“WordPress güvensiz.” Bunu yüz kere duymuşsundur; ben binlerce kez duydum, çoğu zaman da WordPress’e hiç kod yazmamış birinin ağzından. Ama şöyle bir soru: WordPress bu kadar güvensizse, Beyaz Saray neden kullanıyor? NASA neden? Bankalar ve dünya genelindeki hükümetler neden? Gel, efsaneyi gerçeklerden ayıralım — hem de kimseyi kötülemeden, sadece rakamlara bakarak.
Büyük Efsane
Efsane şöyle: WordPress açık kaynak, yani hackerlar kodu görüp güvenlik açıkları bulabilir. Özel yazılım gizli, bu yüzden daha güvenli.
Bu tamamen yanlış.
Açık kaynak yazılım binlerce güvenlik araştırmacısı tarafından inceleniyor. Güvenlik açıkları hızla bulunup düzeltiliyor. Özel yazılım ise hatalarını bir hacker bulana kadar saklar.
“Gizlilik yoluyla güvenlik, güvenlik değildir.”
— Güvenlik sektörü atasözü
WordPress Güvenlik Açıkları Nereden Geliyor?
İşte bilmen gereken en önemli istatistik:
WordPress güvenlik açıklarının %97’si eklentilerden ve temalardan geliyor — WordPress çekirdeğinden değil.
WordPress çekirdeği son derece güvenli. Automattic ve özel bir güvenlik ekibi tarafından sürdürülüyor. Düzenli güncellemeler alıyor. Güvenlik en iyi uygulamalarını takip ediyor.
Sorun üçüncü parti kodlar. Bir geliştiricinin boş zamanında yaptığı ücretsiz eklenti, WordPress çekirdeğiyle aynı şey değil.
| Kaynak | Güvenlik Açığı Oranı |
|---|---|
| Eklentiler | ~%90 |
| Temalar | ~%7 |
| WordPress Çekirdeği | ~%3 |
Beyaz Saray WordPress Kullanıyor
Resmi Beyaz Saray web sitesi WordPress üzerine kuruldu. Bu, Amerika Birleşik Devletleri Başkanı’nın dijital varlığı.
Beyaz Saray’ın güvensiz yazılım kullanacağını mı sanıyorsun? Onların:
- Güvenliği inceleyen Gizli Servisi var
- Rehberlik sağlayan NSA’sı var
- Ulus-devlet hackerlarından sürekli saldırılar var
- Güvenlik hataları için sıfır toleransı var
WordPress gerçekten güvensiz olsaydı, Beyaz Saray kullanmazdı. Nokta.
NASA WordPress VIP Kullanıyor
NASA blogları ve mikro siteleri için WordPress VIP kullanıyor. WordPress VIP, dünyanın en büyük sitelerinden bazılarını güçlendiren kurumsal düzey hosting platformu.
WordPress VIP şunları içeriyor:
- 7/24 güvenlik izleme
- Otomatik güvenlik yamaları
- Tüm eklentiler için kod incelemesi
- DDoS koruması
- Düzenli güvenlik denetimleri
Bu sıradan bir paylaşımlı hosting değil. Bu kurumsal güvenlik.
Ama “Beyaz Saray kullanıyor” tek başına zayıf bir argüman
Şimdi açık konuşayım, çünkü bu yazının kendi argümanına da dürüst davranması lazım: “Büyük kurumlar kullanıyorsa güvenlidir” cümlesi tek başına bir otorite yanılgısı. Beyaz Saray’ın WordPress kullanması, senin paylaşımlı hostingdeki, altı aydır güncellenmemiş sitenin güvenli olduğunu bir dakika bile göstermez. Onları güvenli kılan WordPress’in kendisi değil; etrafına kurdukları koca güvenlik aygıtı — 7/24 izleme, kod incelemesi, WAF, sıkı süreçler. Yani asıl kanıt “kim kullanıyor” değil, “nasıl kullanıyor”.
