Wordfence Ayarları ve WooCommerce Güvenliği

Firewall ve Genişletilmiş Koruma Yapılandırması

Wordfence ayarlarına Wordfence > Firewall sayfasından başlayın: "Optimize the Wordfence Firewall" ile Genişletilmiş Koruma'yı açın, bir haftalık öğrenme modundan sonra güvenlik duvarını "Enabled and Protecting" durumuna alın. Ardından "All Firewall Options" altında Brute Force Protection ve Rate Limiting değerlerini, Wordfence > Login Security sayfasında 2FA'yı ayarlayın; güvenlik duvarının WordPress çekirdeğinden önce yüklenmesi hem korumayı hem performansı iyileştirir.

• Genişletilmiş Korumayı (Extended Protection) Etkinleştirin: WordFence panosunda "Optimize the Wordfence Firewall" butonuna tıklayarak .htaccess veya .user.ini dosyasının otomatik yapılandırılmasını sağlayın; bu işlem, PHP her çalıştığında güvenlik duvarının sitenizden önce devreye girmesini sağlar.
• Öğrenme Modunu (Learning Mode) Doğru Yönetin: Eklentiyi ilk kurduğunuzda veya yeni bir WooCommerce eklentisi eklediğinizde, firewall'u 1 hafta boyunca "Learning Mode"da tutarak meşru müşteri işlemlerinin ve ödeme callback'lerinin (IPN) engellenmemesini sağlayın.
• Whitelisted URL (İzinli URL) Tanımlamaları: WooCommerce REST API kullanan harici muhasebe veya kargo entegrasyonlarınız varsa, bu bağlantıların "Firewall Options" altındaki "Whitelisted URLs" bölümüne eklendiğinden emin olun.
• IP Karalistesi Güncellemeleri: "Wordfence Security Network" seçeneğini aktif tutarak, diğer WordFence kullanan sitelere saldıran IP adreslerinin sizin sitenize ulaşmadan engellenmesini sağlayın; gerçek zamanlı IP kara listesi ise yalnız Premium sürümde vardır.

Gerçek Zamanlı IP Engelleme Stratejileri

Saldırganları manuel olarak engellemek yerine, kurallara dayalı otomatik engelleme sistemini devreye almak zaman kazandırır.

• Ülke Bazlı Engelleme (Premium): Eğer sadece Türkiye içine satış yapıyorsanız, "Country Blocking" özelliğini kullanarak riskli ülkelerden (Çin, Rusya vb.) gelen trafiği giriş sayfasında veya tüm sitede engelleyin.
• Manuel IP Bloğu Ekleme: Sürekli spam sipariş veya kayıt oluşturan IP aralıklarını tespit edip "Blocking" menüsünden kalıcı olarak engelleyin.
• Gelişmiş İmza Taraması: Bilinen saldırı imzalarının (SQL Injection, XSS) ödeme sayfalarında (Checkout) daha sıkı denetlenmesi için kuralları "High Sensitivity" moduna getirmeyin, bu false-positive (hatalı engelleme) oranını artırabilir; varsayılan kurallar genellikle yeterlidir.

← Tabloyu yana kaydırın →

WooCommerce İçin Özel Brute Force Koruması

Kaba kuvvet saldırıları, yönetici veya müşteri hesaplarının şifrelerini tahmin etmeye çalışarak sistemi yorar ve veri sızıntısına yol açar. WooCommerce sitelerinde müşteri hesapları da hedef olduğu için varsayılan WordPress ayarlarından daha sıkı kurallar uygulanmalıdır.

• Giriş Denemesi Sınırlarını Düşürün: "Lock out after how many login failures" ayarını maksimum 3 ile sınırlandırın; 20 deneme gibi yüksek rakamlar botlara geniş bir zaman aralığı tanır.
• Hatalı Şifremi Unuttum İsteklerini Engelleyin: "Lock out after how many forgot password attempts" ayarını 5 gibi düşük bir değere çekerek kullanıcı veritabanınızı numaralandırmaya çalışan botları durdurun; 1 – 2, şifresini unutan gerçek müşterileri de kilitleyebilir.
• Kullanıcı Adı Sızıntısını Önleyin: "Prevent discovery of usernames through '/?author=N' scans" seçeneğini mutlaka işaretleyin; bu, saldırganların yönetici kullanıcı adlarını bulmasını zorlaştırır.
• Geçersiz Kullanıcı Adlarını Anında Kilitleyin: "Immediately lock out invalid usernames" özelliğini aktif edin ve "admin", "administrator", "yonetici", "shop_manager" gibi kullanıcı adlarını yasaklı listeye ekleyin.

