Bir müşteri sitenize tıklıyor ve adres çubuğunda "güvenli değil" uyarısı görüyor. Çoğu insan o an sayfayı kapatır. Randevu almak, teklif istemek ya da bilgi bırakmak için geri dönmez. Siz de neden telefonun çalmadığını anlamazsınız.
Güvenlik konusu işletme sahiplerine genellikle "teknik ve uzak" gelir. Oysa asıl mesele güvendir: müşteriniz sitenize bilgisini bırakırken sizin işinize güvenebilmeli. Bu yazıda web sitesi güvenliğini bir işletme sahibinin bakış açısından anlatıyorum. Kod ya da araç bilgisi gerekmiyor. Neye bakacağınızı ve işi yapan kişiden ne isteyeceğinizi bilmeniz yeterli.
Adres çubuğundaki kilit ne demek?
Sitenizin adresinin başında küçük bir kilit işareti görüyorsanız, ziyaretçi ile site arasındaki bağlantı şifrelidir. Bunu sağlayan şeye SSL sertifikası denir. Kısaca, müşterinizin yazdığı bilgilerin yolda başkası tarafından okunamamasını sağlar. Tıpkı mektubu açık kartpostal yerine kapalı zarfla göndermek gibi.
Kilit yoksa tarayıcı "güvenli değil" uyarısı gösterebilir. Bu uyarı, siteniz ne kadar güzel olursa olsun, ziyaretçinin ilk izlenimini bozar. Google da güvenli bağlantıyı önemsediği için, kilidin olmaması görünürlüğünüze de zarar verebilir.
İyi haber şu: bu genellikle ücretsiz ya da düşük maliyetli bir sertifikayla çözülür ve hosting (site barındırma) firmalarının çoğu bunu kurar. Önemli olan sertifikanın süresinin dolmamasıdır. Süresi dolarsa uyarı geri gelir.
Sizin kontrol edebilecekleriniz
Aşağıdakileri herhangi bir teknik bilgi olmadan kendiniz kontrol edebilirsiniz:
- Kilit işareti: Sitenizi telefonunuzdan ve bilgisayarınızdan açın. Adres çubuğunda kilit var mı, uyarı çıkıyor mu?
- Şifreleriniz: Site yönetim şifreniz başka yerlerde de kullanılıyor mu? Doğum tarihi, telefon numarası ya da "123456" gibi tahmin edilebilir bir şey mi?
- Erişim listesi: Sitenize kimin, hangi yetkiyle girebildiğini biliyor musunuz?
- Son güncelleme: Sitenin en son ne zaman güncellendiğini sorun.
- Form testi: İletişim formunu kendiniz doldurun ve mesajın size ulaşıp ulaşmadığına bakın.
Şifre ve erişim: en sık zayıf nokta
Müşterilerimde en sık gördüğüm güvenlik sorunu karmaşık bir saldırı değil, zayıf ya da paylaşılan şifredir. Şifre kişiye özel, uzun ve başka hiçbir yerde kullanılmamış olmalıdır. Birden fazla şifreyi hatırlamak zor geldiği için, güvenilir bir şifre yöneticisi kullanmak makul bir çözümdür.
Erişim de aynı derecede önemlidir. Web tasarımcısı, eski çalışan, stajyer, reklam ajansı. Zamanla sitenize giren kişi sayısı artar ve çoğu iş bittikten sonra da erişimini korur. Her kişinin yalnızca ihtiyacı olan yetkisi olmalı, işi bitenin erişimi kapatılmalıdır. Aynı hesabı herkesin paylaşması yerine, herkesin kendi hesabı olması gerekir. Böylece bir sorun olduğunda kimin ne yaptığı görülebilir.
Güncel tutulan site
Siteler zamanla eskiyen yazılımlar üzerinde çalışır. Yazılım üreticileri güvenlik açıklarını fark ettiklerinde bir güncelleme yayınlar. Siz güncellemezseniz, açık herkesin bildiği bir kapı olarak kalır.
Bunu evinizin kapı kilidine benzetebilirim. Üretici "bu kilit modeli kolayca açılıyor" diye duyurmuş ama siz değiştirmemişseniz, artık yalnızca şansa güveniyorsunuz. Güncelleme bir uzmanın rutin işidir. Sizin görevinizi ise, bu işin düzenli yapıldığından emin olmak.
Burada sorulacak soru basit: "Sitemin yazılımı en son ne zaman güncellendi ve bunu kim takip ediyor?" Cevap "bilmiyorum" ya da "hiç güncellenmedi" ise, bu bir uyarı işaretidir. Siteyi kuran kişiyle bakım konusunda net bir anlaşma yapmak, ilerideki sürprizlerin çoğunu önler. Anlaşmada güncellemelerin ne sıklıkla yapılacağı, sorun çıkarsa kime ulaşacağınız ve ne kadar sürede dönüş alacağınız yazılı olmalıdır.
