cPanel Hesap Güvenliği: 2FA, IP ve Kullanıcı Yetkileri

cPanel Hesap Güvenliği Neden Önemli?

Ana cPanel hesabınız, o hesap altında barındırılan sitelere, e-posta kutularına, veritabanlarına ve dosyalara açılan ana kapıdır. Bir saldırgan bu hesaba sızdığında sadece web sitenizi bozmakla kalmaz; e-ticaret siparişlerinize, müşteri verilerinize, e-posta trafiğinize ve hatta başka sistemlere giriş yaparken kullandığınız parolalara kadar birçok kritik bilgiye dolaylı olarak erişebilir. Zayıf veya tekrar kullanılan bir parolayla korunan, 2FA etkinleştirilmemiş bir cPanel hesabının ele geçirilmesi, toplu spam gönderimine ve zararlı kod yerleştirilmesine yol açabilir.

Bu rehberde odak noktamız, cPanel hesabının kendisini sertleştirmek olacak. Yani sunucu tarafındaki kernel, firewall, ModSecurity gibi daha altyapı odaklı konulardan çok; doğrudan sizin giriş yaptığınız paneli, giriş yöntemlerinizi ve yetki paylaşımlarınızı ele alacağız. Bu makalede anlatacağımız 2FA, IP kısıtlama, alt kullanıcılar ve şifre politikaları, altyapı korumalarını tamamlayan önlemlerdir. Hangilerini kendiniz uygulayabileceğiniz, hesabınıza sunulan özelliklere ve yönetim yetkinize bağlıdır.

Arayüz açıklamaları, cPanel’in güncel 134 ve sonrası belgeleri temel alınarak hazırlanmıştır. Özelliğin görünmesi, sağlayıcı ayarına ve lisansa bağlı olabilir. Manage Team panel kullanıcıları, User Manager hizmet alt hesapları ve ayrı cPanel hesapları aynı şey değildir; yetki tasarımını bu ayrıma göre yapın.

Ajanslarda ve birden fazla kişinin çalıştığı şirketlerde tek ana parola paylaşımı, erişimi kişiye bağlamayı ve geri almayı zorlaştırır. Hedef, her iş için gerekli erişimi belirlemek, doğrulama yöntemini sınamak ve kimin hangi hesabı kullandığını kaydetmektir. Hesap düzeyi kontroller, uygulama açıklarını ve ele geçirilmiş bir cihazı tek başına telafi etmez.

Tehdit Modeli: cPanel Hesabınız Ele Geçirilirse Ne Olur

cPanel hesabını korurken hem hesaba giriş yollarını hem de hesap ele geçirildiğinde oluşabilecek zararları değerlendirmek gerekir:

• Şifre deneme saldırıları ve parola tahmini: Zayıf parolalar tahmin ve kaba kuvvet saldırılarına açıktır. Başka bir hizmetten sızan kullanıcı adı ve parola çiftlerinin burada denenmesi ise credential stuffing olarak adlandırılır; parola tekrar kullanımı bu riski artırır.
• Kimlik avı e-postaları: cPanel giriş ekranına birebir benzeyen sahte sayfalara yönlendirilen kullanıcılar, parolalarını gönüllü olarak saldırgana teslim ediyor.
• Keylogger veya zararlı yazılım: Özellikle ortak kullanılan veya güvenli olmayan bilgisayarlarda, yazdığınız parolalar kaydedilip daha sonra cPanel hesabınıza giriş için kullanılabiliyor.
• E posta üzerinden itibar kaybı: Ele geçirilen hesaplardan toplu spam gönderildiğinde, IP ve alan adı itibarınız zarar görebilir; meşru e-postalarınız da spam klasörüne düşebilir.
• Arka kapı bırakılması: Saldırgan bir kez içeri girdikten sonra PHP dosyalarına backdoor gömerek, siz şifre değiştirdikten sonra bile farklı kanallardan içeri sızmaya devam edebiliyor.

Bu senaryolara karşı tek bir önlem yeterli değildir; birden fazla katmanı birlikte kullanmak riski azaltabilir: 2FA etkinleştirmek, giriş yüzeyini IP ile daraltmak, herkese tek ana şifre vermek yerine ihtiyaca uygun ayrı hesaplar tanımlamak ve güçlü, benzersiz parolalar kullanmak. Bu rehber, hesap sahibinin yapabileceği ayarları sağlayıcı veya sunucu yöneticisinin uygulaması gereken kontrollerden ayırır.

