Siteniz Hacklendiğinde Yapılması Gereken İlk 5 Acil Kurtarma Adımı

Siteniz hacklendiğinde ilk yapmanız gereken şey paniğe kapılmadan hasarı sınırlamak, siteyi izole etmek, tüm erişimleri yenilemek, temiz bir yedekten geri dönmek, zararlı kodları kaldırmak ve kalıcı güvenlik önlemlerini devreye almaktır. En kritik ilk 24 saatte amaç, saldırganın erişimini kesmek, ziyaretçilerinize ve verilerinize daha fazla zarar gelmesini önlemek, arama motorlarına yanlış sinyal göndermemek ve sitenizi doğrulanmış şekilde tekrar yayına almaktır.

Bir web sitesinin hacklenmesi yalnızca ana sayfaya farklı bir görsel yerleştirilmesi anlamına gelmez. Saldırganlar çoğu zaman görünmeden kalmayı tercih eder; spam sayfalar üretir, ödeme formlarını değiştirir, yönetici hesabı ekler, veritabanına gizli yönlendirme kodları bırakır veya e-posta gönderimi için sunucunuzu kullanır. Bu nedenle kurtarma süreci sadece dosya silmekten ibaret değildir. Kanıtları koruyan, temizliği doğrulayan ve tekrarı engelleyen sistemli bir müdahale gerekir.

Bu rehberde, siteniz hacklendiğinde uygulanması gereken ilk 5 acil kurtarma adımını, teknik ayrıntıları sadeleştirerek ama pratikte uygulanabilir seviyede anlatıyoruz. WordPress, özel yazılım, e-ticaret altyapısı veya kurumsal web sitesi fark etmeksizin aynı ana prensipler geçerlidir: izole et, erişimi kapat, temiz kaynağa dön, doğrula, güçlendir.

Sitenizin Hacklendiğini Gösteren Belirtiler

Hacklenme her zaman gözle görünür bir çökme ile başlamaz. Bazı saldırılar haftalarca fark edilmeden devam edebilir. Aşağıdaki belirtilerden biri bile varsa, siteyi normal bir hata gibi değil güvenlik olayı gibi ele almak gerekir.

• Google arama sonuçlarında sitenizin altında kumar, ilaç, kripto veya yetişkin içerikli başlıkların görünmesi.
• Tarayıcıda zararlı site, phishing veya güvenli olmayan bağlantı uyarısı alınması.
• Yönetici paneline giriş yapamamak ya da tanımadığınız admin kullanıcıları görmek.
• Sunucuda aniden CPU, RAM, disk veya e-posta gönderim trafiğinin artması.
• .htaccess, index.php, wp-config.php veya tema dosyalarında beklenmeyen değişiklikler.
• Ziyaretçilerin başka alan adlarına yönlendirilmesi.
• Hosting hesabınızdan bilginiz dışında toplu e-posta gönderilmesi.
• Güvenlik eklentilerinin devre dışı bırakılması veya log kayıtlarının silinmesi.

Örneğin normalde günde 2.000 ziyaretçi alan bir blogun aniden 30.000 istek üretmesi, çoğu zaman gerçek kullanıcı artışı değil bot aktivitesi, brute force denemesi veya zararlı script çalışması olabilir. Aynı şekilde 10 MB büyüklüğündeki bir temanın birkaç gün içinde 80 MB olması, yüklenen backdoor dosyalarına işaret edebilir.

Hacklenme Sonrası İlk 30 Dakika: Panik Yerine Kanıt ve Kontrol

İlk refleksiniz her şeyi silmek olmamalı. Rastgele dosya silmek saldırı izlerini yok edebilir, temizliği zorlaştırabilir ve yanlış yedekten dönmenize neden olabilir. Önce mevcut durumun fotoğrafını çekin: tarih, saat, görülen uyarılar, etkilenen URL’ler, şüpheli kullanıcılar, son yapılan güncellemeler ve hosting logları. Bu bilgiler hem teknik destek ekibinin hem de güvenlik uzmanının hızlı teşhis koymasını sağlar.

