Ekip erişimi ve iki adımlı doğrulama: Hesaplarınızı güvenle paylaşın
· PoolByte Technology
Bir web sitesinin güvenliği çoğu zaman sunucudaki bir açıktan değil, ele geçirilen bir hesaptan bozulur. Alan adı paneline erişen biri DNS kayıtlarını değiştirip sitenizi ve e-postalarınızı başka bir yere yönlendirebilir. Hosting paneline giren biri dosyaları silebilir, yönetim paneline giren biri ise içeriği değiştirebilir. Bu hesapların hepsi, işletmenizin dijital anahtarlarıdır. Kişiye özel hesaplar ve iki adımlı doğrulama, bu anahtarları korumanın en etkili yollarındandır.
Projelerde çalışan ajanslar, serbest geliştiriciler ve yeni ekip arkadaşları bu anahtarlara ihtiyaç duyar. Sorun, erişimin nasıl verildiğindedir: WhatsApp'tan gönderilen tek bir yönetici şifresi, yıllar sonra hâlâ kimlerin elinde olduğu bilinmeyen bir risk hâline gelir.
Hesaplarınızın haritasını çıkarın
İlk adım, sitenizle ilgili bütün hesapları tek bir listede toplamaktır:
- Alan adının kayıtlı olduğu müşteri paneli ve DNS yönetimi
- Hosting ve cPanel hesabı
- Web sitesinin yönetim paneli
- Kurumsal e-posta hesapları
- CDN, ödeme sağlayıcısı ve e-posta gönderim servisi
- Search Console, Analytics ve etiket yöneticisi
- Sosyal medya ve işletme profilleri
Her hesap için sahibini, kurtarma e-postasını ve kimlerin erişimi olduğunu yazın. Kritik hesapların bir çalışanın veya ajansın kişisel e-postasıyla değil, işletmenin kontrolündeki bir adresle açılmış olması gerekir. Alan adı tarafındaki riskleri alan adı güvenliği rehberimizde ayrıca ele aldık.
Tek şifre yerine kişiye özel erişim verin
Mümkün olan her yerde ortak bir yönetici şifresi yerine kişiye özel hesap açın. Web sitesi yönetim panellerinde editör, yazar veya yönetici gibi roller bulunur; içerik girecek bir kişiye tam yönetici yetkisi vermek gerekmez. Search Console ve Analytics gibi araçlar da kullanıcıyı kendi hesabıyla ve sınırlı yetkiyle eklemenize izin verir.
Hosting tarafında dosya erişimi için ayrı FTP veya SFTP hesapları oluşturabilir, bunları belirli bir klasörle sınırlayabilirsiniz. Anahtar tabanlı bağlantı kullanmak şifre paylaşımını tamamen ortadan kaldırır; ayrıntılar SFTP rehberimizde yer alıyor.
Kişiye özel hesabın en büyük faydası, iş bittiğinde yalnızca o kişinin erişimini kapatabilmenizdir. Ortak şifrede ise erişimi kapatmak, şifreyi bilen herkesin işini aynı anda bozmak anlamına gelir.
İki adımlı doğrulamayı açın
İki adımlı doğrulama (2FA), giriş sırasında şifreye ek olarak ikinci bir kanıt ister. Şifre bir şekilde ele geçirilse bile ikinci adım olmadan hesaba girilemez. Yöntemler güvenlik düzeyine göre farklılık gösterir:
- SMS ile gelen kod hiç yoktan iyidir; ancak SIM kartın kopyalanması gibi saldırılara karşı daha zayıftır.
- Doğrulama uygulamalarının ürettiği süreli kodlar çoğu kullanım için iyi bir dengedir.
- Donanım güvenlik anahtarları ve geçiş anahtarları (passkey), sahte giriş sayfalarına karşı en güçlü korumayı sağlar.
Öncelik sırasını hesabın kritikliğine göre belirleyin: alan adı paneli, e-posta ve hosting hesabı listenin başında olmalıdır. Kurulum sırasında verilen yedek kodları güvenli bir yerde saklayın; telefon kaybolduğunda hesaba dönmenin yolu bunlardır.
Kurtarma bilgilerini güncel tutun
Bir hesabın en zayıf noktası çoğu zaman şifre sıfırlama yoludur. Kurtarma e-postası işten ayrılmış birine ait, kurtarma telefonu ise artık kullanılmayan bir hat olabilir. Bu durumda hem hesap ele geçirilmeye açık kalır hem de gerçek sahibi erişimini kaybettiğinde geri alamaz.
Kritik hesaplarda kurtarma adresini işletmenin ortak ve takip edilen bir adresine çekin. Alan adı iletişim e-postasının çalıştığını ve gelen bildirimlerin okunduğunu da kontrol edin.
Şifreleri güvenli bir yerde paylaşın
Paylaşılması kaçınılmaz bir erişim varsa bunu mesajlaşma uygulaması veya e-posta yerine ekip özelliği olan bir parola yöneticisi üzerinden yapın. Parola yöneticisi, kimin hangi kayda erişebildiğini görmenizi ve erişimi tek tıkla geri almanızı sağlar. Uzun, rastgele ve her hesap için farklı şifre kullanmayı da kolaylaştırır.
Bir proje tamamlandığında veya bir iş ortağıyla çalışma sona erdiğinde, ona verdiğiniz bütün erişimleri kaldırın ve paylaşılmış şifreleri değiştirin.
Erişimleri düzenli gözden geçirin
Yılda birkaç kez, hesap listenizi açıp kullanıcıları tek tek kontrol edin. Tanımadığınız bir kullanıcı, uzun süredir kullanılmayan bir yönetici hesabı veya unutulmuş bir API anahtarı varsa kaldırın. İki adımlı doğrulamanın bütün kritik hesaplarda açık olduğunu da bu kontrolde doğrulayın. Güvenlik bildirimlerini, yeni cihazdan giriş uyarılarını ve yönetim paneli kayıtlarını da bu kontrolün parçası yapın.
Sık sorulan sorular
Telefonum kaybolursa iki adımlı doğrulama nedeniyle hesabıma giremez miyim?
Kurulum sırasında verilen yedek kodları sakladıysanız bunlarla giriş yapabilirsiniz. Bu yüzden yedek kodları şifrelerden ayrı ve güvenli bir yerde tutmak önemlidir. Mümkünse ikinci bir doğrulama yöntemi de tanımlayın.
Ajansıma tam yönetici yetkisi vermeli miyim?
Yapılacak işin gerektirdiği en düşük yetkiyle başlayın. Geçici olarak geniş yetki gerekiyorsa iş bitiminde yetkiyi düşürün veya hesabı kapatın. Alan adı ve e-posta hesabının sahipliği her durumda işletmede kalmalıdır.