Bu yazıyı büyük ihtimalle kötü bir gün okuyorsunuz: siteniz başka sayfalara yönlendiriyor, Google “bu site saldırıya uğramış olabilir” diyor, ya da sitenizde hiç yazmadığınız Japonca/ilaç/bahis sayfaları belirdi. Önce sakin bir cümle: bu durum kurtarılabilir — her gün binlerce site aynı şeyi yaşıyor ve doğru sırayla ilerleyenler, çoğu zaman kalıcı hasar olmadan bu süreçten çıkıyor.

İkinci cümle de dürüst olsun: temizlik, “zararlı yazılım tarayıcısı kur, temizle tuşuna bas” işi değildir. Saldırganlar arka kapılar bırakır; eksik temizlik, birkaç gün sonra aynı kapıdan geri gelmeleri demektir. Bu rehber, işin tamamını doğru sırayla anlatıyor: teşhis, izolasyon, temizlik, doğrulama, Google tarafı ve kalıcı önlem.

Hack, bakımsızlığın en pahalı faturasıdır; bir daha yaşamamak için: web sitesi bakım hizmeti. Google’ın arama tarafındaki uyarı ve cezaları için: Google cezası nasıl anlaşılır.

Neden Bu Kadar Yaygın? WordPress Güvenlik Gerçeği

Önce adil bir çerçeve: WordPress’in kendisi güvensiz bir yazılım değildir — çekirdeği sıkı denetlenir ve hızla yamalanır. Sorun ekosistem matematiğidir: web’in çok büyük bölümü WordPress’le çalışır, on binlerce üçüncü taraf eklenti/tema vardır ve bu bileşenlerin kalitesi uçurumludur. Saldırgan için hesap basittir: tek bir popüler eklentinin açığı, aynı anda yüz binlerce siteye açılan kapıdır — bu yüzden tarama botları 7/24 çalışır.

Pratik sonuç ikilidir: WordPress kullanmak risk değildir; bakımsız WordPress kullanmak risktir. Ve bu rehberi hack yaşamadan okuyanlar için en değerli bölüm, en sondaki önlem paketidir — temizlik bölümüne hiç ihtiyaç duymamanın listesi. İstatistiklerin diliyle: saldırıların ezici çoğunluğu, aylardır yaması yayınlanmış bir açıktan girer — yani önlenebilirdi.

Hacklendiğinizi Nasıl Anlarsınız? Belirti Sözlüğü

Bazı saldırılar bağırır, bazıları fısıldar. İki grup belirti:

Bağıran belirtiler:

Ana sayfanın değişmesi (defacement) ya da tamamen farklı bir siteye yönlendirme
Tarayıcı/Google uyarıları: “Bu site zararlı olabilir”, “Bu site saldırıya uğramış olabilir”
Barındırma firmasından askıya alma/uyarı e-postası
Panele girememe (şifreniz değiştirilmiş)

Fısıldayan belirtiler (daha yaygın ve daha sinsi):

site:siteniz.com aramasında sizin oluşturmadığınız sayfalar — çoğu zaman Japonca, ilaç, bahis, replika temalı (“Japanese keyword hack” klasiği)
Yalnızca Google’dan gelenlerin spam sitelere yönlendirilmesi — siz doğrudan girince her şey normal görünür; saldırgan özellikle böyle kurgular
Search Console’da tuhaf sorgulardan gösterimler, tanımadığınız site haritaları, “Güvenlik sorunları” bildirimi
Sitede yavaşlama, sunucuda anormal kaynak kullanımı (siteniz spam gönderiyor ya da başka sitelere saldırıda kullanılıyor olabilir)
Tanımadığınız yönetici kullanıcıları, tanımadığınız eklentiler
Dosyalarda yakın tarihli, sizin yapmadığınız değişiklikler

Fısıldayan belirtilerin ortak özelliği: site sahibinin en son öğrenen kişi olmasıdır. Şüphe varsa, gelen kutunuza değil kanıta bakın: gizli pencerede Google’dan sitenize tıklayın, site: sorgusunu tarayın, Search Console’u açın. Bu yüzden belirti listesini yalnızca kriz günü değil, aylık rutinin parçası olarak kullanın.

