Web sitesi güvenliğinde nereden başlamalı?
Web sitenizin güvenliğinde önce temel önlemleri tamamlayın: CMS, eklenti ve temaları güncel tutun; kullanmadıklarınızı kaldırın. Her yöneticiye ayrı hesap verin ve çok faktörlü kimlik doğrulamayı açın. Sayfalar HTTPS üzerinden çalışsın; HSTS ve uygun güvenlik başlıkları ayarlansın. Yalnızca yedek almakla yetinmeyin, geri yüklemeyi de deneyin. E-posta alan adınızı SPF, DKIM ve DMARC ile koruyun, güvenlik sorunu bulanların size ulaşabilmesi için security.txt yayımlayın. Bir saldırıda kimi arayacağınız belli olsun; kişisel veri ihlalini Autoriteit Persoonsgegevens’e 72 saat içinde bildirmeniz gerekebilir. internet.nl gibi ücretsiz araçlar ilk eksikleri görmenize yardımcı olur, fakat girişlerin, formların ve özel kodun güvenlik testinin yerini tutmaz.
WordPress ve diğer CMS yazılımları nasıl güncel tutulur?
Küçük işletmelerin sitelerine yönelik saldırıların çoğunda işletme özel olarak hedef alınmaz. NCSC, internet genelinde siteleri tarayan ve bilinen açıklardan otomatik girmeye çalışan yazılımları anlatır; teknik bilgisi sınırlı bir saldırgan bile ciddi zarar verebilir. Yerel fırının sitesindeki eski eklenti, büyük mağazadakiyle aynı şekilde bulunur.
2026 yazı bunun hızını gösterdi. NCSC 21 Temmuz'da WordPress Core'daki iki açık için uyardı. En ciddisi (CVSS 9,8), giriş yapmadan uzaktan kod çalıştırmaya izin veriyordu; duyurudan kısa süre sonra kötüye kullanım gözlendi. Düzeltilen sürümler arasında 6.8.6, 6.9.5 ve 7.0.2 vardı. Autoriteit Persoonsgegevens (AP), 27 Ağustos 2026'da bu açıklarla ilgili çok sayıda ihlal bildirimi aldığını açıklayıp etkilenen WordPress kullanıcılarına tavsiye yayımladı.
Buradan çıkarılacak sonuç yalnızca WordPress için geçerli değil. Her CMS, eklenti, tema ve sunucu bileşeninde güvenlik güncellemesini kuran ve çalıştığını kontrol eden biri olmalıdır.
Güvenlik güncellemelerini geciktirmeyin
WordPress, 3.7'den beri otomatik güncellemeleri destekler; güvenliği güçlendirme rehberi eski sürümlerin güvenlik düzeltmesi almadığını belirtir. Yapınız izin veriyorsa küçük sürüm ve güvenlik güncellemelerinin otomatik kurulmasını açın; elle adım isteyen güncellemeler için paneli düzenli kontrol edin. Özel uygulamalar dahil diğer sistemlerde kritik yamaların ne kadar sürede uygulanacağını kararlaştırın.
Kullanmadığınız eklenti ve temaları kaldırın
WordPress'in önerisi basittir: eklentileri güncelleyin, kullanmadıklarınızı silin. Devre dışı bırakılan eklenti sunucuda kalır ve açık içeren kod barındırabilir. Eski temalar, test kurulumları ve unutulmuş alt alanlar için de aynısı geçerlidir. Daha az bileşen, izlenecek daha az güncelleme ve daha az giriş yolu demektir.
Yazılımı yalnızca güvenilir kaynaklardan kurun
WordPress'i yalnızca wordpress.org'dan indirin; tema ve eklentileri resmî dizinden veya bilinen sağlayıcılardan seçin. Ücretli eklentilerin resmî olmayan kopyaları gizli zararlı yazılım içerebilir. wp-config.php içindeki DISALLOW_FILE_EDIT, yerleşik kod editörünü kapatır; WordPress bunun giriş sonrası saldırganın sıklıkla ilk kullandığı araç olduğunu belirtir.
