İki Faktörlü Doğrulama (2FA) Rehberi: Panel, WordPress, SSH

cPanel, WordPress ve SSH için iki faktörlü doğrulama (2FA) nasıl kurulur? TOTP, PAM ve Google Authenticator ile adım adım güvenlik rehberi.

Büyükweb Editör EkibiHosting, Sunucu ve Sistem Yönetimi Editörü5 Ağustos 20269 dakika okuma

İki Faktörlü Doğrulama (2FA) Rehberi: Panel, WordPress, SSH

Sunucu ve site yönetiminde en çok göz ardı edilen güvenlik katmanı, aslında en ucuz ve en etkili olanıdır: iki faktörlü doğrulama (2FA). Kullanıcı adı ve parola tek başına artık yeterli değil; veri sızıntıları, kimlik avı (phishing) saldırıları ve kaba kuvvet (brute force) denemeleri her gün milyonlarca hesabı hedef alıyor. Parolanız ne kadar güçlü olursa olsun, bir kerelik kod üretmeyen bir sistemde tek bir sızıntı hesabınızı tamamen açık bırakır.

Bu rehberde 2FA'nın nasıl çalıştığını, hangi yöntemin ne zaman tercih edilmesi gerektiğini ve cPanel, WordPress ile SSH üzerinde adım adım nasıl kurulacağını anlatıyoruz. Komut satırı örnekleri gerçek ve doğrudan uygulanabilir; kopyala-yapıştır mantığıyla kendi sunucunuzda test edebilirsiniz.

İki Faktörlü Doğrulama Nedir ve Neden Şart?

İki faktörlü doğrulama, oturum açarken "bildiğiniz bir şey" (parola) ile birlikte "sahip olduğunuz bir şey"i (telefonunuzdaki uygulama, donanım anahtarı, SMS kodu) doğrulamanızı isteyen bir güvenlik modelidir. Saldırgan parolanızı ele geçirse bile, ikinci faktör olmadan oturum açamaz.

Bunun pratikte neden bu kadar kritik olduğunu birkaç senaryoyla özetleyelim:

Parola tekrar kullanımı: Kullanıcıların büyük çoğunluğu birden fazla sitede aynı parolayı kullanır. Bir sitedeki veri sızıntısı, o parolanın cPanel veya WordPress hesabınızda da denenmesine yol açar.
Kaba kuvvet ve kimlik bilgisi doldurma (credential stuffing) saldırıları: Botlar, sızdırılmış parola listelerini otomatik olarak yönetim panellerine karşı dener. 2FA olmadan bu saldırılar tek bir doğru tahminle başarıya ulaşabilir.
Kimlik avı: Sahte giriş sayfalarıyla parolanız çalınsa bile, zaman bazlı tek kullanımlık kod (TOTP) olmadan saldırgan içeri giremez.

Büyükweb destek ekibi olarak en sık karşılaştığımız güvenlik ihlali vakalarının ortak noktası, ele geçirilen bir parolanın hiçbir ikinci doğrulama katmanıyla korunmamış olmasıdır. 2FA kurulumu genelde 5-10 dakika sürer ama saldırı sonrası temizlik günler alabilir.

2FA'yı özellikle şu üç noktada devreye almanızı öneriyoruz: yönetim panelleri (cPanel, WHM benzeri kontrol panelleri), içerik yönetim sistemleri (WordPress admin) ve sunucuya uzaktan erişim (SSH). Bu üç nokta, bir sunucunun ele geçirilmesinde en sık kullanılan giriş kapılarıdır. Siber güvenlik tehditleri hakkında daha kapsamlı bir bakış için phishing, ransomware ve sosyal mühendislik saldırılarını anlattığımız yazıya göz atabilirsiniz.

2FA Yöntemleri: TOTP, SMS, Donanım Anahtarı Karşılaştırması

Piyasada birden fazla 2FA yöntemi var ve hepsi aynı güvenlik seviyesini sunmuyor. Doğru yöntemi seçmek, hem güvenlik hem de kullanılabilirlik açısından önemli.

