.htaccess ile WordPress Giriş Limitini Ayarlayarak Sitenizi Güçlendirin

WordPress sitene girmeye çalıştığında, tanıdık ama bir o kadar da sinir bozucu bir mesajla karşılaşmak, örneğin “Hesabın kilitlendi. Fazla sayıda giriş denemesi yapıldı.” uyarısını almak, dijital dünyanın acımasız gerçeklerinden biridir. Bu durum ilk bakışta can sıkıcı gelse de, aslında siteni koruyan hayati bir güvenlik mekanizmasının iş başında olduğunun işaretidir. Her gün milyonlarca WordPress sitesi, internetin karanlık köşelerinden gelen ve “brute-force” olarak bilinen kaba kuvvet saldırılarıyla mücadele ediyor. Bu saldırılar, kötü niyetli botların ve hackerların, kullanıcı adlarını tahmin ettikten sonra binlerce farklı şifre kombinasyonunu denemesiyle sitene sızmaya çalıştığı anlamına gelir. İşte tam da bu noktada, sitenin savunma hattının en önemli unsurlarından biri olan WordPress giriş limiti devreye girer. Bu limit, bu tür otomatik denemelerin önünü keser, bir botun sınırsız sayıda şifre denemesi yapmasını engeller ve sitenin güvenliğini önemli ölçüde artırır. Senin görevin ise, bu denemeleri akıllıca sınırlandırmak ve bunu yapmanın en hafif ama aynı zamanda en etkili yollarından biri de .htaccess dosyasıdır.

Htaccess Nedir ve Neden Bu Kadar Önemlidir?

.htaccess, Apache sunucularında çalışan web sitelerinin davranışını belirleyen güçlü bir yapılandırma dosyasıdır. Bu küçük ama etkili dosya, URL yönlendirmelerinden önbellekleme kurallarına, IP engellemeden özel hata sayfaları tanımlamaya kadar sitenle ilgili birçok kritik ayarı yapmana olanak tanır. Kısacası, sunucunun sitenle nasıl etkileşim kuracağını belirleyen bir nevi dijital talimatname gibidir. Bu dosya aracılığıyla WordPress giriş limiti belirlemek, belirli bir IP adresinden gelen hatalı giriş denemelerinin sayısını sınırlamanı ve bu limit aşıldığında o IP adresini geçici veya kalıcı olarak engellemeni sağlar. Bu, botların ve saldırganların sitende sınırsız deneme yapmasının önünü keserek, güvenlik duvarının ilk katmanlarından birini oluşturur.

WordPress Giriş Limitini Neden .htaccess ile Ayarlamalısın?

WordPress kullanıcılarının çoğu, giriş denemelerini sınırlamak için bir güvenlik eklentisi kullanmayı tercih eder. Ancak .htaccess, eklentilere kıyasla birkaç önemli avantaj sunar. Her şeyden önce, .htaccess tabanlı bir çözüm eklenti yükü oluşturmaz. Her yeni eklenti, sitenin performansına az da olsa bir yük bindirir. .htaccess ise, doğrudan sunucu seviyesinde çalıştığı için ek bir yazılım katmanı gerektirmez, bu da daha hızlı ve daha verimli bir güvenlik yaklaşımı sunar. Ayrıca, eklentiler WordPress çekirdeği içinde çalıştığı için, ileri düzey bir hacker sitene erişim sağladığında bu eklentileri devre dışı bırakabilir. Ancak .htaccess dosyası, WordPress çekirdeğinin dışında, sunucu seviyesinde işlev gördüğü için buna dokunmak çok daha zordur. Bu nedenle .htaccess ile giriş limiti belirlemek, sitenin savunmasının derin katmanlarından biri olarak kabul edilir ve genel güvenlik stratejinin vazgeçilmez bir parçası olmalıdır.

Htaccess ile WordPress Giriş Limitini Ayarlama (Adım Adım Kılavuz)

1. Adım: .htaccess Dosyasını Bul

.htaccess dosyası genellikle web sitenin kök dizininde bulunur. Bu dizin genellikle ‘public_html’, ‘www’ veya doğrudan alan adının adıyla adlandırılmış bir klasör olabilir. WordPress yüklemesinin ana dizininde ‘.htaccess’ adlı bir dosya aramalısın. Eğer bu dosyayı göremiyorsan, endişelenme. Çoğu FTP istemcisinde (örneğin FileZilla) veya hosting kontrol panelinin (örneğin cPanel Dosya Yöneticisi) dosya yöneticisinde gizli dosyaları görünür yapma seçeneği bulunur. Bu seçeneği etkinleştirdikten sonra dosyayı kolayca bulabilirsin.

2. Adım: Dosyayı Yedekle

Herhangi bir değişiklik yapmadan önce, mutlaka ve mutlaka mevcut .htaccess dosyanı bilgisayarına indirerek bir yedek kopyasını al. Bu adım hayati önem taşır çünkü .htaccess dosyasına ekleyeceğin yanlış bir kod satırı, sitenin tamamen çalışmaz hale gelmesine veya “500 Internal Server Error” gibi hatalar vermesine neden olabilir. Bir yedeğin olması, olası bir sorunda siteni hızla eski haline getirmene olanak tanır.

3. Adım: Kodu Ekle

Aşağıdaki kod parçası, belirli bir IP adresinden 3’ten fazla hatalı giriş denemesi yapıldığında o IP’yi 1 saatliğine (3600 saniye) engeller. Bu, kaba kuvvet saldırılarına karşı oldukça etkili bir önlemdir.

