Web Güvenliği 2025: Sıfırdan Kurulum

Web Güvenliği 2025: Sıfırdan Kurulum Rehberi​

Yeni bir web projesi kurarken güvenlik kararları en başta verilirse sonraki bakım işleri daha sakin ilerler. Kurulum tamamlandıktan sonra eksikleri kapatmak mümkündür, fakat ilk günden doğru hesap, yedek, izin ve güncelleme düzeni kurmak daha sağlam sonuç verir.

Bu rehber, 2025 koşullarında forum, blog veya küçük içerik sitesi kurarken uygulanabilecek güvenli başlangıç planını anlatır. Amaç karmaşık terimler kullanmak değil; yayına çıkmadan önce kontrol edilmesi gereken temel adımları netleştirmektir.

---

Erişim Planı Hazırlayın​

Kurulum başlamadan önce hangi hesaba kimin erişeceği belirlenmelidir. Alan adı paneli, hosting paneli, FTP/SFTP, veritabanı, e-posta ve forum yönetici hesabı aynı kişi veya aynı parola üzerinden yürümemelidir. Gerektiğinde acil durum hesabı açılabilir, fakat bu hesap güçlü korunmalı ve normal kullanımda tercih edilmemelidir.

• Hosting paneli: 2FA açık olmalı ve erişim sınırlı tutulmalıdır.
• Forum yöneticisi: Tahmin edilebilir kullanıcı adı kullanılmamalıdır.
• Veritabanı: Uygulama kullanıcısı gereksiz geniş yetki almamalıdır.
• E-posta: Şifre sıfırlama akışı için güvenilir teslimat sağlanmalıdır.

Temiz Kurulum Noktası Oluşturun​

Kurulum tamamlanır tamamlanmaz ilk temiz yedek alınmalıdır. Bu yedek, eklenti denemeleri ve tema değişikliklerinden önceki sağlam başlangıç noktasıdır. Dosya ve veritabanı yedeği ayrı saklanmalı, geri dönüş adımı kısa şekilde yazılmalıdır.

Yedek notu' Alıntı:

İlk temiz yedek alınmadan yapılan eklenti denemesi, geri dönüşü gereksiz zorlaştırır.

Genişletmek için tıkla ...

Public Dizini Sade Tutun​

Web kökünde test dosyaları, eski arşivler, geçici PHP scriptleri ve kurulum notları bırakılmamalıdır. Public alanda yalnızca çalışması gereken dosyalar bulunmalıdır. Ne işe yaradığı bilinmeyen dosya varsa önce yedeklenmeli, sonra güvenli konuma taşınmalı veya kaldırılmalıdır.

Bu kontrol, özellikle paylaşımlı hosting ortamlarında önemlidir. Yanlış yerde kalan küçük bir test dosyası, ileride büyük bakım sorununa dönüşebilir.

İzinleri Kademeli Açın​

Forum kurulumlarında yeni kullanıcıların bağlantı paylaşımı, imza, özel mesaj ve dosya ekleme izinleri kademeli verilmelidir. Her yeni üyeye ilk günden geniş izin tanımak spam ve moderasyon yükünü artırır. Güven seviyesine göre kullanıcı grupları planlanmalıdır.

• Yeni üyelerde bağlantı izni sınırlı olmalı.
• Dosya ekleri tür ve boyut kuralına bağlanmalı.
• Moderatör yetkileri sistem ayarlarından ayrılmalı.
• Eski ve pasif yönetici hesapları düzenli gözden geçirilmeli.

Güvenlik Başlıklarını İlk Gün Test Edin​

HTTPS yönlendirmesi, HSTS, Referrer-Policy, Permissions-Policy ve X-Content-Type-Options gibi başlıklar kurulumdan hemen sonra kontrol edilmelidir. Başlıklar çok katı uygulanırsa bazı gömülü içerikler veya eski entegrasyonlar etkilenebilir. Bu nedenle giriş, konu okuma, ek görüntüleme ve arama akışı test edilmelidir.

İlk Hafta İzleme Yapın​

Yayından sonraki ilk hafta kayıt davranışı, başarısız girişler, hata logları, e-posta teslimi ve cache davranışı izlenmelidir. Bu dönem, kurulumdaki küçük eksikleri yakalamak için değerlidir. Bir sorun bulunursa bakım notuna tarih ve çözüm eklenmelidir.

Kurulum Kabul Kriteri​

Site yayına alınmadan önce kısa bir kabul kriteri oluşturulmalıdır. Ana sayfa açılıyor mu, kayıt e-postası gidiyor mu, şifre sıfırlama çalışıyor mu, yönetici paneline güvenli giriş yapılabiliyor mu, yedek indirilebilir mi? Bu soruların cevabı evet değilse kurulum tamamlanmış sayılmamalıdır.

Mikro Vaka​

Yeni kurulan bir forumda yönetici önce eklentileri kurar, sonra yedek almayı planlar. Üçüncü eklentide hata oluşunca hangi dosyanın değiştiği bilinmez. Aynı kurulumda önce temiz yedek alınsa, eklentiler tek tek denense ve her adım not edilse geri dönüş çok daha hızlı olurdu.

İç Bağlantılar​

• Adım adım güvenli kurulum
• İleri seviye güvenli kurulum
• Web güvenliği kontrol listesi

Dış Kaynaklar​

• OWASP Top 10 - Web uygulaması risklerini sınıflandırmak için.
• MDN HTTP Observatory - HTTP güvenlik başlıklarını test etmek için.

SSS​

• Kurulumda ilk yapılacak güvenlik işi nedir? Erişimleri ayırmak, HTTPS’i zorunlu yapmak ve temiz yedek almaktır.
• Public dizinde test dosyası bırakmak neden riskli? Gereksiz bilgi sızdırabilir veya yanlış yapılandırmaya yol açabilir.
• Tüm eklentiler ilk gün kurulmalı mı? Hayır. Önce çekirdek yapı oturmalı, eklentiler tek tek denenmelidir.
• Yeni üyeler neden sınırlanmalı? Spam ve kötüye kullanım riskini azaltmak için izinler kademeli açılmalıdır.
• İlk hafta hangi metrikler izlenmeli? Kayıtlar, giriş hataları, e-posta teslimi, loglar ve kullanıcı akışı izlenmelidir.

Özetle​

Güvenli sıfırdan kurulum; erişim planı, temiz yedek, sade public dizin, kademeli izinler ve ilk hafta izleme düzeniyle başlar. Başlangıçta kurulan disiplin, uzun vadeli bakım yükünü azaltır.

---