Web sitesi güvenliği ve SSL: KOBİ’ler için 2026 rehberi.

“Bizim küçük bir şirketiz, kim bizim siteyle uğraşacak?” Bu cümleyi çok duyuyoruz. Oysa saldırıların büyük kısmı belirli bir firmayı değil, açığı olan herhangi bir siteyi hedefleyen otomatik araçlarla yapılıyor. Web sitesi güvenliği, büyüklüğünüzden bağımsız olarak hepinizin meselesi.

Bu rehberde bir web sitesinin neden hedef olduğunu, SSL sertifikasının ne işe yaradığını ve 2026 itibarıyla kısalan sertifika sürelerinin sizi nasıl etkilediğini, güncelleme, erişim, yedekleme ve güvenlik duvarı gibi temel önlemleri, yazılım geliştirirken dikkate alınması gereken OWASP Top 10 risklerini ve bir saldırı yaşandığında ne yapmanız gerektiğini anlatıyoruz.

Amaç sizi bir güvenlik uzmanına dönüştürmek değil; ajansınıza, hosting firmanıza ya da yazılım ekibinize doğru soruları sorabilmeniz ve en sık yapılan hataları önlemeniz.

Küçük bir site neden saldırıya uğrar?

Saldırganlar için sitenizin kendisi kadar, kullandığı kaynaklar da değerlidir. Ele geçirilen bir site şunlar için kullanılabilir:

• Spam ve oltalama: Sunucunuz üzerinden binlerce sahte e-posta gönderilir, alan adınız kara listelere girer.
• SEO spam’i: Sitenize gizli sayfalar ve bağlantılar eklenir; Google sitenizi “ele geçirilmiş” olarak işaretleyebilir.
• Veri hırsızlığı: İletişim formları, üye bilgileri ve sipariş kayıtları çalınır; bu da KVKK kapsamında bir veri ihlali demektir.
• Fidye ve kötü amaçlı yazılım: Dosyalar şifrelenir ya da ziyaretçilere zararlı yazılım dağıtılır.

İşin bir de görünmeyen maliyeti var: ele geçirilen bir siteyi temizlemek, yeniden güven kazanmak, arama sıralamalarını geri almak ve müşterilere açıklama yapmak çoğu zaman önlem almanın maliyetinden çok daha yüksektir. Üstelik e-posta alan adınız kara listeye girdiğinde, normal teklif ve fatura e-postalarınız bile müşterilerinize ulaşmamaya başlar.

Bu saldırıların çoğu bilinen ve yaması çoktan yayımlanmış açıkları tarar. Yani güvenliğin büyük kısmı, karmaşık teknolojilerden çok düzenli bakım ve disiplinle sağlanır.

Saldırgan sizi seçmez; kapısı açık bırakılmış siteyi bulur.

SSL sertifikası nedir, hangi türü seçmelisiniz?

SSL (bugünkü teknik adıyla TLS) sertifikası, ziyaretçinin tarayıcısı ile sunucunuz arasındaki trafiği şifreler ve adres çubuğundaki https ile kilit simgesini sağlar. Form ile gönderilen bir telefon numarası ya da şifre, SSL olmadan ağdaki biri tarafından okunabilir. Tarayıcılar SSL olmayan sayfaları “güvenli değil” diye işaretliyor; Google da HTTPS’yi sayfa deneyimi değerlendirmesinin bir parçası olarak görüyor.

Şifreleme gücü açısından üç tür arasında fark yoktur. Fark, sertifikanın arkasındaki kimlik doğrulamasındadır. Çoğu KOBİ sitesi ve e-ticaret sitesi için doğru yapılandırılmış ve otomatik yenilenen bir DV sertifikası yeterlidir.

2026’da SSL sertifika süreleri kısalıyor: ne yapmalısınız?

Tarayıcı üreticileri ve sertifika otoritelerinin oluşturduğu CA/Browser Forum, Nisan 2025’te kabul ettiği SC-081 kararıyla genel SSL/TLS sertifikalarının azami geçerlilik süresini aşamalı olarak kısaltma kararı aldı:

Pratikte bu, “yılda bir kez sertifika satın alıp elle yükleme” döneminin bittiği anlamına geliyor. 200 günlük dönem zaten yürürlükte; 2029’a gelindiğinde sertifikaların yılda yedi-sekiz kez yenilenmesi gerekecek.

