Kurumsal Site İçin Hosting: Güvenlik Kriterleri ve Net Kontrol Listesi

Kurumsal bir site için hosting seçerken “güvenlik önemli” demek tek başına yeterli değildir. Kurumlar, saldırı yüzeyi büyüdüğü ölçüde (panel erişimleri, e-posta, API’ler, CDN, yönetim arayüzleri) somut kontrollerle risk azaltmak zorundadır. Bu rehberde, kurumsal sitede güvenliği doğrudan etkileyen hosting ve sunucu başlıklarını net kriterlere ayırıyoruz; her kriter için “neye bakmalıyım?” sorusunun cevabını kontrol listesiyle veriyoruz. Böylece teklifleri karşılaştırırken belirsiz vaatler yerine doğrulanabilir ayarları değerlendirebileceksiniz.

Kurumsal güvenlikte hostingin rolü: Sınırları doğru çizin

Kurumsal güvenlikte hosting; yalnızca dosyaları barındıran bir yer değil, aynı zamanda ağ seviyesinde (DDoS), kimlik doğrulama seviyesinde (SSH/Panel erişimi), veri korumasında (yedek ve şifreleme) ve izleme seviyesinde (log ve alarmlar) risk yönetimi yapmanız için altyapı sağlar.

Bu nedenle seçim yaparken “hangi güvenlik katmanını ben yönetiyorum, hangisini sağlayıcı yönetiyor?” ayrımını netleştirin: - Siz yönettiğiniz katmanlar: uygulama güvenliği (örn. WAF kullanımı, güncellemeler), dosya izinleri, parolalar/anahtarlar, konfigürasyon mantığı, uygulama logları. - Sağlayıcının yönettiği katmanlar: fiziksel/hipervizör güvenliği, ağ korumaları (DDoS), temel erişim modelini uygulama, yedek altyapısı, izleme/uyarı altyapısı.

Bu ayrımı kurmadan alınan hizmetler, saldırı olduğunda “hangi taraf sorumlu?” belirsizliği yaratır. Kurumsal ihtiyaçlar için sağlayıcıyla birlikte sorumluluk matrisini başlangıçta tanımlayın.

Kurumsal site senaryosu için minimum hedef

Somut hedef örneği: Bir saldırı denemesinde sisteminizin erişim kaybetmemesi, veri kaybının yedek (backup) ile geri alınabilir olması, olayın loglarla izlenebilir hale gelmesi ve kimlik bilgilerinin zor denetlenebilir olması.

1) Erişim kontrolü: Panel ve SSH/console güvenli olacak mı?

Kurumsal web sitesi için ilk risk alanı genelde yönetim erişimleridir. Hosting sağlayıcısının sunduğu kontrol seviyeleri tekliflerde açık yazılmadığında “politikaya dönüştürmek” gerekir.

Aşağıdaki maddeler kurumsal güvenlik açısından kritik değerlendirme noktalarıdır:

Yönetim paneli erişimi (control panel)

Şunları yazılı şekilde isteyin: - IP kısıtlama (allowlist): yönetim paneline sadece kurumsal IP’ler ile erişim. - MFA (çok faktörlü kimlik doğrulama): panel hesabı ve sağlayıcı hesabı için zorunlu mu? - Oturum süresi / tekrar doğrulama: uzun süre açık oturumlar kapatılıyor mu?

SSH erişimi (isteğe bağlı konsol)

VDS/VPS/dedicated için minimum beklenti seti: - Parola yerine anahtar (SSH key) zorunluluğu. - Root erişimi kısıtı: doğrudan root login kapalı mı? (güvenli varsayılan) - Fail2ban (otomatik engelleme) gibi katmanlar: sağlayıcı kurulum öneriyor mu, dokümante ediyor mu? - Audit/log: SSH oturumları izleniyor mu? Kim, ne zaman bağlandı?

Net kontrol: Teklifi aldıktan sonra “Panel ve SSH erişimi için MFA + IP allowlist + audit log var mı?” diye tek cümlelik doğrulama isteği yapın.

2) Yedekleme (backup) stratejisi: Sadece var demeyin

Kurumsal sitede yedeklemenin değeri, geri dönüş süresi (RTO) ve geri dönüş noktası (RPO) ile ölçülür. Hosting sağlayıcısı “yedek var” dediğinde şu soruların cevabını isteyin.

Değerlendirilecek somut sorular

• Yedekleme sıklığı: örn. saatlik (hourly) mi, günlük (daily) mi?
• Saklama süresi: 7 gün mü, 30 gün mü, daha uzun mu?
• Yedeklerin şifrelenmesi: yedekler diskte/depoda şifreli mi?
• Yedekten geri yükleme yöntemi: tek dosya/tek veritabanı geri yükleme var mı?
• Yedek testi: geri yükleme denemesi yapılıyor mu (kural seti olarak)?
• Yedeklerin ayrılığı: aynı sunucu arızasında yedek de düşüyor mu, ayrı depolama mı?

