Ücretsiz Araçlarla Web Sitesi Güvenlik Taraması

Ücretsiz Araçlarla Web Sitesi Güvenlik Taraması

Bir web sitesinin güvenliğini "bir kere kurdum, artık güvende" diye düşünmek, en yaygın ve en pahalıya patlayan yanılgılardan biridir. Zararlı yazılım bulaşmaları, SSL yapılandırma hataları, arama motorları tarafından kara listeye alınma gibi sorunların büyük kısmı, site sahibi fark etmeden haftalarca sürer. Oysa bu sorunların çoğunu, hiçbir ücret ödemeden, tarayıcınızdan birkaç dakikada tespit edebileceğiniz güçlü ücretsiz araçlar mevcut.

Bu yazıda gerçekten var olan ve yaygın kullanılan üç kategoriden bahsedeceğiz: zararlı yazılım/kara liste tarayıcıları, arama motoru güvenlik raporları ve SSL/TLS yapılandırma testleri. Hepsi ücretsiz, hepsi tarayıcı üzerinden birkaç saniyede sonuç veriyor ve hiçbiri sunucunuza erişim ya da kurulum gerektirmiyor.

Neden Düzenli Tarama Yapmalısınız?

Bir web sitesi saldırıya uğradığında, genellikle bunu ilk fark eden site sahibi olmaz. Google, arama sonuçlarında sitenizin yanına "Bu site zarar verebilir" uyarısı koyduğunda ya da ziyaretçileriniz "Tehlikeli site" ekranıyla karşılaştığında haberiniz olur — çoğu zaman bu, zararlı kodun günlerce hatta haftalarca sitede kaldığı anlamına gelir.

Düzenli tarama üç şeyi erken yakalamanızı sağlar:

• Enjekte edilmiş zararlı kod — eklenti veya tema açıklarından yüklenen gizli script'ler
• SSL/TLS yapılandırma zafiyetleri — eski protokol sürümleri, zayıf şifreleme paketleri, sertifika zinciri hataları
• Kara liste durumu — sitenizin Google Safe Browsing, arama motorları veya antivirüs veritabanlarında işaretlenip işaretlenmediği

Büyükweb notu: Barındırdığımız web hosting paketlerinde günlük otomatik yedekleme ve sunucu seviyesinde güvenlik önlemleri standart olarak çalışır; ama uygulama katmanındaki (WordPress eklentisi, tema, özel kod) açıkları yalnızca sunucu güvenliği kapatamaz. Bu yüzden dış kaynaklı ücretsiz taramalar, sunucu güvenliğinin tamamlayıcısıdır, alternatifi değil.

Sucuri SiteCheck ile Zararlı Yazılım ve Kara Liste Taraması

Sucuri SiteCheck, web sitesi güvenlik alanında en çok bilinen ücretsiz tarayıcılardan biridir. Adresi tarayıcıya yapıştırıp tek tıkla çalıştırabileceğiniz bu araç şunları kontrol eder:

• Sayfa kaynak kodunda bilinen zararlı yazılım imzaları
• Gizlenmiş (obfuscated) JavaScript enjeksiyonları
• Google, Norton, McAfee, Yandex gibi kara liste veritabanlarında sitenizin durumu
• Eski veya güvenlik açığı bilinen CMS/eklenti sürüm bilgileri (WordPress, Joomla gibi platformlarda)
• Site başlıklarında (header) eksik güvenlik yapılandırmaları

Tarama sonucunda "Temiz" ya da "Zararlı yazılım tespit edildi" gibi net bir özet alırsınız. Zararlı yazılım tespit edilirse, hangi dosyada veya hangi script çağrısında sorunun olduğuna dair ipucu da verir — bu, temizlik sürecinde nereden başlayacağınızı bulmanızı büyük ölçüde kolaylaştırır.