Hız Sınırlama (Rate Limiting) ve Bot Engelleme

E-ticaret siteleri, fiyat tarayıcıları ve stok takip botları tarafından yoğun şekilde taranır, bu da sunucu kaynaklarını tüketir ve gerçek müşterilerin siteye erişimini yavaşlatır. Rate Limiting ayarları, insan olmayan trafiği kontrol altına almak için en etkili yöntemdir.

• Tarama Hızını Kısıtlayın: "If anyone's pages not found (404s) exceed" ayarını dakikada 30 olarak ayarlayın; normal bir kullanıcı dakikada 30 adet hatalı sayfaya erişmez, bunu yapan genellikle bir güvenlik tarayıcısıdır.
• Bot Trafiğini Filtreleyin: "If a crawler's pages accessed exceed" seçeneğini dakikada 240 (saniyede 4 sayfa) ile sınırlayın; Googlebot gibi meşru botlar genellikle bu limitlere uyum sağlar, aşanlar genellikle agresif scraper'lardır.
• Sahte Googlebot'ları Engelleyin: "Block fake Google crawlers" seçeneğini mutlaka işaretleyin; kendini Googlebot olarak tanıtan ancak zararlı amaç taşıyan botların sunucunuza erişimini tamamen kesin.
• İnsan Trafiği İçin Tolerans: "If a human's pages accessed exceed" ayarını çok düşük tutmayın (örneğin dakikada 400-500 makul olabilir), aksi takdirde hızlı ürün gezen potansiyel müşterilerinizi yanlışlıkla engelleyebilirsiniz.

Kaynak: WordFence Resmi Eklenti Sayfası

İlgili hizmetE-Ticaret Siteleri ↗

Oturum Açma Güvenliği ve İki Faktörlü Doğrulama (2FA)

Şifreler artık tek başına yeterli bir güvenlik önlemi değildir. Özellikle müşteri verilerine, sipariş detaylarına ve ödeme altyapısına erişimi olan hesapların ekstra bir güvenlik katmanına ihtiyacı vardır.

• Rol Bazlı 2FA Zorunluluğu: WordFence 2FA ayarlarından "Administrator" (Yönetici) ve "Shop Manager" (Mağaza Yöneticisi) rolleri için 2FA'yı "Required" (Zorunlu) olarak ayarlayın.
• Yetkisiz Dönemi (Grace Period) Ayarlayın: Yeni oluşturulan yönetici hesaplarına 2FA kurulumu yapmaları için maksimum 24 saat süre tanıyın, bu süreden sonra panoya erişimlerini engelleyin.
• XML-RPC'yi Devre Dışı Bırakın: Eğer Jetpack veya mobil uygulama kullanmıyorsanız, "Disable XML-RPC authentication" seçeneğini aktif edin; bu protokol 2FA'yı atlatmak için sıkça kullanılan bir arka kapıdır.
• Güvenilir Cihazları Hatırla: Yöneticilerin her girişte kod girmemesi için "Remember Device" süresini 30 gün olarak belirleyin, bu kullanım kolaylığı ile güvenliği dengeler.

Ödeme Geçitleri ve Beyaz Liste (Allowlist) Yönetimi

WooCommerce sitelerinde en sık yapılan hata, ödeme sağlayıcılarının (Payment Gateways) IP adreslerinin firewall tarafından engellenmesidir. Bu durum, ödemenin bankadan çekilmesine rağmen siparişin panelde "Beklemede" veya "Başarısız" görünmesine neden olur.

