WISECP Güvenlik Ayarları: BotShield, 2FA, Captcha ve Yetki Grupları

Güvenlik Ayarları ekranındaki sekmeler

Hesabınız bu yetkilerin yalnızca bir kısmına sahipse kapsamadığı sekmeler şeritte hiç görünmez. Yedekleme sekmesini WISECP taşıma ve yedekleme rehberinde ayrıca anlattık.

Ayarlar sekmesi: panel erişimi ve parola kuralları

Panel erişim yolunu tahmin edilmesi zor bir adla değiştirmek, otomatik tarayıcıların giriş sayfanızı bulmasını zorlaştırır. IP kısıtlamasını yalnızca sabit bir IP adresiniz varsa kullanın; zaten açık bir oturum, bu sayfalardan birine dönene kadar herhangi bir adresten çalışmaya devam eder. Panel önünde bir yük dengeleyici ya da proxy varsa yalnızca kendi adreslerinizi Güvenilen Proxy'ler listesine yazın; yanlış eklenen bir adres herhangi bir ziyaretçinin gerçek IP'siymiş gibi davranabilir.

Kimlik Doğrulama: 2FA, JetPass ve passkey

Kimlik Doğrulama sekmesi ({admin}/settings/security?general=authentication) parola sonrasında çalışan ek kontrolleri yönetir ve hem müşterileri hem personeli kapsar.

İki adımlı doğrulama

• Doğrulama Yöntemleri: Kimlik doğrulama uygulaması (TOTP), e-posta kodu, SMS kodu ve kurduğunuz Kimlik Doğrulama modülleri. E-posta ve SMS aktif bir modül ister.
• Müşteriler için / Yönetici için Etkinleştirmeye Zorla: Varsayılan kapalı. Açıldığında kullanıcı bir sonraki girişte yöntem seçmeye zorlanır. Full Administrator hesapları yönetici zorlamasından muaftır.
• Güvenilir Cihaz Süresi: Müşteri ve personel için ayrı; varsayılan 0 (her girişte kod), en fazla 365 gün.
• Güveni IP Adresine Bağla: Varsayılan kapalı; açıkken güvenilir cihaz yalnızca güvenin verildiği IP'den tanınır.

Müşteriler için zorunlu kılmak: en az bir yöntem kartını (örneğin kimlik doğrulama uygulaması) açın, Müşteriler için Etkinleştirmeye Zorla anahtarını açın ve Değişiklikleri Kaydet deyin. Her alt sekmenin kendi kaydet butonu vardır; kaydetmeden başka alt sekmeye geçerseniz değişiklik kaybolur.

Konum, IP ve ülke kuralları

• Konum Doğrulama: Şehir ya da ülke son girişten farklıysa ek doğrulama ister. Müşteri ve personel için ayrı, ikisi de varsayılan kapalı.
• IP Doğrulama: Proxy, VPN ve anonimleştirici kullanımını arar. Müşteriler için varsayılan açık, personel için kapalı. Bu bir IP izin listesi değildir.
• Ülke Kuralları: Erişim Kısıtlaması hesap açma, giriş ve siparişi seçtiğiniz ülkelerle sınırlar; personel etkilenmez.

JetPass ve passkey

JetPass, parola yerine e-postaya gelen tek kullanımlık kodla giriş sağlar; kod geçerlilik süresi varsayılan 15 dakika (1 ile 60 arası), hatalı deneme limiti varsayılan 5'tir (1 ile 20 arası). Kod yalnızca e-postayla gittiği için aktif bir mail modülü gerekir; kurulumu bildirim ve e-posta modülü rehberinde anlattık. Passkey ise parmak izi, yüz tanıma ya da cihaz PIN'iyle parolasız giriş sağlar, yalnızca HTTPS adreste çalışır. Personel için açtıktan sonra her personel kendi Hesap Ayarları > Güvenlik > Passkey bölümünden Passkey Ekle ile anahtarını kaydeder.

