Wordfence Kurulumu ve WordPress Guvenlik Duvari Ayarlari

WordPress, internetteki sitelerin büyük bir bölümünü çalıştırdığı için saldırganların da bir numaralı hedefi. Her gün yüz binlerce bot, açık kaynak WordPress kurulumlarını tarayıp zayıf parola deneme, bilinen eklenti açıklarını sömürme ve yönetici paneline sızma denemesi yapıyor. Bu trafiğin çoğu insan tarafından değil, tamamen otomatik araçlarla üretiliyor. Sunucunuza gelen bu isteklerin büyük kısmını daha uygulamaya ulaşmadan filtrelemek, hem güvenliği hem de performansı doğrudan iyileştirir. İşte Wordfence tam olarak bu katmanı sağlamak için var: bir uygulama düzeyi güvenlik duvarı (WAF), bir kötü amaçlı yazılım tarayıcısı ve bir giriş koruma modülünü tek bir eklentide birleştirir.

Bu rehberde Wordfence'i sıfırdan kurup üretim ortamına hazır hale getirme sürecini adım adım ele alacağız. Güvenlik duvarını temel moddan gerçek koruma sağlayan Extended Protection (Genişletilmiş Koruma) moduna nasıl geçireceğinizi, taramaları nasıl zamanlayacağınızı, iki faktörlü kimlik doğrulamayı (2FA) nasıl etkinleştireceğinizi ve canlı trafik ile engelleme kurallarını nasıl ayarlayacağınızı göstereceğim. Ayrıca ücretsiz sürüm ile Premium arasındaki en kritik farka, yani tehdit imzalarının ne kadar gecikmeyle geldiğine de açıkça değineceğiz. Amaç, "eklentiyi kurdum, gerisini o halleder" yanılgısından uzaklaşıp bilinçli bir yapılandırma yapmanız.

Wordfence Ne Yapar ve Neden Gerekli#

Wordfence'i tek bir araç gibi düşünmek yanıltıcı olur; aslında birbirini tamamlayan üç ayrı bileşenin bir araya gelmesidir. İlki, uygulama katmanında çalışan bir web uygulama güvenlik duvarıdır (WAF). Bu duvar, gelen HTTP isteklerini bilinen saldırı desenlerine karşı inceler: SQL enjeksiyonu, cross-site scripting (XSS), kötü amaçlı dosya yükleme denemeleri ve bilinen eklenti açıklarını hedefleyen istekleri tanır ve engeller. İkinci bileşen, sunucudaki dosyaları WordPress çekirdeğinin, eklentilerin ve temaların orijinal sürümleriyle karşılaştıran kötü amaçlı yazılım tarayıcısıdır. Üçüncüsü ise oturum açma denemelerini izleyen, kaba kuvvet (brute force) saldırılarını sınırlayan ve iki faktörlü doğrulama ekleyen giriş koruma modülüdür.

Bu üç bileşenin birlikte çalışması önemli. Sadece güvenlik duvarı olsaydı, duvarı aşan bir tehdidi fark edemezdik; sadece tarayıcı olsaydı, ancak enfeksiyon gerçekleştikten sonra haberimiz olurdu. Wordfence, hem gelen tehdidi kapıda durdurmayı hem de bir şekilde içeri sızmış olanı bulmayı aynı anda hedefler. Yine de unutmamak gerekir ki hiçbir eklenti tek başına eksiksiz güvenlik sağlamaz. Wordfence, düzenli güncelleme, güçlü parola politikası ve düzenli yedekleme gibi temel disiplinlerin yerine geçmez; onları tamamlar. Konunun tümüne bütünsel bir bakış için WordPress güvenliği rehberimizi de mutlaka okumanızı öneririm.

Kurulum Öncesi Hazırlık#

Herhangi bir güvenlik eklentisini devreye almadan önce yapılması gereken ilk şey, çalışan ve geri yüklenebilir bir yedeğe sahip olmaktır. Wordfence'in Extended Protection moduna geçişi PHP yapılandırma dosyalarına dokunur; nadir de olsa bir hosting ortamında beklenmedik davranışlar oluşabilir. Bu yüzden kuruluma başlamadan önce hem veritabanının hem de dosya sisteminin tam bir yedeğini almanızı şiddetle tavsiye ederim. Clou.TR hosting paketlerinde otomatik yedekleme mevcut olsa da manuel bir anlık yedek almak her zaman iyi bir alışkanlıktır; yedekleme çözümlerimize göz atabilirsiniz.

