📌 İçindekiler
- Ücretsiz Hosting Güvenliği Nasıl Sağlanır?
- Ücretsiz Hosting Kullanırken Hangi Güvenlik Riskleriyle Karşılaşılır?
- Güvenli Bir Ücretsiz Hosting Sağlayıcısı Nasıl Seçilir?
- Sağlayıcıda Kontrol Edilmesi Gereken Özellikler
- Ücretsiz Hosting Güvenliği İçin Uygulanabilir Önlemler
- 1. Hosting, E-posta ve Alan Adı Hesaplarını Birlikte Koruyun
- 2. HTTPS’yi Etkinleştirin ve Sertifikayı Kontrol Edin
- 3. CMS, Tema ve Eklentileri Güncel Tutun
- 4. Dosya İzinlerini ve Hassas Bilgileri Koruyun
- 5. Hosting Dışında Düzenli Yedek Alın
- 6. Giriş Ekranlarını, Formları ve Dosya Yüklemelerini Sınırlayın
- 7. Gereksiz Özellikleri ve Veri Toplamayı Azaltın
- CDN, WAF ve Güvenlik Eklentileri Ne Kadar Yardımcı Olur?
- Sitenizin Güvenliğini Nasıl Takip Edebilirsiniz?
- Güvenlik İhlali Şüphesinde Ne Yapmalısınız?
Ücretsiz Hosting Güvenliği Nasıl Sağlanır?
📌 İlginizi Çekebilir: Ücretsiz Web Sitesi Veren Platformlar
Ücretsiz hosting, bütçe ayırmadan blog açmak, bir projeyi test etmek veya kişisel web sitesi yayınlamak için pratik bir başlangıçtır. Ancak maliyetin sıfır olması, güvenliğin kendiliğinden sağlandığı anlamına gelmez. Güncel olmayan yazılımlar, zayıf parolalar, eksik yedekler ve belirsiz hizmet koşulları; küçük bir web sitesini bile veri kaybı ve yetkisiz erişim riskiyle karşı karşıya bırakabilir.
Ücretsiz hosting güvenliği; doğru sağlayıcıyı seçmek, hesapları korumak, HTTPS kullanmak, yazılımları güncel tutmak ve geri yüklenebilir yedekler oluşturmakla sağlanır. Bununla birlikte sunucu altyapısının tamamı sizin kontrolünüzde değildir. Bu nedenle hangi önlemleri kendiniz uygulayabileceğinizi, hangileri için sağlayıcıya bağımlı olduğunuzu bilmeniz gerekir.
Ücretsiz Hosting Kullanırken Hangi Güvenlik Riskleriyle Karşılaşılır?
📌 İlginizi Çekebilir: Kodlama Bilmeden Ücretsiz Web Sitesi Yapma
Ücretsiz hosting hizmetleri aynı güvenlik seviyesine sahip değildir. Bazıları yönetilen ve izole ortamlar sunarken bazıları güncelleme, yedekleme ve erişim denetimi konusunda sınırlı imkân sağlar. Değerlendirmeyi yalnızca “ücretsiz” etiketine göre değil, hizmetin sunduğu somut özelliklere göre yapmak daha doğrudur.
- Paylaşımlı altyapı riskleri: Hesaplar arasındaki izolasyon yetersizse aynı sunucudaki başka bir sitenin güvenlik sorunu sizin sitenizi de etkileyebilir.
- Eski yazılım sürümleri: Güvenlik desteği sona ermiş PHP sürümleri veya güncellenmeyen uygulamalar bilinen açıklar barındırabilir.
- Sınırlı yedekleme: Sağlayıcı otomatik yedek sunmayabilir veya yedeklerin geri yüklenmesini ücretli tutabilir.
- Hesap askıya alma ve hizmet kapanması: Kullanım limitlerinin aşılması ya da hizmetin sonlandırılması, dosyalara erişimi kesebilir.
- Eksik izleme ve destek: Erişim günlüklerinin veya teknik desteğin sınırlı olması, saldırıların fark edilmesini ve çözülmesini zorlaştırabilir.
- Belirsiz veri politikaları: Dosyaların, günlüklerin ve ziyaretçi bilgilerinin nasıl işlendiği yeterince açıklanmayabilir.
Ücretsiz hosting her durumda güvensiz değildir; ücretli hosting de tek başına güvenlik garantisi vermez. Önemli olan altyapı, yönetim seçenekleri ve sitenizin ihtiyaçları arasındaki uyumdur.
Güvenli Bir Ücretsiz Hosting Sağlayıcısı Nasıl Seçilir?
Siteyi kurmadan önce sağlayıcının güvenlik özelliklerini ve kullanım koşullarını inceleyin. Henüz başlangıç aşamasındaysanız Ücretsiz Web Sitesi Nasıl Yapılır? yazısındaki kurulum seçeneklerini, aşağıdaki güvenlik ölçütleriyle birlikte değerlendirebilirsiniz.
Sağlayıcıda Kontrol Edilmesi Gereken Özellikler
- Ücretsiz SSL/TLS sertifikası ve mümkünse otomatik sertifika yenileme
- Kontrol panelinde iki faktörlü kimlik doğrulama
- Güvenlik desteği devam eden yazılım sürümleri
- Dosya ve veritabanlarını dışarı aktarma imkânı
- HTTPS üzerinden güvenli dosya yöneticisi veya SFTP desteği
- Hesap izolasyonu ve kötü amaçlı yazılımlara karşı koruma hakkında açık bilgi
- Erişim ve hata günlüklerine ulaşabilme
- Anlaşılır gizlilik politikası, kaynak limitleri ve hesap kapatma koşulları
Aşağıdaki tablo, temel güvenlik kontrollerini ve önerilen kontrol zamanlarını özetler. Sıklıklar başlangıç önerisidir; yoğun güncellenen veya kullanıcı verisi işleyen sitelerde daha sık kontrol gerekir.
| Güvenlik alanı | Asgari önlem | Önerilen kontrol zamanı | Azalttığı risk |
|---|---|---|---|
| HTTPS | Geçerli sertifika ve HTTP’den HTTPS’ye yönlendirme | Kurulumda, alan adı değişiminde ve düzenli izlemeyle | Aktarılan verilerin dinlenmesi veya değiştirilmesi |
| Hesap erişimi | Benzersiz parola ve mümkünse iki faktörlü doğrulama | Kurulumda ve erişim yetkileri değiştiğinde | Hesabın ele geçirilmesi |
| Yazılım güncellemeleri | Desteklenen sürümler ve güncel eklentiler | En az haftalık; kritik güvenlik yamalarında gecikmeden | Bilinen açıklardan yararlanılması |
| Yedekleme | Hosting dışında saklanan dosya ve veritabanı yedeği | İçerik değişim sıklığına göre günlük veya haftalık | Kalıcı veri kaybı |
| Geri yükleme | Yedeğin ayrı bir test ortamında denenmesi | İlk yedekte ve belirlenen düzenli aralıklarla | Kullanılamayan yedeklerin geç fark edilmesi |
| Kullanıcı yetkileri | Yalnızca gerekli erişimlerin verilmesi | Aylık ve ekip değişikliklerinde | Gereksiz ayrıcalıkların kötüye kullanılması |
Ücretsiz Hosting Güvenliği İçin Uygulanabilir Önlemler
1. Hosting, E-posta ve Alan Adı Hesaplarını Birlikte Koruyun
Web sitenizin güvenliği yalnızca yönetim paneli parolasına bağlı değildir. Hosting hesabına bağlı e-posta ele geçirilirse parola sıfırlama yoluyla diğer hesaplara da erişilebilir. Alan adı hesabının ele geçirilmesi ise ziyaretçilerin farklı bir sunucuya yönlendirilmesine neden olabilir.
- Her hesap için farklı, uzun ve tahmin edilmesi zor bir parola oluşturun.
- Parolaları güvenilir bir parola yöneticisinde saklayın.
- Desteklenen hesaplarda iki faktörlü doğrulamayı etkinleştirin.
- Kurtarma kodlarını hosting hesabından ayrı ve güvenli bir yerde tutun.
- Artık kullanılmayan kullanıcıları, API anahtarlarını ve açık oturumları kaldırın.
Parolaları sadece takvim gereği değiştirmek yerine, güçlü ve benzersiz parolalar kullanmaya odaklanın. Sızıntı şüphesi, yetkisiz erişim veya ortak kullanılan bir hesabın ekip değişikliği gibi durumlarda parolaları hemen yenileyin.
2. HTTPS’yi Etkinleştirin ve Sertifikayı Kontrol Edin
HTTPS, tarayıcı ile sunucu arasındaki iletişimi şifreler. Özellikle giriş ekranları ve iletişim formlarında kullanıcı bilgilerinin aktarım sırasında korunmasına yardımcı olur. Ancak kötü amaçlı eklentileri, zayıf parolaları veya uygulama açıklarını tek başına engellemez.
- Hosting panelinden ücretsiz SSL/TLS sertifikasını etkinleştirin.
- Site adresini HTTPS olarak yapılandırın ve HTTP isteklerini HTTPS’ye yönlendirin.
- Görsel, stil ve betik dosyalarının da HTTPS üzerinden yüklendiğini kontrol edin.
- Sertifikanın alan adınız için geçerli olduğunu ve otomatik yenilemenin çalıştığını doğrulayın.
Bir CDN veya ters proxy kullanıyorsanız yalnızca ziyaretçi ile CDN arasını değil, CDN ile hosting sunucusu arasındaki bağlantıyı da koruyun. Sağlayıcınız destekliyorsa kaynak sunucunun sertifikasını doğrulayan uçtan uca şifreleme seçeneğini tercih edin.
3. CMS, Tema ve Eklentileri Güncel Tutun
WordPress gibi bir içerik yönetim sistemi kullanıyorsanız çekirdek yazılımın, temaların ve eklentilerin güvenliği sizin sorumluluğunuzda olabilir. Yönetilen platformlarda ise bu görevlerin bir kısmını sağlayıcı üstlenir. Önce sorumluluk sınırlarını netleştirin.
- Güncellemelerden önce kullanılabilir bir yedek alın.
- Kritik güvenlik güncellemelerini geciktirmeyin.
- Kullanmadığınız eklenti ve temaları yalnızca devre dışı bırakmak yerine kaldırın.
- Yazılımları resmi depolardan veya geliştiricinin doğrulanmış sitesinden indirin.
- Korsan, lisansı kırılmış veya kaynağı belirsiz tema ve eklentiler kullanmayın.
- Otomatik güncellemelerin ardından sitenin temel işlevlerini kontrol edin.
Kurulum aşamasında az sayıda, bakımı sürdürülen bileşen seçmek sonraki güvenlik işlerini kolaylaştırır. Bu süreci planlamak için Ücretsiz Web Sitesi Kurma Rehberi içeriğinden yararlanabilirsiniz.
4. Dosya İzinlerini ve Hassas Bilgileri Koruyun
Dosya izinleri, hangi kullanıcıların dosyaları okuyabileceğini veya değiştirebileceğini belirler. Gereğinden geniş izinler, bir güvenlik açığının etkisini büyütebilir. Birçok Linux tabanlı hosting ortamında dosyalar için 644, klasörler için 755 yaygındır; ancak doğru değerler sunucunun çalışma biçimine ve dosya sahipliğine bağlıdır.
Bir hatayı çözmek için gelişigüzel 777 izni vermeyin. Sağlayıcının önerilerini izleyin ve uygulamaya yalnızca ihtiyaç duyduğu yazma yetkisini tanıyın. Parola, veritabanı bilgisi ve API anahtarı içeren dosyaları mümkünse herkese açık web dizininin dışında saklayın. Bu mümkün değilse doğrudan web erişiminin engellendiğini doğrulayın.
Yedek arşivlerini, eski yapılandırma dosyalarını ve ayrıntılı hata çıktılarını ziyaretçilerin erişebileceği alanlarda bırakmayın. Düz FTP yerine SFTP veya güvenli HTTPS dosya yöneticisini tercih edin.
5. Hosting Dışında Düzenli Yedek Alın
Aynı hosting hesabında tutulan tek yedek, hesabın silinmesi veya ele geçirilmesi durumunda yeterli değildir. Dosyaları ve varsa veritabanını, hosting hesabından bağımsız bir konumda saklayın. Statik sitelerde kaynak dosyaları ve dağıtım ayarlarını korumak da önemlidir.
- Yedekleme sıklığını kabul edebileceğiniz veri kaybına göre belirleyin.
- Son yedeğin yanında önceki sürümleri de saklayın; saldırı son yedeğe taşınmış olabilir.
- Kişisel veri ve erişim bilgisi içeren yedekleri şifreleyin.
- Yedek depolama hesabını ayrı parola ve iki faktörlü doğrulamayla koruyun.
- Geri yükleme işlemini düzenli olarak test edin.
Başarılı yedekleme bildirimi, başarılı geri yükleme garantisi değildir. Dosyaların açıldığını, veritabanının yüklenebildiğini ve sitenin çalıştığını test etmek gerekir.
6. Giriş Ekranlarını, Formları ve Dosya Yüklemelerini Sınırlayın
Giriş ekranları ve herkese açık formlar otomatik kötüye kullanımın hedefi olabilir. Platformunuzun desteklediği hız sınırlama, giriş denemesi kısıtlama ve spam önleme özelliklerini etkinleştirin. CAPTCHA yardımcı bir katmandır; tek başına güvenlik çözümü değildir.
Özel uygulama geliştiriyorsanız verileri sunucu tarafında doğrulayın, veritabanı işlemlerinde parametreli sorgular kullanın ve kullanıcı girdilerini gösterildikleri bağlama uygun biçimde kaçışlayın. Oturumla yapılan durum değiştirici işlemlerde CSRF koruması uygulayın.
Dosya yükleme gerekmiyorsa bu özelliği kapatın. Gerekiyorsa boyut ve tür sınırları belirleyin; yalnızca dosya uzantısına güvenmeyin. Yüklenen dosyaları mümkünse web kökü dışında saklayın ve bu alanda kod çalıştırılmasını engelleyin.
7. Gereksiz Özellikleri ve Veri Toplamayı Azaltın
Kullanılmayan her modül, bakım gerektiren ek bir bileşendir. İhtiyacınız olmayan üyelik, yorum, API erişimi ve uzaktan yönetim özelliklerini kapatın. Yalnızca tanıtım içeriği yayınlayacaksanız veritabanı ve sunucu tarafı uygulama gerektirmeyen statik bir site, saldırı yüzeyini azaltabilir. Yine de hesapların, bağımlılıkların ve yayınlama sürecinin korunması gerekir.
İletişim formlarında gereksiz kişisel bilgi istemeyin. Hassas veri işleyen projelerde sağlayıcının güvenlik, veri işleme ve erişim koşullarını ayrıca değerlendirin; gerekli güvenceler sağlanmıyorsa farklı bir altyapıya geçin.
CDN, WAF ve Güvenlik Eklentileri Ne Kadar Yardımcı Olur?
CDN, içerik dağıtımını iyileştirebilir; bazı hizmetler DDoS koruması, bot filtreleme veya web uygulaması güvenlik duvarı (WAF) özellikleri de sunar. Ancak ücretsiz planlarda bu özelliklerin kapsamı ve limitleri değişir. Bir CDN kullanmak, bütün saldırıların engellendiği anlamına gelmez.
Güvenlik eklentileri de giriş denemelerini sınırlama, dosya değişikliklerini izleme ve şüpheli işlemleri bildirme konusunda faydalı olabilir. Bununla birlikte sunucu izolasyonu sorunlarını çözemez ve sınırlı hosting kaynaklarını tüketebilir. Çok sayıda benzer eklenti kurmak yerine, ihtiyacınızı karşılayan ve düzenli güncellenen araçları tercih edin.
Sitenizin Güvenliğini Nasıl Takip Edebilirsiniz?
Güvenlik bir defalık kurulum değil, düzenli kontroldür. Küçük bir site için bile temel bir takip rutini oluşturmak, sorunların erken fark edilmesini sağlar.
- Hesap etkinliklerini inceleyin: Tanımadığınız girişleri ve yeni yönetici hesaplarını araştırın.
- Dosya değişikliklerini kontrol edin: Beklenmedik dosyalar veya değiştirilmiş yapılandırmalar uyarı işareti olabilir.
- HTTPS ve erişilebilirliği izleyin: Sertifika hataları veya kesintiler için bildirim kurun.
- Günlükleri değerlendirin: Tekrarlayan başarısız girişler ve olağan dışı istek artışlarını inceleyin.
- Arama görünürlüğünü takip edin: Google Search Console’daki güvenlik uyarılarını ve beklenmedik indekslenen sayfaları kontrol edin.
Beklenmedik yönlendirmeler, sizin eklemediğiniz reklamlar ve tarayıcı güvenlik uyarıları ciddiye alınmalıdır. Ancak tek bir belirti kesin saldırı kanıtı değildir; günlükler ve sağlayıcı desteğiyle birlikte değerlendirilmelidir.
Güvenlik İhlali Şüphesinde Ne Yapmalısınız?
- Zararı sınırlayın: Gerekirse siteyi bakım moduna alın veya erişimi geçici olarak kısıtlayın.
- Kayıtları koruyun: Temizliğe başlamadan önce günlüklerin ve şüpheli dosyaların güvenli bir kopyasını alın.
- Sağlayıcıyla iletişime geçin: Sorunun hesapla mı, uygulamayla mı yoksa altyapıyla mı ilişkili olduğunu araştırın.
- Erişimleri yenileyin: Güvenilir bir cihazdan parolaları değiştirin, aktif oturumları ve şüpheli anahtarları iptal edin.
- Temiz duruma dönün: Güvenilir yedeği veya doğrulanmış kurulum dosyalarını kullanın; istismar edilen açığı kapatmadan siteyi