Panik Anında Yapılmaması Gerekenler

Doğru adımlar kadar, refleks hatalarını da bilin:

Siteyi hemen silip sıfırdan kurmaya kalkmak. İçerik, sipariş ve SEO birikimi çöpe gider; üstelik giriş yolu öğrenilmeden kurulan yeni site, aynı açıkla yeniden kurulur. Sıfırdan kurulum bir seçenektir ama panik kararı değil, teşhis sonrası kararıdır.
Enfekte yedeği son temiz yedeğin üstüne yazmak. Otomatik yedek düzeniniz azsa, bugünkü (enfekte) yedek dönerken elinizdeki tek temiz kopyayı ezebilir — yedek alırken hedefi kontrol edin.
Hosting firmasını suçlayıp beklemek. Paylaşımlı hosting desteği zararlı temizliği yapmaz; askıya alınmış siteyi açtırmanın yolu, temizliği yapıp kanıtlamaktır. Destek hattı, temizlik ekibi değildir.
Sosyal medyada telaşlı duyuru. İletişim gerekir ama planlı: önce durumu kontrol altına alın, sonra net ve sakin bilgilendirin. “Hacklendik!” çığlığı, müşteri panik ve fırsatçı saldırgan çeker.
Aynı parolaları geri koymak. Temizlik sonrası “eski şifremi geri alayım” refleksi, kapıyı aynı anahtarla kilitlemektir.

İlk 30 Dakika: Paniği Prosedüre Çevirin

Sırayla — ve sırayı bozmadan:

1. Kayıt altına alın (5 dk). Ekran görüntüleri: belirtiler, uyarılar, tuhaf sayfalar. Temizlik sonrası “neydi, ne zamandı” soruları için kanıt gerekir.

2. Erişimleri kilitleyin (10 dk). Şu parolaların TAMAMI değişir — telefonunuzdan ya da temiz olduğundan emin bir cihazdan: WordPress yönetici hesapları, hosting/cPanel, FTP/SFTP, veritabanı, alan adı yönetimi ve bu hesaplara bağlı e-posta. Saldırgan içerideyken yapılan temizlik, kilit takılmamış eve boya yapmaktır.

3. Siteyi karantinaya alın (10 dk). Ziyaretçilere zarar akıyorsa (yönlendirme, zararlı indirme) siteyi geçici bakım moduna alın ya da hosting panelinden erişimi durdurun. E-ticarette bu karar zordur ama zorunludur: müşteriye zararlı sayfa servis eden dükkânın açık kalması, kapalı olmasından pahalıdır.

4. Mevcut hâlin kopyasını ayrı bir yere alın (5 dk). Kulağa ters gelir ama hacklenmiş hâlin de yedeğini alın (ayrı, “enfekte” etiketiyle). İki nedenle: temizlikte bir şey ters giderse dönecek nokta olur ve adli inceleme (nasıl girdiler?) için kanıt kalır.

5. Yardım kararını verin. Teknik özgüveniniz sınırlıysa, tam burada durup profesyonel destek almak en ekonomik karardır — yarım temizlik, hiç temizlik yapmamaktan tehlikelidir çünkü sahte güven üretir. Devam ediyorsanız, aşağıdaki sıra sizindir. Karar kriterlerini yazının sonundaki hizmet değerlendirme bölümünde bulacaksınız.

Temizlik Öncesi Teşhis: Ne Zaman, Nereden Girdiler?

Körlemesine temizlik yerine 30–60 dakikalık teşhis, hem temizliği hem önlemi doğru hedefler:

Zaman damgalarını okuyun. Dosya yöneticisi/FTP’de son değiştirilme tarihlerine bakın: enfeksiyonun yaklaşık tarihi, hangi yedeğin temiz olduğunu söyler. (Uyarı: saldırganlar tarihleri sahteleyebilir; tek kanıt değil, ilk ipucudur.)
Erişim loglarını inceleyin. Hosting panelindeki ham erişim kayıtlarında enfeksiyon tarihi civarında şüpheli izler arayın: bilinmeyen IP’lerden wp-login.php yoğunluğu, tuhaf POST istekleri, tanımadığınız dosyalara istekler.
Şüphelileri listeleyin: güncel olmayan eklenti/tema var mıydı? Kısa süre önce eklenen bir bileşen? Zayıf parolalı bir kullanıcı? Aynı sunucuda başka (bakımsız) bir site? (Çapraz bulaşma — paylaşımlı hesapta bir sitenin açığı komşusunu da düşürür.)

Giriş yolunu bulamasanız da temizliğe geçebilirsiniz; ama bulursanız, “önlem” bölümünüz tahmin değil hedefli olur. — bulamama durumunda önlem paketi “tüm kapılar” varsayımıyla, en geniş hâliyle kurulur.

Adım Adım Temizlik

Temizlik ortamının hazırlığı

Elle temizliğe girmeden üç pratik hazırlık: çalışmayı mümkünse kopya üzerinde yürütün (enfekte sitenin bir kopyasını alt alan adında/lokalde açıp önce orada temizlemek, canlıda deneme yanılmadan iyidir); dosyalara iki kanaldan bakın (FTP + hosting dosya yöneticisi — bazı zararlılar panel görünümünü manipüle edebilir); ve bir karşılaştırma referansı indirin (aynı sürüm temiz WordPress + kullandığınız tema/eklentilerin temiz kopyaları — “bu dosya orijinalinde var mı” sorusunun tek güvenilir cevabı budur).

