WordPress .htaccess Güvenlik Kodu Oluşturucu

.htaccess Nedir?

.htaccess, Apache sunucularda dizin bazlı yapılandırma sağlayan bir dosyadır. WordPress bunu kalıcı bağlantı (permalink) yapısı için zaten kullanır. Güvenlik kuralları eklendiğinde, saldırı isteği WordPress'e hiç ulaşmadan sunucu seviyesinde engellenir — bu, eklenti tabanlı korumadan daha hafif ve hızlıdır.

Kuralları Nereye Eklemeliyim?

Kodu, sitenizin kök dizinindeki .htaccess dosyasının en üstüne, WordPress'in kendi bloğu olan # BEGIN WordPress satırından önce ekleyin. WordPress bloğunun içine yazarsanız, WordPress ayarları güncellediğinde eklediğiniz kurallar silinir.

Uploads Kuralı Ayrı Dosyaya Gider

"Uploads klasöründe PHP çalıştırmayı engelle" kuralı, kök dizindeki dosyaya değil wp-content/uploads/ klasörü içinde ayrı bir .htaccess dosyasına eklenmelidir. Aksi halde sitenizin tüm PHP dosyalarını engelleyerek siteyi durdurursunuz.

Nginx Kullanıyorsanız

Bu kurallar Apache içindir. Sunucunuz Nginx ise .htaccess dosyası hiç okunmaz; eşdeğer koruma için Nginx yapılandırma dosyanızda ayrı kurallar tanımlanması gerekir. Hangi sunucuyu kullandığınızı hosting sağlayıcınızdan öğrenebilirsiniz.

Güvenlik Katmanlı Olmalı

.htaccess kuralları tek başına yeterli değildir; güçlü şifre (Şifre Oluşturucumuzu kullanın), güncel WordPress çekirdeği ve eklentileri, düzenli yedek ve iki adımlı doğrulama birlikte çalışmalıdır. Profesyonel destek için WordPress güvenlik hizmetimize göz atın.

Kurallar Neyi Korur?

Oluşturucunun ürettiği kuralların her biri belirli bir saldırı yüzeyini kapatır. wp-config.php koruması, veritabanı bilgilerini ve güvenlik anahtarlarını içeren bu kritik dosyaya tarayıcı üzerinden doğrudan erişimi engeller. Dizin listeleme engeli, içinde index dosyası bulunmayan klasörlerin içeriğinin bir liste halinde görüntülenmesini önler; böylece eklenti ve tema dosyalarınızın yapısı dışarıdan keşfedilemez. .htaccess dosyasının kendisini korumak da saldırganların sunucu yapılandırmanızı okumasını engeller. Bu dosyalar saldırganlar için sitenin haritası gibidir.

XML-RPC engeli, kaba kuvvet giriş denemelerinde sıklıkla hedef alınan bu eski uzaktan erişim arayüzünü kapatır. Yazar numaralandırmasını engelleyen kurallar ise sitenizdeki kullanıcı adlarının adres üzerinden tahmin edilmesini zorlaştırır. Bu kuralların hiçbiri tek başına sitenizi tamamen güvenli kılmaz, ancak otomatik saldırı araçlarının en sık denediği yolları kapatarak riski belirgin biçimde azaltır. Bu tür koruma katmanlarının güncel kalması ve düzenli kontrol edilmesi için WordPress bakım hizmetimizi inceleyebilirsiniz.

Güvenlik Başlıklarını Anlamak

Güvenlik başlıkları, sunucunun her yanıtla birlikte tarayıcıya gönderdiği ve tarayıcının sayfayı nasıl işleyeceğini belirleyen talimatlardır. Sitenizin başka bir sitenin içinde çerçeve olarak gösterilmesini engelleyen başlık, tıklama tuzağı saldırılarına karşı koruma sağlar. İçerik türü tahminini engelleyen başlık, tarayıcının dosyaları beklenmeyen bir biçimde yorumlamasının önüne geçer. Yönlendiren bilgisi politikası ise ziyaretçi başka bir siteye geçtiğinde hangi adres bilgisinin paylaşılacağını sınırlar. Bu başlıklar sitenin görünümünü değiştirmez, ancak tarayıcı tarafında önemli bir savunma katmanı ekler.

HTTPS'in zorunlu kılınmasını sağlayan HSTS başlığı güçlü bir korumadır, ancak dikkatle uygulanmalıdır. Bu başlık etkinleştirildiğinde tarayıcılar sitenize belirlenen süre boyunca yalnızca güvenli bağlantıyla erişir; SSL sertifikanızda bir sorun yaşanırsa ziyaretçiler siteye hiç ulaşamayabilir. İçerik güvenlik politikası ise çok güçlü ama yanlış yapılandırıldığında sitenin işlevlerini bozabilen karmaşık bir başlıktır ve test edilmeden eklenmemelidir. HTTPS ve güvenli bağlantı yapısının arama görünürlüğüyle uyumu için teknik SEO hizmetimizi inceleyebilirsiniz.

