FTP, SFTP ve Dosya Yönetimi: Hosting Hesabınıza Güvenli Erişim

Dosya aktarımı, hosting hesabıyla kurduğunuz en sık ilişkidir ve tam da bu yüzden en çok ihmal edilen güvenlik noktasıdır. Yıllardır aynı FTP hesabıyla, aynı şifreyle, şifrelenmemiş bir bağlantı üzerinden çalışıyor olabilirsiniz.

Bu rehber, Linux hosting veya Windows hosting hesabınızda dosya erişimini güvenli ve düzenli hâle getirmeyi anlatıyor.

Üç Protokol, Üç Farklı Güvenlik Seviyesi

İlk satır önemlidir ve hâlâ yaygın biçimde göz ardı edilir: klasik FTP, kullanıcı adı ve şifreyi şifrelenmemiş biçimde gönderir. Aynı ağdaki biri bu bilgileri okuyabilir. Ortak bir kablosuz ağdan bağlanıp dosya yüklediğinizde hosting şifrenizi o ağa açık etmiş olursunuz.

Sağlayıcınız SFTP destekliyorsa — çoğu destekler — klasik FTP kullanmayı bırakın. Geçiş, istemcinizde protokol seçimini değiştirmekten ibarettir.

FTP Hesap Yönetimi

Tek bir ana hesapla her işi yapmak pratik görünür ama gereksiz risk üretir.

• Sınırlı kapsamlı hesaplar oluşturun. Bir geliştiriciye yalnızca tema dizinine erişim vermek, tüm hesaba erişim vermekten iyidir. Çoğu panel, belirli bir dizine kilitlenmiş FTP kullanıcısı oluşturmaya izin verir.
• Kullanılmayan hesapları silin. Bir kez iş yaptırdığınız kişi için açtığınız hesap, iş bittikten sonra hâlâ açıktır. FTP hesap listenizi altı ayda bir gözden geçirin.
• Her kişiye ayrı hesap verin. Paylaşılan tek bir hesapta kimin ne yaptığı bilinmez ve biri ayrıldığında şifreyi herkes için değiştirmeniz gerekir.
• Şifreleri istemcide "hatırla" ile saklamayın. Birçok FTP istemcisi şifreleri düz metin olarak kaydeder. Parola yöneticisi kullanın.

Dosya İzinleri

İzin sorunlarında en yaygın "çözüm", her şeye geniş yazma izni vermektir. Bu, sorunu kapatır ve çok daha büyük bir açık yaratır: herhangi bir güvenlik açığından giren saldırgan tüm dosyalarınızı değiştirebilir hâle gelir.

Doğru yaklaşım katmanlıdır:

• Dizinler: Sahibin yazabildiği, diğerlerinin yalnızca okuyup girebildiği izinler.
• Dosyalar: Sahibin yazabildiği, diğerlerinin okuyabildiği izinler.
• Yapılandırma dosyaları: Mümkün olan en dar izin. Veritabanı şifresi içeren dosya, herkesin okuyabildiği bir dosya olmamalıdır.
• Yükleme dizinleri: Yazma izni gerekir — ama bu dizinlerde betik çalıştırma engellenmelidir. Aksi halde yüklenen bir dosya çalıştırılabilir hâle gelir; bu, en yaygın site ele geçirme yöntemlerinden biridir.

Web Kökü Dışında Ne Durmalı?

Hosting hesabınızın web kökü, internetten erişilebilen dizindir. Oraya konan her şey, doğru adres bilinirse indirilebilir.

Web kökünde asla durmaması gereken dosyalar:

1. Veritabanı dökümleri. Site yedeğini kök dizine koyup unutmak, tüm veritabanınızı indirilebilir hâle getirir. Bu, düşünülenden çok daha sık yaşanır.
2. Sıkıştırılmış yedek arşivleri. Aynı gerekçe.
3. Sürüm kontrolü dizinleri. Kaynak kodunuzun tamamı ve geçmişi okunabilir hâle gelir.
4. Ortam yapılandırma dosyaları. Anahtarlar ve şifreler içerir.
5. Eski site kopyaları. "eski", "yedek", "test" gibi adlı klasörler güncellenmediği için bilinen açıklar barındırır ve otomatik taramalar tam olarak bu adları dener.