Bakım sorumluluklarını yazılı hâle getirin
NCSC, sağlayıcınıza son güvenlik güncellemelerinin ne zaman kurulduğunu, atlananların nedenini ve eski eklentilerin nasıl ele alındığını sormanızı önerir. Güncellemeler için BT sağlayıcısıyla net anlaşması olmadığından açık sonrası mağazası haftalarca kapalı kalan konaklama işletmesinin hikâyesini de paylaşır. Siteye başkası bakıyorsa kimin neyi ne sıklıkla güncellediğini ve sizin nasıl bilgilendirileceğinizi kaydedin.
Yönetici hesapları ve girişler nasıl korunur?
Çalınan veya tahmin edilen parola saldırgana sizinle aynı erişimi verir. Çoğu CMS ve barındırma hesabı bir öğleden sonra çok daha iyi korunabilir; erişim yönetimi NCSC'nin işletmeler için beş temel ilkesinden biridir.
Siteyi değiştirebilen tüm hesapların envanteriyle başlayın: CMS yöneticileri ve editörleri, barındırma paneli, alan adı kayıt kuruluşu ve DNS, FTP/SSH, analitik ve tüm bu parolaları sıfırlayabilen kurumsal e-posta hesapları.
Eylül 2026 itibarıyla NCSC'nin Mijn Cyberweerbare Zaak desteği, küçük işletmelerde MFA veya parola yöneticisi gibi önlemlerin yarısını, en fazla 1.250 €'ya kadar karşılayabilir. Aşağıdaki SSS koşulları listeler.
Herkese ayrı hesap açın, yalnızca gereken yetkileri verin
NCSC kişilere yalnızca işi için gereken sistem ve bilgilere, ihtiyaç duyduğu süre boyunca erişim verilmesini; ortak hesaplardan kaçınılmasını önerir. CMS'te haber yazana editör rolü, yalnızca bakım yapana yönetici hakkı demektir. Kimin ne değiştirdiğini görebildiğiniz için kişisel hesaplar kayıtları da anlamlı kılar.
Güçlü ve farklı parolaları bir parola yöneticisinde saklayın
Tekrarlanan parolalar önemli risktir: bir hizmet sızdığında aynı parolalı tüm hesaplar tehlikeye girer. Bir parola yöneticisiyle ekibiniz her hesapta uzun ve farklı bir parola kullanabilir. WordPress rehberi de ad, şirket adı veya sözlük kelimesine dayalı parolalardan kaçınmayı önerir.
Her önemli girişte çok faktörlü kimlik doğrulama
NCSC, iş uygulamalarında ve mutlaka kurumsal e-postada iki adımlı girişi önerir. Site için barındırma, alan adı kayıt kuruluşu ve CMS yönetici hesaplarını ekleyin. Yöntemlerin gücü farklıdır: NCSC e-postayla gönderilen kodun parmak izine göre daha kolay ele geçirilebildiğini belirtir ve riske göre yöntem seçmeyi önerir.
Kişi veya sağlayıcı ayrıldığında erişimi kaldırın
Rol değiştiğinde yetkileri güncelleyin; çalışan, serbest uzman veya eski sağlayıcı ayrıldığında kaldırın. NCSC, sistem yöneticisinin ani ayrılışını özel dikkat gereken an olarak vurgular. Kullanılmayan hizmet hesaplarını kapatın; eski entegrasyon ve API anahtarlarını temizleyin.
Sitenin hangi HTTPS ve güvenlik başlığı ayarlarına ihtiyacı var?
HTTPS, tarayıcı ile sunucu arasındaki bağlantıyı şifreler. Temel bir adımdır, ancak güvenlik için tek başına yeterli değildir. NCSC güvenli bağlantının içeriğin güvenilirliğini göstermediğini belirtir: suçlular gerçek sitelerin sahte kopyalarında da HTTPS kullanır. Güvenlik başlıkları tarayıcıya sayfaları nasıl işleyeceğini söyleyen talimatlar ekler.
