WordPress siteniz hacklendiyse önce sitenin şu anki hâlinin yedeğini alın ve hosting firmanıza haber verin. Ardından tüm şifreleri ve wp-config.php’deki güvenlik anahtarlarını değiştirin, WordPress çekirdeğini temiz kopyayla yenileyin, tema ve eklentileri resmî kaynaktan yeniden kurun, temizlik bitince de Search Console’dan inceleme isteyin.
Hacklenmiş bir site, işletmeniz için hem itibar hem de para kaybı demektir: ziyaretçiler başka sitelere yönlendirilir, Google arama sonuçlarında uyarı gösterir, tarayıcı siteyi açmadan önce kırmızı bir ekranla ziyaretçiyi durdurur. İyi haber şu: doğru sırayla ilerlenirse çoğu WordPress sitesi temizlenip yeniden güvenli hâle getirilebilir. Bu rehberdeki adımlar WordPress.org’un resmî “sitem hacklendi” belgesine ve Google’ın Search Console yardım sayfalarına dayanıyor.
WordPress siteniz hacklendiyse ilk saatte yapılacaklar, şifre ve güvenlik anahtarı değişimi, zararlı kod temizliği ve Search Console uyarısının kaldırılması.
- 1 Sitenizin hacklendiğini nasıl anlarsınız?
- 2 İlk bir saatte ne yapmalısınız?
- 3 Şifreler ve güvenlik anahtarları nasıl değiştirilir?
- 4 Zararlı kod nasıl temizlenir?
- 5 Search Console’daki güvenlik uyarısı nasıl kaldırılır?
- 6 Temizlikten sonra tekrar hacklenmemek için ne yapmalısınız?
- 7 Google hangi saldırı türlerini bildirir?
Sitenizin hacklendiğini nasıl anlarsınız?
Saldırganlar çoğu zaman fark edilmemek ister, bu yüzden belirtiler sinsi olabilir. Aşağıdakilerden biri bile ciddiye alınmalı:
- Google arama sonuçlarında sitenizin altında “Bu site saldırıya uğramış olabilir” ya da “Bu site bilgisayarınıza zarar verebilir” uyarısı.
- Chrome’un siteyi açmadan önce gösterdiği kırmızı uyarı sayfası.
- Google’da site:firmaniz.com.tr araması yaptığınızda hiç oluşturmadığınız, çoğunlukla yabancı dilde ilaç, kumar ya da sahte ürün sayfaları.
- Siteye telefondan ya da Google’dan gelindiğinde başka bir siteye yönlendirme (bilgisayardan doğrudan girildiğinde her şey normal görünebilir).
- Yönetim panelinde tanımadığınız bir yönetici hesabı ya da sizin yapmadığınız değişiklikler.
- Hosting firmasından gelen “hesabınızdan spam gönderiliyor” ya da “zararlı dosya bulundu” uyarısı.
- Siteden giden e-postaların aniden gereksiz klasörüne düşmesi; saldırganlar siteyi spam göndermek için kullanınca sunucunun IP adresi kara listelere girebilir.
Google’ın siteyi tehlikeli olarak işaretleme sayfasına göre, durumu doğrulamak için adresi Chrome’da açmak, Search Console’daki Güvenlik Sorunları (Security issues) ve Elle İşlemler (Manual actions) raporlarına bakmak ve sitenizle ilgisiz spam kelimelerle site içi arama yapmak gerekir.
İlk bir saatte ne yapmalısınız?
WordPress.org’un belgesi ilk adımı “sakin olun” diye tarif ediyor; telaşla yapılan silme işlemleri iz kaybettirir ve geri dönüşü zorlaştırır. Şu sırayla ilerleyin:
- Ne gördüğünüzü not alın. Belirtiyi, fark ettiğiniz saati ve son zamanlarda yapılan değişiklikleri (yeni eklenti, tema düzenlemesi, yeni kullanıcı) yazın. Bu not, temizliği yapacak kişinin işini kolaylaştırır.
- Mevcut hâlin yedeğini alın. Bozuk da olsa dosyaların ve veritabanının bir kopyası, işler kötüye giderse elinizdeki tek referanstır. Bu yedeği temiz yedeklerinizden ayrı ve “hacklenmiş” diye etiketli tutun.
- Hosting firmasına haber verin. Özellikle paylaşımlı sunucularda sorun başka hesapları da etkileyebilir. Hosting firması gerçek bir saldırı mı yoksa bir hizmet kesintisi mi olduğunu da teyit edebilir.
- Gerekirse siteyi geçici olarak kapatın. Ziyaretçiler zararlı bir siteye yönlendiriliyorsa bakım sayfası göstermek ya da siteyi geçici olarak erişime kapatmak hem ziyaretçiyi hem itibarınızı korur.