Sitenize SSH erişiminiz varsa, WP-CLI ile hızlı bir yedek ve kurulum yapabilirsiniz. Aşağıdaki komutlar veritabanını dışa aktarır ve eklentiyi resmi depodan yükler:

# Veritabanı ve dosya yedeği al
wp db export wordfence-oncesi-yedek.sql
tar -czf site-yedek.tar.gz wp-content/

# Wordfence eklentisini kur ve etkinlestir
wp plugin install wordfence --activate

# Kurulumu dogrula
wp plugin status wordfence

WP-CLI'ye erişiminiz yoksa klasik yol da gayet sağlıklıdır: WordPress yönetim panelinde Eklentiler > Yeni Ekle bölümüne gidip "Wordfence Security" araması yapın, "Şimdi Kur" ve ardından "Etkinleştir" düğmelerine tıklayın. Kurulumdan sonra Wordfence sizden bir e-posta adresi ve isteğe bağlı bir lisans anahtarı isteyecektir. Ücretsiz kullanacaksanız "Get a Free Wordfence License" seçeneğiyle ücretsiz anahtarı alabilirsiniz. E-posta adresi önemlidir; kritik güvenlik uyarıları, engellenen giriş denemeleri ve tarama sonuçları bu adrese gönderilir, dolayısıyla düzenli takip ettiğiniz bir kutu kullanın.

Güvenlik Duvarını Extended Protection Moduna Geçirme#

Wordfence kurulduğunda güvenlik duvarı varsayılan olarak "Basic WordPress Protection" (Temel) modunda çalışır. Bu modda WAF, WordPress zaten yüklendikten sonra bir eklenti olarak devreye girer; yani istek önce PHP'ye ulaşır, sonra filtrelenir. Gerçek koruma için hedeflenmesi gereken mod "Extended Protection"dır. Bu modda Wordfence, PHP'nin auto_prepend_file yönergesini kullanarak WordPress henüz başlamadan, isteğin en başında devreye girer. Böylece WordPress çekirdeğinden bağımsız olarak, hatta bir eklenti açığı WordPress yüklenmeden tetiklenmeye çalışılsa bile istek filtrelenebilir.

Bu modu etkinleştirmek için Wordfence > Firewall > Manage WAF ekranına gidin ve "Optimize the Wordfence Firewall" düğmesine tıklayın. Wordfence sunucu ortamınızı (Apache mod_php, LiteSpeed, NGINX + PHP-FPM, CGI/FastCGI vb.) otomatik algılamaya çalışır ve doğru yapılandırmayı önerir. Süreç sizden .htaccess veya .user.ini gibi dosyaların bir yedeğini indirmenizi isteyecektir; bu adımı atlamayın, sorun çıkması durumunda geri dönüş dosyanız olur.

Aşağıda Extended Protection için PHP tarafında oluşan tipik .user.ini satırı görülür. Bu satırı elle düzenlemeniz gerekmez; Wordfence oluşturur, ancak ne yaptığını bilmek faydalıdır:

; Wordfence WAF - istek WordPress'ten once yuklenir
auto_prepend_file = '/home/kullanici/public_html/wordfence-waf.php'

NGINX + PHP-FPM kullanan bir sunucuda auto_prepend_file yönergesinin FastCGI'ye doğru aktarıldığından emin olmanız gerekir. Sunucu bloğunuzda genellikle şu türden bir yapılandırma bulunur:

location ~ \.php$ {
    include fastcgi_params;
    fastcgi_pass unix:/run/php/php8.2-fpm.sock;
    fastcgi_param PHP_VALUE "auto_prepend_file=/home/kullanici/public_html/wordfence-waf.php";
}

Yapılandırmayı tamamladıktan sonra Manage WAF ekranına dönün ve durumun "Extended Protection" olarak göründüğünü doğrulayın. Wordfence, koruma modunu ilk birkaç saat "Learning Mode" (Öğrenme Modu) içinde tutmayı önerir. Bu sürede duvar, sitenizin normal trafik desenlerini öğrenir ve meşru istekleri yanlışlıkla engellememek için kuralları kalibre eder. Öğrenme süresi genellikle bir haftadır; yoğun trafikli bir sitede daha kısa sürebilir. Öğrenme modu bittiğinde WAF'ı "Enabled and Protecting" durumuna geçirmeyi unutmayın, aksi halde duvar öğrenmeye devam eder ama aktif engelleme yapmaz.