HTTPS ve sertifikalar
Her sayfa, görsel ve form HTTPS ile yüklenmeli; sertifikalar otomatik yenilenmelidir. Let’s Encrypt gibi ücretsiz sertifika çoğu site için uygundur; NCSC kısa süre geçerli olduklarından otomatik yenilemenin önemini belirtir. Eski TLS ayarları geçerli sertifikayı zayıflatabilir. NCSC TLS rehberlerini sürdürür; internet.nl siteleri ve posta sunucularını bunlara göre kontrol eder.
Yönlendirmeler ve HSTS
HTTP'yi önce aynı sunucu adında HTTPS'ye, sonra tercih ettiğiniz adrese yönlendirin. Mozilla HTTP Observatory, HSTS'nin doğru uygulanması için http://example.com adresinin https://www.example.com'dan önce https://example.com'a gitmesi gerektiğini açıklar. Strict-Transport-Security başlığı tarayıcıya yalnızca HTTPS kullanmasını söyler; MDN'ye göre tarayıcı, bu alan adındaki sertifika hatasını tıklayarak geçmeye de izin vermez.
Düşük bir max-age ile başlayıp her şey çalışınca artırın. Ön yükleme (preload), en az 31.536.000 saniye (bir yıl) max-age ve tüm alt alanları kapsayan includeSubDomains ister. Ön yükleme listesinden çıkarılmak yavaştır; bu adımı bilinçli atın.
Content-Security-Policy
Content-Security-Policy (CSP), sayfaların hangi betik ve kaynakları yükleyebileceğini belirtir. MDN bunu özellikle siteler arası betik çalıştırmaya (XSS) karşı savunma olarak tanımlar; frame-ancestors yönergesi tıklama kaçırmaya (clickjacking) karşı da korur. Sıkı politika analitik, sohbet bileşeni veya gömülü videoyu bozabilir; önce engellemeden ihlalleri raporlayan Content-Security-Policy-Report-Only ile test edin.
Kontrol etmeniz gereken diğer güvenlik başlıkları
Internet.nl güvenlik seçenekleri testi; X-Frame-Options, X-Content-Type-Options, Content-Security-Policy, Referrer-Policy ve security.txt'yi inceler. Mozilla HTTP Observatory güvenli olmayan çerez ayarlarını da işaretler. Bunlar çoğunlukla CMS'ten ziyade sunucu, barındırma paneli veya CDN yapılandırmasındadır.
Site yedeği nasıl alınmalı?
Bir saldırı, hatalı güncelleme veya barındırma sorunu yüzünden veri kaybederseniz sitenizi yedekten geri getirebilirsiniz. Yalnızca geri yükleyebiliyorsanız işe yarar. Site için yüklemeler dahil dosyalar, veri tabanı ve ortamı yeniden kurmak için gereken ayarların kaydı demektir.
NCSC 3-2-1 kuralını önerir: verinin en az üç sürümü (asıl ve iki yedek), en az iki farklı medya türünde, bir kopyası başka konumda. Temel ilkeleri, yedeklerin canlı ağdan ayrılmış, şifrelenmiş ve tarihli olmasını ekler; bu, zararlı yazılım içeren bir kopyayı geri yükleme ihtimalini azaltır.
Saklama süresi sıklık kadar önemlidir. WordPress rehberi, 1 Mayıs'ta ele geçirilen ama 12 Mayıs'ta fark edilen siteyi örnek verir: yeterince uzun tutulan haftalık anlık görüntüler varsa saldırı öncesi temiz kopya kalır. Sağlayıcı yalnızca birkaç günlük yedek tutuyorsa geç fark edilen saldırı her kopyada olabilir.
Tercihen ayrı test ortamında en az bir tam geri yükleme yapmanızı, büyük değişikliklerden sonra tekrarlamanızı öneririz. Süresini ve eksikleri yazın. NCSC de kurtarma provası ve yedek bütünlüğünün düzenli kontrolünü önerir.
Başkalarının sizin adınıza e-posta göndermesi nasıl önlenir?