BotShield nasıl çalışır ve nasıl ayarlanır?

BotShield sekmesi ({admin}/settings/security?general=botShield) korunan formları dört grupta listeler:

• BotShield Koruması: Varsayılan açık. Eşiği aşan IP adreslerinden captcha istenir.
• Zaman penceresi: Varsayılan 10, birimi varsayılan Dakika. Denemelerin sayıldığı süreyi belirler.
• Eşik: Her form için ayrı. Hazır duruşlar Sıkı (2), Dengeli (5), Gevşek (10) ya da Özel. 0 o formu koruma dışında bırakır.

Bir form için özel eşik: ana anahtarın açık olduğundan emin olun, formun satırında duruş seçiciden Özel'i seçin, deneme sayısını yazın ve Değişiklikleri Kaydet deyin. Aynı IP'den gelen denemeler bu sayıyı geçtiğinde form captcha ister; doğrulama geçildiğinde o IP'nin sayacı sıfırlanır.

Captcha Güvenliği ve BotShield ilişkisi

Captcha Güvenlik sekmesi ({admin}/settings/security?general=captcha) sağlayıcıyı seçer: yerleşik captcha, Cloudflare Turnstile, hCaptcha ya da Google reCAPTCHA v3. Aynı anda yalnızca bir sağlayıcı aktif olur ve seçili sağlayıcı Hazır rozetine ulaşmadan (yani anahtarları dolmadan) Captcha Durumu kaydedilemez.

İşlem Kısıtlama, Spam Koruması ve Yasak Listesi

İşlem Kısıtlama sekmesi her işlem için bir deneme (ya da istek) sayısı ve engelleme süresi tanımlar; ikisinden biri sıfırsa satır kapanır. Belgede bilinen bir kusur olarak, Hesap Erişimi grubundaki dört satırın (Giriş, Parola Sıfırlama, E-posta Doğrulama, SMS Doğrulama) kaydedildiği ama henüz uygulanmadığı belirtilir; Genel Formlar ve Sorgular grubu çalışır. Bu nedenle giriş formunu BotShield ile korumak önemlidir. Engel Kayıtlarını Temizle butonu, elle eklenen IP, e-posta ve telefon engelleri dahil sistemdeki tüm engel kayıtlarını siler.

Spam Koruması misafir formlarını ve Email Pipe ile gelen mesajları dört bağımsız kuralla denetler: Project Honey Pot API (Risk Score varsayılan 25), geçici e-posta hizmetlerini engelleme, anonim IP'leri engelleme ve engellenen anahtar kelimeler. Yasak Listesi ise yasaklı alan adı, e-posta, telefon ya da kelime taşıyan hesap açma ve satın alma isteklerini reddeder; engellenen IP adresleri de burada listelenir ve kaldırılır. İki sekmedeki kelime listeleri birbirinden bağımsızdır.

Yönetici hesapları ve yetki grupları

Personel hesapları Ayarlar > Yönetici ve Personeller > Hesaplar ekranındadır ({admin}/admins). Kök yönetici satırı Root Admin rozeti taşır ve silinemez; kendi hesabınızı da silemezsiniz. Yeni hesapta en az Adı Soyadı, E-posta ve Yetki Grubu doldurulur, Parola Tanımla sekmesinden parola verilir.

• ADMIN_CREATE: Hesap Oluştur butonunu gösterir.
• ADMIN_SHOW: Var olan hesabı açar.
• ADMIN_EDIT: Formu kaydeder ve personelin iki adımlı doğrulamasını kapatır.
• ADMIN_DELETE: Hesabı siler; giriş geçmişi ve profil fotoğrafı da birlikte gider.

Bir personelin 2FA'sını kapatmak için Güvenlik Ayarları sekmesinde Devre Dışı Bırak'a tıklarsınız; onay penceresi personelin değil, sizin parolanızı ister.