Güvenlik Tasarım Prensipleri: Sadece Ayar Değil, Model Kurmak

Tek tek ayar ekranlarına geçmeden önce, cPanel hesabınızı tasarlarken aklınızda olması gereken üç temel prensibi netleştirelim:

• En az ayrıcalık prensibi: Herkese her şeye yetkili ana cPanel kullanıcı adı ve parolasını vermek yerine, sadece gerektiği kadar yetki verin. Örneğin, sadece FTP gerektiren bir tasarımcıya veritabanı erişimi gereksizdir.
• İzlenebilirlik ve sorumluluk: Aynı kullanıcı adı ve parolayı ekip içinde paylaşmak yerine, mümkün olan her yerde kişiye özel hesap açın. Böylece bir sorun olduğunda hangi erişimden kaynaklandığını tespit etmek çok daha kolay olur.
• Çok katmanlı erişim güvenliği: Sadece parola ile yetinmeyin. 2FA, IP kısıtlama, şifre politikası ve oturum süresi gibi birden fazla koruma katmanını birlikte kullanın.

Bu prensipler, yalnızca cPanel için değil, tüm altyapı güvenliği stratejinizi kurgularken geçerli. Örneğin VPS veya dedicated sunucu kullanıyorsanız, daha geniş bir bakış açısı için VPS güvenliği odaklı olarak hazırladığımız VPS sunucu güvenliği rehberimizi de okumanızı öneririz.

cPanel Hesabında 2FA (İki Adımlı Doğrulama) Etkinleştirmek

Parolanın çalınması riskine karşı yönetim panellerinde 2FA kullanmak ek koruma sağlar. cPanel hesabınızda 2FA seçeneği kullanılabiliyorsa aşağıdaki adımlarla etkinleştirebilirsiniz.

Önce sağlayıcının WHM’de 2FA’yı etkinleştirdiğini ve Feature Manager ile hesabınıza Two-Factor Authentication arayüzünü açtığını doğrulayın. Kendi hesabınızda 2FA kurmak, bütün kullanıcılar ve erişim yolları için merkezi bir zorunluluk politikası kurduğunuz anlamına gelmez.

cPanel’de Kullanılan TOTP ve Giriş Akışı

cPanel, TOTP tabanlı yani zaman kısıtlı tek seferlik kod üreten uygulamalarla çalışan klasik 2FA yöntemini destekler. Google Authenticator ve Authy gibi doğrulama uygulamaları ile 1Password ve Bitwarden gibi parola yöneticilerinin TOTP özellikleri, bu standartla uyumlu 6 haneli kodlar üretir. Kullanıcı adı/parola ile yeni cPanel girişi akışı şöyledir:

1. Önce kullanıcı adı ve parolanızı yazarsınız.
2. Ardından sizden 2FA uygulamanızda üretilen 6 haneli kod istenir.
3. Kod doğruysa panele giriş yapabilirsiniz.

2FA, yalnızca parolanın çalındığı saldırılara karşı ek bir engel oluşturur. Ancak TOTP kodları kimlik avına dayanıklı değildir: sahte bir giriş sayfası parolanızla birlikte anlık kodunuzu da isteyebilir. Bu nedenle 2FA, doğru giriş adresini kontrol etmenin ve cihaz güvenliğinin yerini tutmaz.

Adım Adım cPanel 2FA Kurulumu

Hesabınızda 2FA seçeneği görünüyorsa temel kurulum akışı aşağıdaki gibidir; arayüzde küçük tasarım farkları olabilir.

1. cPanel hesabınıza normal şekilde giriş yapın.
2. Arama kutusuna Two Factor Authentication yazın veya Güvenlik grubundaki ilgili ikonu bulun.
3. Kurulumu başlat butonuna tıklayın. Karşınıza bir QR kod ve altında gizli anahtar çıkar.
4. Telefonunuzda tercih ettiğiniz 2FA uygulamasını açın ve yeni hesap ekle seçeneği ile ekrandaki QR kodu tarayın. Tarama imkanı yoksa gizli anahtarı elle de girebilirsiniz.
5. Uygulama, cPanel hesabınız için 6 haneli kodlar üretmeye başlayacaktır. Sonraki adımda sizden bir doğrulama kodu istenir; uygulamanın o an gösterdiği kodu girip kaydedin.
6. Yeni kullanıcı adı/parola girişinde doğru altı haneli kodun istendiğini doğrulayın. Mevcut bir oturumun kullanılması veya başka bir erişim yöntemi için aynı davranışı varsaymayın.