• Ödeme Sağlayıcı IP'lerini Ekleyin: Kullandığınız sanal POS (Iyzico, Stripe, PayPal vb.) sağlayıcısının dokümantasyonundan webhook IP adreslerini bulun ve WordFence "Allowlisted IP addresses" bölümüne ekleyin.
• Parametre Bazlı İzinler: Ödeme dönüşlerinde URL'de taşınan bazı parametreler SQL injection gibi görünebilir; bu parametreleri firewall loglarından tespit edip beyaz listeye alarak false-positive engellemeleri durdurun.
• Yönetici Erişimi İçin Sabit IP: Eğer ofis veya ev internetinizde sabit IP kullanıyorsanız, bu IP adresini beyaz listeye ekleyerek kendi kendinizi kilitleme riskini ortadan kaldırın.
• Cron Job İzinleri: WordPress'in zamanlanmış görevlerinin (WP-Cron) ve sunucu taraflı cron işlemlerinin firewall tarafından kesilmediğinden emin olmak için sunucu IP'nizi (127.0.0.1 veya sunucu dış IP'si) beyaz listeye tanımlayın.

Zararlı Yazılım Taraması ve Dosya Bütünlüğü

WordFence tarayıcısı, dosyalarınızdaki değişiklikleri WordPress deposundaki orijinal sürümlerle karşılaştırır. WooCommerce dosyalarında yapılan yetkisiz değişiklikler, kredi kartı bilgilerini çalan (skimmer) zararlı kodların habercisi olabilir.

• Yüksek Hassasiyetli Tarama: "Scan Options" altında "High Sensitivity" modunu sadece şüpheli bir durumda manuel tarama yaparken kullanın; rutin taramalarda "Standard Scan" yeterlidir ve sunucuyu yormaz.
• Çekirdek ve Tema Dosyalarını Kontrol Edin: "Scan core files against repository versions", "Scan theme files against repository versions" ve "Scan plugin files against repository versions" seçeneklerini aktif tutarak çekirdek, tema ve eklentilerdeki değişikliklerin taramada raporlanmasını sağlayın.
• Dosya İçeriği Taraması: "Scan file contents for backdoors, trojans, and suspicious code" seçeneği mutlaka açık olmalıdır; bu özellik dosya isimleri düzgün olsa bile içerisine gizlenmiş zararlı kodları tespit eder.
• Resim Dosyalarını Tarama Dışında Bırakın: Sunucu performansını korumak için "Scan images, binary, and other files as if they were executable" seçeneğini kapalı tutabilirsiniz, ancak yükleme klasöründe PHP çalıştırılmasını sunucu seviyesinde engellemelisiniz.

Bildirim Yönetimi ve Canlı Trafik Analizi

Güvenlik olaylarından haberdar olmak önemlidir, ancak gereksiz bildirimler "alarm yorgunluğuna" neden olarak gerçek tehditlerin gözden kaçmasına yol açar. Bildirimleri akıllıca filtrelemek gerekir.

• Sadece Kritik Uyarıları Alın: "Email me when Wordfence is automatically updated" veya "Email me if that admin logs in" gibi düşük öncelikli bildirimleri kapatın; sadece "Security Alert" seviyesindeki uyarıları açık tutun.
• Özet Raporları Kullanın: Her bloklanan IP için mail almak yerine, "Activity Report" özelliğini haftalık veya günlük özet gönderecek şekilde ayarlayın.
• Canlı Trafiği (Live Traffic) Sınırlayın: "Live Traffic" özelliği veritabanına çok fazla yazma işlemi yapar; bu özelliği sadece saldırı altındayken veya hata ayıklama yaparken "ALL TRAFFIC" moduna alın, normal zamanlarda "Security Only" modunda tutun.
• Yönetici Giriş Bildirimleri: Sadece "Administrator" rolü yeni bir cihazdan veya farklı bir ülkeden giriş yaptığında bildirim alacak şekilde kuralları özelleştirin.

Kaynak: WordPress.org WordFence Dokümantasyonu

Sıkça Sorulan Sorular

Sonuç

WooCommerce mağazanızın güvenliği, doğru yapılandırılmış bir WordFence kurulumu ile büyük ölçüde sağlanabilir. Yukarıdaki adımları uygulayarak, sofistike tehditlerine karşı sitenizi korurken müşteri deneyimini de güvence altına almış olursunuz.

Özetle
Bu rehber, WooCommerce siteleri için önerilen Wordfence yapılandırma ayarlarını anlatır. Genişletilmiş firewall kurulumu, brute force koruma stratejileri, bot engelleme yöntemleri ve ödeme geçitleri için beyaz liste yönetimini kapsar. Ayrıca performans optimizasyonu ve 2FA zorunlulukları ile mağaza güvenliğini maksimum seviyeye çıkarmayı hedefler.