Web Sitesi İçin Kapsamlı Güvenlik ve Şifreleme Rehberi

Web Siteniz İçin Gelişmiş Güvenlik ve Şifreleme Ayarları: Kapsamlı Rehber

Web güvenliği, dijital çağın en kritik konularından biri haline gelmiştir. 2023 yılında siber saldırılar %67 oranında artış göstermiş olup, küçük ve orta ölçekli web sitelerinin %43'ü en az bir güvenlik ihlali yaşamıştır. Bu rehberde, web sitenizi korumak için ihtiyacınız olan tüm gelişmiş güvenlik ve şifreleme ayarlarını detaylı olarak ele alacağız.

SSL/TLS Sertifikaları ve HTTPS Yapılandırması

SSL (Secure Sockets Layer) ve TLS (Transport Layer Security) sertifikaları, web siteniz ile kullanıcılar arasındaki iletişimi şifreleyen temel güvenlik bileşenleridir. Google'ın 2023 verilerine göre, HTTPS kullanan siteler arama sonuçlarında %5-10 arası sıralama avantajı elde etmektedir.

SSL Sertifikası Türleri ve Seçim Kriterleri

Farklı SSL sertifikası türleri, farklı güvenlik düzeyleri sunmaktadır. Doğru seçim, sitenizin yapısına ve güvenlik gereksinimlerine bağlıdır.

Sertifika Türü	Doğrulama Düzeyi	Garanti Tutarı	Uygun Kullanım
Domain Validation (DV)	Temel	$10,000	Bloglar, kişisel siteler
Organization Validation (OV)	Orta	$50,000	Kurumsal web siteleri
Extended Validation (EV)	Yüksek	$100,000+	E-ticaret, finansal siteler

Modern TLS Yapılandırması

TLS 1.2 ve TLS 1.3 protokollerini etkinleştirmek, eski ve güvensiz SSL sürümlerini devre dışı bırakmak kritik önem taşır. Sunucu yapılandırması sırasında aşağıdaki ayarları uygulamanızı öneriyoruz:

• TLS 1.3'ü etkinleştirin - %40 daha hızlı bağlantı sunar
• TLS 1.2'yi minimum olarak kullanın
• SSL 2.0, SSL 3.0 ve TLS 1.0/1.1'i tamamen devre dışı bırakın
• Güçlü şifre paketleri (cipher suites) tercih edin

HTTP Güvenlik Başlıkları

HTTP güvenlik başlıkları, tarayıcı ile sunucu arasındaki iletişimi koruyan kritik güvenlik mekanizmalarıdır. Doğru yapılandırılmış başlıklar, XSS, clickjacking ve MIME-type sniffing gibi saldırıları önler.

Temel Güvenlik Başlıkları

Sunucunuzda yapılandırmanız gereken temel güvenlik başlıkları şunlardır:

1. Strict-Transport-Security (HSTS): Tarayıcının yalnızca HTTPS bağlantıları kullanmasını zorunlu kılar. Max-age değerini en az 31536000 (1 yıl) olarak ayarlayın.
2. Content-Security-Policy (CSP): Kaynak yükleme kurallarını tanımlayarak XSS saldırılarını engeller.
3. X-Frame-Options: Sitelerinizin iframe içinde gösterilmesini kontrol eder, clickjacking önlemi sağlar.
4. X-Content-Type-Options: MIME type sniffing'i engeller, nosniff değeri kullanılmalıdır.
5. Referrer-Policy: Kullanıcı verilerinin sızmasını önlemek için referans bilgisi kontrolü sağlar.

Nginx Yapılandırma Örneği

Nginx kullanıyorsanız, nginx yapılandırma rehberimizde detaylı bilgi bulabilirsiniz. Aşağıda temel güvenlik başlıkları için örnek yapılandırma verilmektedir:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header Content-Security-Policy "default-src 'self';" always;
add_header X-Frame-Options "DENY" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Parola Güvenliği ve Kimlik Doğrulama

Güçlü parola politikaları oluşturmak, yetkisiz erişimi önlemenin temel adımlarından biridir. Araştırmalara göre, tüm siber ihlallerin %81'i zayıf veya çalınmış parolalardan kaynaklanmaktadır.

Etkili Parola Politikası Oluşturma

Etkili bir parola politikası için aşağıdaki kuralları uygulamanızı öneriyoruz:

• Minimum 12 karakter uzunluğu zorunlu kılın
• Büyük harf, küçük harf, rakam ve özel karakter kombinasyonu gerektirin
• Yaygın parolaların kullanımını engelleyen bir kara liste oluşturun
• Parola değişikliğini 90 günde bir zorunlu kılın
• Çok faktörlü kimlik doğrulama (MFA) entegrasyonu sağlayın

İki Faktörlü Kimlik Doğrulama (2FA)

2FA, parolanız ele geçirilse bile hesabınızı koruyan kritik bir güvenlik katmanıdır. Google'ın araştırmasına göre, 2FA kullanımı hesap ele geçirme riskini %99 oranında azaltmaktadır.

TOTP (Time-based One-Time Password) algoritması kullanan authenticator uygulamaları veya donanım anahtarları (YubiKey gibi) en güvenli seçenekler arasındadır. SMS tabanlı 2FA ise daha az güvenli olmakla birlikte, temel koruma için yeterlidir.

Sunucu Güvenlik Yapılandırması

Sunucu tarafındaki güvenlik yapılandırması, web sitenizin genel güvenlik duruşunun temelini oluşturur. Sunucu güvenliği konusunda gereksiz servisleri kapatmak, saldırı yüzeyini önemli ölçüde azaltır.