API kapsamı ayrıdır. cPanel 134+ belgesine göre 2FA, API isteklerini kendiliğinden korumaz: API güvenlik politikaları etkin değilse parola ile kimlik doğrulanan API istekleri 2FA sorgusunu atlayabilir. Sağlayıcınızdan ilgili API türlerine uygulanan Security Policy Extensions ayarlarını ve entegrasyon davranışını doğrulamasını isteyin. Bu ayar API tokenlarını etkilemez; token, ayrıca saklanması, envantere alınması ve gerektiğinde iptal edilmesi gereken bir erişim sırrıdır. Webmail, SMTP/IMAP, FTP, SSH ve varsa SSO bağlantılarını ayrı değerlendirin. Resmi cPanel 2FA belgesi bu kapsam ayrımını açıklar.

Kurtarma planı olmadan eski doğrulayıcıyı silmeyin. Aynı QR kodu ikinci cihaza eklemek aynı TOTP sırrının kopyasını oluşturur; ayrı kişisel kimlik veya bağımsız faktör sağlamaz. Gereken yedekleme yöntemi, kimlerin erişebileceği ve cihaz kaybında sırrın nasıl yenileneceği önceden belirlenmelidir. QR kodunu ekran görüntüsü olarak sohbet kanallarında paylaşmayın.

2FA İçin Kurtarma Stratejisi

2FA açmak tek başına yeterli değil, aynı zamanda erişimi kaybetmeniz durumunda ne yapacağınızı da planlamanız gerekiyor:

• cPanel hesabından bağımsız erişebileceğiniz güncel ve güvenli bir iletişim e-posta adresi kullanın; sağlayıcının hesap sahipliği doğrulama sürecini önceden öğrenin.
• 2FA kurarken gösterilen gizli anahtarı, güvenli bir parola kasasında saklayın. Bu anahtar aynı kodları yeniden üretebilir; parolayla aynı kasada tutulursa kasa ihlali iki sırrı birden açığa çıkarabilir.
• Ajans veya ekip olarak çalışıyorsanız, ana hesabın parolasını ve 2FA sırrını ekip geneline dağıtmak yerine ana hesabı güçlü şekilde koruyup diğer kişiler için ihtiyaçlarına uygun ayrı hesaplar kullanmayı tercih edin. Ana hesap için yetkili sorumluları ve güvenli kurtarma yöntemini önceden belirleyin.

cPanel’in belgelenen kayıp doğrulayıcı yolu, sağlayıcının hesap sahipliğini doğruladıktan sonra 2FA’yı kaldırması ve sizin yeniden kurmanızdır. Arayüzün kurtarma kodu verdiğini varsaymayın. Reconfigure, eski 2FA yapılandırmasını değiştirir; eski uygulama kodları geçersiz olur ve diğer cPanel tarayıcı pencereleri çıkış yapar. Yeniden kurduktan sonra kontrollü bir giriş testi yapın ve eski sırların yedeklerini kullanım dışı bırakın.

Alan adı, registrar ve DNS panelleri için de benzer yaklaşımı benimsemek önemli. Bu tarafa dair kapsamlı bir bakış için alan adı güvenliği ve 2FA rehberimize de göz atabilirsiniz.

IP Kısıtlama ile Giriş Yüzeyini Daraltmak

IP izin listesi, panel girişinin hangi ağlardan ulaşılabildiğini sınırlar; kullanıcı kimliğini doğrulamaz. Doğrudan portlar, hizmet alt alanları ve yönlendirme/proxy yollarının tümü ele alınırsa ek koruma sağlar. İzinli ağdaki kötü amaçlı cihaz veya çalınmış oturum gibi riskler devam eder.

Hangi IP Kısıtlama Yöntemi Daha Uygulanabilir

Kontrolün hangi bağlantıya uygulandığını belirleyin:

• Ağ veya güvenlik duvarı seviyesinde sınırlama: Yönetim yetkiniz olan bir güvenlik duvarında, panel erişimini belirli kaynak IP bloklarıyla sınırlamak bir tasarım seçeneğidir. Statik ofis IP adresi olan ekiplerde izin listesini yönetmek daha kolay olabilir; seçilen barındırma planında bu kontrolün uygulanabilirliği ayrıca değerlendirilmelidir.
• Proxy veya uygulama ağ geçidi: Yalnız gerçekten bu katmandan geçen panel isteğini denetleyebilir. Özel alan adı kullanmak, site kökündeki .htaccess dosyasını cPanel servisine uygulamaz. Doğrudan IP/hostname:2083 veya hizmet alt alanı gibi alternatif girişler aynı politikayı aşabiliyorsa panel sınırlandırılmış sayılmaz.

