Web Sunucu Güvenlik Sertleştirme

Web sunucusu, internete açık olduğu için ilk saldırı noktasıdır. Sertleştirme (hardening), gereksiz yüzeyi kapatıp yetkileri daraltarak olası bir açığın etkisini sınırlar; HTTPS bu çalışmanın yalnızca bir parçasıdır.

Temel Adımlar

1. Güncel tutun: İşletim sistemi, web sunucusu ve dil çalışma zamanı güvenlik yamalarını düzenli uygulayın.
2. Gereksiz modülleri kaldırın: Kullanılmayan Apache/Nginx modülleri ve örnek sayfalar saldırı yüzeyidir.
3. Sürüm bilgisini gizleyin: Hata sayfalarında ve başlıklarda sürüm bilgisi vermeyin.
4. En az yetki: Sunucu sıradan bir kullanıcıyla çalışsın; web dizininde yazma izni sınırlı olsun.
5. Dizin listelemeyi kapatın ve gizli dosyaları (.git, .env, yedekler) web köküne koymayın.

Örnek Yapılandırma

# Nginx
server_tokens off;
autoindex off;
location ~ /\. { deny all; }

# Apache
ServerTokens Prod
ServerSignature Off
Options -Indexes

Ağ ve Erişim

• Güvenlik duvarıyla yalnızca gerekli portları (ör. 80 ve 443) açın.
• Yönetim arayüzlerine (SSH, panel) IP kısıtlaması ve anahtar tabanlı kimlik doğrulama uygulayın.
• İstek boyutu ve hız sınırlarıyla kaba kuvvet ve aşırı yüklenmeyi azaltın.

İzleme ve Yedekleme

1. Erişim ve hata günlüklerini merkezi bir yerde toplayın, olağandışı artışları izleyin.
2. Yapılandırma ve veriyi düzenli yedekleyin; geri yüklemeyi de deneyin.
3. TLS tarafını periyodik olarak SSL kontrol aracıyla sınayın.

Hiçbir önlem tek başına yeterli değildir; katmanlı savunma yaklaşımı benimseyin. Uygun sertifika için SSL sertifikaları sayfasına, sorularınız için iletişim sayfasına başvurabilirsiniz.