<IfModule mod_evasive.c>
DOSHashTableSize 3097
DOSPageCount 3
DOSSiteCount 10
DOSPageInterval 1
DOSSiteInterval 1
DOSBlockingPeriod 3600
</IfModule>

Bu kodun sorunsuz çalışabilmesi için Apache sunucunda mod_evasive modülünün etkin olması gerekir. Bazı hosting sağlayıcılarında bu modül varsayılan olarak aktiftir; bazılarında ise değildir. Eğer modül etkin değilse, hosting destek ekibinle iletişime geçerek bu modülü aktif etmelerini talep edebilirsin.

Alternatif: IP Bazlı Erişim Kısıtlaması ile Daha Sıkı Güvenlik

Eğer sunucunda mod_evasive modülü aktif değilse veya daha spesifik bir kontrol sağlamak istiyorsan, manuel olarak belirli IP’leri engelleyebilir veya sadece belirli IP’lere izin verebilirsin. Bu yöntemler, özellikle yönetim panelin için daha katı bir güvenlik sağlamak istediğinde işe yarar.

Mesela, şu kodla belirli bir kötü niyetli IP adresini sitenden tamamen yasaklayabilirsin:

<Limit LOGIN>
Order Deny,Allow
Deny from 123.456.789.000
Allow from all
</Limit>

Bu kod, ‘123.456.789.000’ IP adresinden gelen tüm giriş denemelerini engeller. Kendi IP adresini öğrenmek için Google’a “what is my IP” yazman yeterlidir.

Daha da ileri giderek, sadece kendi IP adresine (veya güvendiğin diğer IP adreslerine) erişim izni vererek, diğer herkesin wp-login.php sayfasına erişmesini tamamen engelleyebilirsin. Bu, WordPress giriş limiti uygulamasının en katı ama aynı zamanda en etkili versiyonlarından biridir:

<Files wp-login.php>
Order Deny,Allow
Deny from all
Allow from 111.222.333.444
</Files>

Yukarıdaki örnekte ‘111.222.333.444’ yerine kendi IP adresini yazmalısın. Bu yöntem, sitenin giriş sayfasını neredeyse tamamen görünmez kılar ve sadece senin belirlediğin IP’lerin erişimine açar. Ancak dinamik bir IP adresin varsa, her IP adresin değiştiğinde bu kodu güncellemen gerekeceğini unutmamalısın.

Limiti Ayarlarken Dikkat Etmen Gerekenler

Giriş limitini belirlerken temel amaç, saldırganları engellerken aynı zamanda kendi erişimini veya meşru kullanıcıların erişimini zorlaştırmamaktır. Bu dengeyi korumak, hem güvenliği hem de site erişilebilirliğini sürdürmen için hayati öneme sahiptir. İşte dikkat etmen gerekenler:

• Kendi IP Adresini Engelleme: Kodu eklemeden önce veya eklerken kendi IP adresini yanlışlıkla engellemediğinden emin olmalısın. Aksi takdirde, sitene kendin bile erişemeyebilirsin. Eğer böyle bir durumla karşılaşırsan, hosting panelinden dosya yöneticisi aracılığıyla .htaccess dosyasını düzenleyebilir veya yedeğini geri yükleyebilirsin.
• Kod Ekleme Sonrası Test Et: Herhangi bir kodu .htaccess dosyasına ekledikten sonra, sitenin giriş sayfasını hemen test etmelisin. Farklı bir tarayıcıdan veya gizli modda giriş yapmayı deneyerek her şeyin yolunda gittiğinden emin ol.
• mod_evasive Modülü: Eğer ilk kod bloğunu kullanıyorsan ve siten istediğin gibi çalışmıyorsa, sunucunda mod_evasive modülünün etkin olup olmadığını hosting destek ekibinden öğrenmelisin. Gerekirse, bu modülü aktif etmelerini talep edebilirsin.
• Sözdizimi Hataları: .htaccess dosyasına ekleyeceğin hatalı bir satır veya eksik bir karakter, tüm sitenin erişilemez hale gelmesine neden olabilir. Bu yüzden, kodu kopyalayıp yapıştırırken çok dikkatli olmalı ve her zaman bir yedeğe sahip olmalısın.

WordPress giriş limiti ayarlamak, bazen karmaşık eklentilerden veya pahalı güvenlik çözümlerinden çok daha fazla işini görebilir. .htaccess ile yapacağın basit ama stratejik bir ayarlama, sitenin temel güvenliğini ciddi oranda artırır ve onu kaba kuvvet saldırılarına karşı daha dirençli hale getirir. Unutma, dijital güvenlikte en etkili adımlar genellikle en basit olanlardır ve sunucu seviyesinde alınan önlemler her zaman bir adım öndedir. Eğer bu yazıyı faydalı bulduysan ve WordPress güvenliği hakkında daha fazla bilgi edinmek istersen, WordPress Giriş Denemelerini Sınırlandırma Nedir, Neden Gereklidir? başlıklı yazımıza da göz atabilirsin. Bu yazıda, giriş denemelerini yönetmek için kullanabileceğin eklenti odaklı yaklaşımları ve hangi eklentilerin sana en iyi hizmeti verebileceğini detaylı bir şekilde ele alıyorum. Sende de giriş denemeleri artmış olabilir mi? Deneyimini yorumlarda paylaşabilir veya bana iletişim sayfamızdan yazabilirsin – birlikte en doğru çözümü bulalım. Sevgiler 🫶