# WordPress Sitesini DDoS Saldırılarından Koruma

> WordPress internetin en çok saldırıya uğrayan altyapısı, ve bu konudaki tavsiyelerin çoğu eklenti reklamı. Gerçekten işe yarayan katmanlar, önem sırasına göre.

- Category: Uygulama
- Author: David Patel, Altyapı Mühendisi
- Published: Sep 19, 2026
- Canonical: https://akarguard.net/tr/blog/wordpress-ddos-koruma

---

WordPress yaygın olduğu için otomatik saldırıların varsayılan hedefidir. Aynı zamanda aşırı yüklenmesi kolaydır: önbelleğe alınmamış tek bir istek onlarca veritabanı sorgusu tetikleyebilir. Statik bir sitenin umursamayacağı bir yük, WordPress sunucusunu saniyede birkaç yüz istekle çökertebilir.

## En Çok Hedef Alınan Üç Adres

- xmlrpc.php — Eski uzaktan yayın arayüzü. Tek istekte birden fazla işlem taşıyabildiği için yükselticidir.
- wp-login.php — Hem şifre denemeleri hem de ucuza veritabanı yükü oluşturmak için hedeflenir.
- Arama ve filtreli arşiv adresleri — Her farklı sorgu önbelleği atlayıp PHP ve veritabanına ulaşır.

> **Önbellek tek başına koruma değildir** — Sayfa önbelleği yalnızca önbelleklenebilir adresler istendiğinde işe yarar. Her isteğe rastgele bir sorgu parametresi eklemek onu devre dışı bırakır — otomatik saldırıların yaptığı tam olarak budur.

## Önem Sırasına Göre Katmanlar

- Uç katmanda filtreleme ve tarayıcı kontrolü, böylece saldırı trafiği PHP'ye hiç ulaşmaz.
- IP başına hız sınırı: giriş ve aramada sıkı, statik dosyalarda gevşek.
- Kullanmıyorsanız xmlrpc.php'yi tamamen kapatın.
- Sorgu parametreleri için mantıklı bir politikayla tam sayfa önbelleği.
- PHP işçi sayısını makinenize göre ayarlayın: bellek tükenip tüm sunucuyu düşürmeyecek kadar sınırlı olsun.

## Gerçek IP'yi Gizleyin

WordPress'te uç koruma en sık şu yüzden başarısız olur: sunucunun gerçek adresi hâlâ herkese açıktır. Eski DNS kayıtları, sitenin gönderdiği e-postaların başlıkları ve korumaya alınmamış alt alan adları üzerinden sızar. Trafik korumadan geçmeye başladıktan sonra sunucu yalnızca koruma adreslerinden bağlantı kabul etmelidir — bu bir güvenlik duvarı kuralıdır, eklenti ayarı değil.

## Neyi Atlayabilirsiniz

IP engellemeyi PHP içinde yapan güvenlik eklentileri, saldırı anında her zararlı istek için fazladan bir veritabanı yazma işlemi demektir. Yavaş şifre denemelerine karşı faydalıdırlar, hacme karşı işe yaramazlar.

---

Source: Akarguard Security Blog (https://akarguard.net/tr/blog). Akarguard provides DDoS protection: traffic is proxied through our edge, attack traffic is filtered, and clean traffic reaches your origin. Reuse of this article with attribution and a link to the canonical URL is permitted.