Statik bir ofis IP’niz varsa, uygulanabilir bir IP izin listesi panelin erişim yüzeyini daraltabilir. Bu önlem 2FA ile aynı işi yapmaz: IP kısıtlama bağlantının kaynağını sınırlar, 2FA ise kimlik doğrulamaya ek bir faktör katar. Dinamik IP kullanıyorsanız veya sıklıkla farklı lokasyonlardan çalışıyorsanız, bu yöntemi daha esnek bir stratejiyle birleştirmek gerekir.

.htaccess Panel Servisinin Önünde Bir Güvenlik Duvarı Değildir

panel.example.com gibi bir ad veya /cpanel kısayolu kendi web sunucunuzdan bir yönlendirme yapabilir. Denetlediğiniz web yolu için bir kural uygulanabilse bile, 301/302 sonrasındaki panel servisini korumaz. cPanel’in IP Blocker aracı da siteye erişimi engeller; diğer servisler için genel bir panel izin listesi değildir.

• Sağlayıcının verdiği geçerli sertifikalı panel hostname’i ve 2083 portu; WHM gerekiyorsa 2087 ayrıca incelenir
• Etkin cpanel.example.com / whm.example.com hizmet alt alanları ve 443 üzerinden proxy erişimi; IP’ye doğrudan erişim ve IPv4/IPv6 yolları envantere alınır
• Kısıtlanan bir kısayolun 403 dönmesi tek başına yeterli değildir. İzinli ve izin dışı ağlardan her gerçek panel giriş yolu için beklenen sonucu ayrı doğrulayın

Bu tür kısıtlamalar, üzerinde tam yetkiniz olan VPS veya dedicated sunucularda daha rahattır. Böyle senaryolarda, kademeli bir güvenlik planı için VPS güvenlik sertleştirme kontrol listemizden de faydalanabilirsiniz.

Webmail’in 2096 gibi kendi uç noktaları ve e-posta istemcisi servisleri farklı gereksinimler taşıyabilir. Herkese açık web sitesini kapatmadan yönetim erişimini ayırmak için tüm sunucuya uygulanacak kuralları sağlayıcıyla planlayın; paylaşımlı sunucuda bir müşterinin isteği diğer hesapların erişimini etkileyebilir.

IP Kısıtlama Yaparken Dikkat Edilmesi Gerekenler

IP bazlı kısıtlama yaparken şu noktalara dikkat edin:

• Ofis çıkış IP’sinin sabitliğini, IPv6 kullanımını ve VPN’in gerçek genel çıkış adresini doğrulayın; yalnız cihazın özel ağ adresini izin listesine eklemek yeterli değildir
• Seyahat için sabit çıkışlı güvenli VPN veya onaylanmış, süreli ve dar bir IP istisnası tasarlayın. Geniş/global erişimi geçici çözüm olarak otomatik açmayın
• Kuraldan önce bant dışı konsol veya sağlayıcı üzerinden kurtarma yolunu hazırlayın. Kontrol tamamlanana kadar mevcut yönetim oturumunu koruyun; izinli/izinsiz yolları ayrı sınayın
• IP izin listesi kişiye rol vermez. Yönetici paneli, Webmail ve diğer hizmetlerde hesap yetkisini ayrıca belirleyin

Ekip Kullanıcısı, Hizmet Alt Hesabı ve Ayrı cPanel Hesabı

Ana cPanel kullanıcı adı ve parolasını ekibin tamamına vermek, erişimi kişiye bağlamayı ve sona erdirmeyi zorlaştırır:

• Parola ele geçirildiğinde hangi kanaldan sızıldığını tespit etmek çok zorlaşıyor.
• Eski çalışan ayrıldığında, onun da bildiği ana parolayı değiştirmek, tüm ekibi yeniden organize etmek anlamına geliyor.
• Sadece FTP erişmesi gereken bir kişinin, gereksiz yere e-posta, veritabanı ve diğer kritik alanlara erişimi oluyor.