Ücretsiz ve Premium Arasındaki İmza Gecikmesi#

Wordfence yapılandırmasında en çok yanlış anlaşılan konu, ücretsiz sürümle Premium arasındaki farktır. Birçok kullanıcı ücretsiz sürümün "eksik özellikli" olduğunu düşünür; oysa asıl fark özellik sayısında değil, tehdit imzalarının ne kadar hızlı ulaştığındadır. Wordfence araştırma ekibi yeni bir güvenlik açığı keşfettiğinde ya da vahşi doğada aktif bir saldırı tespit ettiğinde, buna karşı bir güvenlik duvarı kuralı ve tarama imzası üretir. Premium lisanslı siteler bu imzaları gerçek zamanlı olarak alır. Ücretsiz siteler ise aynı imzaları tam 30 gün gecikmeyle alır.

Bu 30 günlük pencere kritik bir risktir. Bir eklentide sıfırıncı gün (zero-day) açık ortaya çıktığında, saldırganlar açığı genellikle ilk günlerde en yoğun şekilde sömürür. Ücretsiz sürüm kullanan bir site, imza gelene kadar bir ay boyunca o spesifik saldırıya karşı savunmasız kalabilir. Aşağıdaki tablo bu farkı özetliyor:

Bu gecikme, ücretsiz sürümün işe yaramadığı anlamına gelmez. Bilinen ve eski saldırı desenlerinin büyük çoğunluğu ücretsiz imzalarla da yakalanır ve otomatik botların ürettiği trafiğin çoğu zaten yıllardır bilinen açıkları hedefler. Ancak yeni açıklara karşı hızlı tepki hayati önemdeyse, örneğin e-ticaret sitesi ya da yüksek trafikli bir kurumsal site işletiyorsanız, Premium'un sağladığı gerçek zamanlı koruma yatırıma değer. Alternatif olarak, sunucu düzeyinde çalışan bir WAF hizmetiyle Wordfence'i birleştirmek çok katmanlı bir savunma oluşturur; kötü niyetli trafiğin bir kısmını daha sunucuya bile ulaşmadan eleyebilirsiniz.

Taramaları Zamanlama ve Yapılandırma#

Wordfence'in kötü amaçlı yazılım tarayıcısı, sitenizin dosyalarını resmi WordPress deposundaki orijinal sürümlerle karşılaştırır ve değiştirilmiş, enjekte edilmiş ya da beklenmedik dosyaları tespit eder. Tarama ayrıca bilinen backdoor imzalarını, şüpheli kod desenlerini, güvenliği bilinen açıklara sahip eklenti sürümlerini ve zayıf parolalı kullanıcıları da rapor eder. Wordfence > Scan > Scan Options and Scheduling ekranından tarama kapsamını yapılandırabilirsiniz.

Standart bir üretim sitesi için önerdiğim tarama kapsamı, çekirdek dosyalarının, eklentilerin ve temaların bütünlük kontrolünün açık olması, ayrıca wp-content/uploads dizininin PHP dosyalarına karşı taranmasıdır. Uploads klasörü normalde yalnızca görsel ve belge içermelidir; buraya sızmış bir .php dosyası neredeyse kesinlikle bir enfeksiyon işaretidir. "Scan images, binary, and other files as if they were executable" seçeneğini açık tutmak, uzantısı gizlenmiş kötü amaçlı dosyaları yakalamaya yardımcı olur.

Ücretsiz sürümde tarama günde bir kez otomatik çalışır ancak zamanını siz belirleyemezsiniz. Premium'da tarama saatlerini elle planlayabilirsiniz. Trafiğin en düşük olduğu gece saatlerine denk getirmek, tarama sırasında oluşabilecek CPU yükünün ziyaretçi deneyimini etkilemesini önler. Paylaşımlı hosting kullanıyorsanız, kapsamlı bir taramanın kaynak sınırlarını zorlamaması için Wordfence'in "Performance Options" bölümündeki maxExecutionTime ve bellek ayarlarını gözden geçirin.

