WordPress Solid Security Kurulumu ve Tüm Ayarlarının Detaylı Anlatımı

WordPress Solid Security Kurulumu, doğru yapılandırıldığında, sitenizi brute-force denemeleri, zararlı yazılımlar ve yetkisiz erişimlere karşı güçlü biçimde korur. Bu rehberdeki modül ayarları ve önerilen politikalar ile WordPress kurulumunuz güncel güvenlik standartlarına uygun, izlenebilir ve sürdürülebilir bir yapıya kavuşur.

Solid Security (iThemes Security) Nedir?

Solid Security (önceki adıyla iThemes Security), WordPress için geliştirilmiş, çok katmanlı koruma sunan kapsamlı bir güvenlik eklentisidir.

• Ücretsiz sürüm: Brute-force koruması, giriş güvenliği, parola politikaları, temel bildirimler.
• Pro sürüm: İki Faktörlü Doğrulama (2FA), malware taraması, coğrafi engelleme, Trusted Devices, Security Dashboard gibi ileri düzey modüller.

Eklenti Kurulumu ve Başlangıç Yapılandırması

1. WordPress yönetim panelinize giriş yapın.
2. Eklentiler > Yeni Ekle yolunu izleyin.
3. Arama alanına “Solid Security” yazın.
4. “Solid Security (by SolidWP)” eklentisini bulun ve Şimdi Yükle’ye tıklayın.
5. Kurulum bittiğinde Etkinleştir butonuna basın.

Solid Security Başlangıç Sihirbazı

Etkinleştirme sonrası sihirbaz, temel tercihlerinizi toplar ve önerilen ayarları uygular:

• Site türü: Blog, WooCommerce, üyelik/CRM gibi senaryolar.
• Kullanıcı profili: Yönetici sayısı, editör/yazar rollerinin durumları.
• Önerilen güvenlik: Otomatik kapatılacak yüzeyler ve minimum parola/oturum politikaları.

İpucu: Sihirbazı tamamladıktan sonra Security > Settings ekranından tüm modülleri tek tek gözden geçirin.

Ayarlar Sekmesi Detayları

Tüm modüller Security > Settings altında yer alır. Aşağıda her başlık için ne işe yaradığı ve önerilen ayar notları verilmiştir.

1. Global Settings

• Write to Files: .htaccess ve wp-config.php dosyalarına doğrudan yazma. (Yönetimli hostlarda kapalı tutmanız gerekebilir.)
• Notification Email: Tüm kritik olayların iletileceği e-posta adresi.
• Authorized Hosts: Güvenilen alan adları/IP listesi; yanlış yapılandırmada meşru trafik engellenebilir.

Önerilen: En az bir güvenlik e-postası ve bir yedek e-posta tanımlayın; Write to Files açıkken düzenlemeleri dikkatle yapın.

2. Security Check Pro (Pro)

Tek tıkla tavsiye edilen ayarları uygular, riskli yüzeyleri kısıtlar.

Önerilen: İlke olarak bir kez çalıştırın; ardından her modülü manuel doğrulayın.

3. Site Scan

• Enable Malware Scan: Çekirdek/tema/eklenti dosyalarında zararlı imza taraması.
• Scan Schedule: Günlük önerilir; yoğun sitelerde günde 2 kez.
• Send Email Notification: Pozitif bulgu ve kritik değişikliklerde bildirim.

Önerilen: Günlük otomatik tarama + e-posta bildirimi açık.

4. Notifications

Hangi olayda kime bildirim gideceğini belirler.

• Başarısız girişler / kilitlenmeler
• Dosya değişiklikleri
• Tarama sonuçları
• Şüpheli oturum / cihaz uyarıları

Önerilen: Yönetici ve teknik sorumlu e-postalarını ekleyin; kritik olayları ayrı konu satırıyla ayırın.

5. User Groups

Rol bazlı güvenlik politikası tanımlar (Yönetici, Editör, Yazar vb.).

Önerilen: Yönetici ve Editör için daha katı sınırlar; Abone/Müşteri için daha esnek eşikler.

6. Two-Factor Authentication (2FA)

• Enabled Roles: Hangi roller için zorunlu?
• 2FA Methods: E-posta, Authenticator (TOTP), yedek kodlar.
• Grace Period: Zorunluluk öncesi tanınan geçiş süresi.

Önerilen: Yönetici/Editor için zorunlu; diğer roller için teşvik. Grace Period: 3-7 gün.

7. Password Requirements

• Minimum uzunluk (öneri: 12+)
• Alfanümerik + özel karakter
• Periyodik yenileme (kritik roller için 90 gün)

8. User Logging

Giriş/çıkış, kritik ayar değişikliği, başarısız denemeler gibi olayları kaydeder.

Önerilen: Log saklama süresi en az 30-90 gün.

9. Session Hijacking Protection

IP ve tarayıcı parmak izi kontrolü ile oturum devralmayı engellemeye çalışır.

Önerilen: Aktif; sık IP değişen mobil kullanıcılar için tolerans ayarını düşürmeyin.

10. Brute Force Protection

• Max Login Attempts: 3-5 hata önerilir.
• Lockout Duration: 15-60 dk arası, saldırı yoğunluğuna göre.
• Notify Admin: Kilitlenmelerde bildirim.