Bu tür bir tarama sonrası zararlı kod bulduysanız, temizlik sürecini ve kalıcı önlemleri anlatan Linux'ta Zararlı Yazılım Tespiti ve Temizleme yazımıza bakmanızı öneririz; sunucu tarafında hangi dosyaları kontrol etmeniz gerektiğini adım adım anlatıyor.

SiteCheck Sonuçlarını Nasıl Okumalısınız?

Araç size üç ana blok halinde sonuç sunar:

1. Malware Status — zararlı kod bulundu mu
2. Blacklist Status — hangi güvenlik servisleri sitenizi işaretlemiş
3. Website Details — sunucu yazılımı, CMS bilgisi, SSL durumu gibi genel bulgular

"Blacklisted" uyarısı görürseniz panik yapmayın; her kara liste servisinin kendi temizlik/itiraz süreci vardır. Önce zararlı kodu temizleyip sonra ilgili servise "yeniden tarama" talebi göndermeniz gerekir — bu adımı atlarsanız site temiz olsa bile kara listede kalmaya devam edebilir.

Google Safe Browsing ve Search Console Güvenlik Raporları

Google Safe Browsing Site Status aracı, Google'ın sitenizi nasıl gördüğünü doğrudan gösterir. Adresi girdiğinizde şu üç durumdan birini görürsünüz:

• "Bu web sitesi şu anda güvenli görünüyor"
• "Bazı sayfalar güvenli değil" (kısmi bulaşma)
• "Bu site tehlikeli içerik barındırıyor" (tam kara liste)

Bu araç Sucuri SiteCheck'ten farklıdır çünkü doğrudan Google'ın kendi veritabanını sorgular — yani arama sonuçlarınızda uyarı çıkıp çıkmayacağının en güvenilir göstergesidir.

Daha derinlemesine takip için Google Search Console'daki "Güvenlik Sorunları" (Security Issues) bölümünü de düzenli kontrol etmelisiniz. Search Console, siteniz zaten Google tarafından taranmışsa, hangi sayfalarda zararlı kod veya spam içerik tespit edildiğini URL bazında listeler. Bu, SiteCheck'in vermediği bir detay seviyesidir ve tamamen ücretsizdir; sadece siteniz için mülkiyet doğrulaması yapmanız yeterlidir.

Büyükweb notu: Search Console'da "Güvenlik Sorunları" sekmesi boşsa bu, sitenizin hiç saldırı görmediği anlamına gelmez — sadece Google'ın henüz tespit etmediği anlamına gelir. Sucuri gibi bağımsız bir tarayıcıyla çapraz kontrol yapmak, erken uyarı için önemlidir.

Qualys SSL Labs ile SSL/TLS Yapılandırma Testi

SSL sertifikanızın kurulu olması, yapılandırmanızın güvenli olduğu anlamına gelmez. Qualys SSL Labs (SSL Server Test), sektörde referans kabul edilen ücretsiz bir araçtır ve alan adınızı girdiğinizde sunucunuzun TLS yapılandırmasını A'dan F'ye kadar bir notla derecelendirir.

Test edilen başlıca kriterler:

Kriter	Ne anlama gelir
Sertifika zinciri	Ara sertifikaların eksiksiz kurulup kurulmadığı
Protokol desteği	Eski, güvensiz TLS 1.0/1.1 hâlâ açık mı
Şifreleme paketleri (cipher suite)	Zayıf/kırılabilir şifreleme algoritmaları kullanılıyor mu
Forward Secrecy	Anahtar sızıntısında geçmiş trafiğin korunup korunmadığı
HSTS başlığı	Tarayıcının HTTP'ye düşmesini engelleyen başlık aktif mi

Düşük not almanın en sık nedeni, sunucuda hâlâ eski protokol sürümlerinin veya zayıf şifreleme paketlerinin açık bırakılmasıdır. Bu ayarları web sunucusu düzeyinde düzeltmek isterseniz, Nginx SSL/TLS HTTPS Yapılandırması ve Apache SSL/TLS HTTPS Güvenli Yapılandırma yazılarımızda hangi direktiflerin hangi ayarı kontrol ettiğini örneklerle anlattık.