Site alan adınız genellikle e-posta alan adınızdır. Doğru DNS kayıtları olmadan suçlular işletmenizden geliyormuş gibi oltalama e-postası gönderebilir; müşteri ve tedarikçi güveni zarar görür. Üç standart birlikte çalışır; Forum Standaardisatie DMARC, SPF ve DKIM'i güvenli e-posta için temel kombinasyon sayar.
internet.nl e-posta testi bu kayıtları güvenli aktarım (STARTTLS ve DANE) ile birlikte kontrol eder. E-posta sağlayıcınıza iletebileceğiniz rapor bağlantısı verir.
SPF
SPF, alan adınız adına hangi posta sunucularının gönderim yapabileceğini listeler. E-posta sağlayıcısı, bülten aracı, CRM, mağaza ve iletişim formu gibi sizin adınıza gönderen tüm hizmetleri dahil edin.
DKIM
DKIM, giden e-postaya kriptografik imza ekler. Alıcı sunucu DNS'te yayımlanan anahtarla doğrulayarak mesajın gerçekten alan adınızdan geldiğini ve aktarımda değiştirilmediğini kontrol eder.
DMARC
DMARC, SPF veya DKIM kontrolleri başarısız olduğunda alıcı sunucunun ne yapacağını söyler; alan adınızı kullanan postalar için rapor gönderir. Politika none (yalnızca izle), quarantine (şüpheli say) veya reject (reddet) olabilir. none ve raporlarla başlayıp meşru göndericileri düzeltmenizi, sonra adım adım quarantine ve reject'e geçmenizi öneririz.
E-posta göndermediğiniz alan adları
Park edilmiş ve ikincil alanlar da kötüye kullanılabilir. DMARC, Forum Standaardisatie'nin Hollanda kamu kurumları için “uygula veya açıkla” listesindedir; gönderim yapmayanlar dahil tüm kamu alanlarına uygulanmalıdır. Internet.nl de posta sunucusu olmasa bile bazı standartların geçerli olduğunu belirtir. Aynı mantık küçük işletme için de uygundur.
Hangi barındırma, form ve izleme önlemleri riski azaltır?
Temel önlemlerden sonra, bir hatanın yol açabileceği zararı sınırlamak için altyapıya da bakın. Bu kararlar çoğunlukla site kurulurken veya taşınırken alınır, sonra unutulur. Bu nedenle proje planına eklenmeye değerdir.
Barındırma hizmetinde sorumlulukları netleştirin
NCSC; kendi sunucunuzdaki CMS, sağlayıcı sunucusundaki CMS ve SaaS platformunu ayırır. Kendi sunucunuzda kritik yamalar dahil her şeyden siz sorumlusunuz; SaaS'ta teknik bakımı sağlayıcı yapar. Seçiminiz ne olursa olsun NCSC sorumlulukları sözleşmeye yazmayı önerir. Sunucu güncellemelerini, yedekleri, saklama süresini ve olaylarda nasıl bilgilendirileceğinizi sorun.
Sunucu ve entegrasyonlara yalnızca gereken yetkileri verin
Kullanıcı hesabındaki ilkeyi teknik tarafa da uygulayın. Sitenin veri tabanı kullanıcısının yalnızca kendi veri tabanına erişmesini, FTP/SSH'nin ihtiyaç duyanlarla sınırlandırılmasını, eklenti ve entegrasyonlara sadece gereken izinlerin verilmesini öneririz. WordPress rehberi buna zararı sınırlama der: sistemi ihlal olursa mümkün olan en az zarar oluşacak şekilde yapılandırın.
Web uygulaması güvenlik duvarı
Web uygulaması güvenlik duvarı (WAF), kötü niyetli istekleri uygulamaya ulaşmadan süzer. WordPress üç konum belirtir: WordPress içindeki güvenlik eklentisi, sunucudaki açık kaynak ModSecurity gibi güvenlik duvarı veya internet ile barındırma arasındaki hizmet. WAF zaman kazandırır ve yaygın saldırıları engeller, ancak güncellemelerin yerine geçmez. DDoS altında trafikle boğulan siteler için NCSC, CDN gibi filtreleme hizmetlerini de işaret eder.