Kodu Güvenli Biçimde Uygulama Adımları

Kuralları eklemeden önce mevcut .htaccess dosyanızın bir kopyasını bilgisayarınıza indirin; bir sorun çıktığında bu kopyayı geri yüklemek siteyi saniyeler içinde eski haline döndürür. Dosyaya hosting panelinizdeki dosya yöneticisi veya FTP ile erişebilirsiniz. Gizli dosyalar varsayılan olarak görünmeyebileceği için dosya yöneticisinde gizli dosyaları gösterme seçeneğini açmanız gerekebilir. Kuralları tek seferde değil, birer birer ekleyip her eklemeden sonra siteyi kontrol etmek, sorun çıkaran kuralı hızla bulmanızı sağlar.

Her kuraldan sonra yalnızca ana sayfayı değil, sitenin kritik işlevlerini de test edin: yönetim paneline giriş, iletişim formu gönderimi, medya yükleme, e-ticaret sitelerinde sepet ve ödeme adımları. Önbellek eklentisi veya sunucu önbelleği kullanıyorsanız test öncesinde önbelleği temizleyin; aksi halde değişikliğin etkisini göremeyebilirsiniz. Tüm testler başarılı olduğunda son dosyanın da bir yedeğini alın. Uygulama sırasında beklenmedik bir sorunla karşılaşırsanız WordPress destek hizmetimizden yardım alabilirsiniz.

Paylaşımlı Hosting ve LiteSpeed Sunucularda Dikkat Edilecekler

Türkiye'deki paylaşımlı hosting hizmetlerinin önemli bir kısmı Apache veya LiteSpeed sunucular kullanır ve her ikisi de .htaccess dosyasını okur. LiteSpeed, Apache kurallarının büyük çoğunluğuyla uyumludur; ancak bazı modüllere bağlı kurallar her sunucu yapılandırmasında desteklenmeyebilir. Hosting sağlayıcınız belirli direktiflerin kullanımını kısıtlamış olabilir; bu durumda desteklenmeyen bir kural 500 hatasına yol açar. Bu nedenle kuralları birer birer eklemek paylaşımlı ortamlarda özellikle önemlidir.

Hosting panelinde ayrıca güvenlik veya önbellek ayarları sunan araçlar varsa, bu araçlar .htaccess dosyasına kendi kurallarını yazabilir. Panelden yapılan bir ayar değişikliği, sizin eklediğiniz kurallarla çakışabilir veya onların üzerine yazabilir. Değişiklik yaptıktan sonra dosyanın son halini kontrol etmek bu sorunları erken fark etmenizi sağlar. Güvenlik ve performans ayarları baştan doğru yapılandırılmış bir sunucu ortamı için WordPress hosting hizmetimizi inceleyebilirsiniz. Panel güncellemelerinden sonra da aynı kontrolü tekrarlayın.

Güvenlik Eklentisi ile .htaccess Kuralları Birlikte Nasıl Çalışır?

Güvenlik eklentileri ile .htaccess kuralları birbirinin alternatifi değil, tamamlayıcısıdır. .htaccess kuralları istekleri WordPress yüklenmeden önce, sunucu seviyesinde durdurduğu için hafiftir ve sunucu kaynaklarını korur. Güvenlik eklentileri ise giriş denemesi sınırlama, iki adımlı doğrulama, dosya değişikliği izleme ve kötü amaçlı yazılım taraması gibi uygulama seviyesinde çalışan işlevler sunar. İkisini birlikte kullanmak katmanlı bir savunma oluşturur. Biri kapıyı kilitler, diğeri içeride olanı izler.

Dikkat edilmesi gereken nokta, bazı güvenlik eklentilerinin de .htaccess dosyasına kendi kurallarını yazmasıdır. Oluşturucudan aldığınız kurallarla eklentinin eklediği kurallar aynı işi yapıyorsa, tekrar eden kurallar karışıklığa yol açabilir. Eklentinin hangi kuralları eklediğini kontrol edin ve yalnızca eklentinin kapsamadığı korumaları elle ekleyin. Sitenizin güvenliğini sunucu, uygulama ve kullanıcı katmanlarında bütünsel olarak ele almak için WordPress güvenlik hizmetimizi inceleyebilirsiniz. Eklenti güncellemelerinden sonra dosyayı yeniden gözden geçirin.