1. cPanel Sunucusunun İlk Değerlendirmesi ve Temel Güvenlik Ayarları
cPanel sunucusuna ilk kez eriştiğinizde, sistemin varsayılan ayarları genellikle güvenlik açısından yetersiz kalır. Bu aşamada yapılacak hatalar, saldırganların brute‑force saldırılarını kolayca gerçekleştirmesine yol açar. İlk değerlendirme adımında, SSH portunun 22 yerine 2222 gibi yüksek bir porta taşınması, root hesabının doğrudan erişiminin engellenmesi ve cPHulk gibi brute‑force koruma mekanizmalarının aktif edilmesi gerekir.
Özellikle AMD Ryzen VDS sunucular gibi yüksek performanslı platformlarda, güvenlik ayarları performansla çelişmemelidir. Fail2Ban entegrasyonu, başarısız giriş denemelerini otomatik olarak engelleyerek hem CPU hem de ağ trafiğini korur. Bu adımları tamamladıktan sonra, WHM → Security Center → Host Access Control menüsünden IP bazlı erişim kısıtlamaları ekleyerek yönetim paneline sadece güvenilir IP’lerden bağlanılmasını sağlayabilirsiniz.
2. Web Uygulama Güvenliği: ModSecurity ve WAF Entegrasyonu
cPanel’in içinde gelen ModSecurity (ModSec) kuralları, yaygın web saldırılarına karşı ilk savunma hattını oluşturur. Ancak varsayılan kurallar seti, yeni ortaya çıkan zero‑day açıklarını yakalayamayabilir. Bu yüzden WAF güvenlik duvarı hizmetiyle entegre bir yapı kurmak şarttır. ModSec kurallarını OWASP CRS (Core Rule Set) ile güncelleyerek, SQL injection, XSS ve dosya inclusion gibi saldırı vektörlerini %85 oranında engelleyebilirsiniz.
Kurulum sırasında /usr/local/apache/conf/modsec2.user.conf dosyasına ekleyeceğiniz SecRuleEngine On satırı, motorun aktif olmasını sağlar. Ayrıca, SecRuleRemoveById komutlarıyla yanlış pozitifleri (false positive) filtreleyebilir, böylece web sitenizin çalışmasında kesinti yaşamazsınız. WAF yapılandırması tamamlandığında, log analizi için ModSec Audit Log dosyasını haftalık olarak incelemek, yeni tehditleri erken tespit etmenize yardımcı olur.
3. SSL/TLS Sertifikası Yönetimi ve Güçlü Şifreleme Politikaları
Günümüzde %70’ten fazla web trafiği HTTPS üzerinden gerçekleşiyor ve tarayıcılar, güvenli olmayan TLS sürümlerini (TLS 1.0/1.1) otomatik olarak engelliyor. cPanel’de AutoSSL özelliğini etkinleştirerek, her alan adı için ücretsiz Let’s Encrypt sertifikası otomatik yenilenir. Ancak sadece sertifika varlığı yeterli değildir; TLS 1.3 ve ECDHE anahtar değişim protokollerini zorunlu kılmak gerekir.
Bu amaçla WHM → Service Configuration → Apache Configuration → Global Configuration menüsünden SSLProtocol satırını All -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 olarak düzenleyin. Ayrıca SSLCipherSuite kısmına EECDH+AESGCM:EDH+AESGCM ekleyerek sadece güçlü şifreleme algoritmalarını kabul edin. Bu ayarlar, man‑in‑the‑middle saldırılarını %90 oranında önler ve PCI‑DSS gibi uyumluluk standartlarına da uyum sağlar.
4. Sunucu İşletim Sistemi ve Yazılım Güncellemeleri
cPanel’in çalıştığı işletim sistemi (CentOS, AlmaLinux, Rocky Linux vb.) düzenli olarak güvenlik yamaları almalıdır. Otomatik güncelleme yapılandırması yapılmazsa, kritik CVE’ler (örneğin CVE‑2022‑3615) sunucunuzu savunmasız bırakır. yum-cron ya da dnf-automatic servisleri sayesinde, güvenlik güncellemeleri haftada en az bir kez otomatik olarak indirilebilir ve uygulanabilir.
Güncelleme sürecinde, yum update –security komutunu çalıştırarak sadece güvenlik paketlerini güncellemek, üretim ortamında kesintiyi minimuma indirir. Ayrıca, rpm -qa | grep kernel ile yüklü kernel sürümlerini kontrol edip, eski çekirdekleri yum remove ile temizlemek, potansiyel saldırı yüzeyini azaltır. Bu adımları uygularken, fiziksel sunucu (dedicated server) hizmetlerinizde de aynı politikayı izlemek, altyapı genelinde tutarlı bir güvenlik seviyesi sağlar.
5. Dosya ve Dizin İzinleri, Kullanıcı Sınırlamaları ve SELinux
cPanel sunucularında dosya izinleri (chmod) ve sahiplik (chown) hataları, saldırganların web kök dizinine (public_html) yazma yetkisi kazanmasına sebep olur. En güvenli yapı, tüm dosyaların 644, dizinlerin ise 755 izinlerine sahip olmasıdır. php.ini içinde open_basedir ve disable_functions ayarlarını kısıtlayarak, PHP betiklerinin sistem dosyalarına erişimini engelleyebilirsiniz.