Sertifika seçiminde DV, OV, EV farkını netleştirmek isteyenler için ise SSL/TLS Sertifika Türleri: DV, OV, EV Karşılaştırması yazımız faydalı olacaktır — SSL Labs testinde "sertifika türü" hatası aldıysanız, önce hangi türü kullandığınızı ve neyi doğruladığını netleştirmek gerekir.

Sertifikanızın süresinin ne zaman dolacağını komut satırından hızlıca kontrol etmek isterseniz:

echo | openssl s_client -servername siteniz.com.tr -connect siteniz.com.tr:443 2>/dev/null | openssl x509 -noout -dates

Bu komut, sertifikanın başlangıç ve bitiş tarihini doğrudan terminalde gösterir; SSL Labs testine gitmeden hızlı bir ön kontrol için kullanışlıdır.

Diğer Faydalı Ücretsiz Araçlar

Yukarıdaki üç ana araca ek olarak, güvenlik taramanızı tamamlayacak birkaç ücretsiz servis daha var:

• VirusTotal — bir dosya veya URL'yi 70'in üzerinde farklı antivirüs motoruna karşı aynı anda tarar. Şüpheli bir eklenti dosyasını veya sitenizin URL'sini buraya yapıştırarak çok geniş bir tarama yelpazesi elde edersiniz.
• Mozilla Observatory — sitenizin HTTP güvenlik başlıklarını (Content-Security-Policy, X-Frame-Options, Strict-Transport-Security gibi) puanlayarak eksik başlıkları listeler.
• securityheaders.com — Mozilla Observatory'ye benzer şekilde, yalnızca HTTP başlıklarına odaklanan hızlı ve sade bir tarayıcıdır.

Bu araçlardan alacağınız "eksik güvenlik başlığı" uyarıları genellikle web sunucusu veya uygulama seviyesinde birkaç satır yapılandırmayla çözülür. Eğer siteniz WordPress gibi yaygın bir CMS üzerinde çalışıyorsa ve bu tür açıkların kaynağını daha sistematik anlamak istiyorsanız, Web Uygulama Güvenliği: OWASP Top 10 yazımız, en sık karşılaşılan on güvenlik açığı kategorisini ve nasıl kapatılacağını anlatıyor.

Sunucu tarafında ekstra bir koruma katmanı eklemek isteyenler için ise bir web uygulama güvenlik duvarı (WAF) kurmak mantıklı bir sonraki adım olabilir; bu konuda ModSecurity WAF Kurulumu ve OWASP Kuralları yazımızda pratik bir kurulum rehberi bulabilirsiniz.

Curl ile sitenizin döndürdüğü HTTP başlıklarını manuel olarak da hızlıca kontrol edebilirsiniz:

curl -I https://siteniz.com.tr

Bu komutun çıktısında Strict-Transport-Security, X-Content-Type-Options gibi başlıkların olup olmadığına bakmak, üçüncü parti araçlara gitmeden önce hızlı bir fikir verir.

Tarama Sonuçlarına Göre Aksiyon Planı

Tarama araçlarından aldığınız sonuçları bir "yapılacaklar" listesine dönüştürmek, aslında en kritik adımdır. Aksi halde rapor okunur, unutulur, sorun devam eder.

1. Zararlı kod tespit edildiyse: Önce siteyi (mümkünse geçici olarak) devre dışı bırakın ya da bakım moduna alın, ardından şüpheli dosyaları temizleyin, tüm şifreleri (FTP, veritabanı, admin paneli) değiştirin ve son olarak kara liste servislerine "yeniden inceleme" talebi gönderin.

2. SSL notu düşükse (C ve altı): Sunucu yapılandırmasında eski TLS 1.0/1.1 protokollerini kapatın, zayıf şifreleme paketlerini devre dışı bırakın, HSTS başlığını ekleyin.

3. Güvenlik başlıkları eksikse: Web sunucusu veya uygulama seviyesinde Content-Security-Policy, X-Frame-Options, Referrer-Policy gibi başlıkları ekleyin.

4. Kara listedeyseniz ama zararlı kod bulunamıyorsa: Genellikle eski, artık kullanılmayan alt dizinlerde veya devre dışı eklenti klasörlerinde unutulmuş kod parçaları olabilir; SSH ile sunucuya bağlanıp dosya değişiklik tarihlerine göre son eklenen/değiştirilen dosyaları listelemek işe yarar.

Büyükweb perspektifi: Sık karşılaştığımız bir hata, sadece ön yüzdeki (frontend) belirtileri temizleyip arka planda kalan kötü amaçlı script'i, cron görevini veya arka kapıyı (backdoor) atlamak. Tarama araçları görünen semptomu bulur; kök nedeni bulmak için dosya sistemi ve sunucu günlüklerine bakmak gerekir.

Eğer tarama sonrası daha kapsamlı bir sunucu denetimi yapmak isterseniz, Linux Güvenlik Denetimi: Lynis, AIDE, ClamAV yazımız, ücretsiz tarayıcı araçlarının bulamadığı sunucu içi zafiyetleri tespit etmek için kullanabileceğiniz komut satırı araçlarını anlatıyor.

Düzenli Tarama İçin Basit Bir Rutin Oluşturma

Tek seferlik bir tarama, güvenliği garanti etmez. Aşağıdaki basit rutini takip etmek, çoğu site sahibi için yeterlidir:

Sıklık	Yapılacak kontrol
Haftalık	Sucuri SiteCheck ile hızlı zararlı yazılım taraması
Aylık	Qualys SSL Labs ile SSL/TLS yapılandırma testi
Aylık	Mozilla Observatory / securityheaders.com ile başlık kontrolü
Sürekli	Google Search Console "Güvenlik Sorunları" bildirimlerini takip
Her sertifika yenilemesinde	openssl x509 ile sertifika tarihini doğrulama

Bu kontrolleri unutmamak için Linux sunucunuzda basit bir hatırlatma mekanizması kurabilirsiniz. Örneğin sertifika bitiş tarihini haftalık kontrol edip 30 günden az kaldığında e-posta gönderen küçük bir cron görevi:

0 6 * * 1 /usr/bin/openssl x509 -in /etc/ssl/certs/siteniz.pem -noout -checkend 2592000 || echo "Sertifika 30 gunden az kaldi" | mail -s "SSL Uyarisi" admin@siteniz.com.tr

Sertifikanızı Let's Encrypt ile ücretsiz alıp otomatik yeniliyorsanız, bu tür manuel takibe daha az ihtiyacınız olur; kurulum adımları için Let's Encrypt / Certbot ile Ücretsiz SSL Kurulumu yazımıza bakabilirsiniz.

Sunucu erişiminizi güvenceye almak da bu rutinin bir parçası olmalı; parola tabanlı girişler yerine anahtar tabanlı kimlik doğrulamaya geçmek isteyenler SSH Anahtar Tabanlı Kimlik Doğrulama ve Güvenlik yazımızdan faydalanabilir.

Ücretsiz Araçların Sınırları

Bu araçlar güçlü olsa da her şeyi görmezler. Bilmeniz gereken sınırlar:

• Gerçek zamanlı değildir — tarama, o anki durumu gösterir; iki tarama arasında siteniz saldırıya uğrayıp temizlenmiş olabilir, bunu göremezsiniz.
• Sunucu içi zafiyetleri (yanlış dosya izinleri, açık portlar, zayıf parola politikaları) doğrudan taramazlar — bunlar için sunucu seviyesinde denetim araçları gerekir.
• Özel kod veya kapalı API'ler için mantık hatalarını (business logic flaws) tespit edemezler — bu tür açıklar manuel kod incelemesi veya profesyonel sızma testi gerektirir.
• DDoS gibi trafik temelli saldırılara karşı koruma sağlamazlar — bu tamamen farklı bir savunma katmanıdır.

DDoS koruma stratejileri hakkında bilgi almak isterseniz DDoS Saldırısı ve Sunucu Koruma Yöntemleri yazımızı, fidye yazılımı (ransomware) tehditlerine karşı önlemler için Ransomware'e Karşı Sunucu Koruma Yöntemleri yazımızı inceleyebilirsiniz.

Sıkça Sorulan Sorular

Sucuri SiteCheck kullanmak için sunucuma erişim vermem gerekiyor mu?

Hayır. Sucuri SiteCheck, sitenizi ziyaretçi gibi tarar; sadece alan adınızı girmeniz yeterlidir, sunucu erişimi, FTP bilgisi veya kurulum gerekmez.

Qualys SSL Labs testinden düşük not almak sitemin hacklendiği anlamına mı gelir?

Hayır. Düşük not genellikle sunucudaki eski protokol veya zayıf şifreleme ayarlarından kaynaklanır; bu bir yapılandırma sorunudur, doğrudan bir saldırı belirtisi değildir. Yine de düzeltilmesi önemlidir çünkü zayıf yapılandırma saldırı yüzeyini büyütür.

Google Search Console'da "Güvenlik Sorunları" boş görünüyor, sitem tamamen güvenli mi demektir?

Hayır, kesin bir garanti değildir. Search Console yalnızca Google'ın taradığı ve tespit ettiği sorunları gösterir; bağımsız bir tarayıcıyla (Sucuri SiteCheck gibi) çapraz kontrol yapmak daha güvenilir bir tablo verir.

Ücretsiz tarama araçları profesyonel güvenlik denetiminin yerini tutar mı?

Kısmen. Bu araçlar bilinen zararlı yazılım imzalarını, kara liste durumunu ve yapılandırma hatalarını yakalar; ama özel kod mantığındaki açıkları veya hedefli saldırı senaryolarını tespit etmezler. Kritik iş süreçleri barındıran siteler için periyodik profesyonel denetim de düşünülmelidir.

Kara listeye alındıysam ne kadar sürede temizlenir?

Zararlı kodu temizledikten sonra ilgili servise (Google Safe Browsing, Sucuri gibi) yeniden inceleme talebi gönderirsiniz. Süre servise göre değişir; genellikle birkaç saatten birkaç güne kadar sürebilir, bu yüzden temizlik sonrası talebi geciktirmemek önemlidir.

Bu taramaları ne sıklıkla yapmalıyım?

Zararlı yazılım taraması için haftalık, SSL/TLS ve güvenlik başlığı testleri için aylık bir rutin çoğu küçük ve orta ölçekli site için yeterlidir. Yüksek trafikli veya e-ticaret siteleri için bu sıklığı artırmak mantıklıdır.

Taramada "orta seviye" bir uyarı çıktı ama sitem normal çalışıyor, önemsemeli miyim?

Evet. Görünürde bir belirti olmaması, sorunun etkisiz olduğu anlamına gelmez; birçok zararlı kod bilinçli olarak sessiz çalışacak şekilde yazılır. Orta seviye uyarıları da aynı aksiyon planıyla ele almanız önerilir.

Büyükweb Hizmetleri

Sunucu tarafında sağlam bir temel, ücretsiz tarama araçlarının bulduğu sorunları çok daha az sıklıkla görmenizi sağlar:

• Web Hosting — günlük otomatik yedekleme ve sunucu seviyesi güvenlik önlemleriyle yapılandırılmış barındırma paketleri

Sorularınız veya sunucu güvenliğinizle ilgili teknik desteğe ihtiyacınız olursa 0850 302 60 70 numaralı satış öncesi destek numaramızdan bize ulaşabilir ya da iletişim sayfası üzerinden bizimle iletişime geçebilirsiniz.