cPanel Sunucu Sertleştirme (Hardening) Kontrol Listesi: 7 Adımda Güvenli ve Performanslı Sunucu

1. cPanel Sunucusunun Temel Güvenlik Durumunu Değerlendirme

cPanel sunucusuna ilk adım, mevcut güvenlik durumunun objektif bir değerlendirmesidir. Bu aşamada, cPanel > Security Center üzerinden “Security Advisor” raporu alınmalı ve kritik bulgular not edilmelidir. Rapor, eski paket sürümleri, varsayılan yapılandırmalar ve eksik güvenlik yamaları gibi riskleri gösterir.

Değerlendirme sırasında rpm -qa | grep cpanel komutu ile yüklü paket sürümleri kontrol edilir. Ayrıca clamscan -r /home ile kullanıcı dosyalarında kötü amaçlı yazılım taraması yapılmalı. Bu tarama, VDS sunucu paketleri gibi yüksek performanslı ortamlarda bile sıkça göz ardı edilen bir adımdır.

Bu adımın sonunda, güvenlik açığı risk puanı belirlenir ve sonraki adımlar için öncelik listesi oluşturulur. Örneğin, “SSH root login aktif” gibi bir bulgu, hemen kapatılması gereken kritik bir sorundur.

2. SSH ve Uzaktan Erişim Ayarlarını Sertleştirme

SSH, sunucu yöneticileri için vazgeçilmez bir araçtır ancak varsayılan ayarları saldırganların gözdesi olabilir. /etc/ssh/sshd_config dosyasında aşağıdaki değişiklikler mutlaka yapılmalıdır:

• Port: 22 yerine 2022 gibi yüksek bir port numarası seçin.
• PermitRootLogin: no olarak ayarlayın, root hesabı doğrudan oturum açamaz.
• PasswordAuthentication: no yaparak sadece SSH anahtarlarıyla girişe izin verin.
• AllowUsers: Sadece yetkili yöneticileri tanımlayın.

Bu ayarlar, brute‑force saldırılarını %90’dan fazla azaltır. Değişiklik sonrası systemctl restart sshd komutuyla hizmeti yeniden başlatın. Ayrıca WAF güvenlik duvarı entegrasyonu ile SSH brute‑force koruması ekleyebilirsiniz.

3. cPanel & WHM İçinde Güçlü Parola Politikaları ve 2FA

cPanel kullanıcıları için güçlü parola politikası zorunludur. WHM > Security Center > Password Strength Configuration menüsünden minimum uzunluk 12 karakter, büyük/küçük harf, rakam ve özel karakter zorunluluğu etkinleştirilmelidir. Parola süresi dolduğunda otomatik yenileme hatırlatması da eklenmelidir.

İki faktörlü kimlik doğrulama (2FA), hesabın güvenliğini %99’a yaklaştırır. WHM > Security Center > Two-Factor Authentication bölümünden “Enable” seçeneği aktif edilerek Google Authenticator ya da Authy gibi uygulamalarla entegrasyon sağlanır. Bu adım, özellikle WordPress hosting müşterilerinin admin paneline yetkisiz erişim riskini büyük ölçüde azaltır.

4. Firewall ve ModSecurity Kurallarıyla Ağ Koruması

Linux tabanlı cPanel sunucularında CSF (ConfigServer Security & Firewall) en yaygın kullanılan firewall çözümüdür. CSF kurulumu şu adımlarla yapılır:

1. yum install csf komutu ile paket yüklenir.
2. perl /etc/csf/csf.conf dosyasında TCP_IN ve TCP_OUT listeleri sadece gerekli portları içerecek şekilde daraltılır (örnek: 80,443,2022).
3. “TESTING = 0” satırı aktif edilerek firewall gerçek moda alınır.

Ek olarak, ModSecurity kuralları WHM > Security Center > ModSecurity menüsünden “OWASP CRS” profiliyle etkinleştirilmelidir. Bu kurallar, SQL injection ve XSS gibi yaygın web saldırılarını engeller. Aşağıdaki tablo, CSF ve ModSecurity’nin temel özelliklerini karşılaştırır:

Bu iki katmanlı koruma, dış saldırılara karşı %85 daha etkili bir savunma sağlar.

5. PHP ve Apache/Nginx Konfigürasyonlarını Sıkılaştırma

cPanel sunucularında PHP sürümü sık sık güncellenir; eski sürümler kritik CVE’lere (örneğin CVE‑2022‑3165) açıktır. WHM > Software > MultiPHP Manager üzerinden en son stabil PHP 8.2 sürümü seçilmeli ve eski sürümler devre dışı bırakılmalıdır.

PHP ayarları /opt/cpanel/ea-php*/root/etc/php.ini dosyasında aşağıdaki gibi sıkılaştırılabilir:

• disable_functions: exec, shell_exec, system, passthru, phpinfo gibi tehlikeli fonksiyonlar devre dışı bırakılır.
• expose_php: Off yapılır, böylece PHP sürüm bilgisi gizlenir.
• open_basedir: Kullanıcı dizinlerine sınırlı erişim tanımlanır.

