayrım, içerik yönetimi ile teknik yönetimi birbirinden ayırır.

İlk Yedek Kurulumunu Yapın​

Kurulumdan sonra ilk temiz yedek alınmalıdır. Bu yedek, henüz karmaşık değişiklikler yapılmadan önceki sağlam başlangıç noktasıdır. Dosya ve veritabanı yedeği birlikte saklanmalı, geri yükleme adımları kısa notla yazılmalıdır.

• İlk temiz dosya yedeği alındı mı?
• İlk veritabanı yedeği indirildi mi?
• Yedek aynı sunucu dışında da tutuluyor mu?
• Geri dönüş sorumlusu belli mi?

Kayıt ve İçerik İzinlerini Ayarlayın​

Yeni forumlarda spam riskini azaltmak için bağlantı paylaşımı, imza, dosya ekleme ve özel mesaj izinleri kademeli açılmalıdır. İlk günden tüm özellikleri sınırsız açmak moderasyon yükünü artırır. Kullanıcı grupları, güven seviyesine göre tasarlanmalıdır.

HTTP Başlıklarını ve SSL Akışını Kontrol Edin​

HTTPS zorunlu olmalı, HTTP istekleri kalıcı yönlendirmeyle güvenli adrese taşınmalıdır. HSTS, Referrer-Policy, Permissions-Policy ve X-Content-Type-Options gibi başlıklar kurulum sonrası test edilmelidir. Gömülü içerik veya ödeme yönlendirmesi varsa kurallar kademeli uygulanmalıdır.

Mikro Vaka​

Yeni kurulan bir forumda yönetici, önce tüm eklentileri dener ve sonra güvenlik ayarı yapmayı planlar. Bir eklenti hata verdiğinde temiz başlangıç yedeği olmadığı için dosya ve veritabanı karşılaştırması zorlaşır. Daha doğru yaklaşım, önce temiz yedek almak, sonra eklentileri tek tek kurmak ve her adımı not etmektir.

İlk Hafta Bakım Planı​

Kurulumdan sonraki ilk hafta gözlem haftası olarak düşünülmelidir. Bu dönemde kullanıcı kayıtları, e-posta teslimi, hata logları, cache davranışı, görsel ekleri ve yönetici bildirimleri takip edilir. Site yayına çıktıktan hemen sonra gelen küçük sinyaller, ileride yaşanacak büyük sorunların erken göstergesi olabilir.

İlk hafta sonunda kısa bir değerlendirme yapılmalıdır: hangi eklenti gerçekten gerekli, hangi izin fazla geniş, yedek geri dönüşü denenmiş mi, kullanıcı akışı nerede zorlanıyor? Bu sorular kurulumu daha temiz hale getirir.

İç Bağlantılar​

• Web güvenliği ilk kurulum rehberi
• Web güvenliği kontrol listesi
• İleri seviye güvenlik ölçekleme

Dış Kaynaklar​

• OWASP ASVS - Uygulama güvenliği doğrulama seviyeleri için.
• MDN HTTP Observatory - HTTP güvenlik başlıklarını değerlendirmek için.

SSS​

• Sıfırdan kurulumda ilk güvenlik adımı nedir? Erişim planı, HTTPS ve temiz yedek ilk sırada gelmelidir.
• Kurulumdan sonra eklenti denemek riskli mi? Denemek normaldir, fakat her denemeden önce geri dönüş noktası olmalıdır.
• Yönetici hesabı kaç kişiyle sınırlı olmalı? Gerçekten ihtiyaç duyan az sayıda kişiyle sınırlı kalmalıdır.
• Spam ayarları ne zaman yapılmalı? Forum yayına çıkmadan önce kullanıcı grupları ve izinlerle birlikte yapılmalıdır.
• HTTP başlıkları hemen sertleştirilmeli mi? Önce temel başlıklar uygulanmalı, daha katı kurallar test edilerek ilerletilmelidir.

Özetle​

İleri seviye güvenli kurulum; erişim planı, temiz dosya yapısı, sınırlı yönetici yetkisi, ilk yedek ve kontrollü kullanıcı izinleriyle başlar. Başlangıçta kurulan düzen, büyüme döneminde güvenliği taşır.

---