Yöntem	Nasıl Çalışır	Güvenlik Seviyesi	Zayıf Noktası
TOTP (Authenticator uygulaması)	Google Authenticator, Authy gibi uygulamalar 30 saniyede bir değişen 6 haneli kod üretir	Yüksek	Cihaz kaybolursa yedek kod gerekir
SMS ile kod	Telefon numaranıza tek kullanımlık kod gönderilir	Orta-Düşük	SIM takas (SIM swap) saldırılarına açık
Donanım anahtarı (FIDO2/U2F)	Fiziksel USB/NFC anahtar takılarak doğrulama yapılır	Çok Yüksek	Anahtar kaybolursa erişim zorlaşır, maliyetli
E-posta ile kod	Kayıtlı e-posta adresine kod gönderilir	Düşük	E-posta hesabı ele geçirilmişse işe yaramaz

Pratik önerimiz: bireysel kullanıcılar ve küçük ekipler için TOTP tabanlı authenticator uygulamaları hem maliyetsiz hem de yeterince güvenli bir denge sunuyor. Kritik sistemlere (kök SSH erişimi, ödeme altyapısı, ana yönetici hesapları) erişimde ise mümkünse donanım anahtarı tercih edilmeli. SMS tabanlı doğrulamayı yalnızca diğer seçenekler mevcut değilse yedek olarak kullanmanızı öneririz; SIM takas dolandırıcılığı artık oldukça yaygın bir saldırı vektörü.

cPanel'de İki Faktörlü Doğrulama Nasıl Aktif Edilir?

cPanel, sürüm 60'tan itibaren yerleşik bir 2FA modülüne sahip ve bu modül ayrı bir eklenti gerektirmeden TOTP standardını destekliyor. Kurulum adımları şöyle:

cPanel hesabınıza normal kullanıcı adı ve parolanızla giriş yapın.
Security (Güvenlik) bölümünden Two-Factor Authentication seçeneğine girin.
Set Up Two-Factor Authentication butonuna tıklayın.
Ekranda çıkan QR kodu telefonunuzdaki authenticator uygulamasıyla (Google Authenticator, Authy, Microsoft Authenticator vb.) tarayın.
Uygulamanın ürettiği 6 haneli kodu ilgili alana girip Configure Two-Factor Authentication ile onaylayın.

Bu andan itibaren cPanel'e her girişte parolanızın yanında güncel TOTP kodunu da girmeniz istenir. Eğer hesabı yöneten bir WHM/reseller sahibiyseniz, alt hesaplarda 2FA'yı zorunlu kılma seçeneği de mevcut — bu, ekip içinde tutarlı bir güvenlik politikası uygulamak isteyenler için önemli bir ayar.

Büyükweb'in cPanel web hosting paketlerinde bu 2FA modülü varsayılan olarak panelde hazır gelir; ek bir kurulum ya da lisans gerektirmez, sadece Security menüsünden birkaç tıkla aktif edilir.

cPanel seviyesinde 2FA'yı, sunucu tarafında çalışan bir güvenlik duvarı ve kötü amaçlı yazılım tarama katmanıyla birleştirmek isterseniz, ImunifyAV/imunify360 kurulum rehberimiz cPanel ortamına ek koruma katmanı eklemek için faydalı olacaktır.

WordPress Yönetim Paneline 2FA Ekleme

WordPress çekirdeği varsayılan olarak 2FA desteği sunmaz; bu yüzden bir eklenti kurmanız gerekir. En yaygın ve güvenilir seçenekler arasında WordPress.org'un resmi Two Factor eklentisi, Wordfence Login Security ve miniOrange Google Authenticator eklentileri sayılabilir. Adımlar genel olarak şu şekilde ilerler:

wp-admin panelinden Eklentiler > Yeni Ekle yolunu izleyerek tercih ettiğiniz 2FA eklentisini kurup etkinleştirin.
Kullanıcılar > Profilim sayfasına gidin; eklenti burada "İki Faktörlü Doğrulama Ayarları" adında yeni bir bölüm ekler.
TOTP yöntemini seçip QR kodu authenticator uygulamanızla tarayın.
Doğrulama kodunu girip ayarı kaydedin.
Yönetici (administrator) ve editör gibi yüksek yetkili roller için 2FA'yı zorunlu kılan bir politika belirleyin — çoğu eklenti bu zorunluluğu rol bazında ayarlamanıza izin verir.

WordPress admin paneli, otomatik botların en sık hedef aldığı giriş noktalarından biri; /wp-login.php adresine yönelik kaba kuvvet denemeleri sunucu loglarında neredeyse her sitede görülür. 2FA'yı, giriş denemesi sayısını sınırlayan bir eklenti veya sunucu seviyesinde bir güvenlik duvarı kuralıyla birlikte kullanmak saldırı yüzeyini ciddi ölçüde daraltır. Web uygulamalarındaki yaygın zafiyet sınıflarını daha derinlemesine görmek isterseniz OWASP Top 10 web uygulama güvenliği yazımıza bakabilirsiniz.