Özellikle e-ticaret, üyelik veya kişisel veri işleyen sitelerde olay kaydı tutmak önemlidir. Hangi verilerin etkilenmiş olabileceği, saldırının ne zaman başladığı ve hangi IP’lerden erişim denendiği not edilmelidir. Hostragons üzerinde barındırılan sitelerde destek ekibine başvururken alan adı, etkilenen klasör, zaman aralığı ve aldığınız hata mesajlarını paylaşmanız müdahale süresini kısaltır. Hosting altyapısı seçimi hakkında daha fazla bilgi için güvenli web hosting paketleri bağlantısını değerlendirebilirsiniz.

1. Adım: Siteyi İzole Edin ve Hasarı Sınırlayın

Siteniz hacklendiğinde ilk acil kurtarma adımı, saldırganın ve zararlı kodun daha fazla zarar vermesini engellemektir. Bu aşama, yangını söndürmeden önce gaz vanasını kapatmaya benzer. Site tamamen kapatılmak zorunda değildir; ancak ziyaretçilerin zararlı yönlendirmeye, sahte ödeme formuna veya virüslü dosyaya maruz kalması önlenmelidir.

Bakım Moduna Alın veya Erişimi Geçici Olarak Kısıtlayın

WordPress kullanıyorsanız bakım modu sayfası gösterebilir, özel yazılımda geçici 503 yanıtı döndürebilir ya da sadece belirli IP adreslerinden erişime izin verebilirsiniz. 503 kodu, arama motorlarına sitenin geçici olarak kullanılamadığını söyler; bu, 404 veya boş sayfa göstermeye göre daha doğru bir sinyaldir. Eğer site phishing veya malware dağıtıyorsa, tamamen erişimi kısıtlamak daha güvenlidir.

• Yönetici panelini herkese açık bırakmayın; IP kısıtlaması kullanın.
• Dosya yükleme klasörlerinde PHP çalıştırmayı geçici olarak kapatın.
• E-posta gönderimi kötüye kullanılıyorsa SMTP erişimini durdurun.
• Ödeme sayfası etkilenmişse sanal POS ve ödeme entegrasyonunu geçici devre dışı bırakın.

Logları ve Mevcut Dosya Durumunu Koruyun

İzolasyon sırasında erişim logları, hata logları, FTP kayıtları ve kontrol paneli işlem geçmişi korunmalıdır. Birçok saldırıda ilk giriş noktası eski bir eklenti, zayıf FTP şifresi, sızmış bir yönetici hesabı veya yazma izni hatasıdır. Loglar olmadan kök nedeni bulmak zorlaşır. Bu da temizlediğiniz sitenin birkaç gün sonra yeniden hacklenmesiyle sonuçlanabilir.

Bu aşamada sunucudaki dosyaları yerel bilgisayarınıza indirip güvenli bir ortamda incelemek de faydalıdır. Ancak indirilen dosyalar zararlı kod içerebileceği için antivirüs koruması olan bir makinede çalışılmalıdır. Hosting kontrol panelinde yedekleme seçenekleri bulunuyorsa, olay anı yedeği sadece analiz amacıyla saklanmalı; doğrudan temiz yedek olarak kullanılmamalıdır. Düzenli yedekleme stratejileri için otomatik yedeklemeli hosting çözümleri sayfasını inceleyebilirsiniz.

2. Adım: Tüm Erişimleri, Şifreleri ve Anahtarları Yenileyin

Birçok site sahibi, hacklenme sonrası yalnızca yönetici paneli şifresini değiştirir. Oysa saldırganın erişim noktası FTP, veritabanı kullanıcısı, hosting paneli, SSH anahtarı, e-posta hesabı, API tokeni veya üçüncü taraf entegrasyon olabilir. Bu nedenle ikinci acil adım, tüm kimlik bilgilerini kapsamlı şekilde sıfırlamaktır.

Hangi Şifreler Değiştirilmeli?

• Hosting kontrol paneli şifresi.
• FTP, SFTP ve SSH kullanıcı şifreleri.
• Veritabanı kullanıcı şifresi ve bağlantı yapılandırması.
• CMS yönetici hesapları ve tüm editör hesapları.
• E-posta hesapları, özellikle alan adı üzerinden gönderim yapan hesaplar.
• API anahtarları, ödeme sistemi tokenleri, CDN ve DNS panel erişimleri.
• Git, deploy, otomasyon ve yedekleme servislerinin anahtarları.