• Otomatik yenilemeye geçin: ACME protokolünü destekleyen bir sağlayıcı (ör. Let’s Encrypt) veya hosting panelindeki otomatik SSL özelliğini kullanın.
• Sertifika takibi yapın: Süresi dolmak üzere olan sertifikalar için uyarı veren bir izleme aracı kurun.
• Elle yüklenen sertifikaları listeleyin: Ücretli OV/EV sertifika kullanıyorsanız sağlayıcınızın otomasyon seçeneklerini şimdiden sorun.
• HSTS’yi açın: Tarayıcıya sitenize her zaman HTTPS ile bağlanmasını söyleyen HSTS başlığı, şifresiz bağlantıya düşürme saldırılarını engeller.

Web sitesi güvenliğinin 5 temel önlemi

Teknik olarak en basit görünen önlemler, en çok saldırıyı durduranlardır:

• 1. Güncel yazılım — İçerik yönetim sistemi, tema, eklentiler, sunucu yazılımı ve kullanılan kütüphaneler düzenli güncellenmeli. Kullanılmayan eklentileri devre dışı bırakmak yetmez, tamamen kaldırın.
• 2. Güçlü erişim — Yönetim paneli, hosting paneli, FTP ve veritabanı için benzersiz ve uzun şifreler, bir şifre yöneticisi ve mümkün olan her yerde iki adımlı doğrulama (2FA) kullanın.
• 3. En az yetki — Her kullanıcıya yalnızca ihtiyaç duyduğu yetkiyi verin. İşten ayrılan personelin ve projesi biten ajansların hesaplarını hemen kapatın.
• 4. Düzenli yedek — 3-2-1 kuralını uygulayın: en az üç kopya, iki farklı ortam, bir kopya sunucudan bağımsız bir yerde. Yedeğin geri yüklenebildiğini yılda birkaç kez test edin.
• 5. İzleme — Site erişilebilirliği, dosya değişiklikleri ve başarısız giriş denemeleri için uyarı alın. Google Search Console’un “Güvenlik sorunları” raporunu düzenli kontrol edin.

Güvenlik duvarı (WAF), DDoS koruması ve güvenlik başlıkları

Temel önlemlerin üzerine eklenecek ikinci katman, kötü niyetli trafiği sitenize ulaşmadan durdurmaktır.

• Web uygulama güvenlik duvarı (WAF): SQL enjeksiyonu, kaba kuvvet giriş denemeleri ve bilinen saldırı kalıplarını filtreler. CDN hizmetlerinin çoğu bunu temel paketlerinde sunar.
• DDoS koruması: Siteyi aşırı istekle çökertme girişimlerine karşı CDN veya hosting düzeyinde koruma, özellikle kampanya dönemlerinde önem kazanır.
• Giriş sınırlama ve CAPTCHA: Yönetim paneli ve formlarda deneme sayısını sınırlamak, botların işini zorlaştırır.
• Güvenlik başlıkları: Content-Security-Policy, X-Frame-Options (veya CSP frame-ancestors), X-Content-Type-Options ve Referrer-Policy gibi HTTP başlıkları; tarayıcıya hangi kaynaklara güvenmesi gerektiğini söyler ve birçok saldırı türünü baştan engeller.

CDN ve önbellekleme aynı zamanda sitenizi hızlandırır; güvenlik ve performans burada aynı yatırımla iyileşir. Hız tarafını site hızı ve Core Web Vitals yazımızda ele aldık.