Ek olarak, SELinux (Security-Enhanced Linux) modunu enforcing olarak ayarlamak, çekirdek seviyesinde erişim kontrolü sağlar. setenforce 1 komutu ile SELinux’u etkinleştirip, /etc/selinux/config dosyasında SELINUX=enforcing satırını kalıcı hale getirin. Kullanıcı sınırlamaları için cPanel → Security Center → Password Strength Configuration menüsünden güçlü parola politikaları belirleyin; en az 12 karakter, büyük/küçük harf, rakam ve özel karakter içermelidir. Bu kombinasyon, parola kırma saldırılarını %95 oranında azaltır.
6. İzleme, Log Yönetimi ve Olay Müdahalesi
Güvenlik sadece önlem almakla kalmaz, aynı zamanda anormalliklerin zamanında tespit edilmesini de gerektirir. cPanel’de Logwatch ve Logrotate araçları, günlük log dosyalarının otomatik olarak sıkıştırılmasını ve saklanmasını sağlar. Log rotasyonu ayarlarını /etc/logrotate.d/cpanel dosyasında düzenleyerek, 7 günlük bir tutma politikası uygulayabilirsiniz.
Olay müdahalesi için WHM → Service Configuration → Service Manager menüsünden csf (ConfigServer Security & Firewall) ve lfd (Login Failure Daemon) gibi araçları etkinleştirin. Bu araçlar, şüpheli IP adreslerini otomatik olarak kara listeye ekler ve /var/log/lfd.log dosyasında detaylı raporlar üretir. Ayrıca, IPv4 adres kiralama hizmetiyle ayrı IP blokları kullanarak, saldırı trafiğini izole edebilir ve DDoS saldırılarına karşı daha dayanıklı bir altyapı oluşturabilirsiniz.
7. Yedekleme Stratejileri ve Felaket Kurtarma Planı
Her ne kadar sertleştirme adımları saldırı riskini azaltsa da, veri kaybı hâlâ olası bir senaryodur. cPanel’in Backup Wizard özelliği, tam ve artımlı yedeklemeleri otomatikleştirir. Yedekleme sıklığını haftalık tam, günlük artımlı olarak ayarlamak, veri kaybını 24 saat içinde %99.9 oranında önler.
Yedeklerinizi aynı veri merkezinde tutmak yerine, colocation hizmeti veya bulut depolama (S3, Wasabi) gibi dış ortamda saklamak, felaket senaryolarında erişilebilirliği artırır. Felaket kurtarma planı (DRP) kapsamında, yedekleme testlerini aylık olarak gerçekleştirin; bu testler, geri yükleme süresini (RTO) 15 dakikadan az tutmanıza yardımcı olur. Ayrıca, yedekleme sırasında gzip sıkıştırması ve AES‑256 şifreleme kullanarak, veri bütünlüğünü ve gizliliğini koruyabilirsiniz.
Sıkça Sorulan Sorular
cPanel’de ModSecurity kuralları nasıl güncellenir?
WHM → Security Center → ModSecurity → Rules → “Update Rules” butonuna tıklayarak en son OWASP CRS kurallarını indirebilir ve /usr/local/apache/conf/modsec2.user.conf dosyasına ekleyebilirsiniz.
SSH portunu değiştirdikten sonra cPanel’e nasıl bağlanılır?
SSH portu değiştirildiyse, WHM’de “Service Configuration → SSH Configuration” kısmından yeni portu not alın ve SSH istemcisinde ssh -p NEWPORT root@yourserver.com komutunu kullanın.
AutoSSL otomatik yenileme başarısız olursa ne yapılmalı?
AutoSSL log dosyası /var/cpanel/autossl/logs/autossl.log içinde hataları kontrol edin. Çoğu zaman DNS A kaydı eksikliği veya port 80/443’ün firewall tarafından engellenmesi sorunu olur; DNS kaydını düzeltip firewall kurallarını güncelleyin.
cPanel yedeklemelerini dış bir sunucuya nasıl aktarabilirim?
WHM → Backup → Transfer Backup Wizard adımlarını izleyerek, SFTP veya rsync protokolüyle yedekleri dış sunucuya aktarabilirsiniz. Hedef sunucuda yeterli boş alan ve aynı cPanel sürümü olduğundan emin olun.
Sonuç ve Önerilen Sonraki Adım
cPanel sunucunuzu sertleştirmek, tek bir işlemle bitmez; sürekli izleme, güncelleme ve test gerektiren bir süreçtir. Yukarıdaki 7 adımı eksiksiz uyguladığınızda, hem dış saldırılara karşı dayanıklılık hem de iç hatalara karşı tolerans %70‑80 oranında artar. Artık güvenli bir altyapıya sahip olduğunuz için, WordPress hosting gibi popüler platformları sorunsuzca çalıştırabilir ve müşterilerinize güvenilir hizmet sunabilirsiniz. Bir sonraki adım olarak, periyodik güvenlik denetimi (audit) planlayın ve raporları yönetim ekibinizle paylaşın; bu sayede güvenlik seviyenizi sürekli iyileştirebilirsiniz.
