WordPress dünyada 40 milyondan fazla web sitesine güç sağlıyor. Bu popüllerlik sitenizi siber saldırılar, kötü amaçlı yazılımlar ve veri hırsızlığı için cazip bir hedef hâline getiriyor. WordPress güvenliği, yalnızca büyük şirketlerin değil; küçük işletmelerin ve kişisel blog sahiplerinin de öncelikli gündem maddesi olmak zorunda. Bu rehberde 2026 itibarıyla WordPress sitenizi koruma altına almak için uygulamanız gereken tüm adımları bulacaksınız.
WordPress Güvenliği Neden Bu Kadar Önemli?
Her gün ortalama 30.000 web sitesi hackleniyor. WordPress tabanlı sitelerin büyük çoğunluğu güncel olmayan tema ve eklentiler, zayıf parolalar veya yanlış yapılandırılmış sunucu ayarları nedeniyle saldırıya uğruyor. Bir WordPress sitesinin ele geçirilmesi; veri kaybı, ziyaretçilerin kötü amaçlı sitelere yönlendirilmesi, SEO sıralamanızın çökmesi ve itibar kaybı anlamına gelir. WordPress çekiçi kendi başına oldukça güvenlidir; sorunların %98’i üçüncü taraf tema ve eklentilerden, geri kalan %2’si ise zayıf kullanıcı alışkanlıklarından kaynaklanır.
WordPress, Tema ve Eklentileri Güncel Tutun
Güvenlik açıklarının büyük bölümü, geliştiricilerin yayımladığı yama güncellemeleriyle kapatılır. WordPress çekiçini, tüm eklentilerinizi ve temanızı düzenli olarak güncellemeyi ihmal etmek kapınızı ardına kadar açık bırakmak gibidir. Otomatik güncellemeleri açın, büyük sürümleri staging ortamında test edin, kullanılmayan eklentileri tamamen silin.
Güçlü Parola ve İki Faktörlü Kimlik Doğrulama (2FA)
Saldırıların önemli bir kısmı brute force yöntemiyle gerçekleşir. 2026’da güvenli bir WordPress hesabı için: en az 16 karakter uzunluğunda parola, parola yöneticisi (Bitwarden, 1Password) ve iki faktörlü kimlik doğrulama (2FA) zorunlu hâle gelmiştir. Ayrıca yönetici kullanıcı adını “admin” yapmayın; kurulum sırasında veya sonrasında değiştirin.
WP Admin Giriş Sayfasını Güvence Altına Alın
Varsayılan /wp-admin ve /wp-login.php adresleri saldırganlar tarafından bilinir. WPS Hide Login ile giriş URL’sini özelleştirin, Limit Login Attempts Reloaded ile başarısız giriş denemelerini sınırlayın, Captcha ekleyerek bot saldırılarını önlün ve hassas kurulumlar için belirli IP adreslerini beyaz listeye alın.
En İyi WordPress Güvenlik Eklentileri (2026)
Wordfence Security güçlü WAF ve gerçek zamanlı tehdit istihbaratıyla en kapsamlı ücretsiz seçenektir. Solid Security başlangıç seviyesi siteler için idealdir. Sucuri Security kurumsal düzeyde koruma sunar. All-In-One Security (AIOS) geniş özellik setiyle popüler bir alternatiftir. Aynı anda birden fazla güvenlik eklentisi çalıştırmaktan kaçının; çakışmalar sorun yaratabilir.
SSL Sertifikası ve HTTPS Zorunluluğu
2026’da HTTPS olmayan bir site hem Google tarafından güvensiz olarak işaretlenir hem de ziyaretçi verilerini şifrelenmeksizin iletir. Let’s Encrypt üzyerinden ücretsiz SSL sertifikası alın, WordPress adresini HTTPS ile güncelleyin, Really Simple SSL eklentisiyle karma içerik hatalarını düeltin ve HSTS başlıkları ekleyin.
Veritabanı Güvenliği
Varsayılan wp_ tablo önekini benzersiz bir önekle değiştirin, güçlü veritabanı şifiresi kullanın, minimum yetki prensibini uygullayın ve uzak veritabanı erişimini kapatarak yalnızca localhost üzerinden bağlantıya izin verin.
Dosya İzinleri ve wp-config.php Güvenliği
wp-config.php dosyasını 400/440 izniyle koruyun. Dosyalar genel olarak 644, klasörler 755 olmalıdır. wp-config.php dosyasını isteğe bağlı olarak kök dizinin bir üst klasörüne taşıyabilirsiniz; WordPress bu konumu otomatik algılar.
