Kurumsal Site Hosting: Güvenlik Kriterleriyle Net Seçim Rehberi

Kurumsal bir siteye gelen saldırılar sadece “siteyi kapatmakla” kalmaz; müşteri verisi, ödeme akışı, itibar ve yasal yükümlülükler etkilenir. Bu nedenle doğru hosting seçimi, yalnızca CPU/RAM fiyatından değil; erişim kontrolü, şifreleme, saldırı önleme, log yönetimi ve toparlanma kabiliyetinden oluşur. Bu rehberde, kurumsal güvenlik kriterlerini pratik bir kontrol listesine çevirip farklı senaryolara göre net karar noktaları sunuyorum.

1) “Güvenlik” dediğinizde somut olarak hangi katmanlar aranmalı?

Kurumsal hosting değerlendirmesinde tek bir özellik aramak yerine şu katmanları birlikte hedefleyin:

Ağ katmanı (Network): DDoS koruması, akış temizleme (scrubbing), port bazlı kısıtlama
Uygulama katmanı (Application): WAF (Web Application Firewall), bot yönetimi
Kimlik ve erişim (Access): Çok faktörlü kimlik doğrulama (MFA), rol bazlı yetki
Şifreleme (Encryption): TLS/SSL, sertifika yönetimi, doğru protokol/hız ayarları
Veri koruma (Data): Yedekleme (backup) stratejisi, saklama süresi, şifreli yedek
Gözlemlenebilirlik (Observability): Log toplama, alarmlar, saklama süresi
Olay sonrası toparlanma (Recovery): RPO/RTO hedefleri, geri yükleme denemesi

Kurumsal sitelerde en büyük hata; yalnızca “WAF var” demek. Sağlayıcıdan, bu katmanların her birinde ölçülebilir bir mekanizma ve kanıt isteyin (dokümantasyon, SLA metni, örnek log şeması, geri yükleme süresi raporu).

Net kriterler: Kurumsal site için minimum hedef

Aşağıdaki “minimum hedefler” kurumsal portföylerde sık kullanılan güvenlik seviyesidir. Bu hedefleri sağlamayan hosting, ileride maliyeti büyütür.

TLS: Otomatik sertifika yenileme + modern sürüm destek (TLS 1.2+ öncelik)
WAF: OWASP Top 10 kategorilerinde kural seti + yönetim arayüzü/konfigürasyon imkânı
DDoS: Katman-3/4 ve katman-7 koruması; volumetrik saldırılarda bant genişliği etkisini sınırlama
Erişim: Sunucu erişiminde MFA; panel/SSH anahtar yönetimi; yetkilerin ayrıştırılması
Yedek: Şifreli snapshot/backup + farklı saklama sınıfları (günlük/haftalık)
Log: WAF ve sistem loglarının merkezi izlenmesi; en azından belirli süre saklama
Kurtarma: Planlı geri yükleme (restore) denemesi + dokümante edilmiş RTO/RPO

2) WAF ve DDoS koruması: “var” değil, “nasıl çalışıyor?”

Kurumsal sitede WAF, saldırıyı durdurmanın yanı sıra yanlış pozitifleri yönetebilmeniz gereken bir güvenlik aracıdır. DDoS ise erişilebilirliği korur.

WAF için kontrol listesi

Sağlayıcıdan şu sorulara net yanıt isteyin:

Kural yönetimi: WAF kural setleri “hazır paket” mi, yoksa özelleştirme var mı?
Modlar: Algılama (monitoring) + engelleme (blocking) kademeleri nasıl uygulanıyor?
Bot kontrolü: Bot trafiğini rate-limit, challenge (örn. captcha) veya benzeri yöntemlerle yönetiyor mu?
Loglar: WAF olay logları hangi formatta, nereden izleniyor?
Etkileşim: CDN/reverse proxy ile birlikte mi çalışıyor; header/real IP nasıl korunuyor?

DDoS için kontrol listesi

Katman-3/4 ve katman-7 koruması ayrımı yapılıyor mu?
Koruma mekanizması bant genişliği tüketimini nasıl yönetiyor (blackhole/scrubbing gibi)?
Trafik filtreleme eşikleri ve uygulanma mantığı dokümante mi?
Olay yaşandığında durum sayfası/iletişim kanalı var mı?

