Sitelerin Güvenle Çalışmasını Sağlayan Sunucu Güvenliği
Yayın tarihi: 2 Kasım 2026
Yeni bir web sitesi birkaç dakika içinde çevrimiçi olabilir. Atlanan bir güvenlik güncellemesi, internete açık bir veritabanı bağlantı noktası ya da yeniden kullanılan tek bir parola, yapılan tüm işi aynı hızla boşa çıkarabilir. Sunucu güvenliğini güçlendirme, sunucunuzun yalnızca ihtiyaç duyduğu işleri, gerçekten erişmesi gereken kişiler için yapmasını sağlamak üzere bu açıkları azaltmaya yönelik pratik bir süreçtir.
Amaç, bir Linux sunucusunu yönetilmesi imkânsız bir sığınağa dönüştürmek değildir. Amaç, bir saldırgan, bozuk bir eklenti ya da yanlışlıkla yapılan bir yapılandırma değişikliği sizin yerinize karar vermeden önce makul seçimler yapmaktır. En iyi yapılandırma, karşılaştığınız gerçek risklere karşı yeterince güvenli ve gelecek ay da bakımını yapabileceğiniz kadar basittir.
Sunucu Güvenliğini Güçlendirmek Gerçekte Neleri Değiştirir
Varsayılan sunucu esnek olacak şekilde tasarlanmıştır. Web sitelerinizin gerektirdiğinden daha fazla ağ bağlantısını kabul edebilir, hiç kullanmayacağınız hizmetleri içerebilir ve nasıl çalışmayı planladığınızı bilemediği için geniş kapsamlı erişime izin verebilir. Bu esneklik ilk gün işe yarar. Ancak sunucu müşteri sitelerini barındırmaya, e-postaları işlemeye ya da yedekleri depolamaya başladıktan sonra bu esneklik o kadar da yararlı olmaz.
Güvenliği güçlendirmek, sunucunun saldırı yüzeyini daraltır. Basitçe söylemek gerekirse, birinin makineye ulaşması, onu değiştirmesi veya kötüye kullanması için gereksiz yolları kaldırır ya da kısıtlarsınız. Buna ağ hizmetleri, kullanıcı hesapları, yazılım paketleri, dosya izinleri, web uygulaması ayarları ve güncellemeleri yüklemek için kullanılan süreç dahildir.
Ayrıca günlük işleri de iyileştirir. Erişim denetlendiğinde, günlükler incelendiğinde ve yedekler test edildiğinde sorunları gidermek hızlanır. Sabah 2'de çözüme kavuşturmanız gereken bilinmezler azalır. bir site beklenmedik davranışlar sergilemeye başladığında.
Önce Sunucunun Mevcut Durumunu Doğru Anlayın
Ayarları değiştirmeden önce mevcut durumu belgeleyin. İşletim sistemini ve sürümünü, barındırılan alan adlarını, açık bağlantı noktalarını, etkin hizmetleri, yönetici kullanıcıları, zamanlanmış görevleri, veritabanlarını, e-posta bileşenlerini ve yedeklerin konumlarını belirleyin. Birden fazla müşteri hesabını yönetiyorsanız, her bir hesaba hangi uygulamaların ve ekiplerin erişmesi gerektiğini not edin.
Bu envanter, yaygın bir güvenlik güçlendirme hatasını önler: gereksiz gibi görünen ancak arka planda çalışan bir üretim sitesini destekleyen bir şeyi devre dışı bırakmak. Bir e-posta hizmeti, izleme aracısı ya da zamanlanmış yedekleme, çalışmayı durdurana kadar fark edilmeyebilir.
Bu fırsatı, her sorumluluğun kime ait olduğuna karar vermek için kullanın. İşletim sistemi güncellemelerinden, web sitesi güncellemelerinden ve yedeklerin geri yüklenmesini denetlemekten birileri sorumlu olmalıdır. Küçük bir ekipte bu kişi tek bir kişi olabilir. Önemli olan, görevin “muhtemelen bunu yapmalıyız” gibi belirsiz bir kategoriye girmek yerine bir sahibinin olmasıdır.