Güçlü şifre, en az 16 karakterli, benzersiz ve tahmin edilemez olmalıdır. Aynı şifrenin başka bir platformda kullanılması, veri sızıntılarında sitenizi doğrudan risk altına sokar. Mümkün olan her panelde iki faktörlü kimlik doğrulama etkinleştirilmelidir. Özellikle yönetici hesabı için 2FA, brute force saldırılarının etkisini büyük ölçüde azaltır.

Şüpheli Kullanıcıları ve Aktif Oturumları Kapatın

CMS içinde tanımadığınız kullanıcılar varsa sadece pasifleştirmek yetmez; önce rolü, oluşturulma tarihi ve yaptığı işlemler not edilmeli, sonra silinmelidir. WordPress tarafında tüm kullanıcı oturumlarını sonlandırmak için güvenlik anahtarları yenilenebilir. Özel yazılımlarda session tablosu temizlenebilir. E-ticaret sitelerinde müşteri hesapları değil, yönetim yetkisine sahip personel hesapları öncelikli kontrol edilmelidir.

Bir örnek düşünelim: Saldırgan eski bir editör hesabına erişmiş ve dosya yükleme izni olan bir eklenti üzerinden web shell yüklemiş olabilir. Siz sadece ana admin şifresini değiştirirseniz saldırganın editör hesabı hâlâ aktif kalır. Bu nedenle yetki matrisi incelenmeli, gereksiz yönetici ve editör rolleri azaltılmalıdır. Alan adı, DNS ve SSL yönetiminin de güvenli olması gerekir; bunun için alan adı yönetimi ve DNS güvenliği ve SSL sertifikası çözümleri bağlantıları yararlı olabilir.

3. Adım: Temiz Yedekten Geri Dönün veya Enfekte Alanları Karantinaya Alın

En hızlı ve en güvenli kurtarma yöntemi, saldırıdan önce alınmış doğrulanmış temiz bir yedekten geri dönmektir. Ancak burada kritik nokta temiz kelimesidir. Dün alınan yedek, saldırı bir hafta önce başladıysa enfekte olabilir. Bu yüzden yedek tarihleri, log kayıtları ve dosya değişim zamanları birlikte değerlendirilmelidir.

Temiz Yedek Nasıl Seçilir?

Öncelikle hack belirtilerinin ilk ne zaman görüldüğünü belirleyin. Örneğin Google Search Console güvenlik uyarısı 12 Mart’ta geldiyse ama sunucu loglarında 5 Mart’ta şüpheli POST istekleri varsa, 12 Mart yedeği güvenilir değildir. 4 Mart veya öncesine ait yedekler analiz edilmelidir. Yedekten dönmeden önce yedek dosyaları güvenlik taramasından geçirilmelidir.

• Yedek tarihi saldırının tahmini başlangıcından önce olmalıdır.
• Yedekte tanımadığınız admin kullanıcıları bulunmamalıdır.
• Dosya bütünlüğü kontrol edilmeli; çekirdek CMS dosyaları orijinal paketle karşılaştırılmalıdır.
• Veritabanında gizli iframe, base64 kod, şüpheli script ve spam içerikler aranmalıdır.
• Geri yükleme sonrası tüm yazılım güncellemeleri yapılmalıdır.

Yedek Yoksa Ne Yapılır?

Temiz yedek yoksa kurtarma daha dikkatli yapılmalıdır. Önce site kopyası staging veya geçici bir alana alınır. Şüpheli dosyalar karantinaya taşınır, çekirdek CMS dosyaları resmi kaynaklardan yeniden yüklenir, tema ve eklentiler temiz paketlerle değiştirilir. Kullanıcı yüklemeleri klasörü, saldırganların en sık saklandığı alanlardan biridir; burada .php, .phtml, .phar gibi çalıştırılabilir dosyalar özellikle kontrol edilmelidir.