Tarama sonuçlarını sadece panelde beklemek yerine e-posta bildirimlerine bağlamak önemlidir. Wordfence > All Options > Email Alert Preferences bölümünden kritik ve uyarı düzeyindeki bulgular için e-posta almayı etkinleştirin. Manuel tarama başlatmak ve sonucu görmek için WP-CLI de kullanabilirsiniz:

# Manuel tarama baslat
wp wordfence scan

# Devam eden taramanin durumunu gör
wp wordfence status

Bir tarama tehdit bulduğunda paniklememek gerekir. Bulguların çoğu "sürümü eski eklenti" ya da "yönetici parolası zayıf" gibi düzeltilebilir uyarılardır. Gerçek bir enfeksiyon tespit edilirse, önce siteyi bakım moduna alıp temiz bir yedekten geri dönmek genellikle en güvenli yoldur. Ciddi bir güvenlik ihlali durumunda profesyonel destek almak isterseniz WordPress bakım hizmetimiz tam da bu tür temizlik ve sertleştirme işleri için tasarlandı.

İki Faktörlü Kimlik Doğrulamayı Etkinleştirme#

Wordfence'in en değerli özelliklerinden biri, tüm sürümlerde ücretsiz sunulan iki faktörlü kimlik doğrulamadır (2FA). Kaba kuvvet saldırıları ve sızdırılmış parola listeleriyle yapılan credential stuffing saldırılarına karşı en etkili tek savunma budur; parolanız çalınsa bile ikinci faktör olmadan giriş yapılamaz. Wordfence > Login Security > Two-Factor Authentication ekranından etkinleştirebilirsiniz.

Kurulum için telefonunuza bir TOTP uygulaması (Google Authenticator, Authy, 1Password veya benzeri) yükleyin. Wordfence size bir QR kodu gösterecek; bunu uygulamayla tarayın ve uygulamanın ürettiği altı haneli kodu girerek eşleştirmeyi doğrulayın. Doğrulama başarılı olduğunda Wordfence size bir dizi kurtarma kodu verecektir. Bu kodları güvenli bir yerde, tercihen bir parola yöneticisinde saklayın; telefonunuzu kaybettiğinizde hesabınıza girebilmenizin tek yolu bunlardır.

2FA'yı yalnızca yöneticiler için değil, tüm editör ve yazar rolleri için zorunlu kılmanızı öneririm. Login Security ayarlarında hangi kullanıcı rollerinin 2FA kullanmak zorunda olacağını ve etkinleştirme için ne kadar süre tanınacağını belirleyebilirsiniz. Ek olarak "reCAPTCHA on the login and registration pages" seçeneğini açmak, botların giriş formunu otomatik doldurmasını zorlaştırır ve XML-RPC üzerinden yapılan gizli kaba kuvvet saldırılarını da kapsar. XML-RPC'yi aktif kullanmıyorsanız (çoğu modern site kullanmaz) tamamen devre dışı bırakmak saldırı yüzeyini daha da küçültür.

Giriş güvenliğini daha da sertleştirmek isterseniz, WordPress oturum açma sayfasının varsayılan /wp-admin ve /wp-login.php yollarını gizlemek de saldırıların hacmini düşürür. Bu tür ek eklenti önerileri için WordPress eklenti önerileri rehberimize göz atabilirsiniz.

Canlı Trafik ve Engelleme Kurallarını Ayarlama#

Wordfence'in en çok göz ardı edilen ama en öğretici bölümü Live Traffic (Canlı Trafik) ekranıdır. Bu ekran, sitenize gelen istekleri gerçek zamanlıya yakın bir şekilde gösterir; hangi IP'lerin hangi sayfaları istediğini, hangi isteklerin engellendiğini ve engellemenin hangi kurala dayandığını görebilirsiniz. Bir saldırı dalgası sırasında bu ekran, saldırının kaynağını ve desenini anlamanın en hızlı yoludur. Ancak canlı trafik kaydı veritabanında yer kapladığı için, çok yüksek trafikli sitelerde "Security-Only" moduna alarak yalnızca güvenlikle ilgili olayları kaydetmeniz performans açısından daha sağlıklıdır.