Yol ayrımı: Temiz yedekten dönüş mü, elle temizlik mi?

Temiz yedekten dönüş (varsa en hızlı yol): Enfeksiyon tarihinden öncesine ait, sunucudan bağımsız saklanmış bir yedeğiniz varsa: siteyi o yedekten kurun → hemen ardından tüm güncellemeleri yapın ve tüm parolaları değiştirin (yedekteki site, saldırıya yenik düşen açığı hâlâ taşıyor!) → içerik farklarını (yedek sonrası eklenen yazı/sipariş) planlı biçimde geri işleyin. Dönüş, teşhisle birleşmezse aynı filmin tekrarıdır — açık kapatılmadan dönülen yedek, saatler içinde yeniden düşebilir.

Elle temizlik (yedek yoksa ya da çok eskiyse): Aşağıdaki tam liste.

1. Çekirdeği tertemiz değiştirin

WordPress çekirdek dosyalarını resmi kaynaktan indirip wp-admin ve wp-includes klasörlerini tamamen silip yenisiyle değiştirin; kök dizindeki çekirdek dosyaları da (wp-config.php hariç) yenileyin. Böylece çekirdeğe gizlenmiş her şey tek hamlede gider.

2. wp-config.php’yi elle inceleyin

Bu dosya değiştirilemez; gözle okunur: tanımadığınız kod blokları, tuhaf include/require satırları, base64 benzeri şifreli parçalar aranır. Temiz bir referans wp-config ile yan yana karşılaştırmak en güvenlisidir. Bu vesileyle güvenlik anahtarlarını (salt keys) yenileyin — tüm oturumlar düşer, saldırganın çerezleri geçersizleşir.

3. Tema ve eklentileri sıfırdan kurun

En zahmetli ama en kritik adım: tüm eklentileri ve temaları silin, resmi kaynaklardan güncel sürümleriyle yeniden kurun. Özelleştirilmiş temanız varsa dosyaları tek tek gözden geçirmek gerekir (özellikle functions.php — arka kapıların favori yuvası). Warez/korsan tema-eklenti varsa: neredeyse kesin giriş kapınız oydu; bir daha asla.

4. uploads ve kök dizini tarayın

wp-content/uploads içinde PHP dosyası olmamalıdır — varsa zararlıdır, silinir. Kök dizinde ve alt klasörlerde tanımadığınız dosyaları (rastgele isimli .php’ler, sahte “wp-” önekli dosyalar) arayın. .htaccess dosyalarını inceleyin: yönlendirme kuralları, tuhaf rewrite satırları — temiz varsayılanla değiştirmek çoğu zaman en pratiğidir. Birden fazla .htaccess olabilir; hepsine bakın.

Ara kontrol: sahte eklenti ve must-use klasörleri

İki saklanma noktası özellikle atlanır: wp-content/mu-plugins (otomatik yüklenen “must-use” eklentiler — çoğu sitede boş olmalıdır; içinde tanımadığınız dosya varsa incelenir) ve meşru görünümlü sahte eklenti klasörleri (gerçek bir eklentinin adıyla, içinde tek bir zararlı dosya). Eklenti listesinde görünmeyen ama klasörde duran her şey şüphelidir. Ayrıca wp-content kökündeki tekil .php dosyaları (index.php dışında) gözden geçirilir.

5. Veritabanını temizleyin

Kullanıcılar tablosu: tanımadığınız yönetici hesapları silinir; tüm meşru hesapların parolaları (bir kez daha) yenilenir.
İçerik enjeksiyonu: yazı/sayfa içeriklerine gömülü script etiketleri ve spam linkler aranır (<script, iframe, bilinmeyen alan adları için arama).
Ayar tablosu: site URL’si, ana sayfa ayarı ve tanınmayan seçenek kayıtları kontrol edilir; bazı saldırılar zamanlanmış görevlere (cron) kanca bırakır — tuhaf zamanlanmış görevler temizlenir.

6. Sunucu katmanını unutmayın

Hosting hesabında site kökü dışındaki klasörlere de bakın (saldırganlar yedek kapıyı komşu klasöre koyar) — public_html üstü, eski yedek klasörleri, unutulmuş alt alan adları
FTP/SSH kullanıcı listesi denetlenir; tanınmayanlar silinir
Aynı hesaptaki diğer siteler de taranır (çapraz bulaşma iki yönlüdür)
Cron görevleri (sunucu düzeyinde) kontrol edilir

7. Tarayıcıyla doğrulayın

Elle temizlikten sonra güvenilir bir zararlı yazılım taraması (sunucu taraflı tarama + bilinen imza kontrolü) çalıştırın — tarayıcı, elle temizliğin denetçisidir, alternatifi değil. Ardından davranış testi: gizli pencerede Google’dan siteye giriş, site: kontrolü, farklı cihazdan yönlendirme testi.