Önce gerekli yetkiyi sınıflandırın. Manage Team panel içinde rol tabanlı işlem için, User Manager hizmet hesabı için, WHM’de oluşturulan ayrı cPanel hesabı ise farklı hesap ve dosya/uygulama düzeni için kullanılır. Bunlar birbirinin doğrudan yerine geçmez.

Manage Team ile Gerçek Panel Erişimi

Manage Team, cPanel hesabının sahibi altında çalışan sanal ekip kullanıcıları oluşturur; bu kullanıcılar cPanel’e giriş yapabilir. Güncel belgede özellik Premier, Autoscale ve geliştirme lisanslarıyla sınırlıdır ve sağlayıcının Feature Manager ayarıyla açılır. Menü görünmüyorsa destek ve lisans kapsamını doğrulayın.

1. Preferences → Manage Team → Create Team User yolunu açın. Kişiye ait kullanıcı adı ve güvenli iletişim adresini girin; parolanın kullanıcı tarafından oluşturulması veya yetkili yönetici tarafından belirlenmesi seçeneklerini değerlendirin.
2. Başlangıçta rol ve gereksiz hizmet atamayın. Güvenlik uyarısını okuyup gereken onayı verin, not ve gerekiyorsa Expire On tarihini ekleyin. Create ile kullanıcıyı oluşturun ve aktivasyonu tamamlayın. Rol verilmemiş kullanıcı da panele girip kendi tercihlerini yönetebilir.
3. Oluşturulan kullanıcı için bağımsız 2FA kaydını ve yeni girişte kod istendiğini sınayın. Her ekip rolünün bağımsız 2FA kurabildiğini varsaymayın. Kurulu sürümde gereken doğrulama desteklenmiyorsa ayrıcalıklı rol vermeyin; işi ana hesap sorumlusunun yapması, uygulama içi sınırlı hesap veya gerçek hizmet alt hesabı gibi daha dar bir yol seçin.
4. Gerekli rol için güncel yetki tablosunu okuyun. Administrator diğer rollerin yetkilerini kapsar; Database, Email ve Web de tek veritabanı, tek posta kutusu veya tek dizinle otomatik sınırlı değildir. Örneğin Email rolünün Zone Editor, Web ve Database rollerinin yedekleme/PHP yönetimi erişimi olabilir.
5. Gereken giriş koruması doğrulandıktan sonra Manage Team → Edit User üzerinden yalnız gerekli rol/hizmetleri seçin, güvenlik uyarısını değerlendirin ve Save ile kaydedin. Son durumda yeni giriş ve gerçek izinleri yeniden sınayın. Expire On hesabı belirtilen tarihte askıya alır; otomatik veri temizliği veya bütün bağımsız sırların iptali değildir.

Adımlar ve kapsam için Manage Team ve Create a Team User ve Edit a Team User belgelerini kullanın. Ana hesabın 2FA’sının bütün ekip girişlerini otomatik koruduğunu varsaymayın.

User Manager: Yalnız E-posta, FTP ve Web Disk Alt Hesapları

User Manager → Add User, seçilen hizmetler için ortak kullanıcı/parola kullanan bir Subaccount oluşturur. İzin verilen hizmetler arasında parola eşitlenir. Bu alt hesap cPanel’e giriş yapamaz; bir Manage Team kullanıcısı veya ayrı cPanel hesabı değildir. Kullanıcı, iletişim adresi ve parola yöntemini seçip yalnız gerekli hizmetleri açın:

• E-posta/Webmail hizmeti
• FTP hizmeti ve gereken üst dizin
• Web Disk hizmeti; gerekli dizin ve salt okunur/okuma-yazma izni

Örneğin:

• Tasarımcı için yalnız gereken üst dizine erişen, şifreli dosya aktarım hesabı. FTP kullanılacaksa TLS/FTPS desteğini ve şifreli bağlantıyı doğrulayın
• Muhasebe için ilgili posta kutusu; Email yönetici rolü veya bütün panel erişimi gerekmez
• Test dosyaları için ayrı hizmet erişimi. Yazılabilir PHP/uygulama dosyaları aynı sistem kullanıcısıyla kod çalıştırabiliyorsa dizin kısıtı tam izolasyon değildir; canlı uygulama sırları ve hesap ayrımı ayrıca değerlendirilir

FTP hesabı SFTP hesabı değildir. cPanel’in SFTP belgesi SSH/cPanel hesap erişimini kullanır; FTP alt hesapları SFTP’ye giriş yapamaz. Manage Team kullanıcıları da SFTP kullanamaz. SSH/SFTP gerektiren kişiye ana cPanel parolasını verip bunu dizinle sınırlı erişim diye sunmayın; bağımsız ve kısıtlı SSH erişimi için sağlayıcı/yönetici tarafından ayrıca tasarlanmış bir düzen gerekir.