Formlar ve spam koruması
İletişim ve teklif formları spam çeker; dosya kabul eden veya onay e-postası gönderen formlar kötüye kullanılabilir. Tüm girdileri sunucuda doğrulayın, dosya türü ve boyutunu, ziyaretçi başına istek sayısını sınırlandırın. Cloudflare Turnstile gibi CAPTCHA alternatifleri bulmaca yerine arka plan sinyalleriyle kontrol yapar. Cloudflare, bileşenin tek başına korumadığını vurgular: sunucu her belirteci doğrulamalıdır; belirteç 300 saniye geçerli ve tek kullanımlıktır. Yalnızca gereken alanları isteyin; spam ve gizlilik riskini azaltır.
İzleme ve kayıt
Bir soruna müdahale edebilmek için önce onu fark etmeniz gerekir. Erişilebilirlik izleme, sertifika süresi uyarıları ve platform izin veriyorsa değişen/yeni dosya izleme kullanın. WordPress bunu, saldırılar kayıt veya dosya sisteminde iz bıraktığı için önerir. NCSC birçok sistemin varsayılan kayıt tutmadığını, kayıtların saldırganın değiştiremeyeceği yerde saklanmasını, saklama süresinde inceleme ihtiyacıyla gizliliğin dengelenmesini belirtir.
security.txt: size ulaşmayı kolaylaştırın
RFC 9116, HTTPS ile sunulan /.well-known/security.txt dosyasında en az Contact ve Expires alanları tanımlar; bir yıldan kısa son geçerlilik tarihi önerir. NCSC securitytxt.org ile oluşturmayı, internet.nl ile kontrol etmeyi ve geçerlilik tarihini takvime eklemeyi açıklar. Posta kutusunu okuyan ve bildirimi nasıl işleyeceğini bilen biri olsun.
Siteniz kişisel veri işliyorsa hangi gizlilik kuralları geçerlidir?
İletişim formları, müşteri hesapları, bülten kayıtları ve analitik kişisel veri içerir. GDPR (Felemenkçede AVG), uygun teknik ve kurumsal koruma önlemleri ister. AP'ye göre uygunluk risk değerlendirmesine bağlıdır: bir sağlık dosyası, bir e-posta adresinden daha güçlü koruma gerektirir. AP, önlemlerin hâlâ etkili olup olmadığının düzenli testini de bekler.
Çoğu küçük işletme yeni Cyberbeveiligingswet kapsamı dışındadır (aşağıdaki SSS'ye bakın); ancak GDPR, kişisel veri işleyen her siteye uygulanır.
Daha az toplayın, daha az saklayın
Veri minimizasyonu GDPR'nin temel ilkelerindendir: AP, amaç için gerekenden fazla kişisel veri işlenemeyeceğini açıklar. Site için gereksiz form alanlarını kaldırmak, e-postaya zaten ulaşan form kayıtlarını CMS'te ayrıca tutmamak ve eski gönderimleri, test dışa aktarımlarını ve yedekleri plana göre silmek demektir. Elinizde olmayan veri sızamaz.
Veri ihlalini 72 saat içinde bildirin
Kişisel veriyi açığa çıkaran saldırı veri ihlali olabilir. AP, bildirime tabi ihlalin fark edildikten sonra 72 saat içinde bildirilmesini ister. Fidye yazılımı gibi karmaşık durumda sürede ön bildirim yapıp ayrıntıları sonra eklersiniz. Hafta sonu, tatil, hastalık ve yoğunluk geç bildirim gerekçesi sayılmaz; etkilenen kişileri gereksiz gecikme olmadan bilgilendirmeniz de gerekebilir.
Veri ihlali kaydı tutun
GDPR, AP'ye bildirmedikleriniz dahil her ihlali iç kayda almanızı ister: ne oldu, sonuçları neydi, hangi önlemleri aldınız? AP kullanabileceğiniz örnek kayıt sunar.