- Kendi bilgisayarınızı tarayın. WordPress.org, saldırının birçok durumda sitenin yönetildiği bilgisayardan başladığını hatırlatıyor. Bilgisayarınızda virüs varsa değiştirdiğiniz yeni şifreler de çalınabilir; tarama bitmeden şifre değiştirmeyin.
Şifreler ve güvenlik anahtarları nasıl değiştirilir?
Saldırgan içerideyse yalnız yönetici şifresini değiştirmek yetmez. WordPress.org’un hacklenen siteler için hazırladığı belge, tüm erişim noktalarının değiştirilmesini istiyor:
- FTP / SFTP hesapları,
- WordPress yönetim paneli (yalnız sizin değil, tüm kullanıcıların şifreleri),
- Hosting paneli (cPanel ya da firmanızın kullandığı panel),
- Veritabanı (MySQL) kullanıcısı; yeni şifreyi wp-config.php dosyasına da yazmanız gerekir.
Ardından wp-config.php içindeki güvenlik anahtarlarını (secret keys ve salts) yenileyin. Bu anahtarlar oturum çerezlerini şifreler; WordPress.org’un anahtar üreticisiyle yeni değerler alıp eskilerinin yerine yazdığınızda, hâlâ oturumu açık olan herkes, saldırgan dahil, sistemden atılır.
Uzun, rastgele ve her hesap için farklı şifreler kullanın; bir şifre yöneticisi bu işi kolaylaştırır. Mümkünse iki adımlı doğrulamayı açın. Belge, temizlik tamamlandıktan sonra şifrelerin bir kez daha değiştirilmesini de öneriyor; çünkü temizlik sırasında hâlâ içeride olan bir saldırgan yeni şifreleri ele geçirmiş olabilir.
Zararlı kod nasıl temizlenir?
Her şeyi silip baştan başlamak cazip gelebilir, ama içerikleriniz ve siparişleriniz veritabanında durduğu için bu çoğu zaman mümkün değildir. Temizlik, dosyaları güvenilir kopyalarla değiştirmek ve geri kalanı tek tek incelemek demektir.
| Konum | Ne yapılır | Neden |
|---|---|---|
| /wp-admin ve /wp-includes | Aynı WordPress sürümünün temiz kopyasıyla SFTP üzerinden tamamen değiştirilir | Paneldeki “yeniden yükle” yalnız var olan dosyaların üstüne yazar; saldırganların eklediği yeni dosyalar yerinde kalır |
| Eklentiler ve tema (/wp-content) | Kullanılmayanlar silinir, kalanlar resmî kaynaktan indirilen temiz kopyalarla yeniden kurulur | Zararlı kod en sık bu klasörlere gizlenir |
| Yüklemeler (/wp-content/uploads) | PHP dosyası aranır; görsel klasöründe çalıştırılabilir dosya bulunmamalıdır | Saldırganlar arka kapıyı görsel klasörüne bırakabilir |
| .htaccess | Satır satır incelenir, tanımadığınız yönlendirmeler kaldırılır | WordPress.org’a göre kötü amaçla en sık değiştirilen dosyalardan biridir |
| index.php, header.php, footer.php, functions.php | Temiz sürümle karşılaştırılır | Bu dosyalardaki bir değişiklik tüm sayfaları etkiler |
| Veritabanı | Kullanıcı listesi, site adresi ayarları ve yazılara eklenmiş betikler kontrol edilir | Sahte yönetici hesabı ya da içeriğe gömülü zararlı kod kalabilir |
Taramada yardımcı olması için WordPress.org belgesi hem eklenti tabanlı tarayıcıları hem de siteyi dışarıdan kontrol eden çevrim içi araçları birlikte kullanmayı öneriyor; tek bir aracın her şeyi bulması beklenmemeli. Temizlik bitince WordPress’i, temayı ve eklentileri en güncel sürüme yükseltin. Belgenin ifadesiyle eski sürümler saldırıya daha açıktır.
Son olarak saldırganın içeri nasıl girdiğini anlamaya çalışın: güncellenmemiş bir eklenti mi, çalınmış bir şifre mi, korsan bir tema mı? Giriş yolunu kapatmazsanız temizlenen site kısa süre sonra yeniden hacklenebilir. Sunucu erişim kayıtları bu konuda en değerli kaynaktır.
Search Console’daki güvenlik uyarısı nasıl kaldırılır?
Google siteyi hacklenmiş ya da zararlı yazılım içeren site olarak işaretlediyse uyarının kalkması için temizliği Search Console üzerinden bildirmeniz gerekir. Güvenlik Sorunları raporu üç kategoriyi kapsıyor: hacklenmiş içerik, zararlı ve istenmeyen yazılım, sosyal mühendislik (kimlik avı gibi aldatıcı sayfalar).
