FTP vs SFTP: Güvenli dosya transferi için net rehber

FTP ve SFTP, web barındırma (hosting) dünyasında dosya yükleme ve güncellemenin en sık kullanılan yöntemlerinden ikisidir. Ancak aynı “dosya transferi” gibi görünse de güvenlik modeli tamamen farklıdır: FTP çoğu kurulumda şifreleri ve oturum verilerini düz metin taşır; SFTP ise SSH (Secure Shell) üzerinden şifreli tünel kurar. Bu yazıda, FTP ile SFTP arasındaki farkları doğrudan teknik karşılıklarıyla ele alacak, hangi senaryoda hangisini seçeceğinizi netleştireceksiniz. Ayrıca ilk kurulum ve hata ayıklama tarafında kullanacağınız kontrol listesini de paylaşacağım.

FTP ve SFTP neyi korur, neyi korumaz?

FTP (File Transfer Protocol), istemci ile sunucu arasında dosya aktarır; fakat bağlantı çoğu senaryoda şifrelemeyi içermez. Bunun anlamı şudur: Kullanıcı adı/parola (ve mümkünse komutlar) ağ üzerinde okunabilir hâle gelebilir. Bir yönlendirme cihazı (router), kurumsal bir proxy veya Wi-Fi erişim noktası üzerinden geçen trafiği kim yakalarsa veriler “gönderildiği gibi” görünür.

SFTP (SSH File Transfer Protocol) ise dosyaları SSH tüneli üzerinden taşır. Yani aktarım sırasında veri bütünlüğü ve gizlilik (en azından şifreleme katmanı) sağlanır. Bu, “aynı dosyayı taşıma” işinin güvenlik tarafında ciddi şekilde farklılaşması demektir.

FTP neden hâlâ karşımıza çıkıyor?

• Bazı eski sistemler veya otomasyonlar FTP’ye gömülüdür.
• Bazı hosting ortamları FTP kullanımını kolay bir “varsayılan” olarak sunar.
• Güvenlik gereksinimleri net tanımlanmamış projelerde FTP alışkanlığı devam eder.

Ama NetKıyas’ta sık görülen pratik şu: Şifreli aktarım gerektiren her iş yükünde SFTP, varsayılan güvenlik seçimi olmalıdır.

Teknik farklar: Port, kimlik doğrulama ve güvenlik modeli

Aşağıdaki tablo karar verirken en çok işinize yarayan parametreleri özetler.

Not: Bazı platformlarda FTP için “FTPS” (FTP over TLS) da bulunur; ancak soru doğrudan FTP vs SFTP olduğunda, SFTP’nin temel avantajı SSH tabanlı şifreli kanal olmasıdır.

Kullanıcı adı/parola yerine anahtar (key) kullanmak

SFTP’nin güçlü taraflarından biri SSH anahtarı (public key authentication) desteğidir. Bu sayede: - Aynı parola ile her oturumda risk tekrarı azalır. - Parola sızması durumunda bile anahtar bazlı kimlik doğrulama daha kontrollü yönetilebilir.

Hosting tarafında pratik senaryo: Hangisini seçmelisiniz?

Aşağıdaki senaryolar “net karar” vermenizi kolaylaştırır.

1) Üretim (production) sunucusu ve müşteri verisi

SFTP seçin. - Web sitenizin canlı içeriği (ör. public_html) üzerinde çalışıyorsanız. - Veritabanı yedekleri, konfigürasyon dosyaları (ör. wp-config.php), e-posta ile ilişkili dokümanlar taşıyorsanız.

FTP, bu durumda ağ üzerinde hassas içerikleri taşıyabilir. SFTP bu riski, şifreli kanal ile doğrudan azaltır.

2) İç network ve geçici test ortamı

Bu senaryoda bile “sıfır risk” düşünülmemelidir. Ancak pratik olarak: - İç ağda bile saldırı yüzeyi sıfır değildir; VLAN dışı erişim, yanlış yapılandırma veya çalışan cihazları risk oluşturur. - Testte bile doğru alışkanlık kurmak gerekir.

Yine de varsayılan tercihiniz SFTP olsun.

3) Otomasyon ve legacy script (eski betik) kullanımı

• Mevcut script doğrudan FTP kullanıyorsa hızlı geçiş maliyeti yüksek olabilir.
• Ancak betikleri düzenleyebilme ihtimali varsa SFTP’ye geçmek gerekir.

Net aksiyon: Önce otomasyonun hangi dizinden hangi dosyaları taşıdığını çıkarın (upload/download listesi). Sonra SFTP’de aynı dizin yapısının nasıl eşleneceğini belirleyin.

Kurulum kontrol listesi: SFTP’yi sorunsuz çalıştırma

SFTP kullanırken doğru kurulum, güvenlik kadar performans ve erişilebilirlik için de kritiktir.

1) Doğru dizin kökü (root) ve yetkiler

Hosting ortamlarında SFTP çoğunlukla kullanıcının chroot jail mantığıyla sınırlandırıldığı için, “hangi klasörden görüneceği” önemlidir. - Dosyaları yanlış klasöre atarsanız site güncellenmez. - Yanlış izin (permission) verirseniz güncelleme sonrası “403/404” veya WordPress’te “dosya yazılamıyor” gibi hatalar çıkabilir.

Kontrol edin: - SFTP hesabının bağlandığı klasör (ör. public_html veya home/username/... yapısı) - Dosyaların yazma izni (ör. dizinlerde yazılabilirlik)

2) SFTP giriş yöntemi: Parola mı anahtar mı?

• Basit başlangıç için parola işe yarar.
• Güvenli operasyon için SSH anahtarıyla erişim kurun.

Aynı hosting hesabında iki yöntemi de paralel açmayın; “en az yetki + en az maruziyet” yaklaşımı uygulayın.

3) İstemci ayarları: Host, port, şifreleme

Dosya transfer aracı (FileZilla, WinSCP vb.) kullanırken şu değerler doğrulanmalıdır: - Host: Sunucu adı ya da IP - Port: SFTP için 22 (farklı port açıldıysa o değer) - Protokol: SFTP (FTP değil) - Kullanıcı adı: Hosting hesabınız

En çok yapılan hatalar ve net çözüm yolları

Hata 1: “SFTP bağlantısı kurulamıyor”

Olası nedenler ve hızlı kontrol: - Yanlış port: FTP (21) ile SFTP (22) karışır. - Yanlış kullanıcı: Hosting hesabı yerine yanlış kullanıcı adı girilir. - Ağ kuralı: Firewall veya güvenlik duvarında 22 kapalı olabilir.

Net çözüm: 1. Hosting panelinden (veya yönetim arayüzünden) SFTP aktif mi bakın. 2. Portu panelde kontrol edin. 3. Güvenlik duvarı loglarında 22 trafiği olup olmadığını doğrulayın.

Hata 2: “Dosya atandı ama web sitesi değişmedi”

Bu durumda sorun genellikle dizin köküdür. - SFTP ile yüklediğiniz klasör ile web root aynı değildir. - WordPress gibi sistemlerde yanlış klasöre yükleme yapılır.

Net çözüm: - Hosting panelinde “web root” konumunu bulun. - SFTP görmeniz gereken dizinle web root dizinini birebir eşleyin.

Hata 3: “İzin reddedildi”

• Dosya/dizin izinleri güncel değil.
• SFTP kullanıcısının yazma yetkisi yok.

Net çözüm: - Dizinlerde yazma izni gerekli olur. - Dosya izinlerini rastgele değiştirmeyin; sadece gereken dizin ve dosyalara odaklanın.

Performans: FTP mi SFTP mi daha hızlı?

SFTP’nin şifreleme ek yükü vardır; ancak pratikte modern donanım ve ağlarda bu fark çoğu kullanıcı için “sorun çıkaracak düzeyde” olmaz. Asıl belirleyici faktörler genellikle şunlardır: - Sunucunun disk I/O kapasitesi - Aynı anda kaç dosyanın aktarıldığı - Dosyaların boyutu ve sayısı - Sunucu konumunun kullanıcıya yakınlığı

Net öneri: - Büyük arşivleri (ör. site-content.zip) parça parça göndermek yerine tek parça çalıştırın. - Çok sayıda küçük dosyada SFTP tıkanabilir; bu durumda güncelleme stratejisini (ör. toplu paketleme) gözden geçirin.

SFTP güvenliği için uygulama önerileri

FTP’den SFTP’ye geçmek güvenliğin sadece bir kısmıdır. Aşağıdaki maddeler, SFTP’yi “gerçekten güvenli” kullanmanızı sağlar.

1) Şifreyi değil anahtarı tercih edin

• Parola kullanacaksanız güçlü parola ve düzenli değişim uygulayın.
• Anahtar kullanımıyla yönetimi sadeleştirin.

2) Kullanıcı bazında erişimi daraltın

• Gerekli olmayan klasörleri SFTP ile görünür yapmayın.
• Ayrı kullanıcılar ile üretim ve staging erişimini ayırın.

3) Yedek (backup) akışını transferle karıştırmayın

Dosya aktarımı tek başına “yedek değildir”. - Güncelleme öncesi dosya sisteminizin snapshot’ı veya düzenli yedek planı olmalıdır. - Transferle yapılan yedeklerin testini de yapın: Geri dönüş denemesi (restore) yapmadan “yedeklendi” denmez.

Hızlı karar özeti: FTP mi SFTP mi?

Aşağıdaki listeyi bir kontrol fişi gibi kullanın.

• Sunucunuza şifreli ve güvenli dosya aktarmak istiyorsanız: SFTP
• Dosya aktarımlarında parola güvenliği kritikse: SFTP
• Ağ trafiğinin izlenebileceği ortamlarda (kurumsal ağ, genel Wi-Fi): SFTP
• Eski sistemleri değiştirmek zor ve geçici bir durumsa: FTP yerine en azından zaman kutusunda risk yönetimi yapın, kısa sürede SFTP’ye geçin

Sonuç: Kurulumu tamamlayın, üretimde SFTP’yi varsayılan yapın

30.05.2026 itibarıyla doğru yaklaşım net: Üretim dosyaları ve hassas içeriklerin transferinde FTP yerine SFTP kullanın. Önce doğru dizin kökünü ve kullanıcı yetkilerini kontrol edin; ardından istemci tarafında port ve protokol değerlerini doğrulayın. Yeni bağlantılar kurarken SSH anahtarı tercih edin ve yedekleme akışını transferden bağımsız planlayın. Bu adımları uyguladığınızda hem güvenlik seviyenizi artırır hem de “dosya attım ama değişmedi/izin reddedildi” gibi zaman kaybettiren hataları ciddi ölçüde azaltırsınız.