Önce Yönetici Erişimini Güvenceye Alın
Uzaktan yönetim, sunucudaki en değerli hedeflerden biridir. Bir saldırgan ayrıcalıklı erişim elde ederse diğer denetimlerin faydası büyük ölçüde azalır. Önce kimlerin ve nasıl oturum açabileceğini kısıtlayın.
Yönetici erişimi için mümkün olduğunda parola yerine SSH anahtarları kullanın. Anahtarları tahmin etmek daha zordur ve parola bir kontrol panelinde, e-posta hesabında ve sunucuda yeniden kullanıldığında ortaya çıkan yaygın sorunu önler. Özel anahtarları parola ifadeleriyle koruyun ve bir yüklenicinin ya da çalışanın erişime artık ihtiyacı kalmadığında anahtarlarını hemen kaldırın.
Doğrudan root oturum açma genellikle devre dışı bırakılmalıdır. Yöneticiler kişisel hesaplarıyla oturum açabilir ve yükseltilmiş ayrıcalıkları yalnızca gerektiğinde kullanabilir. Bu, sorumluluğu daha açık hâle getirir ve paylaşılan tek bir süper kullanıcı kimlik bilgisini kullanma eğilimini azaltır.
İş akışınız uygunsa, bir güvenlik duvarı veya izin verilenler listesi aracılığıyla SSH erişimini IP adresine göre kısıtlayın. Bu yöntem, sabit bir ofis, VPN veya bilinen bir yönetim ağı için işe yarar. Konum değiştirerek çalışanlar için kullanışsız olabilir; bu nedenle bir VPN ya da dikkatle yönetilen bir erişim hizmeti, güvenlik duvarı kurallarını sürekli düzenlemekten daha uygun olabilir.
İki faktörlü kimlik doğrulama, sunucu kontrol panelleri ve diğer yönetim araçları için yararlı bir katman daha ekler. Zayıf izinleri veya güncel olmayan yazılımları düzeltmez, ancak çalınan bir parolanın hesabın tamamen ele geçirilmesine yol açmasını engelleyebilir.
Ağı Sakin Tutun
Dinleme yapan her bağlantı noktası, var olmak için bir gerekçe gerektiren bir kapıdır. Çoğu web sitesi sunucusu yalnızca az sayıda herkese açık hizmete ihtiyaç duyar; genellikle 80 ve 443 numaralı bağlantı noktalarından web trafiğine ve dikkatle denetlenen yönetici erişimine. Belirli bir gereksinim olmadıkça veritabanı bağlantı noktaları, önbellek hizmetleri ve dahili kontrol panelleri genellikle internete açık olmamalıdır.
Gelen trafik için varsayılan olarak reddetme yaklaşımıyla bir güvenlik duvarı yapılandırın: açıkça izin verilmeyenleri engelleyin. Ardından bir hizmet eklediğinizde, veritabanını taşıdığınızda veya e-posta yapılandırmasını değiştirdiğinizde kuralları gözden geçirin. Geçici bir taşıma işlemi için anlamlı olan bir güvenlik duvarı kuralı, kimse yeniden incelemezse kalıcı bir zayıflığa dönüşebilir.
Hız sınırlama ve saldırı önleme, özellikle SSH ve e-posta hizmetlerine yönelik yoğun parola tahmin girişimlerini azaltabilir. Bu araçları sihirli çözümler değil, caydırıcı engeller olarak görün. Otomatik saldırıları yönetmeye yardımcı olurlar, ancak anahtar tabanlı erişimin, güncellemelerin veya makul kullanıcı izinlerinin yerini tutmazlar.
İşletim Sistemini ve Uygulamaları Güncelleyin
Güncellenmemiş yazılımlar, sunucuların ele geçirilmesinin en öngörülebilir yollarından biridir. İşletim sistemi paketleri, web sunucusu, PHP, veritabanları, kontrol panelleri, WordPress çekirdeği, eklentiler, temalar ve özel uygulamaların tüm bağımlılıkları ilgi gerektirir.