Ben bu örneği şunun için seviyorum: platformun tavanının ne kadar yüksek olduğunu kanıtlıyor. WordPress, gezegenin en çok saldırı alan sitelerini taşıyacak kadar sağlam bir temele sahip. Ama o tavana çıkmak senin işin. Aynı platform, doğru bakılmazsa bir haftada ele geçirilebilir de. O yüzden “Beyaz Saray kullanıyor”u bir mikrofon düşürme anı değil, bir davet olarak oku: demek ki mesele araç değil, ustalık.
WordPress Nasıl Güvenli Hale Getirilir
WordPress güvenliği otomatik değil. Doğru kurulum gerektirir. İşte kurumsal şirketlerin yaptığı:
1. Kaliteli Hosting Kullan
Ucuz paylaşımlı hosting = paylaşımlı güvenlik sorunları. Kurumsal siteler şunları kullanıyor:
Bu hostingler güvenlik duvarı, zararlı yazılım taraması ve otomatik güncellemeler içeriyor.
2. Eklentileri Minimize Et
Her eklenti potansiyel bir güvenlik riski. Kurumsal siteler:
- Sadece gerekli eklentileri kullanıyor
- İyi bakılan, iyi yorumlu eklentileri seçiyor
- Kullanılmayan eklentileri tamamen kaldırıyor
- Eklentileri düzenli olarak denetliyor
3. Her Şeyi Güncel Tut
Çoğu hack eski, yamanmamış güvenlik açıklarını hedef alır. Güncellemeler kritik:
- Otomatik WordPress çekirdek güncellemelerini etkinleştir
- Eklentileri haftalık güncelle
- Temaları güncelle
- PHP sürümünü güncel tut
4. Güçlü Kimlik Doğrulama Kullan
- Güçlü, benzersiz şifreler
- İki faktörlü kimlik doğrulama (2FA)
- Giriş denemelerini sınırlama
- Varsayılan admin kullanıcı adını değiştirme
5. Web Uygulama Güvenlik Duvarı (WAF) Uygula
WAF, saldırıları sitene ulaşmadan engeller:
Özel Yazılım Daha Güvenli Değil
İnsanların unuttuğu şey: Özel yazılımın da güvenlik sorunları var. Fark ne?
WordPress Güvenlik Açıkları
- Kamuya açıklanıyor
- Hızla yamalanıyor
- Güvenlik araştırmacıları yardım ediyor
- Topluluk izliyor
Özel Yazılım Güvenlik Açıkları
- İstismar edilene kadar gizli
- Sadece senin ekibin düzeltebilir
- Dış inceleme yok
- Hataları zor yoldan keşfediyorsun
Güvenlik Bir Ürün Değil, Bir Süreç
Güvenlik hakkındaki gerçek:
Hiçbir yazılım doğası gereği güvenli veya güvensiz değildir. Güvenlik şunlara bağlı:
- Nasıl yapılandırıldığı
- Nasıl bakıldığı
- Nasıl barındırıldığı
- Kullanıcıların nasıl davrandığı
Kötü bakılan bir özel site, iyi bakılan bir WordPress sitesinden daha az güvenlidir. Ve tersi de geçerli.
Soru “WordPress güvenli mi?” değil. Soru “Sen güvenliği doğru yapıyor musun?”
Önemli Noktalar
- WordPress güvenlik açıklarının %97’si eklentilerden geliyor, WordPress çekirdeğinden değil
- Beyaz Saray ve NASA WordPress kullanıyor — güvensiz olsaydı kullanmazlardı
- Açık kaynak güvenliği “gizlilik yoluyla güvenlik”ten daha iyi
- Özel yazılımın da güvenlik açıkları var — sadece henüz bilmiyorsun
- Güvenlik, platforma değil yapılandırmaya ve bakıma bağlı
Bu serinin devamı: “Saniyede 50.000 Ziyaretçi: WordPress Devasa Trafiği Nasıl Kaldırıyor” — Kurumsal performans için WordPress ölçeklendirme.
Kaynaklar
Last modified: Ağustos 2, 2026
United States / English 
Slovensko / Slovenčina 
Canada / Français 
Türkiye / Türkçe