Site güvenliği: 12 kontrol
Site bakımını yapan kişiyle bu maddeleri kontrol edin. Her eksik için işlem, sorumlu ve tarih yazın. Güncelleme, MFA ve yedeklerle başlayın; en çok zararı önler veya sınırlarlar.
İşaretlemeler geçicidir; yanıtlar kaydedilmez veya gönderilmez. Liste siteyi değerlendirmenize yardımcı olur, güvenli olduğunu garanti etmez.
Hangi ücretsiz araçlarla site güvenliği kontrol edilir?
Güvenilir bazı araçlar sitenizi birkaç dakikada dışarıdan kontrol eder. Yapılandırma eksiklerini bulup barındırma sağlayıcısı veya geliştiriciyle görüşmeye başlamak için yararlıdır. Digital Trust Center'ın işletme rehberi NCSC sitesindedir: Eylül 2026 itibarıyla digitaltrustcenter.nl, temel ilkelerin ve CyberVeilig Check'in de bulunduğu ncsc.nl'ye yönlenir.
Ücretsiz araçlar neyi söyleyemez?
NCSC, sağlayıcıyla görüşürken yararlı olsa da internet.nl sonucunun güvenlik testi olmadığını vurgular. Mozilla da açıktır: HTTP Observatory A+ puanı sitenin güvenli olduğu anlamına gelmez; eski yazılımı, açık içeren CMS eklentilerini, SQL enjeksiyonunu veya parola saklamayı test etmez. Dış tarama girişin arkasını göremez, müşterinin başka müşterinin verisini görüp göremediğini kontrol edemez, teklif veya ödeme akışının mantığını değerlendiremez.
Sızma testi ne zaman uygundur?
Pentestte uzmanlar yazılı izin ve kararlaştırılmış kapsamla açıkları aktif olarak kullanmayı dener. NCSC, siteyi bağımsız dış tarafın en az yılda bir düzenli incelemesini, web hizmetleri ve API'lerin dahil edilmesini önerir. Özellikle müşteri hesabı, ödeme veya hassas veri varsa; özel kod/API çalışıyorsa veya site yeniden geliştirildiyse test öneririz. Pentest rehberimiz süreci ve hazırlığı açıklar.
| Araç | Kontrol ettiği konular | Kimler için | Dikkat edilmesi gereken |
|---|---|---|---|
| Internet.nl | Site: IPv6, DNSSEC, NCSC TLS rehberine göre HTTPS, güvenlik başlıkları, security.txt ve RPKI. E-posta: SPF, DKIM, DMARC, STARTTLS ve DANE. | Kendi alan adı olan her işletme; rapor bağlantısı sağlayıcıyla kolay paylaşılır | Dutch Internet Standards Platform girişimi. NCSC bunun güvenlik testi olmadığını belirtir. |
| Mozilla HTTP Observatory | HTTP güvenlik başlıkları, yönlendirmeler, çerez ayarları ve ilgili tarayıcı korumaları | Geliştiriciler ve teknik konularla ilgilenen site sahipleri | Alan adının tarama geçmişi herkese açık. TLS ayrıntısı, eski yazılım veya eklenti kontrolü yok. |
| Qualys SSL Labs SSL Server Test | Herkese açık sunucunun sertifika ve TLS yapılandırmasının ayrıntılı analizi | Sunucu, barındırma veya CDN yöneten kişi | Sonucu herkese açık listeden çıkarmak için “Do not show the results on the boards” seçeneğini işaretleyin. |
| NCSC CyberVeilig Check | Küçük kuruluşlar için kişisel eylem listeli temel güvenlik öz değerlendirmesi | Küçük işletme sahipleri ve bağımsız çalışanlar | Yaklaşık beş dakika sürer; yalnızca siteyi değil işletmeyi kapsar. Felemenkçedir. |
| NCSC beş temel ilke | Riskler, güvenli davranış, sistem koruma, erişim ve olaylar için pratik önlemler | Temel güvenliği planlayan işletme sahipleri | Tarama değil rehber; eski Digital Trust Center önerileri burada yayımlanır. |
Siteniz saldırıya uğradıysa ne yapmalısınız?