Doğru güncelleme takvimi ortamınıza bağlıdır. İşletim sistemi için güvenlik güncellemeleri hızla uygulanmalı, daha büyük sürüm değişiklikleri ise önceden test edilmelidir. İş açısından kritik bir site için mümkün olduğunda hazırlık ortamı kullanın ve uyumluluğu etkileyebilecek değişiklikler için bakım aralıkları planlayın. Basit bir tanıtım sitesi için, büyük bir güncelleme zahmetli göründüğünden yamaları aylarca ertelemek genellikle daha büyük bir risktir.
Otomasyon yardımcı olur, ancak sınırları belirlenmelidir. Otomatik güvenlik güncellemeleri temel paketlere yönelik riskleri azaltabilirken uygulama güncellemeleri onay veya test gerektirebilir. Başarısız bir paket kurulumu fark edilmeden kalmasın diye güncelleme sonuçlarını izleyin.
Kullanıcılara ve Dosyalara En Az Ayrıcalık İlkesini Uygulayın
Kişiler ve süreçler yalnızca ihtiyaç duydukları erişime sahip olmalıdır. Tek bir web sitesini güncelleyen bir geliştiricinin tam root erişimine ihtiyacı yoktur. Tek bir uygulama için kullanılan veritabanı kullanıcısının sunucudaki tüm veritabanlarını değiştirme izni olmamalıdır. Ele geçirilmiş bir WordPress hesabı, kontrol panelinin de otomatik olarak yönetilmesine yol açmamalıdır.
Kullanıcı hesaplarını düzenli olarak gözden geçirin. Eski hesapları kaldırın, kullanılmayan kimlik bilgilerini devre dışı bırakın ve paylaşılan oturum açma bilgilerini kullanmaktan kaçının. Paylaşılan kimlik bilgileri, bir değişikliği kimin yaptığını belirlemeniz ya da diğer herkesi etkilemeden tek bir kişinin erişimini kaldırmanız gerekene kadar hızlı bir çözüm gibi görünür.
Dosya izinleri de aynı özeni gerektirir. Web uygulamalarının yükleme dizinleri veya önbellekler gibi bazı klasörlere yazma erişimi olması gerekir; ancak tüm kod tabanlarına yazma erişimleri olması şart değildir. Uygulama yapılandırma dosyalarını koruyun, yedeklere ve günlük dosyalarına herkese açık erişimi engelleyin ve barındırılan her hesabın diğerlerinden yalıtıldığından emin olun.
Barındırma ortamlarında hesapların birbirinden ayrılması büyük önem taşır. Güvenlik açığı bulunan bir site, başka bir müşterinin dosyalarına kolayca erişememelidir. FASTPANEL, web sitesi hesaplarının, alan adlarının, veritabanlarının ve sunucu ayarlarının tek bir yerden görünür olmasını sağlayarak bu sınırları yönetmeyi kolaylaştırır ve rutin işleri komut satırında uzun bir yolculuğa dönüştürmez.
Yalnızca Sunucuyu Değil, Web Teknolojileri Yığınını da Güçlendirin
İyi yapılandırılmış bir güvenlik duvarı, güncel olmayan bir eklentiyi veya hata ayıklama çıktısını açığa çıkaran bir uygulamayı koruyamaz. Web güvenliği, sunucu güvenliğinin bir parçasıdır.
Her site için HTTPS kullanın ve düz HTTP trafiğini uygun şekilde yönlendirin. TLS ayarlarını güncel tutun, sertifikaları süreleri dolmadan yenileyin ve eski test sertifikalarını ya da terk edilmiş sanal ana makineleri kaldırın. Açık bir amaca hizmet etmediği sürece dizin listelemeyi devre dışı bırakın; geliştirme araçlarını, yükleyicileri veya test sayfalarını üretim alan adlarında erişilebilir bırakmayın.
