6 Eylül 2026 · 3 dk okuma · Pusula Studio
Şirket sitesi ve sosyal hesap güvenliğinde en sık 7 hata
Kısa cevap
Şirket sitesi ve sosyal hesap güvenliği çoğunlukla büyük bir saldırıyla değil, küçük, birikmiş ihmallerle bozulur: zayıf parola, güncellenmeyen altyapı, tek kişide toplanan erişim, yedeksizlik, oltalama bağlantıları, yanlış SSL ve ayrılan çalışanın erişiminin kapatılmaması. Verizon'un 2026 raporuna göre ihlallerin %31'i artık çalınan şifrelerden değil, güncellenmemiş yazılım açıklarından başlıyor — bu yedi maddenin çoğu, birkaç dakikalık düzenli kontrolle kapatılabilir.
Şirket sitesi veya sosyal hesap güvenliği çoğu zaman büyük, dramatik bir saldırıyla değil, küçük ve fark edilmeyen ihmallerin birikmesiyle bozulur. Bu yazı korku vermek için değil, o birikimi önlemek için yazıldı — yedi hata ve her biri için birkaç dakikalık bir kontrol. Hiçbiri büyük bir teknik bilgi gerektirmiyor; hepsi birkaç dakikada, kendiniz de uygulayabileceğiniz kontroller.
1. Zayıf parola ve iki faktörlü doğrulama (2FA) yokluğu
Tahmin edilmesi kolay veya birden fazla hesapta tekrarlanan bir parola, tek bir sızıntının tüm hesapları etkilemesine yol açar. 5 dakikalık kontrol: Şirket e-postası, site paneli ve sosyal hesaplarda 2FA açık mı, ve parolalar birbirinden farklı mı kontrol edin.
2. Güncellenmeyen altyapı
5 dakikalık kontrol: Site altyapınızda (ör. WordPress çekirdeği ve eklentiler) son güncellemenin ne zaman yapıldığını sorun — cevap birkaç aydan eskiyse, bu madde açık demektir.
Bu madde özellikle önemli çünkü artık en sık başlangıç noktası — bir çalışanın dikkatsizliğine değil, kimsenin fark etmediği bir yamaya bağlı. Yani “ekibimiz dikkatli” demek, tek başına yeterli bir güvence değil.
3. Erişimin tek kişide toplanması
Tüm şifrelerin, panel erişiminin ve hesap sahipliğinin tek bir kişide olması, o kişi ulaşılamaz olduğunda (izin, ayrılış, kaza) tüm sistemi kilitler. 5 dakikalık kontrol: “Bu kişiye bugün ulaşamasak, siteye/hesaba başka kim girebilir?” sorusunu sorun — cevap “kimse” ise, bu madde açık demektir.
4. Yedeksizlik
Yedek olmadan yaşanan bir arıza, silme hatası veya saldırı, veriyi geri getirilemez şekilde kaybettirebilir. 5 dakikalık kontrol: Son yedeğin tarihini kontrol edin, ve mümkünse küçük bir dosyayı gerçekten geri yükleyerek yedeğin çalıştığını doğrulayın.
Bu ikisi (2FA ve erişim paylaşımı) genelde birlikte konuşulmalı: 2FA’nız güçlü ama erişim tek kişideyse, güvenlik değil yalnız o kişiye olan bağımlılık artmış olur.
5. Sahte panel ve oltalama (phishing) bağlantıları
“Hesabınız askıya alındı, giriş yapın” türü mesajlar, gerçek platformun giriş ekranını taklit eden sahte sayfalara yönlendirir — bilgiler girildiği an ele geçer. 5 dakikalık kontrol: Böyle bir mesaj geldiğinde bağlantıya tıklamak yerine, platforma her zaman kendi yazdığınız adresten (tarayıcıya elle yazarak) girin. Aciliyet hissi yaratan her mesaj (“24 saat içinde doğrulanmazsa kapatılacak”) bu yüzden ekstra bir şüpheyi hak eder — asıl amaç, acele ettirip düşünmeden tıklatmaktır.
6. Yanlış veya eksik SSL
Adres çubuğunda kilit simgesi olmayan veya süresi dolmuş bir SSL sertifikası, ziyaretçiye “güvenli değil” uyarısı gösterir ve arama motorlarında da geriye düşürür. 5 dakikalık kontrol: Siteyi açıp adres çubuğundaki kilit simgesine tıklayın — sertifikanın geçerlilik tarihi ve doğru alan adına ait olup olmadığını görün.
7. Ayrılan çalışanın erişiminin kapatılmaması
Bir çalışan ayrıldığında sosyal hesap, e-posta veya site paneline erişimi hâlâ açıksa, bu erişim niyetten bağımsız bir risk kaynağı olarak kalır. 5 dakikalık kontrol: Son altı ayda ayrılan biri var mı, varsa o kişinin erişiminin gerçekten kapatıldığını doğrulayın — “kapatılmıştır herhalde” bir doğrulama değildir.
Bu yedi maddenin ortak noktası: hiçbiri büyük bir bütçe istemiyor, hepsi düzenli bir kontrol alışkanlığı istiyor. Tek seferlik bir “güvenlik denetimi” yaptırıp unutmak yerine, bu yedi kontrolü takvime (ör. her ayın ilk günü) bağlamak, güvenliği bir proje değil bir alışkanlık hâline getirir — tam da bu yazının başında bahsettiğimiz “büyük saldırı değil, küçük ihmal” mantığının tersini kurmak.
Kendi sisteminizin bu yedi maddeye göre nerede durduğunu birlikte değerlendirmek isterseniz, kapsamınızı anlatmanız yeterli.
Sık sorulan sorular
Küçük bir işletme gerçekten hedef olur mu, yoksa bu yalnız büyük şirketlerin sorunu mu?
Küçük işletmeler genelde hedef seçilerek değil, otomatik taranarak bulunur — saldırganın çoğu aracı belirli bir şirketi değil, güncellenmemiş veya zayıf korunan HERHANGİ bir siteyi/hesabı arar. Büyüklük, otomatik bir taramadan koruma sağlamaz.
İki faktörlü doğrulama (2FA) gerçekten fark yaratıyor mu?
Evet — parolanız ele geçirilse bile, ikinci bir doğrulama adımı olmadan hesaba girilemez. Kurulumu birkaç dakika sürer, kapattığı risk bunun kat kat üzerindedir.
Yedekleme yeterli mi, yoksa yedeği test etmek de mi gerekiyor?
Test edilmemiş bir yedek, var olduğu doğrulanmamış bir yedektir. Bir yedeği gerçekten geri yükleyip yüklenmediğini görmeden, o yedeğin işe yarayacağından emin olunamaz.
Bu kontrolleri ne sıklıkla tekrarlamalıyız?
Erişim listesi ve ayrılan çalışan kontrolü her personel değişikliğinde; güncelleme, yedek ve SSL kontrolü ayda bir; parola/2FA kontrolü yılda bir gözden geçirilmesi makul bir ritim.