8. Kapanış kontrol listesi

Temizliği “bitti” ilan etmeden son tur:

Tüm parolalar (panel, hosting, FTP, veritabanı, alan adı) yenilendi; salt anahtarları değişti
Çekirdek + tüm tema/eklentiler resmi kaynaktan, güncel sürümle kurulu
uploads ve kökte PHP avı yapıldı; mu-plugins ve sahte klasörler denetlendi
.htaccess dosyaları temiz; veritabanında sahte kullanıcı/kanca yok
Aynı hesaptaki diğer siteler ve sunucu cron’ları denetlendi
Bağımsız tarama + davranış testleri (Google’dan tıklama, farklı cihaz) temiz
Search Console: güvenlik incelemesi talep edildi, sahte sitemap silindi
Giriş yolu teşhisi ve olay notu yazıldı; 30 günlük nöbet takvimi kuruldu

Saldırı Türleri Sözlüğü: Neyle Karşı Karşıyasınız?

Temizliği hedefli yapmak için yaygın saldırı desenlerini tanıyın:

Japanese keyword hack / spam sayfa enjeksiyonu. Sitenize binlerce spam sayfa eklenir (çoğu Japonca ya da ilaç/bahis temalı); amaç sizin otoritenizi spam sıralamak için kullanmaktır. İmzası: site: aramasında yabancı sayfa seli + Search Console’da tuhaf sorgular + sahte site haritaları. Temizlik odağı: enjekte sayfaların kaynağı (genellikle sahte .php dosyaları + veritabanı kayıtları) ve sahte sitemap’ler.

Kötü amaçlı yönlendirme. Ziyaretçiler (özellikle aramadan gelenler ve mobil) spam/dolandırıcılık sitelerine yönlendirilir. İmzası: “bana normal görünüyor” + müşteri şikâyetleri. Temizlik odağı: .htaccess, tema dosyalarına eklenmiş JavaScript, veritabanındaki script enjeksiyonları.

Arka kapı (backdoor) yerleşimi. Görünür belirti az; saldırgan kalıcı erişim tutar. İmzası: tekrar eden enfeksiyonlar, tuhaf dosyalar, tanınmayan yönetici. Temizlik odağı: uploads/kök taraması, functions.php, site kökü dışındaki dosyalar, sahte eklenti klasörleri.

Kimlik avı (phishing) barındırma. Sitenizin bir klasöründe sahte banka/kargo sayfaları barındırılır. İmzası: hosting firmasından şikâyet e-postası, hiç görmediğiniz klasörler. Temizlik odağı: klasör envanteri; bu tür, hosting askıya almalarının en sık nedenidir — hızlı davranın.

Defacement. Ana sayfanın “hacked by” ekranıyla değiştirilmesi; en gürültülü, çoğu zaman en yüzeysel tür. Görüntüyü düzeltmek kolaydır; asıl iş, aynı kapının başka ne için kullanıldığını aramaktır.

SEO spam link enjeksiyonu. İçeriklerinize gizli/görünür dış linkler eklenir. İmzası: sayfa kaynağında tanımadığınız linkler, bazen yalnızca bota görünür. Temizlik odağı: veritabanı içerik taraması + tema dosyaları.

Türler sıklıkla birlikte gelir: yönlendirme bulan sitede arka kapı da vardır — tek belirtiyi temizleyip durmak, bu yüzden yetersizdir. Teşhiste türü not edin; Google tarafındaki iş yükünüz de (uyarı türü, spam URL hacmi) buna göre şekillenecek.

Google Tarafı: Uyarıları Kaldırmak ve İtibarı Onarmak

Temizlik bitti; şimdi görünürlük onarımı:

Search Console → Güvenlik sorunları: temizlik tamamlandıktan sonra inceleme talebi gönderin; ne bulduğunuzu ve ne yaptığınızı kısaca yazın. Onay tipik olarak birkaç gün içinde gelir ve tarayıcı uyarıları kalkar.
Spam sayfaların indeksten düşmesi: silinen spam URL’ler 404/410 dönmeli; binlercesi indekslendiyse en zararlıları için kaldırma aracı kullanılabilir, kalanı zamanla düşer. Sahte site haritaları Search Console’dan silinir.
Manuel işlem kontrolü: hack bazen manuel işlemle birleşir; varsa süreç farklı işler — ceza rehberindeki hacklenmiş site bölümünü izleyin.
Sıralama toparlanması: uyarılar kalktıktan sonra trafik kademeli döner; spam sayfaların ve yönlendirmelerin izleri temizlendikçe haftalar içinde normalleşme beklenir. Bu dönemde içerik güncellemeleri ve normal yayın ritmi, toparlanmayı hızlandırır.