3) Erişim kontrolü: Panel, SSH ve yetki modeli net olmalı

Kurumsal sitelerde en sık güvenlik açıkları “yama/konfigürasyon” kaynaklıdır ama en hızlı risk azaltımı erişim kontrolü ile yapılır.

Minimum erişim gereksinimleri

MFA (Multi-Factor Authentication): Panel girişlerinde zorunlu
Yetki ayrımı: Yalnızca birkaç kişi “root/administrator” erişimine sahip olmalı
SSH/anahtar yönetimi: Parola ile giriş kapalı; anahtar bazlı erişim; anahtarlerin rotasyonu
Yetkisiz servisler: Kullanılmayan portların kapalı olması
Temel erişim kayıtları: Kim ne zaman giriş yaptı, hangi komutu çalıştırdı (varsa audit log)

Net karar noktası: “Paylaşımlı mı, VDS mi?”

Paylaşımlı barındırmada güvenlik denetiminiz çoğu zaman sınırlıdır. Kurumsal gereksinimleriniz şunlarsa VDS/VPS tarafını tercih etmeniz gerekir:

Uygulama seviyesinde özel WAF kuralı/konfigürasyon ihtiyacı
Merkezi log toplama ve agent kullanımı (ör. uygulama logları + sistem logları)
Sistem hardening (gerekli ayarların doğrulanması)
Bağımsız ortam (environment) izolasyonu

4) Şifreleme ve sertifika yönetimi: TLS sadece HTTPS demek değildir

Kurumsal güvenlikte TLS, sadece “sertifika takmak” değil; doğru protokol tercihleri, otomatik yenileme ve anahtar güvenliğidir.

Sertifika yönetiminde aranan kanıtlar

Otomatik sertifika yenileme (renewal) mekanizması
Sertifika zinciri doğruluğu ve müdahale gerektiren durumlarda takip
Modern şifre paketleri (cipher suite) kullanımı
Hatalı yapılandırmalarda otomatik düzeltme/uyarı

Prod ortamda self-signed SSL kararı

Prod ortam için self-signed SSL genel olarak güvenli bir tercih değildir. Yönetim paneli/uygulama içi kapalı bir ağ senaryosu haricinde; tarayıcı uyarıları, doğrulama hataları ve operasyonel riskler doğurur. Kurumsal projede beklenti, istemci doğrulaması sorunsuz ilerleyen “gerçek doğrulanmış TLS” olmalıdır.

5) Yedekleme (backup), RPO/RTO ve geri yükleme testi: Asıl güvenlik kapısı

Yedekleme, “var” olduğunda anlam kazanmaz. Kurumsal sitede güvenlik, saldırı sonrası toparlanmanın hızına bağlıdır. Bu nedenle yedekleme stratejisini RPO ve RTO hedefleriyle birlikte değerlendirin.

RPO/RTO kısa rehber (kurumsal mantık)

RPO (Recovery Point Objective): Son kayıp edilebilir veri penceresi (örn. 15 dk geçmişe kadar). Saldırı sonrası “kaç dakikalık veri yok olur?” sorusuna yanıt.
RTO (Recovery Time Objective): Servisin geri gelmesi için hedef süre (örn. 2 saat). “Sistem ne kadar sürede ayağa kalkar?” sorusu.

Aşağıdaki tabloda, kurumsal site senaryoları için pratik eşikler görüyorsunuz.

Senaryo	Tipik hedef RPO	Tipik hedef RTO	Gözden geçirmeniz gereken ek kriter
Bilgi amaçlı kurumsal site (düşük değişim)	24 saat	8-24 saat	Günlük snapshot + geri yükleme adımı netliği
Kurumsal site + içerik (günlük yoğun güncelleme)	4-6 saat	4-12 saat	Yedekten dönüşte veri bütünlüğü (DB + dosyalar)
E-ticaret / müşteri verisi (yüksek etki)	15-60 dk	1-4 saat	Şifreli backup, mümkünse izole restore testi
Sık saldırı denemesi (aktif risk)	1-4 saat	1-2 saat	Malware/zararlı içerik temizliği süreci (restore’den önce)

