CMS, tema ve eklenti güncelliği
WordPress çekirdeği, tema ve eklenti sürümleri güncel sürümlerle karşılaştırılır. Saldırıların büyük bölümü eski eklenti ve temalardan başlar.
Ücretsiz araç · Yalnız site sahiplerine
Web Siteniz Siber Saldırılara Karşı Güvende mi?
Son dönemde artan siber saldırılara, eski eklenti açıklarına ve sunucu risklerine karşı web sitenizi dışarıdan test edin. Ayrıntılı güvenlik raporu yalnızca doğrulanmış alan adı sahiplerine açılır.
- Siteye zarar vermeyen, yalnızca okuyan test
- WordPress, WooCommerce ve tüm siteler için
- Her bulgu için önem derecesi ve çözüm önerisi
- Rapor özeti e-postanıza gönderilir
- 1Site ve e-posta
- 2Doğrulama kodu
- 3Rapor
Güvenlik testinde neleri kontrol ediyoruz?
Test, bir saldırganın sitenize bakarken ilk gördüğü dışarıdan görünen riskleri altı başlıkta puanlar. Her bulgu kritik, yüksek, orta veya düşük olarak derecelendirilir.
SSL ve bağlantı güvenliği
HTTPS bağlantısı, HTTP'den HTTPS'e yönlendirme ve güvenli sayfada şifresiz yüklenen kaynaklar kontrol edilir.
Güvenlik başlıkları
HSTS, X-Frame-Options, CSP, X-Content-Type-Options gibi tarayıcı korumaları ve sunucu/PHP sürümü sızıntısı incelenir.
Açıkta kalan hassas dosyalar
.git klasörü, .env dosyası, ayar dosyası yedekleri, hata kayıtları ve klasör listeleme gibi tek dosyayla site kaybettiren hatalar aranır.
E-posta güvenliği (SPF, DKIM, DMARC)
Alan adınızla sahte mail gönderilmesini zorlaştıran DNS kayıtları ve politikaları değerlendirilir.
WAF / CDN koruması
Sitenin önünde Cloudflare gibi bir güvenlik duvarı olup olmadığı, sunucunun doğrudan internete açık olup olmadığı görülür.
Neden kurumsal e-posta doğrulaması istiyoruz?
Bir web sitesinin güvenlik durumunu incelemek, o sitenin sahibinin bilgisi ve izniyle yapılmalıdır. Bu yüzden test, yalnızca sitenin alan adına ait bir e-posta adresine gönderilen 6 haneli kodla başlar. Örneğin ornekfirma.com için kod yalnızca @ornekfirma.com uzantılı bir adrese gider.
Böylece kimse rakibinin ya da tanımadığı bir şirketin sitesini izinsiz test ettiremez. Doğrulama, kodun girildiği an ve onay kaydıyla birlikte saklanır.
Bu test neleri yapmaz?
Test tamamen pasif çalışır; her tarayıcının zaten görebildiği bilgileri okur. Aşağıdakiler kesinlikle yapılmaz:
- Şifre denemesi veya giriş zorlaması
- Bilinen bir açığı kullanmaya çalışmak (istismar)
- Port taraması veya sunucu içi erişim denemesi
- Siteye yük bindiren yoğun istek (DDoS benzeri test)
- Bulunan dosyaların içeriğini indirmek ya da saklamak
Web siteleri neden saldırıya uğruyor?
Saldırıların çoğu hedef seçerek değil, otomatik tarama botlarıyla yapılır. Bu botlar internetteki siteleri sürekli dolaşır ve bilinen açığı olan bir eklenti, tema ya da yazılım sürümü bulduğunda saldırıya geçer. Küçük bir kurumsal site ile büyük bir e-ticaret sitesi arasında ayrım yapmazlar.
En sık görülen sebepler: güncellenmemiş WordPress eklentileri ve ticari temalar, desteklenmeyen PHP sürümleri, açıkta unutulmuş yedek ve ayar dosyaları, zayıf yönetici şifreleri ve alan adının SPF/DMARC kayıtları olmadığı için sahte mail gönderilmesi.
Aynı hosting hesabında birden fazla site varsa, tek bir eski site diğerlerini de riske atabilir. Bu yüzden kurumsal sitenizi ve e-ticaret sitenizi ayrı ayrı test etmenizi öneririz.
Raporu nasıl okumalıyım?
Rapor 100 üzerinden bir puan ve A–F arası bir not verir. Kritik bulgular (ör. açıkta kalan .env veya .git) aynı gün kapatılmalıdır. Yüksek bulgular (eski tema, desteklenmeyen PHP, eksik DMARC) bir hafta içinde, orta ve düşük bulgular ise planlı bakımda ele alınabilir.
Güncelleme yapmadan önce mutlaka tam yedek alın. Ticari tema ve eklentileri güncellerken üreticinin önerdiği sırayı izleyin.
Sık sorulan sorular
Test sonuçları dışarıdan görünen duruma göredir ve bilgilendirme amaçlıdır; tam bir sızma testinin veya güvenlik denetiminin yerini tutmaz.
Açıkları kapatmak için destek mi gerekiyor?
Güncelleme, sunucu sertleştirme, WAF kurulumu ve 7/24 izleme için siber güvenlik ekibimizle görüşün.