Ajanslar ve çoklu müşteri yöneten ekipler için panel erişim yönetimini daha geniş çerçevede ele aldığımız ajanslar için hosting paneli erişim yönetimi rehberi, bu makaledeki prensipleri bir üst ölçeğe taşımanıza yardımcı olacaktır.

Yeni bir cPanel hesabını User Manager değil, yetkili sağlayıcı veya yönetici WHM Create a New Account ile oluşturur. Ayrı hesap, mevcut hesaba bir görevli eklemekle aynı değildir; alan adı, dosyalar, veritabanı, DNS, yedek ve gerekiyorsa taşıma planı gerektirir. Tam güvenlik izolasyonu yalnız hesap adından çıkarılamaz.

Yetki Tasarımı İçin Pratik Senaryolar

Kısa bir örnek üzerinden gidelim. Diyelim ki bir e-ticaret siteniz var ve şu rollere sahipsiniz:

• Sistem yöneticisi veya teknik sorumlu
• Geliştirici veya ajans
• İçerik yöneticisi
• Muhasebe ve operasyon ekibi

Her rolü görev ve gerçek erişim ihtiyacıyla eşleştirin:

• Sistem yöneticisi: Ana cPanel hesabı için 2FA, kurtarma planı ve uygulanabiliyorsa kapsamı doğrulanmış ağ izin listesi. WHM yetkisi ayrı değerlendirilir
• Geliştirici: İşe uygun, şifreli bağlantısı ve izinleri test edilmiş dosya aktarımı ve yalnız gerekli veritabanına verilen ayrı SQL yetkisi. Manage Team Database rolü tek şemaya kısıtlı SQL kullanıcısının eşdeğeri değildir
• İçerik yöneticisi: Genellikle WordPress gibi uygulamada kişisel, sınırlı rol. Gerekmiyorsa panel veya dosya erişimi verilmez
• Muhasebe/operasyon: Gereken posta kutusu veya iş uygulaması; panelin Email yönetim rolü otomatik verilmez

Bu ayrım yetkiyi daraltabilir, ancak hesabı kapatmak tek başına tüm riski ortadan kaldırmaz. Ayrılan kişinin erişebildiği ortak sırları, API tokenlarını, SSH anahtarlarını, etkin oturumlarını ve uygulama hesaplarını da gözden geçirin. Kod veya yapılandırma değiştirebilen kişinin arka kapı bırakabilmesi ayrıca değerlendirilmelidir.

Güçlü Şifre Politikaları: Sadece Karma Karakter Değil, Davranış Modeli

2FA, uzun ve benzersiz parolanın yerine geçmez. Ayrıca cPanel tarayıcı girişindeki 2FA’yı FTP, SSH, veritabanı veya posta istemcisi bağlantılarında otomatik etkin saymayın. Webmail’in destekleniyorsa kendi 2FA ayarı vardır; her protokolün gerçek kimlik doğrulama yöntemini ayrı doğrulayın.

Parola Gücü ve Uzunluk

cPanel parola göstergesi bir yardımcıdır; tek başına parola tekrar kullanımını, çalınmış sırrı veya kimlik avını tespit etmez. Bu rehberin pratik hedefi:

• Parola yöneticisiyle üretilmiş, hizmetin desteklediği en az 16 karakterlik benzersiz rastgele parola veya yeterince uzun ve tahmin edilmesi zor bir parola cümlesi kullanın
• Tahmin edilebilir kişisel bilgi, yaygın kalıp ve sızdığı bilinen parolalardan kaçının; sözlükteki her kelimeyi yasaklamak uzun parola cümlelerini gereksiz yere dışlar
• 16 karakter bu rehberin önerisidir; cPanel’in evrensel varsayılanı veya her standardın zorunluluğu değildir. Hizmetin karakter/uzunluk sınırlarını ve parola yöneticisinin ürettiği değerin tam kabul edildiğini kontrol edin

NIST SP 800-63B-4, parola doğrulayıcıları için uzunluk, sızmış/yaygın parola denetimi ve ihlal durumunda değişimi öne çıkarır; keyfî karakter bileşimi ve kanıtsız takvim rotasyonu gerektirmez. Bu standart rehberliği, kurulu cPanel ayarlarıyla aynı şey değildir.