Bu dosyalara ihtiyacınız varsa web kökünün dışındaki bir dizinde tutun. Mümkün değilse en azından erişimlerini yönlendirme kurallarıyla engelleyin.

Panel Dosya Yöneticisi mi, FTP İstemcisi mi?

Panelin dosya yöneticisi küçük düzenlemeler için pratiktir: tek bir dosyayı düzenlemek, izin değiştirmek, hızlıca bir dosyaya bakmak. Tarayıcı üzerinden çalıştığı için ek bir program gerektirmez.

Çok sayıda dosya aktarımı, büyük yüklemeler ve senkronizasyon işleri için ise FTP istemcisi belirgin biçimde daha uygundur: kesintide devam edebilir, karşılaştırma yapabilir ve toplu işlemleri güvenilir biçimde yürütür.

Büyük bir site yüklerken pratik bir yöntem: dosyaları sıkıştırılmış tek bir arşiv olarak yükleyip panelin dosya yöneticisinden açmak. Binlerce küçük dosyayı tek tek aktarmaktan kat kat hızlıdır.

Sık Karşılaşılan Aktarım Sorunları

• Bağlantı kuruluyor ama dizin listelenmiyor: Genellikle aktif/pasif mod uyumsuzluğudur. İstemcinizde pasif moda geçin.
• Aktarım yarıda kesiliyor: Eşzamanlı bağlantı sayısını düşürün; bazı sunucular çok sayıda paralel bağlantıyı reddeder.
• Yüklenen dosya bozuk: Aktarım modu sorunu. İkili dosyaları (görsel, arşiv) metin modunda aktarmak dosyayı bozar; istemcinizi otomatik moda alın.
• Gizli dosyalar görünmüyor: Nokta ile başlayan dosyalar varsayılan olarak gizlidir. İstemcinizde gizli dosyaları göster seçeneğini açın — yapılandırma dosyalarının çoğu bu türdendir.
• Dosya yüklenemiyor: Hedef dizinde yazma izni yoktur veya disk/inode kotası dolmuştur.

Sonuç

Dosya erişiminde üç değişiklik, güvenlik seviyenizi belirgin biçimde yükseltir: klasik FTP'yi bırakıp SFTP'ye geçmek, kullanılmayan hesapları silmek ve yedek dosyalarını web kökünden çıkarmak. Üçü de birer kereye mahsus iştir ve toplamda yarım saat sürer. Buna karşılık, şifrelenmemiş bir bağlantıdan sızan tek bir FTP şifresi ya da kök dizinde unutulmuş tek bir veritabanı dökümü, tüm sitenizin ele geçirilmesine yeter.

Sıkça Sorulan Sorular (SSS)

FTP yerine SFTP kullanmak zor mu?

Hayır — istemcinizde protokol seçimini değiştirip doğru portu girmeniz yeterlidir. Kullanıcı adı ve şifre genellikle aynı kalır. Sağlayıcınız SFTP desteklemiyorsa en azından FTPS kullanın; şifrelenmemiş FTP hiçbir koşulda tercih edilmemelidir.

Bir dosya çalışmıyor, herkese yazma izni versem olur mu?

Olur ama ciddi bir açık yaratır. Bu izin, sunucudaki herhangi bir süreç veya bir açıktan giren saldırgan için dosyayı değiştirilebilir kılar. Doğru çözüm, dosyanın sahibini ve grubunu web sunucusuyla uyumlu hâle getirmektir.

Yedek dosyamı kök dizinde tutmanın zararı ne?

İnternetten indirilebilir hâle gelir. Dosya adı tahmin edilebilir olduğunda (site adı, tarih, "yedek" gibi kelimeler) otomatik taramalar bunu dener ve bulur. Bir veritabanı dökümü ele geçtiğinde tüm kullanıcı verileriniz de ele geçmiş olur.

Binlerce dosyayı hızlı nasıl yüklerim?

Tek tek aktarmak yerine sıkıştırılmış bir arşiv olarak yükleyip panelin dosya yöneticisinden açın. Her dosya için ayrı bağlantı kurulmadığı için aktarım kat kat hızlanır.