Sunucu Güncellemelerini Kim Yapar?

Kısa cevap: Sunucu güncellemeleri hosting türüne göre sağlayıcıda ya da sizde olabilir. Site yazılımı güncellemeleri ise her zaman sizin (ya da ajansınızın) sorumluluğundadır.

Bu ayrımın bilinmemesi, güncellenmeyen ve zamanla savunmasız kalan sistemlere yol açar.

İki farklı güncelleme

1. Sunucu düzeyi

• İşletim sistemi yamaları
• Web sunucusu yazılımı
• Veritabanı sunucusu
• Programlama dili sürümleri
• Güvenlik bileşenleri

2. Site düzeyi

• İçerik yönetim sistemi
• Eklentiler
• Tema
• Kütüphaneler
• Özel geliştirilmiş kod

Hosting türüne göre sorumluluk

Kritik satırlar: Yönetilmeyen seçeneklerde sunucu güncellemeleri size aittir. Bu, ucuz görünen bu paketlerin gizli maliyetidir.

Site güncellemeleri neden bu kadar önemli?

Ele geçirilen sitelerin büyük çoğunluğunda sebep, güncel olmayan bir bileşendir. Süreç şöyle işler:

1. Bir eklentide güvenlik açığı bulunur
2. Geliştirici güncelleme yayımlar
3. Açık kamuya açıklanır
4. Otomatik tarayıcılar bu açığa sahip siteleri aramaya başlar
5. Güncellemeyi yapmamış siteler ele geçirilir

Yani güncelleme yayımlandıktan sonra geçen her gün riski artırır.

Güncelleme sorumluluğu nasıl tanımlanmalı?

Şirkette şu soruların yazılı cevabı olmalı:

• ☐ Site güncellemelerini kim yapıyor?
• ☐ Ne sıklıkla kontrol ediliyor?
• ☐ Güncelleme öncesi yedek alınıyor mu?
• ☐ Önce test ortamında deneniyor mu?
• ☐ Güncelleme sonrası site kontrol ediliyor mu?
• ☐ Bozulursa geri dönüş nasıl yapılıyor?
• ☐ Bu iş sözleşmeye bağlı mı?

En sık yaşanan durum: Site kurulur, ajansla sözleşme biter, güncellemeleri kimse yapmaz. Bir yıl sonra site savunmasızdır.

Bakım anlaşması

Bu boşluğu kapatmanın standart yolu bir bakım anlaşmasıdır. Kapsamında olması gerekenler:

• Düzenli güncelleme kontrolü
• Güncelleme öncesi yedek
• Test ortamında deneme
• Güncelleme sonrası doğrulama
• Sorun hâlinde geri dönüş
• Aylık rapor
• Güvenlik uyarılarının takibi

Bu hizmet, bir güvenlik olayının maliyetiyle karşılaştırıldığında düşük bir kalemdir.

Otomatik güncelleme: iyi mi kötü mü?

Dengeli yaklaşım:

• Güvenlik yamaları otomatik uygulansın
• Büyük sürüm geçişleri kontrollü yapılsın
• Güncelleme öncesi otomatik yedek alınsın
• Bozulma hâlinde geri dönüş imkânı olsun
• Kritik siteler için önce test ortamı

Güncelleme rutini

1. ☐ Yedek alın
2. ☐ Test ortamında uygulayın
3. ☐ Kritik akışları test edin
4. ☐ Canlıya uygulayın
5. ☐ Siteyi kontrol edin
6. ☐ Formları ve ödeme akışını test edin
7. ☐ Sorun varsa geri dönün
8. ☐ Kayıt tutun

Üçüncü ve altıncı maddeler atlanmamalı: bir güncelleme siteyi açık bırakıp iletişim formunu bozabilir ve haftalarca fark edilmez.

Ne kadar sıklıkla?

Kontrol sorusu

Şirketinizde şu soruya net cevap verebiliyor musunuz:

"Sitemizin son güncellemesi ne zaman yapıldı ve kim yaptı?"

Cevap veremiyorsanız, muhtemelen bu iş kimsenin sorumluluğunda değildir ve düzeltilmesi gereken ilk konudur.