Yetki grubu oluşturma

Yetki grupları Yönetici ve Personeller > Yetkilendirme ekranındadır ({admin}/privileges). Yetki Grubu Oluştur formunda grup adı verir, yetkileri tek tek, kart bazında ya da Tam Yetki Uygula ile işaretlersiniz. Kartlar Panel, Ayarlar, Ürünler, Hizmetler, Müşteriler, Faturalandırma, Güvenlik gibi alanlara ayrılır. BTK Raporları yetkisi yalnızca ülkesi Türkiye olan kurulumlarda görünür.

• Destek ekibi için yalnızca Talepleri Görüntüleme, Talep İşlemleri ve Hazır Yanıtlar içeren bir grup kurun.
• Muhasebe ekibine faturalandırma kartını verin, güvenlik ve yönetici kartlarını vermeyin.
• Tam yetkiyi yalnızca gerçekten gerekli kişilere bırakın.

Denetim kayıtları: kim, ne zaman, nereden?

Etkinlik Kayıtları ({admin}/tools/actions) Müşteri, Sistem ve Yönetici sekmelerinde her işlemi yapanı, açıklamayı, tarihi ve IP adresini gösterir; satır detayında değişen alanların eski ve yeni değerleri bulunur. Oturum Kayıtları ({admin}/tools/actions/login-log) her girişin platformunu, tarayıcısını, IP adresini, ülkesini ve şehrini listeler.

• Şüpheli bir giriş için aynı hesabın satırlarındaki Ülke, Şehir ve Platform sütunlarını karşılaştırın.
• IP sütunundaki sorgulama butonuyla aynı adresten başka kimin bağlandığına bakın.
• Konumu kanıt değil, kontrol sebebi sayın; VPN ve mobil şebeke konumu kaydırabilir.

Kurulum sonrası güvenlik kontrol listesi

• Yönetim paneli erişim yolunu varsayılandan farklı yapın.
• Personel için iki adımlı doğrulamayı zorunlu kılın, müşteriler için en az bir yöntemi açın.
• BotShield'in açık olduğunu ve giriş formunun eşiğinin 0 olmadığını doğrulayın.
• Bir captcha sağlayıcısını Hazır duruma getirin.
• Her personele yalnızca ihtiyacı olan yetki grubunu verin.
• Oturum kayıtlarını düzenli kontrol edin, yedekleme sekmesini yapılandırın.
• Sunucu tarafında güvenlik duvarı kurun; Hetzner kullanıyorsanız Hetzner Cloud Firewall yazısına bakın.

Sık Sorulan Sorular

Panel adresimi değiştirdim, eski adres çalışmıyor. Normal mi?

Evet. Yönetim Paneli Erişim Yolu'nu değiştirmek paneli yeni adrese taşır. Yeni yolu not edin ve ekibinizle paylaşın.

BotShield ile Captcha Güvenliği aynı şey mi?

Hayır. Captcha Güvenliği sağlayıcıyı seçer ve hangi formun her zaman captcha göstereceğini belirler; BotShield ise Koşullu bırakılan formlarda yalnızca eşiği aşan IP'ye captcha gösterir.

Personel 2FA cihazını kaybetti, ne yapmalıyım?

ADMIN_EDIT yetkisine sahip bir yönetici, personelin hesabında Güvenlik Ayarları sekmesinden Devre Dışı Bırak ile 2FA'yı kendi parolasıyla kapatabilir.

Belirli bir IP'yi elle engelleyebilir miyim?

Yasak Listesi'ne elle IP eklenemez; adresler bir IP detay penceresinden ya da spam olarak bildirilen bir iletişim mesajından gelir. Yasak Listesi tablosu bu engelleri kaldırmak içindir.

Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: WISECP nedir · WISECP taşıma ve yedekleme · WISECP bildirim şablonları · VPS güvenlik sertleştirme · REST API güvenliği