- Rapordaki her sorunu açın ve örnek adresleri inceleyin. Google bu listenin eksiksiz olmayabileceğini belirtiyor.
- Sorunu sitenin tamamında düzeltin. Yalnız bazı sayfaları temizlemek, arama sonuçlarına kısmen geri dönüş sağlamaz.
- Tüm sorunlar giderilince raporda İnceleme İste (Request Review) seçeneğini kullanın. Talebinizde sorunun ne olduğunu, hangi adımları attığınızı ve sonucu açıkça yazın.
- Karar gelmeden yeni talep göndermeyin. Sorun düzelmeden gönderilen talepler sonraki incelemeleri uzatabilir.
Google’a göre zararlı yazılım incelemeleri birkaç gün, hacklenmiş içerik incelemeleri birkaç hafta sürebilir. Site temiz bulunduğunda uyarılar birkaç gün içinde kalkar; tarayıcıların güncellenmesi bir iki gün daha alabilir. Sitenizi Search Console’a henüz eklemediyseniz Search Console kurulumu rehberimizle başlayabilirsiniz.
Temizlikten sonra tekrar hacklenmemek için ne yapmalısınız?
WordPress’in resmî güvenlik sıkılaştırma rehberinden öne çıkan önlemler şunlar:
- Güncel kalın. WordPress, tema ve eklentileri düzenli güncelleyin; mümkünse otomatik güncellemeleri açın.
- Güçlü şifre ve iki adımlı doğrulama kullanın.
- Dosya izinlerini düzeltin. Klasörler 755, dosyalar 644; wp-config.php yalnız sizin ve web sunucusunun okuyabileceği şekilde (400 ya da 440).
- Panelden dosya düzenlemeyi kapatın. wp-config.php dosyasına define( ‘DISALLOW_FILE_EDIT’, true ); satırını eklemek, panele giren birinin tema ve eklenti dosyalarını oradan değiştirmesini engeller.
- Kullanmadığınız eklenti ve temaları silin. Devre dışı bırakmak yetmez; dosyalar sunucuda durdukça açık oluşturabilir.
- Korsan (nulled) tema ve eklenti kullanmayın. Ücretli bir ürünün “ücretsiz” dağıtılan sürümleri arka kapı taşıyabilir.
- Düzenli yedek alın ve birkaç tarihli kopyayı farklı yerlerde saklayın. Yöntemleri WordPress yedekleme rehberimizde anlattık.
- Kayıtları izleyin. Sunucu erişim ve hata kayıtları, kaba kuvvetle şifre deneme gibi girişimleri erken fark etmenizi sağlar. Bu kayıtlara erişip erişemeyeceğiniz, hosting seçerken sormanız gereken sorulardan biridir.
Google hangi saldırı türlerini bildirir?
Search Console’un Güvenlik Sorunları raporu, Google’ın tespit ettiği sorunları türlerine göre adlandırır. Bu adlar, sitenizde ne aradığınızı anlamanıza yardım eder:
- Kod enjeksiyonu (code injection): Sayfalara ya da tema dosyalarına zararlı JavaScript eklenir; ziyaretçi başka siteye yönlendirilir ya da sahte bir indirme penceresi görür.
- İçerik enjeksiyonu (content injection): Mevcut sayfalarınıza gizli spam metinleri ve bağlantılar eklenir. Ziyaretçi çoğu zaman bunu görmez, Google görür.
- URL enjeksiyonu (URL injection): Sitenizde hiç oluşturmadığınız, genellikle spam içerikli yeni sayfalar açılır. site: aramasında çıkan yabancı dilli sayfalar bunun tipik belirtisidir.
- Aldatıcı sayfalar: Sitenizin içine banka ya da kargo firması gibi görünen, kullanıcı bilgisi toplayan kimlik avı sayfaları yerleştirilir.
- Zararlı indirmeler: Ziyaretçiye zararlı yazılım içeren dosyalar sunulur.
Türü bilmek temizliği hızlandırır: kod enjeksiyonunda tema ve eklenti dosyalarına, içerik ve URL enjeksiyonunda veritabanına ve sunucudaki yeni dosyalara odaklanılır.
Temizlikten sonraki ilk hafta neleri kontrol etmelisiniz?
Temizlenen bir sitenin kısa süre içinde yeniden hacklenmesi, giriş yolunun kapatılmadığını gösterir. İlk hafta şu kontrolleri birkaç kez tekrarlayın:
- Yönetim panelindeki kullanıcı listesinde yeni ya da tanımadığınız bir hesap var mı?