Veritabanı temizliği de en az dosya temizliği kadar önemlidir. Zararlı yönlendirmeler bazen dosyalarda değil, site ayarlarında, widget alanlarında, tema seçeneklerinde veya yazı içeriklerinde saklanır. Büyük veritabanlarında arama yaparken script, iframe, eval, atob, base64_decode, gzinflate, shell_exec ve document.location gibi ifadeler kontrol edilebilir. Ancak her base64 ifadesi zararlı değildir; yanlış silme, çalışan sistemi bozabilir. Bu nedenle işlem öncesi mutlaka veritabanı kopyası alınmalıdır.

4. Adım: Zararlı Kodları Temizleyin, Güncelleyin ve Açığı Kapatın

Sitenizi geri yüklemek tek başına yeterli değildir. Saldırganın nasıl girdiğini bulmazsanız aynı açık üzerinden tekrar erişim sağlanabilir. Dördüncü adımın amacı, dosya ve veritabanı temizliğini tamamlamak, yazılım zafiyetlerini kapatmak ve yapılandırma hatalarını düzeltmektir.

Dosya Sistemi Kontrol Listesi

• Son değiştirilen dosyaları tarihe göre listeleyin ve beklenmeyen değişiklikleri inceleyin.
• CMS çekirdek dosyalarını resmi sürümle karşılaştırın.
• Upload klasörlerinde çalıştırılabilir dosya olup olmadığını kontrol edin.
• Gizli dosyaları inceleyin; .user.ini, .htaccess ve benzeri dosyalar yönlendirme için kullanılabilir.
• Dosya izinlerini daraltın; genel kural dosyalar için 644, klasörler için 755 seviyesidir.
• Gereksiz tema, eklenti, eski yedek zipleri ve test klasörlerini kaldırın.

WordPress özelinde kullanılmayan eklentiler silinmeli, yalnızca pasif bırakılmamalıdır. Eski bir slider, form veya dosya yöneticisi eklentisi, devre dışı görünse bile dosyaları sunucuda duruyorsa risk oluşturabilir. Ayrıca nulled tema ve lisanssız eklentiler, çoğu zaman içine yerleştirilmiş backdoor kodlarıyla gelir. Kısa vadede maliyet avantajı gibi görünen bu tercih, marka itibarını ve müşteri verilerini riske atabilir.

Güncelleme Sırası Nasıl Olmalı?

Temizlik sırasında önce çekirdek sistem, sonra tema, sonra eklentiler güncellenmelidir. PHP sürümü eskiyse uyumluluk testinden sonra güncel ve desteklenen bir sürüme geçilmelidir. 2026 standartlarında hâlâ eski PHP sürümleriyle çalışan siteler ciddi risk altındadır; çünkü güvenlik yamaları alınmaz. Hosting tarafında güncel PHP, izole hesap mimarisi, düzenli yedekleme ve güvenlik duvarı desteği önemlidir. Bu konudaki seçenekler için Hostragons web hosting sayfasına bakabilirsiniz.

Ayrıca SSL sertifikasının geçerli olduğundan emin olun. SSL tek başına sitenizi hacklenmeye karşı korumaz; ancak kullanıcı ile sunucu arasındaki veriyi şifreler ve sahte formların etkisini azaltmaya yardımcı olur. Özellikle giriş, ödeme ve üyelik sayfalarında SSL zorunludur. Sertifika seçenekleri için SSL sertifikası satın al bağlantısı değerlendirilebilir.

5. Adım: Yayına Almadan Önce Doğrulayın, İzleyin ve Kalıcı Koruma Kurun

Beşinci adım, sitenin gerçekten temizlendiğini doğrulamak ve aynı olayın tekrarlanmasını önlemektir. Bu aşama atlanırsa site açıldıktan birkaç gün sonra aynı uyarılar geri dönebilir. Doğrulama, hem teknik taramayı hem de iş süreçlerini kapsamalıdır.

