Hosting Güvenliği: Sağlayıcının Sorumluluğu Nereye Kadar?

Hosting güvenliği tek bir düğmeyle çözülmez. Genellikle güvenlik sorumluluğu “paylaşımlı”dır: altyapı tarafında sağlayıcı, uygulama ve hesap tarafında ise müşteri sorumludur. Bu yazıda, güvenliği kimin yönettiğini katman katman ayırıp netleştireceksin. Böylece tekliflerdeki güvenlik ifadelerini doğru yorumlayacak ve eksik noktaları sıraya koyacaksın.

1) Güvenlik sorumluluğu katmanlara ayrılır

Hosting türü değiştikçe kimin neyi yönettiği de değişir. Aşağıdaki çerçeve, sorumluluğu tartışırken referans alabileceğin pratik bir haritadır.

Ortak dil: “Managed” ne kadar gerçektir?

Tekliflerde “managed” veya “tam yönetimli” ifadeleri geçebilir. Bu ifadenin altı genelde şu sorularla anlaşılır: - Sunucuda OS (işletim sistemi) yamaları kimin tarafından uygulanıyor? - Firewall ve DDoS koruması katmanı hangi düzeyde? - Log erişimi var mı, yoksa sadece olay raporu mu geliyor? - Yedekleme (backup) nerede saklanıyor ve geri dönüş testi yapılıyor mu?

Bu sorulara net cevap verilmiyorsa güvenlik sorumluluğu belirsiz demektir.

2) Paylaşımlı hosting: sağlayıcı üstlenir, müşteri sınırı aşarsa etkilenir

Paylaşımlı hosting (shared) senaryosunda sunucu işletim sistemi ve çoğu ağ güvenliği sağlayıcıdadır. Ancak kullanıcı tarafında yine de atılması gereken adımlar vardır.

Sağlayıcının tipik sorumlulukları (shared)

Temel altyapı güvenliği: fiziksel güvenlik, sanallaştırma katmanı, datacenter ağları.
Sunucuya erişim kontrolü: hypervisor/host katmanı.
Ağ katmanı korumaları: trafik dengeleme, DDoS filtreleme (sağlayıcı seviyesinde).
Paylaşımlı ortamda uygulama izolasyonu: hesaplar arası erişimi engelleyecek mimari.

Müşterinin tipik sorumlulukları (shared)

Uygulama kodunun güvenliği (WordPress eklentileri, tema, scriptler).
Parola ve oturum yönetimi: kontrol paneli şifresi, FTP/SSH varsa anahtarlar.
E-posta güvenliği: SPF/DKIM/DMARC doğru kurulmazsa kimlik avı riskini artırır.
Web uygulaması ayarları: gereksiz admin paneli erişim kısıtları, yönetici kullanıcı isimleri gibi konular.

Net sonuç: Paylaşımlı hostingde saldırı yüzeyi genelde “uygulama ve kimlik bilgileri” tarafındadır. Sağlayıcı, temel ağ izolasyonunu sağlar; ancak içerik yönetimindeki zayıflıklar (ör. güncellenmemiş eklenti) müşterinin sorumluluğuna girer.

3) VPS/VDS: sağlayıcı altyapıyı, sen işletimi ve uygulamayı yönetirsin

VPS/VDS (virtual private server) tarafında “paylaşımlı”dan daha fazla kontrol sende olur. Bu da güvenlik sorumluluğunu belirgin biçimde genişletir.

Sağlayıcının tipik sorumlulukları (VPS/VDS)

Veri merkezi ve ağ altyapısı: fiziksel erişim, upstream yönlendirme.
Sanallaştırma ve host izolasyonu.
Sunucu ilk kurulum/temel erişim kanalı (çoğu sağlayıcı için).
Platform düzeyi DDoS / bant koruma (her zaman uygulama seviyesinde değildir).