Kurumsal öneri: pratik hedef değerler

• Dosya/web içerikleri: saatlik yedek + en az 14 gün saklama.
• Veritabanı (database): uygulama kritikse 15-30 dakikalık yaklaşım veya uygulama seviyesinde tutarlı snapshot mantığı.
• Şifreleme: aktarım (TLS) ve depolama (at-rest encryption) net yazılmalı.

3) Ağ güvenliği ve DDoS koruması: Saldırı anında çalışabilirlik

Kurumsal site için DDoS, yalnızca “trafik artarsa filtre” değildir; aynı zamanda uygulama katmanında çökme riskini azaltma meselesidir.

Değerlendirme kriterleri

Şunları tekliften veya teknik dokümandan doğrulayın: - Trafik temizleme kapasitesi: “DDoS koruma var” yerine bant genişliği/limit yaklaşımı. - CDN / edge koruması: statik içerikte CDN, dinamikte WAF/managed rule set kullanılabiliyor mu? - Rate limiting: login, form gönderimi, API endpoint’leri için katman var mı? - Blackhole / sinkhole: ciddi saldırıda hizmeti kurtarma mekanizması.

Net karar kuralı

• Çok lokasyonlu kurumsal site ve kampanyalarınız varsa CDN/WAF entegrasyonu zorunlu kabul edin.
• Sadece “datacenter tarafında koruma var” ifadesi tek başına yeterli değildir; korumanın nasıl tetiklendiğini ve istatistik/raporlama alıp almadığınızı isteyin.

4) Güvenlik başlıkları: WAF, TLS/SSL ve sertifika yönetimi

Kurumsal sitede TLS/SSL ve WAF, hem şifreleme hem de saldırı yüzeyini daraltma açısından çekirdektir.

TLS/SSL: sertifikayı ve kullanım şeklini doğrulayın

Şunlara bakın: - Sertifika sağlayıcısı ve otomasyon: otomatik yenileme var mı? - Zorunlu HTTPS: HTTP→HTTPS yönlendirme kapalı değil mi? - Güvenli şifre paketleri (cipher suites): güncel TLS sürümleri kullanılıyor mu?

Ek olarak çok alanlı kurumsal yapıda şunlar gündeme gelir: - SAN (Subject Alternative Name) / Multi-domain yaklaşımı: birden fazla domain/subdomain aynı sertifikayla yönetilecek mi? - Wildcard SSL: geniş alt alan yapısında pratiklik sağlar; ancak kimlik doğrulama kapsamı ve yönetim politikası net olmalıdır.

Net kontrol: “HTTPS otomatik yeniliyor mu, kaç güne kadar uyarı veriliyor, HSTS (HTTP Strict Transport Security) kullanılıyor mu?” diye sorun.

WAF (Web Application Firewall)

• WAF “managed” mi, kural yönetimi var mı?
• OWASP benzeri temel kurallar ve rate limiting destekleniyor mu?
• Loglar (alert/event) dashboard’da takip ediliyor mu?

5) İzleme ve olay müdahalesi: Loglar nerede ve nasıl tutuluyor?

Kurumsal güvenlikte olay müdahalesi, loglara erişim hızına bağlıdır. Hosting sağlayıcısı logların sadece “oluştuğunu” değil, “inceleyebilir” şekilde saklandığını göstermelidir.

Loglarda aradığınız somut türler

• Web erişim logları (access logs): kaynak IP, istek yolu, yanıt kodları.
• Hata logları (error logs): uygulama katmanında 4xx/5xx dağılımı.
• Panel ve SSH audit logları: kimlik doğrulama denemeleri, başarılı/başarısız oturumlar.
• Güvenlik olayları: WAF blokları, rate limit tetiklemeleri.

Saklama süresi ve erişim modeli

• Loglar kaç gün saklanıyor?
• Loglar merkezi bir sisteme (SIEM veya sağlayıcı dashboard) aktarılabiliyor mu?
• Loglar salt okunur mu, değiştirilebilir mi?

Net kontrol: “Saldırı sonrası 24 saatlik web erişim loglarına 30 saniyede erişebiliyor musunuz?” sorusunu hedefleyin.

6) İzolasyon ve kaynak garantisi: VDS/VPS overselling riskini yönetin

Kurumsal site için performans güvenliği gibi çalışır: CPU/RAM kaynak yetersizliği uygulamayı yavaşlatır, zaman aşımı (timeout) güvenlik açıklarını tetikleyebilir.

Ayrıca overselling (fazla kullanıcıya kaynak satma) performansı düşürür ve saldırı anında toparlanmayı zorlaştırır.