Bir de insan tarafı: uyarıyı gören müşterileriniz olduysa kısa, dürüst bir açıklama (sosyal medya/e-posta) itibarı korur — “bir güvenlik olayı yaşadık, çözdük, şu önlemleri aldık” cümlesi, sessizlikten her zaman iyidir. Ödeme verisi işleyen sitelerde olayın kapsamına göre KVKK bildirim yükümlülükleri gündeme gelebilir; hukuk danışmanınızla değerlendirin.

Kurumsal Vakalarda Ek Katman

Site bir kurumun ana varlığıysa (yüksek trafik, e-ticaret, çok paydaş), bireysel akışa üç katman eklenir:

Rol dağılımı ve tek ses. Teknik temizlik, hukuk/KVKK değerlendirmesi ve iletişim (müşteri + iç ekip) ayrı sahiplere verilir; dışa açıklamayı tek ağız yapar. Kriz anında beş kişinin beş farklı mesajı, teknik hasardan büyük itibar hasarı üretir.

Kesinti ekonomisi. “Siteyi kapatalım mı” kararı ciro-risk terazisinde verilir ama varsayılan güvenliktir: zararlı servis eden her saat, hem kullanıcı hem arama güveninden yer. Kademeli seçenekler değerlendirilir: yalnızca etkilenen bölümün kapatılması, ödeme akışının durdurulup vitrinin açık kalması gibi.

Tedarikçi zinciri bildirimi. Ödeme sağlayıcı, kargo/ERP entegrasyonları ve reklam hesapları (feed’ler) bilgilendirilir; reklam kampanyaları, zararlı sayfalara trafik pompalamamak için temizlik doğrulanana dek duraklatılır.

Kurumsal vakanın kapanışı da farklıdır: yazılı post-mortem (kök neden, tespit süresi, karar zinciri, önlemler) yönetim kaydına girer — aynı filmi üç yıl sonra farklı kadroyla izlememenin tek yolu budur.

Vaka Günlüğü: Bir Temizliğin 72 Saati

Temsili ama tipik bir vaka — küçük bir e-ticaret sitesi:

1. gün, 09:30. Müşteri e-postası: “Google’dan sitenize girince başka bir yere atıyor.” Sahibi kendisi girince normal; gizli pencerede Google’dan tıklayınca bahis sitesine yönlendirme doğrulanır. Ekran kayıtları alınır; tüm parolalar değiştirilir; site bakım moduna alınır; enfekte yedek arşivlenir.

1. gün, 11:00–17:00. Teşhis: dosya tarihleri 12 gün önce yoğun değişiklik gösteriyor; erişim loglarında aynı gece eski bir slider eklentisinin dosyasına şüpheli POST istekleri. Giriş yolu: yıllardır güncellenmeyen, terk edilmiş eklenti. Temizlik başlar: çekirdek yenileme, tüm eklenti/temaların sıfırdan kurulumu (terk edilmiş slider alternatifle değiştirilir), uploads’ta 3 sahte PHP, kökte 1 sahte “wp-cache” dosyası, .htaccess’te yönlendirme bloğu bulunur; veritabanında 2 sahte yönetici silinir, salt anahtarları yenilenir.

2. gün. Bağımsız tarama temiz; davranış testleri (farklı cihaz/ağ, Google’dan tıklama) temiz. Site açılır. Search Console güvenlik incelemesi talep edilir; sahte sitemap silinir; spam URL’ler 410 döndürülür. Aynı hosting hesabındaki ikinci (unutulmuş test) site de taranır — orada da arka kapı bulunur ve temizlenir; muhtemel yeniden bulaşma böylece önlenir. (Vaka temsilidir; adımlar ve süreler tipik vakalardan derlendi.)

3. gün. Google incelemesi onaylanır, uyarılar kalkar. Önlem paketi kurulur: 2FA, WAF, dosya izleme, otomatik dış yedek, aylık bakım rutini. İki hafta içinde trafik normale döner; olay, aylık bakım sözleşmesiyle kapanır.

Bu günlükteki her ayrıntı — terk edilmiş eklenti, “bana normal görünüyor” yanılgısı, komşu sitedeki ikinci kapı — vakaların çoğunda tekrarlanır. Sıra ve titizlik, kahramanlıktan değerlidir.

Bir Daha Olmasın: Kalıcı Önlem Paketi

Temizliğin son adımı, girişi mümkün kılan zemini değiştirmektir:

Önlem paketini kurarken öncelik sırası da bellidir: önce giriş kapıları (güncelleme + kimlik doğrulama — vakaların büyük çoğunluğu bu iki kapıdan girer), sonra yedek düzeni (kötü gün sigortası), sonra izleme (erken uyarı), en son WAF gibi ek katmanlar. Ters sırayla başlamak — açık eklenti dururken güvenlik duvarı kurmak — kapıyı açık bırakıp pencereye parmaklık takmaktır.