Müşterinin tipik sorumlulukları (VPS/VDS)

OS yamaları (patch): kernel ve paket güncellemeleri.
Firewall kurulumu ve kurallar: inbound/outbound politika.
Yetkisiz erişimi engelleme: SSH ayarları, kullanıcı yetkileri, servis hardening.
Fail2ban gibi otomatik brute-force engeller (kurulum ve konfigürasyon müşteride).
Yedekleme: strateji (sıklık), saklama yeri, geri dönüş testi.
İzleme: sistem metrikleri, disk dolulukları, servis çökmesi, log takibi.

Net sonuç: VPS/VDS’de güvenlik, “sağlayıcı kurulum yaptı” ile bitmez. Sorumluluğun ana gövdesi işletim sistemi ve servis konfigürasyonlarına geçer.

4) Dedicated server: sağlayıcı ile müşteri ayrımı yine katmanlıdır

Dedicated server’da donanım ve datacenter katmanı sağlayıcıdadır. Ancak sunucu üzerinde yaptığın her değişiklik güvenliği etkiler.

Sağlayıcının tipik sorumlulukları

Rack ve fiziksel güvenlik.
Ana ağ ve bant yönetimi.
Donanım arızası durumlarında temel müdahale.
(Opsiyonel) iLO/remote yönetim katmanı ve gerektiğinde erişim.

Müşterinin tipik sorumlulukları

OS güvenliği (yamalar, kullanıcı/rol yönetimi).
Uygulama güvenliği ve servis hardening.
Kurumsal yedekleme ve felaket senaryosu.

Dedicated’da “sorumluluk sınırı” VPS ile benzer mantıktadır: sağlayıcı donanım ve datacenter tarafını yönetir; sen işletim ve uygulama tarafını yönetirsin.

5) “Yedekleme” ve “DDoS” ifadeleri nasıl okunmalı?

Tekliflerde sık geçen iki başlık, güvenlik sorumluluğunu anlamada en çok yanıltan alanlardır.

Yedekleme (backup) hangi koşullarda gerçek güvenlik sayılır?

Sadece “yedek alıyoruz” demek yetmez. Şu ölçütleri kontrol et:

Geri dönüş süresi (RTO): Dosya geri mi getiriyorsun, yoksa tüm sistemi günler içinde mi ayağa kaldırıyorsun?
Geri dönüş noktası (RPO): Son yedeklemeden kaç saat/dakika sonra kayıp kabul ediliyor?
Yedek saklama yeri: Aynı sunucuda mı, farklı lokasyonda mı?
Şifreleme: Yedekler şifreli mi?
Geri dönüş testi: Yedekten restore denemesi yapılıyor mu?

Aksi durumda yedek, veri güvenliği değil sadece “dosya kopyası” olur.

DDoS koruması nerede bitiyor?

DDoS korumasının kapsamı çoğu zaman katmanlıdır: - Ağ katmanı koruması: IP/port seviyesinde trafik temizliği. - Uygulama katmanı: WAF (Web Application Firewall) gibi daha spesifik filtreler.

Teklifte “DDoS koruması var” yazıyor ama WAF yoksa, uygulama katmanında saldırı (ör. HTTP isteklerinin kötüye kullanımı) yine etkili olabilir.

6) Güvenlik sorumluluğunu sözleşme ve kontrol listesiyle netleştir

Sorumluluğu “tek taraflı beklenti” ile değil, satın alma öncesi doğrulanabilir maddelerle netleştirmek gerekir.

Aşağıdaki kontrol listesini teklif almadan önce veya geçiş öncesi doldur:

Sağlayıcıdan açık cevap iste (minimum doğrulama)

OS yamaları: Managed mi, yoksa “müşteri uygular” mı?
Firewall: varsayılan kurallar var mı? Kim yönetiyor?
DDoS: filtreleme hangi katmanda? (network / WAF / her ikisi)
Yedek: sıklık, saklama yeri, şifreleme, geri dönüş testi ve iade yöntemi.
Log erişimi: ham log sağlanıyor mu, yoksa sadece özet rapor mu?
Olay müdahalesi: “saldırı tespitinde ne yapıyoruz?” akışı.