Gereksiz Servis ve Port Kapatma

Sunucunuzda çalışan gereksiz servisler, potansiyel saldırı vektörleri oluşturur. Aşağıdaki adımları izleyin:

1. Çalışan tüm servisleri listeleyin ve her birinin gerekliliğini değerlendirin
2. Gereksiz portları firewall kurallarıyla engelleyin
3. SSH erişimi için varsayılan portu (22) değiştirin
4. Fail2Ban gibi intrusion detection sistemleri kurun
5. Düzenli güvenlik güncellemelerini otomatikleştirin

Root Erişiminin Kısıtlanması

Doğrudan root erişimi büyük bir güvenlik riski oluşturur. SSH anahtar tabanlı kimlik doğrulama kullanarak password authentication'ı devre dışı bırakmanızı öneriyoruz. Ayrıca, sudo kullanımı zorunlu kılarak yetki yükseltme işlemlerini denetleyebilirsiniz.

Veri Şifreleme ve Koruma

Hem aktarım halindeki (in-transit) hem de durağan (at-rest) verilerin şifrelenmesi, kapsamlı bir güvenlik stratejisinin zorunlu bileşenleridir.

Veritabanı Şifreleme

Veritabanınızda saklanan hassas verileri şifrelemek, veri sızıntısı durumunda bilgilerin korunmasını sağlar. MySQL veya PostgreSQL kullanıyorsanız, Transparent Data Encryption (TDE) özelliğini etkinleştirin.

SSD depolama kullanırken donanım tabanlı şifreleme (AES-NI) performans kaybı olmadan veri koruma sağlar.

Yedekleme Şifreleme

Yedeklerin şifrelenmesi, fidye yazılımı saldırılarına karşı kritik bir koruma katmanıdır. Aşağıdaki yöntemleri uygulayın:

• GPG veya OpenSSL ile yedek dosyalarını şifreleyin
• Yedekleme sunucusuna erişim için güçlü parolalar kullanın
• Çoklu konumda yedekleme stratejisi uygulayın
• Yedeklerin bütünlüğünü düzenli olarak doğrulayın

Güvenlik Duvarı ve İzleme Sistemleri

Web Application Firewall (WAF), sitenize yönelik saldırıları gerçek zamanlı olarak tespit eder ve engeller. Cloudflare, Sucuri veya ModSecurity gibi WAF çözümleri yaygın olarak kullanılmaktadır.

Temel Güvenlik Duvarı Kuralları

Etkili bir güvenlik duvarı yapılandırması için:

1. Tüm gelen bağlantıları varsayılan olarak engelleyin
2. Yalnızca gerekli portları (80, 443, SSH) açın
3. IP adresi bazlı速率 sınırlama (rate limiting) uygulayın
4. Coğrafi kısıtlamalar ile şüpheli bölgelerden erişimi engelleyin
5. Düzenli kural gözden geçirmesi yapın

Güvenlik Günlükleri ve İzleme

Güvenlik olaylarını izlemek, saldırıları erken aşamada tespit etmenizi sağlar. Sunucu hata izleme araçlarını güvenlik günlükleriyle entegre ederek kapsamlı bir izleme sistemi kurabilirsiniz.

Önerilen izleme araçları arasında fail2ban logları, Apache/Nginx error logları, authentication logları ve real-time alert sistemleri yer alır. ELK Stack (Elasticsearch, Logstash, Kibana) veya Splunk gibi araçlar merkezi günlük yönetimi için idealdir.

WordPress Güvenlik Önlemleri

WordPress, dünya çapında en yaygın kullanılan CMS olması nedeniyle siber saldırıların öncelikli hedeflerinden biridir. XML-RPC gibi varsayılan olarak açık özellikler ciddi güvenlik açıkları oluşturabilir.

XML-RPC Güvenliği

XML-RPC nedir ve neden kapatılmalı konusunda detaylı bilgi almak için blog yazımızı inceleyebilirsiniz. Kısaca, XML-RPC brute force saldırıları için kullanılabilmekte ve çoğu WordPress sitesi için gerekli değildir.

XML-RPC'yi devre dışı bırakmak için .htaccess dosyanıza aşağıdaki kodları ekleyebilirsiniz:

# XML-RPC engelle
<Files xmlrpc.php>
    Order Allow,Deny
    Deny from all
</Files>

Ek WordPress Güvenlik Adımları

• Güvenlik eklentileri (Wordfence, Sucuri) kullanın
• WP-config.php dosyasını koruma altına alın
• Veritabanı prefixini varsayılandan değiştirin
• Yönetici kullanıcı adını "admin" dışında bir şeye ayarlayın
• Düzenli tema ve eklenti güncellemeleri yapın

DNS ve Alan Adı Güvenliği

DNS yapılandırması, sitenizin erişilebilirliği ve güvenliği için kritik öneme sahiptir. DNS yayılımı sürecini doğru yönetmek, DNS hijacking saldırılarını önlemeye yardımcı olur.

DNS Güvenlik Kayıtları

DNSSEC (DNS Security Extensions), DNS yanıtlarının dijital imzalanmasını sağlayarak DNS spoofing saldırılarını önler. Alan adı sağlayıcınızdan DNSSEC'i etkinleştirmenizi öneriyoruz.

Ayrıca, SPF, DKIM ve DMARC kayıtlarını yapıland