Apache için ServerTokens Prod ve ServerSignature Off ayarları, Nginx kullananlar için server_tokens off; satırı eklenmelidir. Bu, sunucu hakkında bilgi sızdırılmasını önler ve saldırganların hedef belirlemesini zorlaştırır.

6. Otomatik Yama Yönetimi ve İzleme Çözümleri

Güvenlik açıkları, düzenli yama uygulanmadığında hızla birikir. cPanel, cPanel Update System (cUdate) ile otomatik güncellemeleri destekler. WHM > Update Preferences menüsünden “Automatic Updates” seçeneği “All Updates” olarak ayarlanmalı ve raporlar e‑posta ile yöneticilere gönderilmelidir.

Ek olarak, Logwatch ve OSSEC HIDS gibi izleme araçları kurularak anormal aktiviteler anında raporlanır. yum install logwatch ossec-hids komutlarıyla kurulum yapılır, ardından /etc/ossec.conf dosyasında “email_notification” aktif edilir. Bu sistemler, saldırı tespitlerini %70 oranında erken uyarı seviyesine çeker.

Yedekleme politikası da ihmal edilmemelidir. WHM > Backup Configuration menüsünden günlük tam yedekler alınmalı, en az iki farklı fiziksel konumda (örneğin fiziksel sunucu ve colocation hizmeti) saklanmalıdır.

7. Gerçek Dünya Senaryosu: E‑ticaret Sitesi için Sertleştirme Uygulaması

Bir e‑ticaret sitesinin cPanel sunucusunda sertleştirme adımlarını uygularken, özellikle e-ticaret hosting paketinin sunduğu SSL ve PCI‑DSS uyumluluğu göz önünde bulundurulmalıdır. Örneğin, “ShopX” adlı bir mağaza, aşağıdaki adımlarla %95 güvenlik iyileştirmesi elde etti:

• SSH portunu 2222’ye taşıdı ve root login’i kapattı.
• cPanel parolalarını 16 karaktere çıkardı, 2FA’yı aktif etti.
• CSF ile sadece 80,443,2222 portlarını açtı, diğer tüm girişleri engelledi.
• ModSecurity OWASP CRS kurallarını güncel tutarak SQL injection saldırılarını engelledi.
• PHP 8.2’ye geçiş yaptı, tehlikeli fonksiyonları devre dışı bıraktı.
• cUdate ile haftalık otomatik yama alımını sağladı ve Logwatch ile günlük rapor aldı.

Bu senaryo, sadece teknik adımları değil, aynı zamanda iş sürecine entegrasyonunu da gösterir. Sonuçta, site trafiği %30 artarken, güvenlik ihlali riski %85 azaldı.

Sıkça Sorulan Sorular

cPanel sertleştirme için en kritik ayar nedir?

En kritik ayar, SSH erişiminin sıkılaştırılmasıdır. Port değişikliği, root login’in kapatılması ve yalnızca anahtar tabanlı kimlik doğrulama, brute‑force saldırılarını büyük ölçüde engeller.

ModSecurity kuralları ne kadar sıklıkla güncellenmeli?

ModSecurity’nin OWASP CRS kuralları, en az ayda bir güncellenmelidir. WHM üzerinden “Update ModSecurity Rules” seçeneğiyle otomatik güncellemeler ayarlanabilir.

cUdate otomatik güncellemeleri kapatmak güvenli mi?

Hayır. Otomatik güncellemeler, kritik güvenlik yamalarının anında uygulanmasını sağlar. Özellikle cPanel ve PHP sürümlerinde çıkan CVE’ler için otomatik güncellemeler önerilir.

Firewall dışındaki ek bir güvenlik önlemi önerir misiniz?

Evet, Fail2Ban kurulumu ek bir koruma katmanı sağlar. SSH ve FTP gibi servislerde başarısız oturum açma denemelerini otomatik olarak engeller ve log tabanlı saldırı tespitinde etkilidir.

Sonuç ve Bir Sonraki Adımınız

cPanel sunucu sertleştirme, sadece bir dizi teknik ayar değil, sürekli bir güvenlik kültürüdür. Yukarıdaki 7 adımlık kontrol listesini uygulayarak, sunucunuzu %80’e yakın bir güvenlik artışıyla koruyabilirsiniz. Bir sonraki adımınız, bu adımları belgelendirmek ve periyodik denetimler yapmaktır. WHM içinde “Security Advisor” raporlarını haftalık olarak kontrol edin, yedekleme stratejinizi gözden geçirin ve yeni çıkan güvenlik bültenlerini takip edin.

Unutmayın, güvenlik bir kerelik bir işlem değil, sürekli bir süreçtir. Bu rehberi ekip arkadaşlarınızla paylaşın, iletişim sayfamızdan uzman desteği alın ve sunucunuzu her zaman bir adım önde tutun.