Giriş kapıları:

Tüm eklenti/tema/çekirdek güncel; kullanılmayanlar silinmiş
Korsan tema/eklenti yasağı — istisnasız
Güçlü, benzersiz parolalar + iki faktörlü doğrulama (en azından yöneticilerde)
Giriş denemesi kısıtlama; varsayılan “admin” kullanıcı adı yok
Dosya düzenleyicinin panelden kapatılması (DISALLOW_FILE_EDIT)

Sunucu katmanı:

PHP güncel; dosya izinleri makul (klasör 755, dosya 644; wp-config daha sıkı)
Aynı hesapta bakımsız site barındırmama; mümkünse site başına izolasyon
Web uygulama güvenlik duvarı (WAF) — bulut ya da sunucu düzeyinde

Erken uyarı sistemi: Hack’in maliyeti, fark edilme süresiyle çarpılır; erken uyarı kablosu döşeyin — çalışırlık izleme (site düşerse dakikada haber), dosya değişikliği bildirimi, Search Console e-postalarının okunan bir adrese gitmesi, site: sorgusunun aylık rutinde olması ve Google’dan kendi sitenize ara sıra tıklama alışkanlığı. Bu beş kablonun toplam maliyeti sıfıra yakındır; kazandırdığı şey, “12 gün önce” yerine “aynı gün” fark etmektir.

Süreklilik:

Sunucudan bağımsız, derinlikli, test edilmiş yedek düzeni
Dosya değişikliği izleme + düzenli zararlı tarama
Aylık bakım rutini — tam liste burada

Bu paketin maliyeti, yaşadığınız temizlik gününün küçük bir yüzdesidir; en pahalı versiyonunu zaten ödediniz.

Temizlik Sonrası 30 Günlük Nöbet

Site temizlendi, uyarılar kalktı — ama dosya bir ay daha kapanmaz. Yeniden enfeksiyonların çoğu ilk haftalarda döner; nöbet listesi:

İlk 72 saat (günlük):

Dosya değişikliği izleme bildirimleri (yeni/değişen dosya var mı?)
Kullanıcı listesi kontrolü (yeni hesap belirdi mi?)
Gizli pencerede Google’dan giriş testi + site: hızlı taraması

İlk 2 hafta (gün aşırı):

Erişim loglarında eski saldırı imzalarının (aynı IP’ler, aynı dosya istekleri) tekrar edip etmediği
Search Console: yeni güvenlik bildirimi, tuhaf sorgu/gösterim hareketi
Sunucu kaynak kullanımında anormallik

30. gün kapanışı:

Bağımsız ikinci tarama
Spam URL’lerin indeksten düşme durumu; trafiğin toparlanma eğrisi
Olay raporunun tamamlanması: kök neden, zaman çizelgesi, alınan önlemler — bir sonraki yöneticinin/ekibin okuyacağı kurumsal hafıza
Nöbetin normal bakım rutinine devri

Bu 30 günlük disiplin, “temizledik ama geri geldi” senaryosunun sigortasıdır: dönüş olacaksa erken yakalar, olmayacaksa kanıtlar.

Profesyonel Hizmet Alacaksanız: Değerlendirme Kriterleri

Acil anın panik alışverişi, kötü hizmetin en verimli pazarıdır. Kısa liste:

Süreç sorusu: “Nasıl temizliyorsunuz?” cevabında çekirdek yenileme, sıfırdan kurulum, veritabanı denetimi ve giriş yolu teşhisi geçmeli; yalnızca “tarama yapıyoruz” cevabı yetersizdir.
Kanıt taahhüdü: iş sonunda rapor — ne bulundu, nereden girilmiş (tespit edilebildiyse), ne yapıldı, hangi önlemler önerildi.
Tekrar garantisi çerçevesi: makul süreli yeniden enfeksiyon güvencesi (koşullarıyla — önerilen önlemler uygulanmışsa) profesyonelliğin işaretidir; “ömür boyu garantili” iddiası ise pazarlamadır.
Erişim disiplini: hizmet için verilen erişimlerin iş sonunda kapatılması; parolaların size teslimle birlikte değiştirilmesi.
Fiyat netliği: kapsam (tek site mi, hesap genelinde mi; Google süreci dahil mi) baştan yazılı olmalı — “girince bakarız” faturası, girince büyür.

Ve zamanlama dürüstlüğü: gece 03:00’te “5 dakikada temizleriz” diyen ilanlar değil, ilk yarım saatte doğru soruları soran ekipler tercih edin. Doğru sorular şunlardır: belirtiler ne zaman başladı, hangi yedekler var, hosting erişimi kimde, e-ticaret/veri hassasiyeti var mı?

Sık Sorulan Sorular

WordPress sitem hacklendi, ilk ne yapmalıyım?

