Web sitesi güvenliği: küçük işletme için asgari önlemler

“Bizim sitemizde ne var ki, kim uğraşsın” cümlesini çok duyuyoruz. Mantıklı görünüyor ama olayın nasıl işlediğini yanlış anlatıyor. Küçük siteleri kimse tek tek seçmiyor; otomatik programlar internette gezip bilinen açıkları tarıyor ve açığı olan neresi varsa oraya giriyor. Yani sizi hedef alan biri değil, kapınızın kilitli olup olmadığına bakan bir makine var. Aşağıdakiler, o makinenin sizi geçip gitmesini sağlayan asgari önlemler.

Girenlerin çoğu kapıdan giriyor

Sitelerin büyük bölümü karmaşık bir yöntemle değil, doğru tahmin edilen bir şifreyle ele geçiriliyor. Yönetici kullanıcı adı “admin”, şifre işletmenin adı ve bir yıl. Bu ikili denendiğinde açılıyorsa hiçbir güvenlik yazılımının yapabileceği bir şey yok. Buradaki kural üç maddede biter: her hesaba ayrı şifre, uzun şifre, akılda tutulmayacak kadar rastgele şifre.

Akılda tutamayacağınız şifreyi nasıl kullanacaksınız sorusunun cevabı şifre yöneticisidir. Tarayıcınızın kendi şifre kasası da iş görür. Şifreleri bir dosyada, bir defterde ya da ekip sohbetinde tutmak, kilidi kapının yanına asmakla aynı şeydir.

İki adımlı doğrulama tek başına birçok riski kapatır

Şifreniz bir şekilde dışarı sızsa bile, giriş için telefonunuza gelen ikinci bir kod isteniyorsa o şifrenin tek başına değeri kalmaz. Bunu önce üç yerde açın: site yönetim paneli, alan adını aldığınız firmadaki hesabınız ve işletmenizin e-posta hesabı. Kod üreten bir uygulama kullanmak SMS’e göre daha sağlamdır, çünkü SMS numaranın kopyalanması gibi yöntemlerle atlatılabiliyor.

Güncelleme, ertelenecek iş değildir

Bir eklentide açık bulunduğunda iki şey aynı anda olur: geliştirici düzeltmeyi yayınlar ve açığın varlığı herkesin bilgisi hâline gelir. O andan sonra güncellemeyen siteler, kapısı açık olduğu ilan edilmiş binalar gibidir. Güncellemeyi geciktirmek riski azaltmaz, artırır. Ayda bir gün belirleyin, o gün girip bekleyen güncellemeleri alın. Büyük bir güncelleme öncesi yedeğinizin güncel olduğundan emin olun; bir şey ters giderse geri dönecek yeriniz olsun.

Kullanılmayan eklenti, açık bırakılmış kapıdır

Sitelerde çoğu zaman bir zamanlar denenmiş, işe yaramamış ve “dursun bir kenarda” diye bırakılmış eklentiler bulunur. Bunlar pasif görünse de dosyaları sunucuda durur ve güncellenmedikleri için zamanla en zayıf noktaya dönüşürler. Kullanmadığınız eklentiyi kapatmak yetmez, silin. Aynısı yıllar önce denenip vazgeçilmiş temalar ve artık kimsenin girmediği eski kullanıcı hesapları için de geçerli.

Asgari önlem listesi

• Her hesap için ayrı ve uzun şifre; şifreleri bir şifre yöneticisinde tutun.
• Panel, alan adı hesabı ve e-posta için iki adımlı doğrulamayı açın.
• Yönetici yetkisini sadece gerçekten gereken kişilere verin; ayrılan çalışanın hesabını hemen kapatın.
• Site yazılımını, eklentileri ve temayı düzenli güncelleyin.
• Kullanılmayan eklenti, tema ve kullanıcı hesaplarını silin.
• Sitenin https ile açıldığından ve sertifikanın süresinin dolmadığından emin olun.
• Giriş ekranına deneme sınırı koyun; art arda yanlış şifre girenler engellensin.
• Formlara otomatik gönderime karşı koruma ekleyin.
• Yedek alın, yedeği siteden ayrı bir yerde tutun ve geri yüklemeyi bir kez deneyin.
• Barındırma firmanızın güncel bir sunucu yazılımı kullandığını doğrulayın.

Alan adı ve e-posta hesabı da sitenin bir parçasıdır

Güvenlik denince akla sadece site gelir ama iki nokta daha vardır ve kaybedilmeleri daha ağır sonuç doğurur. Birincisi alan adı: alan adı hesabınıza giren biri sitenizi başka bir sunucuya yönlendirebilir, siteye hiç dokunmadan. İkincisi e-posta: şifre sıfırlama bağlantıları oraya gider, dolayısıyla e-postanıza giren kişi zamanla diğer hesaplarınızı da alabilir. Bu iki hesabı sitenin kendisinden daha ciddiye alın.

Alan adı yenileme tarihinizin de takvimde olması gerekir. Süresi dolan bir alan adı bir güvenlik olayı değildir ama sonucu benzerdir: site açılmaz, e-postalar düşmez ve alan adı bir noktadan sonra başkası tarafından alınabilir hâle gelir.

Bir şey olduğunu nasıl anlarsınız?

Belirtiler genelde bellidir: Google’da sitenizin altında sizin yazmadığınız yabancı dilde başlıklar çıkar, tarayıcı ziyaretçiye uyarı gösterir, panelde tanımadığınız bir kullanıcı belirir, site alışılmadık şekilde yavaşlar ya da kendiliğinden başka bir adrese yönlenir. Bu belirtilerden birini görüyorsanız beklemeyin; sorun kendiliğinden geçmez, yayılır.

Bir şey olursa ilk yapılacaklar

Önce bütün şifreleri değiştirin: panel, sunucu, veritabanı, alan adı hesabı ve e-posta. Sonra siteyi geçici olarak kapatmayı düşünün; ziyaretçilere zarar veren bir sayfayı açık tutmak durumu ağırlaştırır. Ardından temiz olduğunu bildiğiniz bir yedeğe dönün, ama aynı açık kapalı değilse aynı şey tekrar olur. Bu yüzden geri yükleme tek başına çözüm değildir; nereden girildiği bulunmadan iş bitmiş sayılmaz. Son adım, arama motoruna sitenin temizlendiğini bildirmek ve uyarının kalkmasını beklemektir.

Güvenlik bir kere yapılan iş değil

Yukarıdakilerin hiçbiri zor değil, hepsi sıkıcı. Zaten sorun da bu: teslim gününde herkes yapar, altıncı ayda kimse hatırlamaz. Bu yüzden takvime bağlamak en iyisidir. Ayda bir yarım saat ayırın; güncellemeleri alın, yedeğin alındığını doğrulayın, panele girmesi gerekmeyen kullanıcıları temizleyin. Bu yarım saat, bir gün siteyi baştan kurmak zorunda kalmamanın en ucuz yoludur.