Özel yazılımda güvenlik: OWASP Top 10:2025

Sitenizde üyelik, ödeme, rezervasyon ya da müşteri paneli gibi özel geliştirilmiş bölümler varsa, güvenlik büyük ölçüde kodun nasıl yazıldığına bağlıdır. Bu alanda dünya genelinde referans alınan liste, OWASP’ın web uygulamalarındaki en kritik riskleri sıraladığı OWASP Top 10’dur. 2021’den bu yana ilk kez güncellenen 2025 sürümünde öne çıkan başlıklar şunlar:

• Bozuk erişim kontrolü: Bir kullanıcının adres çubuğunda numara değiştirerek başkasının faturasını görebilmesi gibi hatalar. Listenin hâlâ birinci sırasında.
• Güvenlik yanlış yapılandırması: Açık bırakılan yönetim ekranları, varsayılan şifreler, ayrıntılı hata mesajları. 2025 listesinde ikinci sıraya yükseldi.
• Yazılım tedarik zinciri hataları: Yeni eklenen bu kategori; projede kullanılan üçüncü taraf paketlerin, eklentilerin ve derleme araçlarının güvenliğini kapsıyor.
• Kriptografik hatalar ve enjeksiyon: Şifrelerin düz metin saklanması ya da kullanıcı girdisinin doğrulanmadan veritabanı sorgusuna eklenmesi.
• İstisnai durumların yanlış ele alınması: Yine yeni bir kategori; hata anında sistemin güvensiz bir duruma düşmesini anlatıyor.

Yazılım ekibinizle çalışırken bu listeyi bir kontrol aracı olarak kullanın: hangi riske karşı hangi önlemin alındığını sorun. Kritik projelerde yayından önce bağımsız bir sızma testi (penetrasyon testi) yaptırmak da iyi bir pratiktir. Kendi ürünlerimiz KATSİS ve RestaurantBill gibi ödeme ve kişisel veri işleyen sistemlerde rol bazlı yetkilendirme, şifrelenmiş bağlantılar ve kayıt (log) tutma bu yüzden tasarımın ilk gününden itibaren yer alıyor. Bu ürünler hakkında daha fazlası için projelerimiz sayfasına bakabilirsiniz.

Siteniz hacklendiğinde ne yapmalısınız?

En iyi önlemlere rağmen bir olayla karşılaşabilirsiniz. Panikle yapılan müdahaleler çoğu zaman izleri siler ve sorunu büyütür. Sakin bir sıra izleyin:

• 1. Adım — Siteyi bakım moduna alın veya geçici olarak erişime kapatın; ziyaretçilerin zarar görmesini önleyin.
• 2. Adım — Tüm şifreleri (panel, hosting, FTP, veritabanı, e-posta) değiştirin ve oturumları sonlandırın.
• 3. Adım — Sunucu kayıtlarını ve değişen dosyaları inceleyerek saldırının nereden geldiğini bulun; açığı kapatmadan yedekten dönmek, saldırının tekrarlanmasına yol açar.
• 4. Adım — Temiz bir yedekten geri dönün, tüm yazılımları güncelleyin ve Search Console’dan inceleme isteyin.
• 5. Adım — Kişisel veriler etkilendiyse durumu hukuki açıdan değerlendirin. KVKK, veri sorumlularının ihlali öğrendikten sonra en kısa sürede ve Kurul kararına göre en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirmesini; ilgili kişilere de makul süre içinde bilgi vermesini öngörüyor.

Ulusal Siber Olaylara Müdahale Merkezi (USOM), Türkiye’de siber tehditlerle ilgili uyarılar yayımlar ve olay bildirimlerini kabul eder. Kurumunuzu ilgilendiren duyuruları takip etmek iyi bir alışkanlıktır.

Sık sorulan sorular

Son söz

Web sitesi güvenliği tek seferlik bir kurulum değil, sürekli bir alışkanlıktır: otomatik yenilenen SSL, güncel yazılım, iki adımlı doğrulama, sunucu dışında tutulan yedekler ve güvenlik duvarı. Bu temel katmanlar, otomatik saldırıların büyük bölümünü daha kapıda durdurur.

CYF Tech olarak web sitelerini ve özel web yazılımlarını güvenliği baştan düşünerek geliştiriyor, yayın sonrasında da bakım ve güncelleme desteği veriyoruz. Mevcut sitenizin güvenlik durumunu birlikte gözden geçirmek isterseniz bize yazın.