WordPress çok kullanılan ve açık kaynak bir yazılım olduğu için ve wordpress için yapılmış birçok üçüncü parti yazılım ve eklentiler olduğu için tehditlere çok açıktır. Birçok wordpress kullanıcısı bu sebeplerden dolayı sanal saldırılara maruz kalmaktadır. Bunun önüne geçmek aslında biraz zor fakat alınacak tedbirlere saldırı olasılığı en aza indirilebilir. Bu yazıda wordpress kullanırken kendi aldığım önlemleri paylaşıyorum.

• Öncelikle bilinmesi gereken wordpress’te bulunan güvenlik açıklarını üç sınıfa ayırabiliriz.  En fazla güvenlik açığı bulunandan aza doğru bunlar; Eklentiler, WordPress core dosyaları ve Temalardır.
• Bu işin olmazsa olmazı sitenizi ve eklentileriniz güncel tutmaktır. Bu sebeple sık aralıklarla sitenizin ve eklentilerinizin güncel olup olmadığını kontrol etmeniz ve güncel değil ise güncellemeniz ilk yapmanız gerekendir.
• Login sayfanızın url’sini değiştirmeniz de çok önemli. Çünkü en fazla yapılan ataklar Brute Force ataklarıdır ve sizin login sayfanızı hedef almaktadırlar. Böylece login/admin sayfanızın url’sine direkt olarak kimse erişemeyecektir. Bu işlemi ben Protect WP-Admin eklentisiyle kolayca hallettim.
• Bellki aralıklara Admin Paneli > Kullanıcılar’a girip belirlediğiniz kullanıcıların dışında kullanıcı var mı kontrol etmek gerekiyor. Varsa hemen silinmelidir.
• Kullanmadığınız temaları kesinlikle silin. Bunların içine kod yerleştirilebiliyor veya açıkları kullanılabiliyor.
• Kullanmadığınız eklentileri kesinlikle kaldırın. Sitenize arka kapı kullanılarak yapılan girişlerde en çok tema ve eklenti klasörleri kullanılmaktadır.
• Sitenize en çok müdahale edilen ve backlink eklenen yer temanızın footer.php dosyasıdır. Ara ara bu dosyayı kontrol etmekte yarar var. Bu dosyanın alt kısımlarına sıklıkla backlink eklenmektedir. Görünüm > Tema Düzenleyici > Tema Alt Bölümü (footer.php)
• FTP’den ara ara dosyalarınızı kontrol etmekte yarar var. Bazı açıklar kullanılarak dosyalarınızın yanına ekstra klasörler açıp içerisine yeni sayfalar ekleyebiliyolar. Böyle klasörler varsa temizlenmelidir.
• Kullanıcı adınız Admin olmasın ve şifreniz de güçlü bir şifre olsun. Şifrenizi belirli periyotlarla değiştirebilirsiniz.