Önerilen: 5/30 dk başlangıç; artan saldırıda kademeli yükseltme.

11. Magic Links

Kilitlenen meşru kullanıcıların e-posta ile tek kullanımlık bağlantı üzerinden oturum açmasını sağlar.

12. Trusted Devices (Pro)

Yeni cihaz tespitinde ek doğrulama ister; alışılmadık girişleri bayraklar.

Önerilen: Yönetici/Editor için zorunlu kullanın.

13. User Security Check

Kullanıcıların 2FA durumu, parola gücü ve son etkinliğini özetler.

14. File Change Detection

Çekirdek/tema/eklenti dosya değişikliklerini tarar ve raporlar.

Önerilen: Planlı güncellemelerde “bakım modu”/beyaz liste kullanın, beklenmeyen değişiklikleri ciddiyetle inceleyin.

15. File Permissions

Dosya/dizin izinlerinin güvenli aralıkta olup olmadığını denetler.

• wp-config.php: 400-440
• uploads/: 755

16. System Tweaks

• Directory Browsing Disable
• PHP in Uploads Disable
• Long URL Strings Block
• XML-RPC Disable (gerekliyse kısmi kural)
• REST API Disable (gerek yoksa sınırla)

Önerilen: XML-RPC ve PHP in Uploads kapalı; REST sadece ihtiyaç duyulan endpoint’lere açık.

17. Database Backups

• Otomatik yedek sıklığı (haftalık/günlük)
• Şifreli arşiv ve uzak hedefe gönderim (S3/SMTP)
• Yedek saklama sayısı (5-10 kopya)

18. Lockouts

Şüpheli IP/ajanlara süreli veya kalıcı engel uygular.

Önerilen: Artan süreli lockout + kalıcı ban eşiği belirleyin.

19. Banned Users

IP, CIDR aralığı veya User-Agent temelli kalıcı engelleme.

20. Geolocation Restrictions (Pro)

Ülke/region bazlı erişim kısıtlaması (özellikle /wp-admin için).

21. reCAPTCHA

Giriş, kayıt, yorum ve iletişim formlarına Google reCAPTCHA ekler.

Önerilen: Yönetici girişinde zorunlu; e-ticarette kullanıcı deneyimi için sadece riskli noktalarda.

22. Malware Scanning (Pro)

Harici imza veritabanlarıyla günlük tarama ve raporlama (örn. Sucuri API).

23. Temporary Privilege Escalation

Destek için geçici, tarih/saat sınırlı yönetici yetkisi atar.

24. Security Dashboard

Engellenen IP’ler, brute-force denemeleri, güncel uyarılar ve genel risk görünümü.

25. Logs

Olay günlükleri (filtrelenebilir, dışa aktarılabilir CSV/JSON).

26. Tools

• Import / Export Settings
• Reset Plugin Settings
• Debug Logs

27. Ek Modüller ve Pratik İpuçları

• Network Brute Force (varsa): Bilinen kötü IP’leri küresel veritabanıyla önceden engeller.
• Application Passwords & XML-RPC: XML-RPC kullanıyorsanız uygulama şifrelerini zorunlu kılın, gereksizse kapatın.
• Güncel kalın: Çekirdek/tema/eklenti güncellemelerini ihmal etmeyin; açıkların çoğu güncelleme ile kapanır.

Önerilen Politika ve Eylem Planı

• 2FA: Yöneticiler için zorunlu, diğer roller için öner.
• Brute-Force: 5 deneme / 30 dk lockout; tekrarda süreyi artır.
• Site Scan: Günlük otomatik tarama + e-posta bildirimi.
• File Change: Aktif; planlı güncellemelerde beyaz liste.
• Backups: Haftalık tam + günlük veritabanı; 7 sürüm sakla; uzak depoya aktar.
• System Tweaks: Directory listing kapalı, PHP in Uploads kapalı, XML-RPC kapalı (gerekirse kısmi).

En İyi Güvenlik Uygulamaları

• 2FA’yı tüm kritik roller için zorunlu hale getirin.
• Dosya değişiklik uyarılarını aktif edin ve beklenmeyen değişiklikleri inceleyin.
• XML-RPC erişimini kapatın veya daraltın.
• Haftalık veritabanı yedeği alın; ayrı sunucuda saklayın.
• Brute-force kilit süresini saldırı düzeyine göre artırın.
• En az ayrı bir yönetici e-postası ve acil durum kurtarma hesabı bulundurun.

Sık Sorulan Sorular (FAQ)

Solid Security ücretli mi?

Temel özellikler ücretsizdir; 2FA, malware taraması, coğrafi engelleme gibi gelişmiş modüller Pro sürümdedir.

iThemes Security ile Solid Security aynı mı?

Evet. iThemes Security, marka değişimi sonrası Solid Security adını almıştır (geliştirici: SolidWP).

Güvenlik logları nereden görüntülenir?

Security > Logs bölümünden tüm olayları filtreleyebilir ve dışa aktarabilirsiniz.

Eklentiyi kaldırınca tüm ayarlar silinir mi?

Hayır. Veritabanında bazı kalıcı ayarlar kalabilir. Tools > Reset Settings üzerinden tam sıfırlama yapmanız önerilir.

 

Solid Security eklentisini resmi WordPress deposundan indirebilirsiniz:

Solid Security eklentisi indirme sayfası