Ayrıca WordPress'in veritabanı ve dosya bütünlüğünü SSL/TLS şifrelemesiyle desteklemek de önemli; siteniz hâlâ HTTPS'e geçmediyse ücretsiz SSL kurulumu için Let's Encrypt ve Certbot rehberimizi inceleyebilirsiniz.

SSH Bağlantılarında İki Faktörlü Doğrulama (PAM + Google Authenticator)

Sunucuya kök (root) veya sudo yetkili bir kullanıcıyla SSH üzerinden erişiyorsanız, burası saldırganın en çok değer bulacağı hedeftir. SSH için 2FA genellikle Linux'un PAM (Pluggable Authentication Modules) altyapısı üzerinden google-authenticator paketiyle kurulur. Ubuntu/Debian tabanlı bir sistemde adımlar şöyle:

1. Paketi kurun:

sudo apt update
sudo apt install libpam-google-authenticator

2. Her kullanıcı için TOTP anahtarı oluşturun (kullanıcının kendi oturumunda çalıştırılmalı):

google-authenticator

Bu komut size bir QR kod ve yedek kurtarma kodları gösterecek. Sorulara genellikle şu şekilde yanıt verilir: zaman bazlı token (y), config dosyasını güncelle (y), aynı kodun tekrar kullanımını engelle (y), zaman kayması toleransı (n, güvenlik için varsayılanı koruyun), oran sınırlaması (y).

3. PAM yapılandırmasına ekleyin — /etc/pam.d/sshd dosyasının başına şu satırı yerleştirin:

auth required pam_google_authenticator.so

4. SSH sunucu ayarlarını güncelleyin — /etc/ssh/sshd_config içinde:

ChallengeResponseAuthentication yes
AuthenticationMethods publickey,keyboard-interactive

AuthenticationMethods publickey,keyboard-interactive satırı, kullanıcının önce SSH anahtarıyla, ardından TOTP koduyla doğrulanmasını zorunlu kılar — yani parola yerine anahtar tabanlı kimlik doğrulamayla 2FA'yı birleştirir. Bu ikili katman, tek başına ne parola ne de çalınmış bir anahtarla oturum açılabilmesini engeller.

5. SSH servisini yeniden başlatın:

sudo systemctl restart sshd

Değişikliği uygulamadan önce mutlaka ikinci bir açık terminal oturumu üzerinden test edin; yapılandırma hatası durumunda kendinizi sunucudan kilitleme riskiniz var. Anahtar tabanlı kimlik doğrulamanın SSH güvenliğindeki rolünü ve doğru yapılandırmayı detaylıca anlattığımız SSH anahtar tabanlı kimlik doğrulama rehberimiz bu adımı tamamlamadan önce okumanızı önerdiğimiz bir kaynak.

Büyükweb VDS ortamlarında SSH erişimi kullanan müşterilerimize, panel şifresi ne kadar güçlü olursa olsun mutlaka anahtar tabanlı giriş + TOTP kombinasyonuna geçmelerini öneriyoruz. Sadece parola ile açık bırakılan 22 numaralı port, botların dakikalar içinde tespit edip denemeye başladığı ilk hedeflerden biri.

SSH güvenliğini tamamlayıcı bir adım olarak, sunucu güvenlik duvarınızı da gözden geçirmenizde fayda var. Port bazlı erişim kısıtlaması ve zone tabanlı kurallar için firewalld ile Linux güvenlik duvarı yapılandırma yazımıza bakabilirsiniz.

Yedek Kodlar, Kurtarma ve Yaygın Hatalar

2FA kurulumunun en çok göz ardı edilen kısmı, telefonu kaybettiğinizde ne olacağıdır. Bu yüzden aşağıdaki adımları kurulumun ayrılmaz bir parçası olarak görün:

Yedek kodları güvenli bir yerde saklayın. cPanel, WordPress eklentileri ve google-authenticator komutu kurulum sırasında tek kullanımlık yedek kodlar üretir. Bu kodları şifreli bir parola yöneticisinde veya fiziksel olarak kilitli bir ortamda saklayın — asla sunucunun kendisinde düz metin olarak bırakmayın.
Zaman senkronizasyonuna dikkat edin. TOTP kodları sunucu ve telefon saatinin senkronize olmasına dayanır. Sunucu saati kaymışsa (NTP servisi çalışmıyorsa) geçerli kodlar bile reddedilebilir. timedatectl komutuyla sunucu saatini kontrol edin.
Birden fazla kurtarma yöntemi tanımlayın. Mümkünse hem authenticator uygulaması hem de yedek kodlar hem de (varsa) ikinci bir donanım anahtarı kayıtlı olsun.
SSH'ta kendinizi kilitlememek için ikinci oturum açık tutun. Yapılandırma değişikliğinden sonra yeni bir terminal penceresinden bağlantıyı test etmeden mevcut oturumu kapatmayın.
Ekip hesaplarında merkezi bir politika belirleyin. Birden fazla kişinin eriştiği panellerde (WHM alt hesapları, WordPress editörleri) 2FA'yı isteğe bağlı değil zorunlu hale getirin; tek bir zayıf halka tüm sistemi riske atar.

Güçlü parola politikalarıyla 2FA'yı birlikte uygulamak, savunmanın en sağlam katmanını oluşturur. Parola oluşturma, saklama ve rotasyon pratikleri için güvenli şifre yönetimi ve parola politikaları yazımızı inceleyebilirsiniz. Sunucu genel sertleştirme adımlarıyla 2FA'yı bir bütün olarak ele almak isteyenler için de sunucu güvenlik sertleştirme rehberimiz faydalı bir tamamlayıcı kaynak.

Sıkça Sorulan Sorular

2FA açtıktan sonra telefonumu kaybedersem paneli kaybeder miyim?

Hayır, kurulum sırasında oluşturulan yedek kodları saklıyorsanız bu kodlarla giriş yapıp 2FA'yı yeniden yapılandırabilirsiniz. Yedek kodunuz yoksa cPanel veya sunucu yöneticisi (root erişimi olan kişi) üzerinden 2FA'yı manuel olarak sıfırlamanız gerekir.

SMS ile doğrulama neden TOTP kadar güvenli sayılmıyor?

SMS kodları, SIM takas (SIM swap) dolandırıcılığı ve mobil şebeke seviyesindeki zafiyetler nedeniyle ele geçirilebiliyor. TOTP kodları ise cihazınızda yerel olarak, ağ bağlantısı gerektirmeden üretildiği için bu tür saldırılara karşı daha dirençli.

cPanel'de 2FA'yı tüm alt kullanıcılar için zorunlu kılabilir miyim?

Evet, WHM/reseller yetkisine sahipseniz Security bölümünden 2FA politikasını hesap bazında zorunlu hale getirebilirsiniz. Bu, ekip içinde tutarlı bir güvenlik seviyesi sağlamak için önerilen bir uygulamadır.

WordPress'te 2FA eklentisi site hızını etkiler mi?

Doğru yapılandırılmış hafif bir 2FA eklentisi (yalnızca giriş ekranında çalışır) ölçülebilir bir performans kaybına yol açmaz. Performans sorunları genellikle eklentiden değil, sunucu kaynaklarının yetersizliğinden veya önbellekleme eksikliğinden kaynaklanır.

SSH'ta hem anahtar hem 2FA kullanmak zorunlu mu, sadece biri yeterli olmaz mı?

Tek başına SSH anahtarı güçlü bir koruma sağlar ama anahtar dosyası çalınırsa (örneğin ele geçirilmiş bir geliştirici bilgisayarından) saldırgan doğrudan erişim kazanabilir. İkinci katman olarak TOTP eklemek, çalınan bir anahtarın tek başına yeterli olmamasını sağlar.

2FA kodunu girerken sürekli "geçersiz kod" hatası alıyorum, sebebi ne olabilir?

En sık neden sunucu ile telefon saatinin senkron olmamasıdır. Sunucuda NTP servisinin çalıştığından ve saat diliminin doğru ayarlandığından emin olun; ardından yeni üretilen kodu deneyin.

Donanım anahtarı (FIDO2/U2F) her sistemde kullanılabilir mi?

Modern tarayıcılar ve çoğu güncel panel donanım anahtarını destekler, ancak eski sürümdeki bazı kontrol panelleri veya SSH yapılandırmaları bu yöntemi doğrudan desteklemeyebilir. Böyle durumlarda TOTP tabanlı authenticator uygulamaları en yaygın uyumlu alternatiftir.

Büyükweb Hizmetleri

Panel, WordPress ve SSH seviyesinde 2FA kurulumunu tamamladıktan sonra, hosting altyapınızın geri kalanını da güvenlik standartlarıyla desteklemek önemlidir: