WordPress Giriş Limitini .htaccess ile Ayarlayarak Sitenizi Güvende Tutun

İnternet dünyasının vazgeçilmez platformlarından WordPress, her gün milyonlarca web sitesine ev sahipliği yapıyor. Ancak bu popülerlik, beraberinde bazı güvenlik risklerini de getiriyor. Özellikle sitenizin giriş paneli, kötü niyetli botların ve siber saldırganların hedefi haline gelebiliyor. “Brute-force” olarak bilinen bu saldırı türünde, botlar binlerce farklı kullanıcı adı ve şifre kombinasyonunu deneyerek sitenize sızmaya çalışır. Bu durum, sadece sitenizin güvenliğini tehdit etmekle kalmaz, aynı zamanda sunucu kaynaklarınızı tüketerek performans düşüşlerine yol açabilir. İşte tam da bu noktada, WordPress giriş limitini ayarlamak hayati bir önem kazanır. Bu, potansiyel bir saldırganın deneme sayısını kısıtlayarak, sitenizi güvende tutmanın en etkili yollarından biridir.

Peki, bu kısıtlamayı nasıl yapabiliriz? Çoğu kullanıcı, bu iş için bir WordPress eklentisine başvurmayı düşünür. Ancak, eklentiler her zaman en hafif veya en güvenli çözüm olmayabilir. Sunucu seviyesinde, doğrudan sitenizin kalbinde yer alan ve çok daha güçlü bir savunma hattı oluşturan başka bir yöntem var: .htaccess dosyası. Bu dosya, sitenizin Apache sunucusuyla nasıl etkileşime girdiğini belirleyen güçlü bir yapılandırma aracıdır ve doğru kullanıldığında, sitenizin giriş güvenliğini bambaşka bir seviyeye taşıyabilir.

Htaccess Nedir ve Ne İşe Yarar?

.htaccess, Apache web sunucularında dizin bazında yapılandırma ayarlarını kontrol eden özel bir dosyadır. “Hypertext Access” kelimelerinin kısaltması olan bu dosya, URL yönlendirmeleri, özel hata sayfaları, önbellekleme kuralları, IP engelleme ve elbette, giriş denemelerini sınırlama gibi birçok işlev için kullanılabilir. Sitenizin kök dizininde (genellikle public_html) bulunan bu küçük ama güçlü dosya, sunucu düzeyinde komutlar çalıştırarak sitenizin davranışını dinamik olarak değiştirmenize olanak tanır. Yani, bir eklenti gibi PHP ile değil, doğrudan sunucuyla konuşur.

.htaccess dosyasıyla WordPress giriş limitini belirlemek, belirli bir IP adresinden gelen hatalı giriş denemelerinin sayısını sınırlamak anlamına gelir. Örneğin, bir IP adresinden belirli bir süre içinde belirlenen sayıdan fazla hatalı giriş yapıldığında, o IP adresinin geçici veya kalıcı olarak engellenmesini sağlayabilirsiniz. Bu, botların veya saldırganların sınırsız deneme yapmasının önüne geçerek, sitenizin ele geçirilme riskini önemli ölçüde azaltır.

WordPress Giriş Limiti Neden .htaccess ile Ayarlanmalı?

WordPress güvenlik eklentileri, giriş denemelerini sınırlandırmak için popüler bir seçenektir. Ancak, .htaccess tabanlı bir çözümün sunduğu avantajlar göz ardı edilemez:

• Performans Avantajı: Her eklenti, sitenize ek bir yük bindirir. .htaccess ise sunucu seviyesinde çalıştığı için herhangi bir PHP kodu çalıştırmaz veya veritabanı sorgusu yapmaz. Bu, sitenizin performansını etkilemeden güvenlik sağlar. Daha az eklenti, daha hızlı bir site demektir.
• Sunucu Seviyesinde Güvenlik: .htaccess kuralları, WordPress çekirdeği veya eklentiler yüklenmeden önce çalışır. Bu, saldırganların güvenlik eklentilerini devre dışı bırakarak sisteme sızma girişimlerini baştan engeller. Bir saldırgan, sitenizin yönetim paneline erişse bile, .htaccess kuralları hala aktif kalacaktır. Bu, savunmanın daha derin ve kırılması zor bir katmanını oluşturur.
• Daha Zor Devre Dışı Bırakma: Bir hacker, WordPress yönetim panelinize erişirse, yüklü bir güvenlik eklentisini kolayca devre dışı bırakabilir. Ancak .htaccess dosyasına müdahale etmek, genellikle sunucuya doğrudan erişim veya FTP/cPanel bilgisi gerektirir. Bu da saldırganlar için işi çok daha zorlaştırır.

Kısacası, .htaccess ile giriş limiti belirlemek, sitenizin savunma stratejisinin temel ve sağlam bir parçası olmalıdır. Bu, sitenizi sadece brute-force saldırılarından korumakla kalmaz, aynı zamanda genel sunucu güvenliğini ve performansını da artırır.

Htaccess ile WordPress Giriş Limitini Ayarlama (Adım Adım)

1. Adım: .htaccess Dosyasını Bul

.htaccess dosyası, genellikle WordPress kurulumunuzun ana dizininde (public_html, www veya sitenizin kök dizini) bulunur. Bir FTP istemcisi (örneğin FileZilla) veya hosting panelinizin dosya yöneticisi (örneğin cPanel Dosya Yöneticisi) aracılığıyla sitenize bağlanmanız gerekecektir. Eğer dosyayı göremiyorsanız, büyük ihtimalle gizli bir dosyadır. FTP istemcinizin veya dosya yöneticinizin ayarlarında “Gizli Dosyaları Göster” (Show Hidden Files) seçeneğini etkinleştirmeniz gerekebilir. Bu dosya, genellikle diğer WordPress dosyaları (wp-config.php, wp-content, wp-admin vb.) ile aynı seviyede yer alır.

2. Adım: Dosyayı Yedekle

Bu adım, atlanmaması gereken en kritik adımlardan biridir. .htaccess dosyasına yapılacak yanlış bir ekleme veya değişiklik, sitenizin tamamen erişilemez hale gelmesine (500 Internal Server Error veya beyaz sayfa hatası) neden olabilir. Bu nedenle, herhangi bir kod eklemeden önce mevcut .htaccess dosyasını bilgisayarınıza indirerek bir yedeğini mutlaka alın. Bu sayede, olası bir problemde orijinal dosyayı geri yükleyerek sitenizi hızla eski haline getirebilirsiniz.

3. Adım: Kodu Ekle

Aşağıdaki kod parçacığı, `mod_evasive` modülü aracılığıyla çalışır ve belirli bir IP adresinden gelen hatalı giriş denemelerini sınırlar. Bu modül, Apache sunucularında DDoS ve brute-force saldırılarına karşı koruma sağlamak için tasarlanmıştır.

<IfModule mod_evasive.c>
DOSHashTableSize 3097
DOSPageCount 3
DOSSiteCount 10
DOSPageInterval 1
DOSSiteInterval 1
DOSBlockingPeriod 3600
</IfModule>

• DOSHashTableSize: Modülün kullanacağı hash tablosunun boyutunu belirler. Genellikle asal bir sayı olması önerilir.
• DOSPageCount 3: Aynı sayfaya (örneğin wp-login.php) belirli bir süre (DOSPageInterval) içinde 3’ten fazla istek yapıldığında engelleme tetiklenir.
• DOSPageInterval 1: DOSPageCount için zaman aralığı (saniye cinsinden). Yani 1 saniye içinde aynı sayfaya 3’ten fazla istek.
• DOSSiteCount 10: Aynı siteden (herhangi bir sayfaya) belirli bir süre (DOSSiteInterval) içinde 10’dan fazla istek yapıldığında engelleme tetiklenir.
• DOSSiteInterval 1: DOSSiteCount için zaman aralığı (saniye cinsinden). Yani 1 saniye içinde siteye 10’dan fazla istek.
• DOSBlockingPeriod 3600: Engellenen IP adresinin ne kadar süreyle (saniye cinsinden) engelli kalacağını belirtir. 3600 saniye = 1 saat.

Bu kodun düzgün çalışabilmesi için sunucunuzda `mod_evasive` modülünün etkin olması gerekmektedir. Bazı hosting sağlayıcıları bu modülü varsayılan olarak etkinleştirirken, bazıları etkinleştirmeyebilir. Modülün etkin olup olmadığını öğrenmek için hosting destek ekibinizle iletişime geçebilir veya sunucunuzun `phpinfo()` çıktısını kontrol edebilirsiniz. Eğer aktif değilse, hosting sağlayıcınızdan bunu sizin için aktif etmelerini talep edebilirsiniz.

Alternatif: IP Bazlı Erişim Kısıtlaması

Eğer `mod_evasive` modülü sunucunuzda etkin değilse veya daha basit, doğrudan IP adresine dayalı bir engelleme tercih ediyorsanız, .htaccess ile manuel IP kısıtlamaları uygulayabilirsiniz. Bu yöntem, özellikle belirli bir IP adresinden sürekli saldırı alıyorsanız veya sadece belirli IP’lerin yönetim paneline erişmesini istiyorsanız kullanışlıdır.