Sırayla beş iş: belirtilerin ekran görüntülerini alın (kanıt); temiz bir cihazdan tüm parolaları değiştirin — WordPress yöneticileri, hosting, FTP, veritabanı, alan adı (saldırgan içerideyken temizlik yapılmaz); ziyaretçiye zarar akıyorsa siteyi geçici bakım moduna alın; hacklenmiş hâlin de ayrı bir “enfekte” yedeğini alın (geri dönüş ve inceleme için); ve dürüst bir özdeğerlendirme yapın — teknik özgüveniniz sınırlıysa bu noktada profesyonel destek almak en ucuz karardır, çünkü yarım temizlik sahte güven üretir ve saldırgan bıraktığı arka kapıdan günler içinde döner.

Sitem hacklendi ama ben girince normal görünüyor; nasıl olur?

Bu, kazara değil tasarımdır: yaygın saldırılar yalnızca arama motorundan gelen ziyaretçileri yönlendirir ya da yalnızca Google botuna spam içerik gösterir (cloaking) — site sahibi doğrudan girdiğinde her şey normaldir, böylece keşif gecikir. Kontrol yöntemleri: gizli/farklı cihaz penceresinde Google’dan sitenize tıklayın, site:siteniz.com aramasında tanımadığınız sayfaları tarayın, Search Console’da güvenlik bildirimi ve tuhaf sorgular olup olmadığına bakın ve URL denetim aracıyla sayfalarınızın Google’a nasıl göründüğünü inceleyin. “Bana normal görünüyor” cümlesi, hack şüphesinde hiçbir şey kanıtlamaz.

Zararlı yazılım tarayıcı eklentisi kurup temizlesem yeterli olmaz mı?

Çoğu zaman hayır — üç nedenle: tarayıcılar bilinen imzaları bulur, özelleştirilmiş arka kapıları kaçırabilir; enfekte bir sitede çalışan tarayıcının kendisi manipüle edilmiş olabilir; ve tarayıcı, girişe yol açan açığı kapatmaz. Doğru rol dağılımı şudur: temizliğin omurgası deterministik işlemlerdir (çekirdeğin resmi kaynaktan yenilenmesi, tema/eklentilerin sıfırdan kurulumu, uploads’ta PHP avı, veritabanı ve kullanıcı denetimi, parola/anahtar yenileme); tarama ise bu işin denetçisi ve sonrasında sürekli nöbetçisidir. “Tek tıkla temizlendi” mesajından sonra dönen enfeksiyonlar, bu sektörün en dolu klasörüdür.

Hack temizliği ne kadar sürer, site ne zaman normale döner?

Teknik temizlik, sitenin boyutuna ve bulaşmanın derinliğine göre birkaç saat ile birkaç gün arasındadır (temiz yedekten dönüş en hızlısıdır). Google tarafı ek süre ister: güvenlik incelemesi talebi genellikle birkaç günde onaylanır ve tarayıcı uyarıları kalkar; indekslenmiş spam sayfaların düşmesi ve sıralamaların normalleşmesi ise haftalar alabilir. Trafik toparlanmasını hızlandıranlar: spam URL’lerin doğru 404/410 dönmesi, sahte site haritalarının silinmesi, normal içerik ritminin sürmesi. Aylar süren tek senaryo, temizliğin eksik yapılıp enfeksiyonun tekrarlamasıdır — bu yüzden acele eden değil, tam yapan kazanır.

Hangi belirtiler sitemin hacklendiğini gösterir?

İki grup: gürültülü belirtiler — değişen ana sayfa, başka siteye yönlendirme, tarayıcı/Google güvenlik uyarıları, hosting askıya alma e-postası, panele girememe; ve sinsi belirtiler — site: aramasında sizin oluşturmadığınız (çoğu zaman Japonca/ilaç/bahis temalı) sayfalar, yalnızca Google’dan gelen ziyaretçilerin yönlendirilmesi (siz doğrudan girince normal görünür), Search Console’da tuhaf sorgular ve güvenlik bildirimleri, tanımadığınız yönetici hesapları, açıklanamayan yavaşlama. Sinsi grup daha yaygındır ve haftalarca fark edilmeyebilir; aylık beş dakikalık kontrol (site: taraması + gizli pencere testi + Search Console) erken yakalamanın en ucuz yoludur.

WordPress siteme neden ben hedef oldum?

Büyük olasılıkla olmadınız — saldırıların ezici çoğunluğu kişisel değil otomatiktir: botlar, bilinen açıkları (güncellenmemiş eklenti/tema, zayıf parola, korsan yazılım) taşıyan siteleri internette otomatik tarar ve bulduklarına girer. Küçük olmak korumaz; güncel olmamak hedef yapar. Hacklenen siteler spam sayfa barındırmak, ziyaretçi yönlendirmek, spam e-posta göndermek ve başka saldırılarda basamak olarak kullanılmak için değerlidir — yani “bizde çalınacak ne var” sorusu yanlış sorudur; çalınan şey veriniz değil, sitenizin kendisi ve itibarıdır.