Yayına Alma Öncesi Kontroller

• Ana sayfa, giriş sayfası, ödeme sayfası ve popüler URL’ler farklı cihazlardan test edilmelidir.
• Google Search Console güvenlik sorunları ve manuel işlem raporları kontrol edilmelidir.
• Site haritası ve robots.txt dosyası incelenmelidir.
• Sunucu loglarında tekrarlayan 404, 500, POST ve login denemeleri analiz edilmelidir.
• E-posta gönderim itibarı kontrol edilmeli; kara listeye düşme varsa kaldırma süreci başlatılmalıdır.
• Ödeme formları, iletişim formları ve dosya yükleme alanları test edilmelidir.

Google veya tarayıcılar sitenizi zararlı olarak işaretlediyse, temizlikten sonra yeniden değerlendirme isteği göndermeniz gerekir. Bu istekte neyin temizlendiği, hangi açığın kapatıldığı ve hangi önlemlerin alındığı net yazılmalıdır. Belirsiz ve kısa açıklamalar yerine, örneğin eski dosya yöneticisi eklentisi kaldırıldı, tüm yönetici şifreleri yenilendi, upload klasöründe PHP çalıştırma kapatıldı gibi somut bilgiler verilmelidir.

Kalıcı Koruma İçin Uygulanabilir Önlemler

Güvenlik tek seferlik işlem değil, devam eden bir süreçtir. Küçük bir kurumsal sitede bile aylık bakım planı oluşturmak, hacklenme riskini ciddi şekilde düşürür. En azından haftalık güncelleme kontrolü, günlük yedek, güçlü şifre politikası ve log izleme uygulanmalıdır. Trafiği yüksek sitelerde WAF, CDN, gelişmiş bot koruması ve dış güvenlik taraması önerilir.

Kurumsal sitelerde sorumluluk paylaşımı da yazılı hale getirilmelidir. Kim güncelleme yapacak, kim yedekleri kontrol edecek, güvenlik uyarısı geldiğinde kime haber verilecek, hangi durumda site bakım moduna alınacak? Bu sorular olay anında değil, önceden cevaplanmalıdır. Böylece siteniz hacklendiğinde ekip panik yaşamadan önceden belirlenmiş planı uygular.

SEO, İtibar ve Kullanıcı Güveni İçin Ek Kurtarma Adımları

Hacklenmiş bir site teknik olarak temizlense bile SEO tarafında ek kontroller gerekir. Saldırganlar çoğu zaman binlerce spam URL üretir. Bu sayfalar arama motoru dizinine girdiyse, temizlikten sonra 404, 410 veya uygun yönlendirme stratejisi belirlenmelidir. Spam URL’leri ana sayfaya topluca yönlendirmek her zaman doğru değildir; Google bunu kalite sinyali olarak olumsuz değerlendirebilir.

Search Console’da dizine eklenen sayfalar, güvenlik sorunları, manuel işlemler ve site haritaları kontrol edilmelidir. Zararlı içerik temizlendikten sonra site haritası yeniden gönderilebilir. Ancak önce spam sayfaların gerçekten kaldırıldığından emin olunmalıdır. Eğer marka aramalarında zararlı başlıklar görünüyorsa, temiz sayfaların yeniden taranması istenebilir.

Kullanıcı güveni için de şeffaf ama paniğe yol açmayan iletişim önemlidir. Eğer kullanıcı verisi, ödeme bilgisi veya üyelik hesabı etkilenmiş olabilecekse, hukuki yükümlülükler ve veri koruma süreçleri dikkate alınmalıdır. Basit bir tanıtım sitesinde durum farklı olabilir; fakat e-ticaret ve üyelik sistemlerinde olayın kapsamı profesyonelce değerlendirilmelidir.

Kaçınılması Gereken Yaygın Hatalar

Kurtarma sürecinde yapılan bazı hatalar, saldırının kendisinden daha fazla zarara yol açabilir. En yaygın hata, sitenin açılmasıyla sorunun bittiğini düşünmektir. Oysa backdoor dosyası kalmışsa saldırgan daha sonra yeniden giriş yapabilir. İkinci hata, yedekleri doğrulamadan geri yüklemektir. Enfekte yedek, zararlı kodu yeniden yayına alır.