Düzenli Yedekleme Stratejisi
UpdraftPlus veya BlogVault ile otomatik günlük yedekler alın ve Google Drive, Amazon S3 veya Dropbox gibi uzak konumlarda saklayın. Hem dosyaları hem veritabanını yedekleyin ve geri yüklemeyi periyodik olarak test edin. Güvenlik önlemleri ne kadar güçlü olursa olsun yedek olmadan tam koruma mümkün değildir.
XML-RPC ve REST API Güvenliği
XML-RPC kaba kuvvet saldırıları için sıkça istismar edilir — Disable XML-RPC eklentisi veya .htaccess kuralıyla tamamen devre dışı bırakın. REST API’yi kimliği doğrulanmamış kullanıcılara kısıtlayın ve Cloudflare WAF kurallarıyla gereksiz endpoint’leri engelleyin.
Güvenlik Denetimi ve Sürekli İzleme
WP Activity Log ile tüm kullanıcı işlemlerini kayıt altına alın, dosya bütünlüğü izlemeyle core dosyalardaki yetkisiz değişiklikleri tespit edin, UptimeRobot ile site erişilebilirliğini 7/24 takip edin ve Google Search Console Güvenlik Sorunları bölümünü düzenli kontrol edin.
Cloudflare ile Ek Koruma Katmanı
Cloudflare’nin ücretsiz planı bile DDoS koruması, bot azaltma, WAF kuralları ve otomatik HTTPS yönlendirmesiyle WordPress sitenize ciddi güvenlik katmanları ekler. Sunucu IP adresinizi gizler ve kötü trafiği kaynakta engeller.
WordPress Güvenlik Kontrol Listesi — 2026
- ✅ WordPress çekiçi, tema ve eklentiler güncel
- ✅ Güçlü parola + 2FA aktif
- ✅ Varsayılan admin kullanıcı adı değiştirildi
- ✅ Giriş URL’si özelleştirildi, deneme limiti aktif
- ✅ SSL/HTTPS aktif, HSTS eklendi
- ✅ Güvenlik eklentisi kurulu
- ✅ Veritabanı tablo öneki değiştirildi
- ✅ Dosya izinleri doğru ayarlandı
- ✅ Düzenli yedekleme uzak konumda saklanıyor
- ✅ XML-RPC devre dışı
- ✅ Cloudflare entegrasyonu yapıldı
Site24 WordPress Teması ile Güvenli Başlangıç
Güvenli bir WordPress sitesinin temeli güvenilir bir temadan geçer. Site24 WordPress temaları, düzenli güvenlik güncellemeleri, temiz kod yapısı ve WordPress kodlama standartlarına tam uyum ile geliştirilir. E-ticaret temalarımızı ve kurumsal temalarımızı inceleyin.
Sık Sorulan Sorular: WordPress Güvenliği
WordPress sitesi hacklenirse ne yapılır?
Siteyi çevrimiçi dışına alın ya da bakım moduna geçirin. Temiz bir yedekten geri yükleyin, tüm parolaları sıfırlayın ve güvenlik eklentinizle tam tarama yapın. Hosting sağlayıcınıza bildirin; çoğu sağlayıcı güvenlik desteği sunar.
Ücretsiz güvenlik eklentileri yeterli mi?
Wordfence ücretsiz sürümü küçük ve orta ölçekli siteler için yeterlidir. E-ticaret veya üyelik sitesi işletiyorsanız üretli plana geçmeyi düşünün.
WordPress güvenlik açığını nasıl bulurum?
WPScan aracı bilinen WordPress, eklenti ve tema açıklarını listeler. Wordfence düzenli taramalarla güvenlik açıklarını raporlar. Sucuri SiteCheck ile uzaktan kötü amaçlı yazılım taraması yapabilirsiniz.
2FA olmadan WordPress güvende mi?
2FA olmadan güçlü parola kullansınız bile kaba kuvvet saldırılarına karşı tam koruma sağlanamaz. Yönetici hesabı için 2FA en kritik güvenlik önlemlerinden biridir.
Hosting seçimi güvenliği etkiler mi?
Kesinlikle. İzole ortamlar, otomatik yedekleme, WAF ve ücretsiz SSL sunan bir hosting paylaşımlı hostinge kıyasla çok daha güvenli temel sağlar.
wp-config.php dosyasını korumak için ne yapılır?
Dosya izinlerini 400/440 olarak ayarlayın ve web üzerinden erişimi .htaccess ile engelleyin. İsteğe bağlı olarak kök dizin dışına taşıyabilirsiniz.