Temizlikten birkaç gün sonra hack geri geldi; neden?

Üç klasik neden: arka kapı kalmış (uploads’taki bir PHP, functions.php’ye eklenmiş kod, veritabanındaki bir kanca ya da sunucuda site kökü dışında bir dosya — temizlik yalnızca görünür belirtileri silmiş), giriş açığı kapanmamış (savunmasız eklenti hâlâ duruyor, parolalar değişmemiş, salt anahtarları yenilenmemiş — saldırgan aynı kapıdan girmiş) ya da komşu bulaşması (aynı hosting hesabındaki başka bir bakımsız site enfekte ve yeniden bulaştırıyor). Çözüm, bu rehberin tam listesini atlamadan uygulamak ve özellikle sunucu katmanı + tüm komşu siteleri de denetlemektir.

Hack yüzünden Google sıralamalarım kalıcı zarar görür mü?

Hızlı ve tam temizlenen vakalarda genellikle hayır: güvenlik incelemesi onaylanıp uyarılar kalktıktan ve spam sayfalar indeksten düştükten sonra sıralamalar haftalar içinde büyük ölçüde normalleşir — Google, temizlenmiş siteleri cezalandırmaya değil kullanıcıyı korumaya odaklıdır. Kalıcı hasar iki senaryoda birikir: enfeksiyonun aylarca fark edilmemesi (spam sayfalar ve kötü sinyaller uzun süre birikir) ve temizliğin eksik yapılıp uyarı döngüsünün tekrarlaması. Yani soru “hack mi zarar verir” değil, “ne kadar sürede ve ne kadar eksiksiz müdahale edilir” sorusudur. Toparlanma döneminde normal içerik ritmini sürdürmek de işi hızlandırır.

E-ticaret sitem hacklendi; müşteri verileri ve KVKK tarafında ne yapmalıyım?

Teknik temizliğe paralel bir hukuki değerlendirme şarttır: hangi verilere erişilmiş olabileceğini tespit etmeye çalışın (loglar, etkilenen tablolar), etkilenme ihtimali varsa KVKK’nın veri ihlali bildirim yükümlülüklerini (kurula ve gerekiyorsa ilgili kişilere, tanımlı süreler içinde) hukuk danışmanınızla birlikte işletin, ödeme altyapısı sağlayıcınızı bilgilendirin ve müşterilere dürüst bir bilgilendirme yapın. Kart verisi sitenizde tutulmuyorsa (ödeme sağlayıcı üzerinden alınıyorsa) risk daha sınırlıdır ama parola ve iletişim verileri yine hassastır. Bu konu bilgilendirmedir, hukuki görüş değildir — vakanızda mutlaka uzman desteği alın.

Profesyonel temizlik hizmeti mi almalıyım, kendim mi yapmalıyım?

Karar üç soruyla verilir: Dosya sistemi ve veritabanında rahat mısınız (FTP, phpMyAdmin, log okuma)? Siteniz kritik mi (e-ticaret, aktif müşteri trafiği, itibar hassasiyeti)? Zamanınız var mı (elle temizlik yarım–bir tam gün ister)? Teknik rahatlık düşük + site kritikse: profesyonel destek net cevaptır — maliyeti, uzayan kesinti ve tekrarlayan enfeksiyonun yanında küçüktür. Kendiniz yapacaksanız: bu rehberin sırasını bozmayın, “enfekte yedek” almayı atlamayın ve bitince mutlaka bağımsız taramayla doğrulayın. Her iki yolda da temizlik sonrası kalıcı önlem paketi pazarlıksızdır; onsuz temizlik, randevulu tekrar demektir.

Sonuç

WordPress hack temizliğinin özü üç cümledir:

1. Önce kilit, sonra temizlik. Parolalar ve erişimler değişmeden yapılan her şey, saldırganla ortak çalışmadır. Sıra, bu işin yarısıdır.

2. Görünen belirti değil, bırakılan kapı hedeftir. Çekirdek yenileme, sıfırdan eklenti/tema, uploads ve veritabanı denetimi — tam liste, tekrarın tek panzehiridir. Ve kapı sadece sitenizde değil, komşu sitede ya da sunucu katmanında da olabilir — arama alanını geniş tutun.

3. Temizlik, önlemle biter. Güncelleme disiplini, güçlü kimlik doğrulama ve test edilmiş yedek; bu üçü kurulmadan dosya kapanmaz.

Son not: KVKK ve bildirim yükümlülüklerine ilişkin değiniler genel bilgilendirmedir; veri etkilenmesi ihtimali olan her vakada hukuk desteği alın.

Aciliyet varsa ya da süreci birlikte yürütmek isterseniz iletişime geçebilirsiniz; kalıcı düzen için web tasarım ve bakım hizmetlerine göz atabilirsiniz.