WordPress Güvenlik Testi

WordPress Güvenlik Testi Sonucunu Nasıl Okursunuz?

Bu test sitenize dışarıdan, oturum açmadan bakar ve herkesin görebildiği birkaç noktayı kontrol eder. Eklenti listesini, dosya bütünlüğünü ya da sunucudaki zararlı kodu taramaz. Genel puan bulunan sorun sayısına göre verilir: sorun yoksa "İyi", bir veya iki sorunda "Orta", üç ve üzerinde "Zayıf". "İyi" sonucu sitenin temiz olduğunu değil, bu kontrollerde sorun görülmediğini gösterir.

Kontroller tek tek

• WordPress sürümü: Araç sürümü sayfa kaynağındaki <meta name="generator" content="WordPress 6.x"> etiketinden okur. Sürümü gizlemek otomatik taramaları biraz zorlaştırır ama güvenlik sağlamaz; sürüm CSS ve JS adreslerindeki ?ver= değerlerinden de anlaşılabilir. Asıl önlem çekirdeği güncel tutmaktır.
• Giriş sayfası (wp-login.php): Bu satır bilgi amaçlıdır ve puana etki etmez. Giriş sayfasının açılması bir açık değildir, ama parola deneme botlarının ilk hedefidir. Güçlü parola ve iki adımlı doğrulama kullanın, giriş denemelerini sınırlayan bir eklenti kurun. Yönetim paneline yalnızca sabit IP'lerden giriliyorsa Apache ya da LiteSpeed'de .htaccess ile kısıtlayabilirsiniz:

  <Files wp-login.php>
      Require ip 203.0.113.0/24
  </Files>

• XML-RPC:xmlrpc.php, WordPress mobil uygulaması ve Jetpack gibi bazı eklentiler tarafından kullanılır. Kullanmıyorsanız kapatın; parola denemeleri için de kullanılır. Tarayıcıda açtığınızda "XML-RPC server accepts POST requests only." yazısı görmeniz dosyanın yerinde durduğunu gösterir, kapalı olduğunu göstermez. Gerçekten çalışıp çalışmadığını şu istekle anlarsınız; yanıtta metot listesi dönüyorsa açıktır:

  curl -s -X POST -d '<methodCall><methodName>system.listMethods</methodName></methodCall>' https://ornekfirma.com.tr/xmlrpc.php

• readme.html: Kurulumla gelen, işlevi olmayan bir dosyadır. Silebilirsiniz; ancak WordPress güncellemelerinde geri gelir, bu yüzden sunucu yapılandırmasıyla erişimi kapatmak daha kalıcıdır.
• SSL: Bu kontrol siteye HTTPS ile bağlanır, sertifikanın tarayıcılarca doğrulanıp doğrulanmadığına ve kalan süresine bakar; ayrıca http:// isteklerinin HTTPS'e yönlenip yönlenmediğini kontrol eder. Sertifika zinciri ve ad uyuşmazlığı gibi ayrıntılar için SSL Denetleme aracını kullanın.

Testin göremedikleri

WordPress için bildirilen güvenlik açıklarının büyük çoğunluğu çekirdekte değil, eklenti ve temalardadır. Dışarıdan yapılan bir test bunları güvenilir biçimde göremez. Yönetim panelinden şunları kontrol edin:

• Eklenti ve temaların güncel olup olmadığı. WordPress 5.5'ten bu yana eklenti ve temalar için otomatik güncelleme tek tek açılabiliyor.
• Kullanılmayan eklentiler: devre dışı bırakmak yetmez, kodu sunucuda durduğu sürece açığı da durur. Silin.
• Lisanssız ("nulled") tema ve eklentiler: çoğu arka kapıyla dağıtılır.
• Dosya izinleri: dosyalar için 644, klasörler için 755; wp-config.php için daha kısıtlı bir izin (440 ya da 400).
• Panelden dosya düzenlemeyi kapatmak için wp-config.php içine define('DISALLOW_FILE_EDIT', true); ekleyin.
• Yönetici hesapları: kullanılmayanları silin, "admin" gibi tahmin edilebilir kullanıcı adlarını değiştirin. Kullanıcı adları /?author=1 adresinden ya da REST API'deki /wp-json/wp/v2/users uç noktasından görülebilir.
• Yedekler: geri yüklemeyi hiç denemediğiniz bir yedeğe güvenmeyin.

Site zaten ele geçirildiyse dosyaları tek tek temizlemek yerine bilinen temiz bir yedeğe dönmek, ardından tüm parolaları ve wp-config.php içindeki güvenlik anahtarlarını değiştirmek daha güvenilir sonuç verir. Güncelleme, yedekleme ve sunucu tarafı taramayı barındırma tarafında da ele almak isterseniz WordPress hosting paketlerimize bakabilirsiniz.