Overselling için kontrol listesi

• Sağlayıcı, CPU burst / limit / garantili pay mantığını net açıklıyor mu?
• Aynı planlarda “paylaşımlı” ve “garantili” ayrımı var mı?
• Aşırı kullanım durumunda throttling uygulanıyor mu, şeffaf mı?
• Monitor (izleme) verileri ile kaynak tüketimini görmek mümkün mü?

7) Dosya ve sunucu sertleştirme: Uygulama güvenliği için temel ayarlar

Hosting seçimi tek başına güvenlik sağlamaz; doğru varsayılanlar kritik rol oynar. Kurumsal sitede en sık ihlal yüzeyi; yanlış izinler ve güncellenmemiş bileşenlerdir.

Dosya izinleri (file permissions)

• Web kök dizininde yalnızca gerekli dosyalar yazılabilir mi?
• Uygulama upload alanları haricinde “geniş yazma” yetkisi yok mu?
• Sistem dosyaları (config, .env, private anahtarlar) web üzerinden erişilebilir değil mi?

Güncelleme ve otomasyon

• OS ve temel paketler için güncelleme politikası var mı?
• Uygulama (CMS/framework) güncellemeleri için yönetilebilir yol sunuluyor mu?

Kurumsal güvenlik için hosting seçme şeması (pratik karşılaştırma)

Aşağıdaki tablo, kurumsal site için teklifleri aynı metrikle değerlendirmek için tasarlanmıştır. Her satır için “Evet / Hayır / Belirsiz” notu alın.

Karar eşiği (net kural)

Şu maddelerden herhangi birinde “Belirsiz” kalıyorsa, kurumsal güvenlik hedefi pratikte izlenemez. Bu durumda ya sağlayıcıdan yazılı doğrulama alın ya da planı doğrudan elerken alternatif üretin.

Hangi hosting tipi kurumsal güvenlik için daha uygundur?

Kurumsal güvenlikte hosting türleri arasında “kontrol” ve “sorumluluk” farkı vardır.

Web hosting (paylaşımlı/kurumsal)

Artısı: Kurulum ve bakım pratik olabilir. Eksisi: Uygulama/OS seviyesinde sertleştirme ve izleme kontrolünüz sınırlı kalabilir. - Kritik soru: panel/SSH erişimi ve WAF/log kontrolü size ne kadar açık?

VDS/VPS

Artısı: Sunucu seviyesinde daha fazla kontrol; güvenlik ayarlarını daha net uygularsınız. Eksisi: Güncelleme, sertleştirme ve log yönetimi sorumluluğu büyür. - Kritik soru: overselling politikası ve log/audit erişimi nasıl?

Dedicated

Artısı: Kaynak izolasyonu daha güçlü; saldırı anında performans daha öngörülebilir. Eksisi: Operasyon maliyeti ve yönetim yükü artar. - Kritik soru: sağlayıcı güvenlik yönetimi (DDoS/WAF) ve destek süreçleri.

Uygulama için aksiyon planı (hemen uygulanabilir)

Kurumsal güvenlik değerlendirmesini hızlandırmak için şu sırayla ilerleyin:

1. Teklif toplama dokümanı oluşturun: Yukarıdaki tabloyu kullanarak 10 kriteri karşılaştırın.
2. Doğrulama isteği gönderin: “MFA + IP allowlist + audit log + yedek şifreleme + saklama” gibi net cümlelerle yazılı cevap isteyin.
3. Test senaryosu tanımlayın: - Yönetim panelinde IP dışından erişim denemesi - Bir WAF/limit kuralı tetikleme - Yedekten geri yükleme (dosya + veritabanı) test planı
4. Pilot geçiş: Küçük trafikli bir alt alan veya test ortamında güvenlik kontrollerini doğrulayın.
5. Olay müdahalesi runbook (işletim prosedürü) yazın: Kim, ne zaman loga bakacak; yedek nasıl geri yüklenecek; sertifika/anahtar kim tarafından güncellenecek.

Sonuç: Tek bir “güvenlik vaadi” yerine doğrulanabilir kontrol seti seçin

Kurumsal site için doğru hosting, “güvenliyiz” iddiasından değil; yönetim erişiminden yedekleme detaylarına, DDoS/WAF loglarından izleme saklama sürelerine kadar doğrulanabilir kriterlerden oluşur. Yukarıdaki tabloyu kullanarak teklifleri aynı metrikle işaretleyin; “Belirsiz” kalan kritik başlıklar için yazılı doğrulama isteyin. En sonunda, pilot test ve yedekten geri yükleme pratiğini çalıştırdığınız bir sağlayıcıyla ilerleyin—aksiyon, güvenlik açığını azaltan en hızlı adımdır.