İletişim formundan gelen müşteri bilgileri
İletişim formu ya da randevu formu üzerinden gelen ad, telefon ve mesajlar kişisel veridir. Avrupa'daki müşterilerle çalışıyorsanız ya da Türkiye'de KVKK (kişisel verileri koruma kanunu) kapsamındaysanız, bu bilgileri korumak yasal bir yükümlülük olabilir.
İşi yapan kişiden şunları sorun:
- Form bilgileri nereye gidiyor, kimler görebiliyor?
- Bu bilgiler sitede ya da e-postada gereğinden uzun süre tutuluyor mu?
- Formda kişisel veri toplama izni ve gizlilik bilgisi var mı?
Hukuki tavsiye için bir avukata danışmalısınız. Ben yalnızca teknik tarafın sizi doğru yönde desteklemesi gerektiğini söylüyorum.
Site saldırıya uğradıysa nasıl anlarsınız?
Belirtiler çoğu zaman şunlardır:
| Belirti | Ne anlama gelebilir? |
|---|---|
| Sitede tanımadığınız sayfa ya da yazı | Birisi izinsiz içerik eklemiş olabilir |
| Google'da sitenizin başlığı garip çıkıyor | Site kötü amaçla değiştirilmiş olabilir |
| Ziyaretçi başka bir siteye yönleniyor | Site ele geçirilmiş olabilir |
| Tarayıcı ya da Google "tehlikeli site" uyarısı veriyor | Zararlı içerik tespit edilmiş olabilir |
| Siz girmediğiniz halde yönetim panelinde değişiklik var | Hesabınız başkasının elinde olabilir |
İlk yapılacaklar
Böyle bir şeyden şüphelenirseniz sakin kalın ve şu sırayı izleyin. Önce siteyi yapan kişiyi ya da hosting firmasını hemen arayın. Sonra şifrelerinizi, mümkünse başka bir cihazdan değiştirin. Ardından yedeğin ne zaman alındığını sorun. Son olarak, müşteri verisi etkilenmişse durumu yazılı olarak kayda geçirin. Kendi başınıza dosya silmeye çalışmayın, çünkü delilleri ve temizlik için gereken izleri yok edebilirsiniz.
Temizlik işini uzman yapar. Zararlı içeriği bulup kaldırır, açığın nereden girdiğini bulur, siteyi temiz bir yedekten geri getirir ve gerekirse Google'a temizlendiğini bildirir. Süre saldırının boyutuna göre birkaç saatten birkaç güne kadar değişebilir. Sonuçta bir rapor isteyin: ne oldu, nereden girildi, neler yapıldı ve tekrarını önlemek için hangi önlemler alındı. Bu rapor hem sizin içiniz rahat etsin diye hem de müşterilerinize açıklama gerekirse elinizde bir dayanak olsun diye önemlidir.
Sık sorulan sorular
Küçük bir işletmeyim, siteme kimse saldırır mı?
Saldırıların çoğu belirli bir kişiyi hedef almaz. Otomatik programlar internette zayıf siteleri tarar. Bu yüzden küçük siteler de risk altındadır.
Kilit işareti siteyi tamamen güvenli yapar mı?
Hayır. Kilit yalnızca bağlantıyı şifreler. Şifreler, güncellemeler ve erişim yönetimi de aynı derecede önemlidir.
Sitem hacklendiyse Google'dan silinir mi?
Zararlı içerik tespit edilirse Google sitenizi uyarıyla gösterebilir ve sıralamanız düşebilir. Temizlik yapılıp Google bilgilendirildiğinde uyarı kalkar. Ne kadar sürede toparlanacağını önceden söylemek mümkün değil.
Güvenliği ne sıklıkla kontrol ettirmeliyim?
Güncellemeler ve kontroller düzenli olmalıdır. Aylık bakım anlaşması ya da yılda birkaç kez yapılan kontrol çoğu küçük işletme için yeterlidir.
Sonraki adım
Güvenlik bir kere yapılıp bırakılan bir iş değil, düzenli bakım isteyen bir alışkanlıktır. Sitenizin kilidinin olup olmadığını bugün bir kontrol edin, erişim listenizi çıkarın ve eksikleri işi yapan kişiyle konuşun. Güvenlik baştan düşünülmüş bir site kurmak isterseniz, web sitesi yaptırma sayfamdan bilgi alabilirsiniz.