Parolaları manuel üretmeye çalışmak yerine, modern bir parola yöneticisi kullanmak en sağlıklı yaklaşım. Böylece hem çok güçlü rastgele parolalar oluşturabilir hem de her hesap için farklı parola kullanabilirsiniz.

Parola Rotasyonu ve Tekrar Kullanımı Engellemek

Parolaları her ay değiştirmek gibi eski alışkanlıklar, pratikte kullanıcıları zayıf ve tahmin edilebilir desenler kullanmaya itiyor. Bunun yerine daha modern bir yaklaşım benimseyebilirsiniz:

• İhlal şüphesinde ilgili parolaları ve açığa çıkmış diğer sırları yenileyin; çalışan ayrılığında bildiği/paylaşılmış sırları değiştirip kişisel erişimlerini iptal edin
• cPanel, e-posta, başka paneller ve uygulamalarda aynı parolayı tekrar kullanmayın
• İş bitince gereksiz erişimi askıya alın veya kaldırın; dosya/posta silme gibi geri alınamaz seçenekleri inceleyin. Ayrı anahtar/token veya uygulama hesabının kendiliğinden iptal edildiğini varsaymayın

Yetkili WHM kullanıcısı Password Strength Configuration ile özellik bazında minimum puan belirleyebilir; reseller erişimi sağlayıcı yetkisine bağlıdır. Değişiklikler varsayılan olarak yeni hesaplara uygulanır. Mevcut hesaplarda uygulamak için ayrıca Configure Security Policies → Password Strength gerekir. Shell erişimiyle passwd bu puan kontrolünü aşabildiğinden tüm parola değişim yollarını aynı politika sanmayın.

WordPress gibi uygulamalar tarafında da benzer davranış modellerini benimsemek önemli. Uygulama katmanını sertleştirirken nelere bakmanız gerektiğini, detaylı bir kontrol listesi ile WordPress güvenlik sertleştirme rehberimizde adım adım anlattık.

Ortak Kullanılan Bilgisayarlar ve Tarayıcı Güvenliği

Şifre politikasının sadece sunucu tarafıyla sınırlı olmadığını unutmayın. Parolayı yazdığınız cihaz ve tarayıcı da en az sunucu kadar önemli:

• Güvenilir ve güncel cihazdan giriş yapın; bağlantıyı kayıtlı doğru panel adresinden başlatın
• Ortak cihazda parola kaydetmemek ve çıkış yapmak riski tamamen çözmez; mümkünse o cihazdan yönetim girişi yapmayın
• Tarayıcı, işletim sistemi ve doğrulayıcıyı güncel tutun; gereksiz eklentileri kaldırın
• Uygun uç nokta koruması kullanın. Kötü amaçlı yazılım veya oturum çalınması şüphesinde temiz cihazdan müdahale edip erişimleri ve sırları yeniden değerlendirin

Bağlantı, Uyarı, Log ve Yedek Kontrolleri

Hesap doğrulaması, rol yönetimi ve ağ politikası; doğru giriş adresi, izleme ve geri yüklenebilir yedeklerle tamamlanmalıdır.

Her Zaman Şifreli Bağlantı Kullanmak

Sağlayıcının bildirdiği doğru hostname’e HTTPS ile bağlanın ve sertifika hatasını geçmeyin. HTTPS veya kilit simgesi tek başına sayfanın gerçek sağlayıcıya ait olduğunu kanıtlamaz; adresi de doğrulayın. cPanel’in şifreli portu 2083’tür; 2082 gibi şifresiz yolların durumu sunucu ayarına bağlıdır. Özel alan adı kullanıyorsanız SSL sertifikasının o ad için geçerli olduğundan emin olun; doğrudan IP bağlantısındaki ad uyuşmazlığını yok saymayın.

cPanel İletişim Bilgilerini Güncel Tutmak

Preferences → Contact Information içinde, aynı cPanel hesabının arızasından etkilenmeyecek erişilebilir bir iletişim e-postası kullanın. Görünen uyarılar sağlayıcı ayarına bağlıdır; gereken seçenekleri tek tek doğrulayın:

• Disk/e-posta kotası ve etkinse bant genişliği uyarıları
• Hesap parolası veya bildirim tercihleri değiştiğinde uyarı
• Destekleniyorsa Someone logs in to my account uyarısı: cPHulk etkinleştirilmesi gerekir ve izin listesindeki IP’ler için bildirim gelmeyebilir
• SSL/AutoSSL bildirim seçenekleri. Alan adı yenileme ve yedekleme hataları için registrar ve yedek sistemi bildirimlerini ayrıca kontrol edin

İletişim adresine erişemediğiniz bir e-posta kutusu kullanmak, bu uyarıları tamamen boşa düşürür. Hesap güvenliğini sertleştirirken, bu küçük ama kritik ayrıntıyı da atlamayın.