Örneğin, bilinen kötü niyetli bir IP adresini tamamen yasaklamak için aşağıdaki kodu kullanabilirsiniz:

<Limit LOGIN>
Order Deny,Allow
Deny from 123.456.789.000
Allow from all
</Limit>

Burada “123.456.789.000” yerine engellemek istediğiniz IP adresini yazmalısınız. Ancak bu yöntem, dinamik IP adresleri kullanan saldırganlara karşı sürekli manuel müdahale gerektirebilir.

Daha katı bir güvenlik önlemi olarak, yalnızca kendi IP adresinize veya belirli güvenilir IP adreslerine WordPress giriş sayfasına (`wp-login.php`) erişim izni vererek, diğer tüm IP’lerden gelen erişimi engelleyebilirsiniz. Bu, özellikle yönetim panelinizi sadece belirli bir lokasyondan yönetiyorsanız veya çok yüksek güvenlik gerektiren bir siteniz varsa idealdir:

<Files wp-login.php>
Order Deny,Allow
Deny from all
Allow from 111.222.333.444
</Files>

Bu kodda “111.222.333.444” yerine kendi güncel IP adresinizi yazmalısınız. Kendi IP adresinizi Google’a “what is my IP” yazarak kolayca bulabilirsiniz. Bu yöntem, WordPress giriş limiti uygulamasının en katı ama aynı zamanda en etkili versiyonlarından biridir. Ancak, dinamik bir IP adresiniz varsa (yani internet servis sağlayıcınızın size atadığı IP adresi zaman zaman değişiyorsa), IP adresiniz değiştiğinde .htaccess dosyasını güncellemeniz gerekeceğini unutmamalısınız.

Limiti Ayarlarken Dikkat Etmen Gerekenler

Giriş limitini belirlerken amacımız, saldırganları engellerken kendi kendinize erişim engeli koymamaktır. Bu adımları uygularken dikkatli olmak, hem sitenizin güvenliğini artırmanızı hem de sorunsuz erişilebilirliğini korumanızı sağlayacaktır.

• Kendi IP Adresini Engelleme: Özellikle IP bazlı kısıtlamalar uygularken, kendi IP adresinizi “Deny” listesine eklemediğinizden veya “Allow” listesine doğru şekilde eklediğinizden emin olun. Aksi takdirde, kendi sitenize giriş yapamazsınız.
• Kod Ekleme Sonrası Test Etme: .htaccess dosyasına herhangi bir değişiklik yaptıktan hemen sonra, sitenizin giriş sayfasını (wp-admin veya wp-login.php) farklı bir tarayıcıda veya gizli sekmede test edin. Hatalı giriş denemeleri yaparak engelleme mekanizmasının doğru çalışıp çalışmadığını kontrol edin.
• Hosting Desteği: Eğer `mod_evasive` modülünün etkin olup olmadığından emin değilseniz veya etkinleştirme konusunda yardıma ihtiyacınız varsa, hosting sağlayıcınızın destek ekibiyle iletişime geçmekten çekinmeyin. Onlar size en doğru bilgiyi vereceklerdir.
• Yedekleme Önemi: Daha önce de belirtildiği gibi, .htaccess’e ekleyeceğiniz hatalı bir satır veya eksik bir karakter, tüm sitenin erişilemez hale gelmesine neden olabilir. Bu nedenle, her değişiklik öncesi yedekleme yapmak hayati önem taşır.

WordPress sitenizin güvenliğini sağlamak, sürekli dikkat ve doğru adımlar gerektiren bir süreçtir. .htaccess aracılığıyla giriş limitini ayarlamak, bu sürecin en temel ve çoğu zaman en göz ardı edilen ama en etkili bileşenlerinden biridir. Karmaşık güvenlik eklentilerine bel bağlamak yerine, sunucu düzeyinde basit ama güçlü bir kalkan oluşturmak, sitenizi brute-force saldırılarına karşı çok daha dirençli hale getirecektir. Unutmayın, dijital dünyada güvenlik, sadece bir seçenek değil, bir zorunluluktur ve bu tür küçük ama etkili optimizasyonlar, sitenizin uzun vadeli sağlığı ve huzurunuz için paha biçilmezdir. Bu tür proaktif önlemler, sitenizin sadece bugün değil, gelecekte de güvende kalmasını sağlar, böylece siz de içeriğinize ve kullanıcı deneyimine odaklanabilirsiniz.