Müşteride aksiyon planı (VPS/VDS ve dedicated için kritik)

SSH için giriş sınırı: parola yerine SSH key kullan.
Parola tabanlı giriş kapatma ve root erişimini kısıtlama.
Sistem servisleri için sadece ihtiyaç duyulan portlar açık kalsın.
Fail2ban ile brute-force girişleri otomatik engelle.
Güncelleme disiplini: haftalık veya kritik hata durumunda hızlı yamalama.
Yedekleme: günlük ve/veya saatlik (kritik sistemlerde), şifreli ve farklı lokasyonda.
İzleme: disk, CPU, RAM, servis durumu; loglar merkezi bir noktaya akıtılsın.

7) En sık karışan senaryolar ve net sınır örnekleri

Bu bölüm, “sağlayıcı yapmalı” beklentisinin çoğu zaman nereye oturduğunu örnekler.

Senaryo 1: Web sitene saldırı oldu, sağlayıcı neden müdahale etmedi?

Eğer saldırı uygulama katmanında (ör. WordPress eklentisi açığı, zayıf admin parolası) ise genellikle müşterinin sorumluluk alanıdır. Sağlayıcı çoğu zaman altyapı/host seviyesinde izolasyonu ve ağ korumasını yürütür; uygulama içi zafiyeti gidermek müşterinin işidir.

Senaryo 2: Sunucu “yüksek trafik” yedi, DDoS koruması çalışmadı

Burada iki ayrı ihtimal vardır: - Sağlayıcının koruması ağ katmanında sınırlı olabilir. - Saldırı türü uygulama çağrıları üzerinden yürütülüyorsa WAF yoksa yetmeyebilir.

Bu yüzden “DDoS koruması” ifadesinin kapsamını net sormalısın.

Senaryo 3: Sunucu yönetimi sağlayıcıda, yine de yamalanmadı

Managed OS sunan sağlayıcıların bile SLA/işletim takvimi vardır. Haftalık mı, kritik CVE (Common Vulnerabilities and Exposures) olunca mı? Yanıt net değilse, sorumluluk yine belirsiz kalır.

Senaryo 4: Yedek var ama restore çalışmıyor

Restore test edilmemişse yedek, güvenlik garantisi vermez. Bu durumda sağlayıcı ile müşteri arasındaki sınır, yedeğin saklanması kadar “geri dönüşün doğruluğu” ile alakalıdır.

8) İşine göre doğru sorumluluk modelini seç

Seçim, teknik kapasiten ve hedef risk seviyene göre yapılır. Aşağıdaki matrisi, “kimin neyi yöneteceğini” kararına bağlar.

İhtiyacın	En uygun model	Güvenlikte senin ana alanın
Sadece web sitesi, kontrol panelinden yönetim	Paylaşımlı hosting / yönetimli hosting	Uygulama güncellemeleri, parolalar, e-posta güvenliği
Kod çalıştıracaksın, servis kuracaksın	VPS (VDS)	OS yamaları, firewall, log izleme, yedek ve hardening
Yüksek kontrol ve performans	Dedicated	OS + uygulama güvenliği, yedek ve izleme disiplini
Uygulama katmanı koruma istiyorsun	WAF destekli paketler / yönetimli güvenlik	Kuralları doğru kurmak, hata/false-positive yönetimi

Sonuç: Sözleşme ve teknik kontrol listesiyle sınırı yazılı hale getir

Hosting sağlayıcısının güvenliği “tamamını” üstlenmesi beklenmemelidir; sorumluluk katmanlıdır. Paylaşımlı ortamda daha çok altyapı yönetişimi sağlayıcıdadır, VPS/VDS ve dedicated’da ise OS ve servis hardening doğrudan senin kararlarınla ilerler. Aksiyon olarak, ilk etapta sağlayıcıdan yedekleme kapsamı, DDoS/WAF katmanı ve OS yamaları sorularına net cevap al; ardından kendi tarafında SSH anahtarı, firewall, Fail2ban, güncelleme ve geri dönüş testinden oluşan bir kontrol planı oluştur.