Sağlayıcıdan isteyeceğiniz “kanıt”

Yedekleme türü: Dosya bazlı mı, snapshot mı, DB dahil mi?
Saklama süresi: Günlük/haftalık/aylık ayrımı ve kaç gün olduğu
Yedekleme şifreleme: Yedekler şifreli mi, anahtar yönetimi nasıl?
Geri yükleme: Tek tıklamalı restore mu, adım adım prosedür mü?
Geri yükleme testi: Son test tarihi ve kapsam (tam restore/partial restore)

Kurumsal hedef için “yedek var” yerine “son 30 günde restore denendi” ifadesini ve restore adım listesini talep edin.

6) Loglar, alarm ve olay müdahalesi: Görmeden güvenlik tamamlanmaz

Saldırı tespit etme ve olay sonrası analiz, log kalitesine bağlıdır. Kurumsal hostingte loglar; WAF, reverse proxy, uygulama ve sistem seviyesini kapsamalıdır.

Minimum log kapsamı

WAF olayları: engellenen istekler, kural adı, kaynak IP
Uygulama logları: 4xx/5xx artışı, kimlik doğrulama denemeleri
Sistem logları: CPU/RAM anormalliği, disk doluluğu, servis yeniden başlatmaları
Erişim logları: panel girişleri, SSH anahtar kullanımı

Saklama süresi ve erişim

Loglar kaç gün saklanıyor?
Loglara kim erişiyor, değiştirilebilir mi (immutability mekanizması var mı)?
Alarm sistemi var mı (örn. 5 dakika içinde anormal 401 denemesi)?

7) SLA ve operasyon: Kurumsal güvenlikte “taahhüt” pratik olmalı

Kurumsal projelerde SLA, yalnızca “downtime yüzdesi” olarak okunmaz. Güvenlik odaklı SLA metrikleri; olay anında iletişim, toparlanma ve destek yanıt süresi gibi unsurları kapsamalıdır.

SLA kontrol listesi

Destek kanalı: 7/24 erişim ve seviye (priority) tanımı
Yanıt süresi (response time) ve çözüm/geri dönüş hedefleri
Güvenlik olayında iletişim: DDoS/WAF/ihlal durumunda izleme ve bilgilendirme
RPO/RTO taahhüdü: Yedekten geri dönüşte hedef süre
Cezalar: Taahhütlerin ihlali halinde uygulanacak mekanizma

Net yorum: “SLA metni var” yeterli değildir

SLA metnini okurken şu soruya cevap arayın: “Aynı sorun tekrar yaşansa, süreç aynı mı işleyecek?” Kurumsal güvenlikte prosedür dokümantasyonu (playbook) pratikte en belirleyicidir.

Karar şablonu: Kurumsal site için güvenlik odaklı hosting seçimi

Aşağıdaki adımları, satın alma öncesinde sağlayıcılarla görüşürken birebir kullanın.

WAF ve DDoS: Kural yönetimi + log erişimi + engelleme/izleme modları
Erişim: MFA zorunluluğu + SSH/anahtar politikası + rol bazlı yetki
Yedek: Yedekleme türü (dosya/DB/snapshot), şifreleme, saklama ve geri yükleme testi
Kurtarma: İstenen RPO/RTO hedefleriyle uyumlu taahhüt
Loglar: WAF + uygulama + sistem + erişim loglarının saklama süresi
SLA: Olay anında iletişim ve destek yanıt süresi
Hardening: Kullanılmayan servislerin kapalı olması, temel konfigürasyon seçenekleri

Sonuç: Aksiyonla kapatın

Kurumsal site için hosting seçimini güvenlik kriterlerine göre netleştirmeniz gerekiyor: WAF/DDoS işleyişini, MFA + yetki modelini, yedekleme/restore (RPO-RTO) kanıtını ve log/alarmları aynı dosyada toplayın. Sağlayıcılardan bu başlıkların her birine somut yanıt ve doküman isteyin; özellikle son “geri yükleme testi” kaydı olmadan karar vermeyin. Son adım olarak, belirlediğiniz RPO/RTO hedefleriyle uyumlu değilse teklifi değil, seçiminizi değiştirmek en doğru aksiyon olur.