- Google’da site: araması yaptığınızda yeni spam sayfaları çıkıyor mu?
- Siteyi telefondan ve Google arama sonucundan açtığınızda yönlendirme oluyor mu?
- Sunucuda son günlerde değiştirilmiş, sizin yüklemediğiniz dosya var mı? Hosting panelinin dosya yöneticisi değiştirilme tarihine göre sıralama yapmanızı sağlar.
- Sitede tanımadığınız zamanlanmış görevler (cron) tanımlanmış mı?
- Search Console’daki Güvenlik Sorunları raporunda yeni bir uyarı var mı?
- Hosting firmasından yeni bir uyarı ya da e-posta gönderim şikâyeti geldi mi?
Bu kontrollerde bir şey çıkarsa temizlik eksik kalmış ya da saldırgan hâlâ bir arka kapıya sahip demektir. Böyle bir durumda adımları baştan, bu kez giriş yolunu bulmaya öncelik vererek tekrarlamak gerekir.
Ne zaman profesyonel destek almalısınız?
Aşağıdaki durumlarda temizliği bir uzmana bırakmak, kendi başınıza uğraşmaktan daha hızlı ve daha az riskli olabilir:
- Site bir online mağazaysa ve sipariş ya da ödeme verisi söz konusuysa,
- Temizlikten kısa süre sonra site yeniden hacklendiyse,
- Yönetim paneline giremiyor, dosyalara nereden bakacağınızı bilmiyorsanız,
- Google uyarısı nedeniyle trafik ve satış kaybı hızla büyüyorsa.
Kişisel veri içeren bir sistemde yetkisiz erişim olduysa, bunun KVKK açısından bir veri ihlali bildirimi gerektirip gerektirmediğini de hukuk danışmanınızla değerlendirin. Düzenli güncelleme, yedek ve güvenlik takibini dışarıdan almak isterseniz site bakımı ve hız hizmetimize göz atabilirsiniz.
Sık sorulan sorular
WordPress sitem hacklendi, siteyi silip yeniden mi kurmalıyım?
Genellikle gerekmez; içerik ve siparişler veritabanında durduğu için baştan kurmak veri kaybına yol açabilir. Çekirdek dosyalar temiz kopyayla değiştirilir, tema ve eklentiler yeniden kurulur, veritabanı incelenir. Temiz olduğundan emin olduğunuz eski bir yedek varsa geri yüklemek de bir seçenektir, ama giriş yolu kapatılmazsa sorun tekrar eder.
Google’daki “Bu site saldırıya uğramış olabilir” uyarısı ne zaman kalkar?
Temizliği tamamlayıp Search Console’daki Güvenlik Sorunları raporundan inceleme istedikten sonra Google siteyi yeniden değerlendirir. Google’a göre hacklenmiş içerik incelemeleri birkaç hafta sürebilir; site temiz bulunursa uyarı birkaç gün içinde kalkar.
Hacklenen sitede hangi şifreleri değiştirmeliyim?
FTP/SFTP, WordPress yönetim paneli (tüm kullanıcılar), hosting paneli ve veritabanı şifrelerini değiştirin, wp-config.php’deki güvenlik anahtarlarını yenileyin. Önce kendi bilgisayarınızı virüse karşı taratın, temizlik bittikten sonra şifreleri bir kez daha değiştirin.
Yönetim paneline giremiyorum, ne yapabilirim?
Şifre sıfırlamayı deneyin; e-posta gelmiyorsa hosting panelindeki phpMyAdmin üzerinden kullanıcının e-posta adresini ya da şifresini güncelleyebilirsiniz. Tanımadığınız yönetici hesapları varsa bunları da aynı yerden kaldırmak gerekir.
Güvenlik eklentisi kurmak hacklenmeyi önler mi?
Tek başına önlemez. Güvenlik eklentisi tarama ve giriş denemelerini sınırlama gibi konularda yardımcı olur, ama güncel olmayan bir eklenti, zayıf şifre ya da korsan tema gibi temel açıkları kapatmaz. Güncelleme, güçlü şifre, iki adımlı doğrulama ve düzenli yedek birlikte uygulanmalıdır.
Site hacklendikten sonra e-postalarım neden gereksiz klasörüne düşüyor?
Saldırganlar hacklenen siteleri spam göndermek için kullanabilir ve bu durumda sunucunun IP adresi e-posta kara listelerine girebilir. Hosting firmanızla birlikte sunucunun kara liste durumunu kontrol edin ve temizlikten sonra listeden çıkarılma sürecini başlatın.
Diğer rehberler
Aynı konuda işinize yarayacak diğer yazılarımız:
Diğer rehberler