Belirtiler; tanımadığınız yönetici hesapları, oluşturmadığınız sayfa/yönlendirmeler, alanınızdan spam, arama sonuçlarında uyarı veya sağlayıcının hesabı askıya alması olabilir. Hızlı ama belirli sırayla hareket edin. NCSC olay müdahale planı ve barındırma, geliştirici, diğer sağlayıcıları içeren basılı bir acil iletişim listesi hazırlamayı önerir; sistemler kapalıyken dijital dosyayı açamayabilirsiniz.
1. Durumu anlayın ve kayıt tutun
Neyi ne zaman fark ettiğinizi ve yaptığınız her işlemi yazın. NCSC, nedeni bulmaya, polis bildirimine ve sigorta talebine yardımcı olduğundan olay kaydı önerir. AP'nin ilk adımı da aynıdır: ne oldu, ne zamandan beri ve hangi veri etkilendi?
2. Zararı sınırlayın
Barındırma sağlayıcısı veya geliştiriciyi erken dahil edin. Site zararlı yazılım yayıyor veya veri sızdırıyorsa bakım moduna alın veya kapatın; ele geçirilen hesapları engelleyin, CMS, barındırma, veri tabanı ve e-posta parolalarını değiştirin. NCSC bu aşamada mümkün olan her yerde iki faktörlü doğrulamayı açmayı da önerir.
3. Kanıtları ve yedekleri koruyun
Bir şeyi silmeden önce günlük kayıtlarını ve mevcut yedekleri güvene alın; adli incelemede gerekebilir. Yakın tarihli yedeklerin zararlı kod içerebileceğini unutmayın. AP karmaşık olaylarda dijital adli inceleme uzmanı gibi bir uzmandan yardım almayı önerir.
4. Kişisel veriler etkilendiyse bildirim yükümlülüğünü değerlendirin
Kişisel verilere erişilmiş olabilirse riski değerlendirin, bildirime tabi ihlali fark ettikten sonra 72 saat içinde AP'ye bildirin. AP, Ağustos 2026 WordPress tavsiyesinde kişisel veri erişimini dışlayamıyorsanız en kötü durumu varsaymanızı; çok sayıda e-posta ve telefon ifşasında etkilenenleri mümkün olduğunca çabuk bilgilendirmenizi söyler. Her durumda ihlali kaydınıza alın.
5. Polise bildirin
NCSC siber suçu daima polise bildirmeyi, kanıtı değiştirmeden korumayı önerir. Kuruluşlar eHerkenning, bağımsız çalışanlar DigiD ile çevrimiçi bildirim yapabilir. Adınıza gönderilen oltalamayı Fraudehelpdesk'e de bildirin.
6. Siteyi geri yükleyin ve saldırıya yol açan sorunu giderin
Temiz yedekten veya yeni kurulumdan yeniden oluşturun; tüm güncellemeleri uygulayın, bilinmeyen hesap/eklentileri kaldırın, saldırganı içeri alan zayıflığı giderin. Yoksa aynı açık yeniden kullanılır. Ardından öğrendiklerinizle kontrol listenizi ve olay planınızı güncelleyin.
Bu hafta hangi eksikleri giderebilirsiniz?
Listenizdeki üç eksikle başlayın. Her biriyle kimin ilgileneceğini ve ne zaman tamamlanacağını bu hafta belirleyin. Site ve e-posta alan adınızı internet.nl ile kontrol edip raporları barındırma sağlayıcınızla veya geliştiricinizle paylaşın. Müşteri verisi işleyen ya da özel kod kullanan bir siteniz varsa daha kapsamlı bir güvenlik incelemesi de planlayın.
