Saldırganlar çoğu zaman sizi seçmez; açık kapıyı seçer. İşletme sahibinin kendi kontrol edebileceği güvenlik listesi.
Küçük bir işletme sitesine kim saldırır ki? Aslında saldırıların çoğu hedefli değildir: otomatik programlar internetteki milyonlarca siteyi tarar ve bilinen açığı olan, zayıf parolalı ya da güncellenmemiş olanlara girer. Bu yazıda web sitesi güvenliğinin nasıl sağlandığını işletme sahibinin anlayacağı dille, madde madde anlatıyoruz.
Temel koruma
1. SSL sertifikası (HTTPS)
Adres çubuğunda kilit simgesi olmalı. SSL, ziyaretçi ile site arasındaki bilgiyi şifreler; form ve ödeme sayfaları için şarttır. Ücretsiz sertifikalar yeterlidir, önemli olan otomatik yenilenmesidir.
2. Güçlü ve benzersiz yönetici parolası
"123456", firma adı ya da doğum yılı kullanmayın. En az 12 karakter, başka hiçbir yerde kullanmadığınız bir parola seçin. Parola yöneticisi kullanmak işi kolaylaştırır.
3. Yönetim paneline giriş koruması
Arka arkaya hatalı girişlerde beklemeye alma (kaba kuvvet koruması) olmalı. Panel giriş bilgilerini e-posta ya da WhatsApp ile kimseye düz metin göndermeyin.
4. Güncel yazılım
Site yazılımı ve eklentiler güncel tutulmalı. Saldırıların büyük kısmı, yaması çoktan çıkmış eski açıklardan yapılır. Kullanmadığınız eklentileri silin.
5. Düzenli ve ayrı yerde yedek
Yedek, sitenin durduğu sunucudan ayrı bir yerde de bulunmalı. Saldırı ya da hata sonrası en hızlı kurtuluş yolu yedektir.
Formlar ve dosyalar
6. Form koruması
İletişim ve kayıt formları otomatik spam gönderimine karşı korunmalı; form verileri doğrulanmadan veritabanına yazılmamalıdır.
7. Dosya yükleme sınırları
Sitenize dosya yükleme alanı varsa yalnız izin verilen türler (görsel, PDF) kabul edilmeli ve yüklenen klasörde dosyaların çalıştırılması engellenmelidir.
8. Hata mesajlarının gizlenmesi
Bir sorun olduğunda ziyaretçiye teknik hata ayrıntısı gösterilmemeli; bu bilgiler saldırgana sistem hakkında ipucu verir.
Ödeme ve kişisel veri
9. Kart bilgisini saklamayın
Kartla ödeme alıyorsanız kart bilgisi sizin sitenizde değil, ödeme kuruluşunun güvenli sayfasında girilmeli. Bkz. sanal POS nasıl çalışır.
10. Kişisel verileri gereğinden fazla toplamayın
Formunuz yalnız ihtiyaç duyduğunuz bilgiyi istesin. Toplanan veri ne kadar azsa sızıntı riski de o kadar azdır. KVKK yükümlülükleri için web sitesinde zorunlu yasal metinler yazımıza bakın.
Alan adı ve e-posta
11. Alan adı hesabınızın güvenliği
Alan adınızın kayıtlı olduğu hesabın parolası da güçlü olmalı; yenileme tarihlerini kaçırmayın. Kaybedilen alan adı, kaybedilen sitedir.
12. Kurumsal e-postada dikkat
"Faturanız ekte", "hesabınız askıya alındı" gibi sahte e-postalardaki bağlantılara tıklamayın; panel girişini her zaman adres çubuğuna kendiniz yazarak yapın.
Sitem saldırıya uğradıysa ne yapmalıyım?
- Yönetici ve barındırma parolalarını hemen değiştirin.
- Barındırma sağlayıcınıza haber verin; temiz bir yedekten geri dönülmesini isteyin.
- Açığın nereden olduğu bulunmadan siteyi aynı hâliyle tekrar açmayın.
- Kişisel veri sızdıysa KVKK'daki bildirim yükümlülüğünü değerlendirin.
Sık sorulan sorular
Web sitesi güvenliği nasıl sorgulanır?
Tarayıcıda kilit simgesine bakarak SSL'i, ücretsiz araçlarla da güvenlik başlıklarını ve temel ayarları kontrol edebilirsiniz. Sitenizin SSL, hız ve güvenlik durumunu ücretsiz site analizi aracımızla tek sayfada görebilirsiniz.
Hazır siteler daha mı güvensiz?
Hayır; önemli olan yazılımın düzenli denetlenmesi ve güncellenmesidir. Tek bir merkezden yönetilen hazır sitelerde bir açık bulunduğunda düzeltme tüm sitelere birlikte uygulanabilir.
YTASoft sitelerinde SSL sertifikası kurulumda otomatik etkinleşir ve yenilenir; isteyenler sitesine aylık Güvenlik Paketi ve Otomatik Yedekleme ekleyebilir. Hazır web sitelerine göz atın.
Bu yazıda anlatılan bölümlerin hazır olduğu tasarımlar: Sentinel Akıllı Güvenlik · Anadolu Alarm Güvenlik · Nöbet Güvenlik Sistemleri.