Logları ve Uyarıları Düzenli Takip Etmek

Raw Access çoğunlukla web sitenizin ziyaretçi isteklerini gösterir; cPanel servisinin bütün girişlerini gösteren bir oturum denetimi değildir. Sunucu yöneticisi /usr/local/cpanel/logs/login_log ve uygun oturum/erişim loglarını inceleyebilir. Manage Team Audit Log için yönetici cPanel API logunu açmalıdır; yalnız UAPI kullanan işlemler görünür, bütün faaliyetler değil. Kaynak kullanımını ve e-posta hacmini ek sinyal olarak izleyin. hosting sunucu loglarını okuma rehberimiz web loglarını anlamanıza yardımcı olur.

Logların erişimini sınırlandırın; kullanıcı, IP ve oturum bilgilerini gereksiz paylaşmayın. Yedekler için ayrı, erişimi kısıtlı bir kopya ve gerçek geri yükleme testi planlayın. cPanel’den tam yedek oluşturulabilse de tam hesabı otomatik geri yükleme WHM/yetkili sağlayıcı işlemidir; kurtarma süresini yalnız dosyanın varlığına göre tahmin etmeyin.

Yeni Hesap ve Projeler İçin Kontrol Listesi

Her yeni hesapta aynı kontrol listesini kullanmak eksikleri görünür kılar. Örneğin:

• Kullanılan sürüm, sağlayıcı özellikleri ve ayrıcalıklı girişlerin 2FA davranışı doğrulandı mı?
• Parola, TOTP sırrı ve kurtarma yolu güvenli; API/SSO ve diğer hizmet erişimleri envanterde mi?
• Manage Team ile User Manager ayrımı doğru mu; her rol ve hizmet yalnız gereken erişimi veriyor mu?
• Doğrudan portlar, hizmet alt alanları, IPv4/IPv6 ve kısayollar için ağ kontrolleri test edildi mi?
• Uyarılar, kapsamı bilinen loglar, yedekler ve geri yükleme sorumlusu belirli mi?

Bu kontrolleri hesap açılışı, önemli değişiklik ve erişim iptali sonrasında tekrarlayın. yeni açılan web siteleri için güvenlik check list uygulama/hosting tarafındaki ek maddeler için başlangıç kaynağıdır.

DCHost Hizmetinde Uygulanabilir Güvenlik Planı

Seçtiğiniz hizmetin güncel yetki, lisans ve destek kapsamını doğrulayıp şu düzeni hedefleyin:

• Ana cPanel/WHM kimliklerinde desteklenen 2FA ve kontrollü kurtarma; API tokenları ve diğer girişler için ayrı politika
• Ağ izin listesi uygulanıyorsa bütün gerçek panel giriş yollarını kapsayan, kilitlenmeye karşı test edilmiş tasarım
• Paylaşılan ana parola yerine doğrulanmış Manage Team yetkileri veya işe uygun hizmet/uygulama hesapları
• Benzersiz parolalar, sınırlandırılmış sır erişimi ve iş bitiminde kapsamlı yetki iptali
• Güncel iletişim bilgileri, kapsamı bilinen denetim kayıtları ve geri yüklenmiş test yedeği

Firewall, cPHulk, yedekleme, ekip lisansı ve yönetim desteğinin pakete dahil olup olmadığını güncel DCHost hizmetinde ayrıca kontrol edin. Hesap kontrollerinin yanında WordPress sertleştirme gibi uygulama önlemleri de gereklidir. Hiçbir kontrol listesi bütün saldırıları veya uzun kesintiyi önleme garantisi vermez.

Destekle görüşürken kullandığınız cPanel sürümünü, gereken ekip rollerini, 2FA/kurtarma ihtiyacını, panel giriş adreslerini ve yönetim yetkinizi paylaşın; parola, TOTP sırrı veya API tokenını iletmeyin. Planı yeni hesap açılışı, kişi değişikliği ve düzenli erişim incelemesinde uygulanacak yazılı bir prosedüre dönüştürün.