PHP tabanlı web sitelerinde, tehlikeli işlevleri yalnızca uygulama gereksinimlerini kontrol ettikten sonra devre dışı bırakın. Kısıtlayıcı ayarlar riski azaltabilir, ancak aşırı katı bir yapılandırma içe aktarma işlemlerini, görsel işlemeyi, yedeklemeleri veya dağıtım araçlarını bozabilir. Pratik amaç, kimsenin güvenle değiştiremeyeceği bir güvenlik ayarları yığını değil, denetimli bir ortam oluşturmaktır.
Veritabanı kimlik bilgilerini, API belirteçlerini ve özel anahtarları koruyun. Bunları herkese açık web dizinlerinin dışında saklayın, dosya erişimini kısıtlayın ve bir kod deposunda, destek talebinde veya korumasız yedekte görünürlerse değiştirin. Gizli bilgiler, amaçlanandan daha uzağa yayılma eğilimindedir.
Yedekleme ve İzleme, Güvenliği Güçlendirmeyi İşe Yarar Kılar
Güvenliği güçlendirilmiş bir sunucu da arızalanabilir. Donanımlarda sorun çıkabilir, güncellemeler ters gidebilir ve ele geçirilmiş bir sitenin geri yüklenmesi gerekebilir. Yedekler, işaretlenecek bir kutu değil, kurtarma planınızdır.
Yedekleri korudukları sunucudan ayrı tutun. Bir saldırgan sunucuyu kontrol altına alırsa, sunucuya yerel olarak bağlı yedekler de silinebilir veya şifrelenebilir. Birden fazla geri yükleme noktası saklayın, yedekleme verilerini şifreleyin ve geri yüklemeleri düzenli olarak test edin. Hiç geri yüklenmemiş bir yedek, umut vaat eden bir dosyadan ibarettir.
İzleme süreci tamamlar. Disk alanını, bellek baskısını, CPU yükünü, hizmet kullanılabilirliğini, sertifika sürelerinin dolmasını, başarısız oturum açma girişimlerini ve olağandışı giden etkinlikleri izleyin. Uyarılar eyleme geçirilebilir olmalıdır. Her küçük olay birini uyandırırsa, uyarılar sonunda görmezden gelinir. Kullanılabilirliği, verileri veya yetkisiz erişimi etkileyebilecek olaylarla başlayın.
Günlükler, bir olaydan sonra da aynı derecede değerlidir. Merkezi günlük kaydı daha büyük ortamlar için yararlıdır; ancak daha küçük bir sunucu bile kimlik doğrulama, web, sistem ve uygulama günlüklerinin saklanmasından fayda görür. Diski doldurmadan incelemeleri destekleyecek bir saklama süresi belirleyin.
Sunucu Güvenliğini Güçlendirmeyi Sürekli Bakım Olarak Ele Alın
Sunucu güvenliğini güçlendirme, kurulum sırasında tamamlanan tek seferlik bir kontrol listesi değildir. Yeni siteler eklenir, ekip üyeleri değişir, paketlerde güvenlik açıkları ortaya çıkar ve eski geçici istisnalar unutulup kalıcı ayarlara dönüşür.
Düzenli aralıklarla gözden geçirme planlayın. Kullanıcı hesaplarını ve SSH anahtarlarını, güvenlik duvarı kurallarını, bekleyen güncellemeleri, yedek geri yükleme sonuçlarını, sertifika durumunu ve herkese açık ağ arayüzlerini dinleyen hizmetleri kontrol edin. Büyük bir dağıtım ya da olaydan sonra nelerin değiştiğini ve bir denetimin ayarlanması gerekip gerekmediğini gözden geçirin.
Amaç kâğıt üzerinde kusursuz olmak değildir. Amaç, web siteleriniz ve işletmeniz büyürken anlaşılır, kurtarılabilir ve kötüye kullanılması zor bir sunucuya sahip olmaktır. Yönetici erişimi, güncellemeler, güvenlik duvarları, izinler ve test edilmiş yedeklerle başlayın. Bu adımlar, karmaşık güvenlik araçlarıyla dolu bir çekmeceden daha fazla sorunu önler.