• Temizlikten önce yedek almamak.
• Sadece görünen zararlı dosyayı silmek ve kök nedeni araştırmamak.
• Eski eklenti veya tema sürümünü kullanmaya devam etmek.
• Tüm admin kullanıcılarına gereksiz tam yetki vermek.
• Log kayıtlarını silmek veya incelemeden üzerine yazmak.
• SSL olduğu için sitenin tamamen güvenli olduğunu varsaymak.
• Ucuz veya kontrolsüz kaynaklardan tema ve eklenti indirmek.

Özellikle dosya izinleri konusunda fazla geniş yetki vermek, saldırganın işini kolaylaştırır. 777 izinleri acil çözüm gibi görünse de üretim ortamında ciddi risktir. Gereken minimum yetki prensibi uygulanmalı; yazma izni yalnızca gerçekten ihtiyaç duyan klasörlerle sınırlanmalıdır.

Kısa Acil Müdahale Özeti

Siteniz hacklendiğinde başarılı kurtarma için sırayı bozmamak gerekir: önce siteyi izole edin, sonra tüm erişimleri yenileyin, temiz yedek veya kontrollü temizlikle sistemi toparlayın, açığı kapatın ve yayına almadan önce doğrulama yapın. Bu yaklaşım hem teknik riski hem de SEO ve itibar kaybını azaltır.

Hostragons tarafında güvenli hosting altyapısı, SSL sertifikası, alan adı yönetimi ve yedekleme çözümleriyle web sitenizin dayanıklılığını artırabilirsiniz. İhtiyacınız varsa mevcut sitenizin barındırma yapısını gözden geçirmek için Hostragons hosting paketleri ve domain sorgulama ve alan adı yönetimi sayfalarından başlayabilirsiniz. Satın alma kararı vermeden önce asıl hedefinizin hız, güvenlik, yedekleme ve destek dengesini doğru kurmak olduğunu unutmayın.

Sıkça Sorulan Sorular

Sitem hacklendiğinde hemen yayından kaldırmalı mıyım?

Eğer siteniz zararlı yazılım dağıtıyor, kullanıcıları başka sitelere yönlendiriyor veya ödeme formlarını etkiliyorsa erişimi hemen kısıtlamalısınız. Daha hafif durumlarda 503 bakım modu veya IP kısıtlaması kullanılabilir. Amaç ziyaretçiyi korurken arama motorlarına bunun geçici bir durum olduğunu anlatmaktır.

Temiz yedekten dönmek her zaman yeterli mi?

Hayır. Temiz yedek hızlı kurtarma sağlar; ancak saldırganın nasıl eriştiği bulunmazsa site yeniden hacklenebilir. Yedekten sonra şifreler değiştirilmeli, güncellemeler yapılmalı, dosya izinleri kontrol edilmeli ve zafiyete neden olan eklenti, tema veya yapılandırma hatası giderilmelidir.

Hacklenen site SEO sıralamasını kaybeder mi?

Kısa süreli ve doğru yönetilen olaylarda kalıcı SEO kaybı yaşanmayabilir. Ancak spam sayfalar dizine girerse, Google güvenlik uyarısı gösterirse veya site uzun süre kapalı kalırsa sıralamalar etkilenebilir. Temizlikten sonra Search Console kontrolleri, yeniden değerlendirme isteği ve spam URL temizliği yapılmalıdır.

WordPress sitem neden tekrar tekrar hackleniyor?

Tekrarlayan hacklenmelerin yaygın nedenleri kalmış backdoor dosyaları, güncel olmayan eklentiler, zayıf şifreler, gereksiz admin hesapları, hatalı dosya izinleri ve enfekte yedeklerdir. Sadece görünen zararlı kodu silmek yerine kök neden analizi yapılmalı ve tüm erişim bilgileri yenilenmelidir.

Hosting seçimi site güvenliğini etkiler mi?

Evet. İzole hesap yapısı, güncel PHP desteği, düzenli yedekleme, güvenlik duvarı, malware tarama, hızlı teknik destek ve SSL uyumluluğu güvenliği doğrudan etkiler. Güvenli hosting tek başına tüm riskleri bitirmez; ancak saldırı yüzeyini azaltır ve kurtarma sürecini hızlandırır.