Engelleme davranışını Wordfence > Firewall > Brute Force Protection ve Rate Limiting bölümlerinden ince ayar yaparsınız. Kaba kuvvet korumasında; başarısız giriş denemesi sayısını, "forgot password" (parola sıfırlama) denemesi sayısını ve kilitlenme süresini belirleyebilirsiniz. Makul bir başlangıç yapılandırması aşağıdaki gibidir:

Rate Limiting (Hız Sınırlama) bölümü ise agresif tarayıcılara ve kaynak tüketen botlara karşıdır. Burada bir ziyaretçinin ya da bilinen bir arama motoru dışındaki botun dakikada kaç sayfa isteyebileceğini sınırlarsınız. Ayarları çok sıkı yaparsanız meşru arama motoru botlarını (Googlebot gibi) yanlışlıkla yavaşlatabilirsiniz; Wordfence doğrulanmış arama motoru botlarını ayrı bir eşikte tuttuğu için genellikle güvenlidir, ancak yine de değişikliklerden sonra Live Traffic'i birkaç gün izlemenizde fayda var.

Premium sürümde ülke bazlı engelleme de mevcuttur. Eğer siteniz yalnızca Türkiye'ye hitap ediyorsa ve trafiğinizin belirli ülkelerden gelen kısmı tamamen kötü amaçlıysa, o ülkeleri giriş sayfasından ya da tamamen engellemek saldırı hacmini dramatik biçimde azaltabilir. Ancak coğrafi engellemeyi dikkatli kullanın; VPN kullanan meşru ziyaretçileri de dışarıda bırakabilir. Belirli bir IP aralığını elle engellemek isterseniz Wordfence > Blocking ekranından tekil IP, IP aralığı ya da bir kullanıcı ajanı (user agent) desenine göre kural ekleyebilirsiniz.

Son olarak, engelleme kurallarınızı düzenli gözden geçirin. Zaman içinde biriken yüzlerce manuel engel yönetimi zorlaştırır ve bazen artık var olmayan tehditleri hedefler. Wordfence'in otomatik mekanizmaları çoğu işi zaten yaptığından, manuel engellemeyi yalnızca inatçı ve tekrar eden kaynaklar için saklamak daha sürdürülebilirdir.

Sıkça Sorulan Sorular#

Wordfence ücretsiz sürümü yeterli mi, Premium şart mı?#

Ücretsiz sürüm çoğu küçük ve orta ölçekli site için makul bir koruma sağlar, çünkü otomatik botların ürettiği trafiğin büyük kısmı yıllardır bilinen eski açıkları hedefler ve bu imzalar ücretsiz sürümde de mevcuttur. Ancak yeni keşfedilen güvenlik açıklarına karşı imzaların ücretsiz sürüme 30 gün gecikmeyle geldiğini unutmayın. E-ticaret, üyelik ya da yüksek trafikli kurumsal siteler için bu gecikme kabul edilemez bir risk olabilir; bu durumlarda Premium'un gerçek zamanlı korumasını ya da sunucu düzeyinde ek bir WAF katmanını değerlendirmenizi öneririm.

Extended Protection modu sitemi yavaşlatır mı?#

Genellikle hayır, aksine bazı durumlarda hızlandırabilir. Extended Protection modu isteği WordPress henüz yüklenmeden filtrelediği için, kötü amaçlı istekler tüm WordPress çekirdeğini çalıştırmadan reddedilir ve bu da sunucu kaynağı tasarrufu sağlar. Meşru istekler için eklenen gecikme milisaniyeler düzeyindedir ve pratikte fark edilmez. Yine de paylaşımlı hosting ortamlarında tarama sırasında geçici CPU yükü oluşabilir; bunu düşük trafikli saatlere zamanlayarak kolayca yönetebilirsiniz.

Wordfence tarama sırasında kötü amaçlı yazılım bulursa ne yapmalıyım?#

Öncelikle sakin olun ve bulgunun türünü inceleyin, çünkü sonuçların çoğu gerçek enfeksiyon değil "eski eklenti" ya da "zayıf parola" gibi düzeltilebilir uyarılardır. Gerçek bir enjekte edilmiş dosya ya da backdoor tespit edilirse, mümkünse siteyi geçici olarak bakım moduna alın ve temiz bir yedekten geri dönmeyi değerlendirin, çünkü tek tek dosya temizlemek gizli kalmış bir arka kapıyı atlayabilir. Emin değilseniz veya enfeksiyon yaygınsa, profesyonel bir temizlik ve sertleştirme hizmetinden yardım almak en güvenli yoldur.