Sitenize bir de bizim bakmamızı isterseniz ücretsiz yapay zekâ görünürlüğü ve güvenlik taramamızdan yararlanabilirsiniz. HTTPS ve sertifikaları, güvenlik başlıklarını, SPF ve DMARC ayarlarını, istemeden paylaşılan teknik ayrıntıları ve arama araçlarının işletmenizi nasıl anladığını inceliyoruz. Bu pasif tarama bir sızma testi değil; sonrasında hizmet alma zorunluluğunuz da yok. Pixel Dev ekibimiz, bulguları gidermek, barındırma ve yayın süreçlerini güçlendirmek veya web ve API sızma testinin kapsamını belirlemek için destek olabilir.
Sık sorulan sorular
Sitemin ele geçirilmesini nasıl önleyebilirim?
Hiçbir önlem siteyi ele geçirilemez yapmaz; ancak birçok saldırı bilinen zayıflıkları kullanır: eski yazılım, tekrarlanan parola ve eksik MFA. Her şeyi güncelleyin, kullanılmayan eklentileri silin, yönetici girişlerini MFA ile koruyun ve yetkileri sınırlayın. Test edilmiş yedek ve izleme saldırıyı önlemez, ama kurtarmayı hızlandırır.
WordPress sitesi nasıl korunur?
Çekirdek, eklenti ve temaları güncelleyin; kullanılmayanları silin, yazılımı yalnızca wordpress.org veya bilinen sağlayıcılardan kurun. Her kullanıcıya işi için en düşük rolü olan kişisel hesap verin; yöneticide MFA açın ve yerleşik dosya editörünü kapatmayı değerlendirin. NCSC uyarılarını izleyin: Temmuz 2026'da aktif kullanılan ciddi WordPress Core açıkları için uyardı.
SSL sertifikası tek başına yeterli mi?
Hayır. Sertifika, tarayıcı ve sunucu bağlantısını koruyan HTTPS'yi sağlar. Eski eklenti, zayıf parola veya açık içeren forma karşı korumaz; NCSC sahte sitelerin de güvenli bağlantı kullandığını belirtir. HTTPS'yi listenin tamamı değil, bir maddesi sayın.
Ele geçirilen siteyi Autoriteit Persoonsgegevens'e bildirmeli miyim?
Yalnızca kişisel veri söz konusuysa ve ihlal bildirime tabiyse; ancak birçok saldırı form kayıtları veya müşteri hesapları gibi kişisel verileri etkiler. AP fark ettikten sonra 72 saat içinde bildirim ister; araştırma sürerken ön bildirim yapılabilir. Bildirilsin veya bildirilmesin her ihlal iç kaydınızda bulunmalıdır.
Küçük bir işletme site güvenliğini ne sıklıkla test etmeli?
internet.nl gibi ücretsiz araçları önemli değişikliklerden sonra ve yılda en az birkaç kez çalıştırmanızı öneririz. Derin inceleme için NCSC önceden belirlenmiş kapsamla yılda en az bir bağımsız dış test önerir. Derinlik sitenin işlevine ve işlediği verilere bağlıdır.
Cyberbeveiligingswet (NIS2) küçük işletmeme uygulanır mı?
Muhtemelen doğrudan değil. NCSC'ye göre 15 Ağustos 2026'dan beri yürürlükteki Hollanda Cyberbeveiligingswet; 18 kritik sektörde, 50 ve üzeri çalışanı olan veya hem yıllık cirosu hem bilanço toplamı 10 milyon €'yu aşan yaklaşık 8.000 kuruluşu kapsar. Bazı kuruluş türleri büyüklüğünden bağımsız kapsanır. Yasa kapsamındaki müşteriler doğrudan tedarikçilerine güvenlik şartları koyabilir.
Küçük işletmelere siber güvenlik desteği var mı?
Eylül 2026 itibarıyla evet. Mijn Cyberweerbare Zaak ile en fazla 50 çalışanı ve 10 milyon € yıllık cirosu olan işletmeler; MFA, parola yöneticisi, yama yönetimi veya yedek kurma/test etme gibi önlemlerin %50'si için 30 Kasım 2026'ya kadar başvurabilir; üst sınır 1.250 €'dur. Başvurular 1 milyon € bütçe tükenene kadar geliş sırasıyla işlenir. Güncel durum için NCSC sayfasını kontrol edin.