Wordfence'i devre dışı bırakırsam sitem savunmasız mı kalır?#

Eklentiyi devre dışı bırakmak WAF ve tarama korumasını kaldırır, ancak Extended Protection modu kuruluysa auto_prepend_file yönergesi eklenti pasif olsa bile çalışmaya devam edebilir. Bu nedenle Wordfence'i tamamen kaldıracaksanız, önce Manage WAF ekranından koruma modunu Basic'e döndürüp .user.ini veya .htaccess girdilerinin temizlendiğinden emin olun, sonra eklentiyi kaldırın. Aksi halde sunucuda geride kalan yapılandırma satırları hatalara yol açabilir.

İki faktörlü doğrulama için telefonumu kaybedersem hesabıma nasıl girerim?#

2FA'yı ilk etkinleştirdiğinizde Wordfence size bir dizi tek kullanımlık kurtarma kodu verir; telefonunuzu kaybettiğinizde giriş ekranında kod isteyen alana bu kurtarma kodlarından birini girerek erişim sağlayabilirsiniz. Bu yüzden kurtarma kodlarını mutlaka telefon dışında güvenli bir yerde, örneğin bir parola yöneticisinde saklamak kritik önemdedir. Hem kurtarma kodlarını hem de telefonu kaybettiyseniz, sunucu üzerinden WP-CLI ile wp user meta delete komutunu kullanarak ilgili kullanıcının Wordfence 2FA meta verisini temizlemek son çare olabilir.

Wordfence ile bir CDN veya sunucu düzeyi güvenlik duvarını birlikte kullanabilir miyim?#

Evet ve bu, önerilen çok katmanlı bir yaklaşımdır. Sunucu ya da CDN düzeyindeki bir güvenlik duvarı kötü niyetli trafiğin bir kısmını daha sitenize ulaşmadan eleyerek Wordfence'in yükünü azaltır, Wordfence ise uygulamaya özgü tehditleri yakalar. Dikkat edilmesi gereken tek nokta, bir proxy ya da CDN arkasındaysanız Wordfence'in ziyaretçilerin gerçek IP adresini doğru okuması için "How does Wordfence get IPs" ayarını doğru yapılandırmaktır; aksi halde tüm istekler tek bir proxy IP'sinden geliyormuş gibi görünür ve engelleme mantığı bozulur.

Kapanış#

Wordfence, doğru yapılandırıldığında bir WordPress sitesini besleyen üç temel savunma katmanını (güvenlik duvarı, kötü amaçlı yazılım taraması ve giriş koruması) tek elden yönetmenizi sağlayan güçlü bir araçtır. Bu rehberdeki adımları izleyerek güvenlik duvarını Extended Protection moduna aldığınızda, taramaları düzenli çalışacak şekilde zamanladığınızda ve 2FA'yı zorunlu kıldığınızda, sitenizin maruz kaldığı otomatik saldırıların ezici çoğunluğunu etkisiz hale getirmiş olursunuz. Yine de en iyi eklentinin bile düzenli güncelleme, güçlü parola ve sağlam yedekleme disiplininin yerini tutmadığını unutmayın; Wordfence bu temellerin üzerine kurulan bir kaledir.

Clou.TR olarak WordPress sitenizin güvenliğini uçtan uca ele alıyoruz. Yüksek performanslı WordPress hosting paketlerimiz ücretsiz SSL ve otomatik yedekleme ile gelir; daha fazla kaynak ve tam kontrol isterseniz sanal sunucu çözümlerimizi inceleyebilir, güvenlik sertleştirme ve kötü amaçlı yazılım temizliği için WordPress bakım hizmetimizden faydalanabilirsiniz. Sitenizi bize taşımak isterseniz ücretsiz site taşıma ekibimiz tüm süreci sizin yerinize hallediyor. Güvenli bir WordPress deneyimi için doğru altyapı ilk adımdır; gerisini birlikte tamamlayalım.