VPS Sunucu Güvenliği Nasıl Sağlanır? Adım Adım VPS Güvenlik Rehberi26/01/2026 tarihinde gönderilmiş MarkaHost Editör tarafından VPS Sunucu Güvenliğinin Temel Prensipleri 1. İlk Kurulumda Yapılması Gereken Temel Güvenlik Ayarları Root erişimini güvene almak SSH anahtar (key) tabanlı kimlik doğrulama kullanmak Güçlü parola politikası oluşturmak 2. İşletim Sistemi ve Yazılımları Güncel Tutmak Linux sunucularda güncelleme Kontrol panelleri ve eklentiler Uygulama seviyesinde güncellemeler 3. Güvenlik Duvarı (Firewall) ve Port Yönetimi Temel firewall yapılandırması SSH portunu değiştirmek Windows VPS için RDP güvenliği 4. Saldırı Tespit ve Engelleme: Fail2ban, WAF ve Cloud Servisler Fail2ban ile brute force saldırılarını engellemek Web Application Firewall (WAF) kullanmak Cloudflare ve benzeri servislerle ek koruma 5. Uygulama, Web Sunucusu ve Veritabanı Güvenliği Web sunucusunu sertleştirmek (hardening) PHP ve uygulama katmanı ayarları Veritabanı güvenliği 6. Zararlı Yazılımlar, Sıfır Gün Açıkları ve İzleme Zararlı yazılımlara karşı tarama yapmak Sıfır gün açıkları ve güncel kalmak Log yönetimi ve alarm mekanizmaları 7. Yedekleme (Backup) Stratejisi Oluşturmak 8. Performans ve Güvenlik Dengesi 9. Adım Adım VPS Güvenlik Checklist (Özet) Sonuç: Güvenli Bir VPS İçin Süreklilik ŞartVPS sunucu size özgürlük, esneklik ve tam kontrol sağlar; ancak bu özgürlük beraberinde ciddi bir sorumluluk da getirir: güvenlik. Paylaşımlı hostingde güvenliğin önemli bir kısmı hizmet sağlayıcı tarafından yönetilirken, VPS tarafında işletim sistemi, servisler ve uygulamalar doğrudan sizin kontrolünüzdedir. Yani yanlış yapılandırılmış bir VPS, sadece web sitenizi değil; veritabanınızı, e-posta hesaplarınızı, müşteri verilerinizi ve markanızın itibarını da riske atabilir.MarkaHost’ta sıkça gördüğümüz tablo şu: Performans veya esneklik için hızla VPS’e geçiliyor, proje yayına alınıyor, fakat temel güvenlik adımları erteleniyor. Sonuç çoğu zaman brute force denemeleri, spam e-posta gönderimleri, zararlı yazılım bulaşması veya beklenmedik kaynak tüketimi olarak geri dönüyor. Bu yazıda, teknik seviyeniz ne olursa olsun uygulayabileceğiniz, pratik ve adım adım bir VPS sunucu güvenliği rehberi hazırladık. Anlatımda hem Linux hem Windows VPS senaryolarına değineceğiz, ama odak noktamız prensipler olacak: güncelleme, erişim kontrolü, ağ güvenliği, izleme ve yedekleme.VPS Sunucu Güvenliğinin Temel PrensipleriDetaylı adımlara geçmeden önce, sağlam bir VPS güvenliği için mutlaka oturtmanız gereken birkaç temel prensip var:En az yetki: Kullanıcılara ve servis hesaplarına sadece ihtiyaç duydukları yetkileri verin.Güncellik: İşletim sistemi, kontrol panelleri ve uygulamalar daima güncel olsun.Saldırı yüzeyini küçültme: Kullanmadığınız servisleri kapatın, gereksiz portları kapalı tutun.Görünürlük: Loglarınızı takip edin, anomali fark edebilecek temel izleme mekanizmalarını kurun.Yedeklilik: Her zaman geri dönebileceğiniz sağlıklı yedekleriniz olsun.VPS kavramına yeniyseniz, önce VPS nedir ve nasıl çalışır yazımıza göz atmanız, aşağıdaki adımları çok daha rahat anlamanızı sağlayacaktır.1. İlk Kurulumda Yapılması Gereken Temel Güvenlik AyarlarıRoot erişimini güvene almakLinux VPS tarafında geleneksel olarak ilk iş, SSH üzerinden root hesabına doğrudan erişimi kapatmaktır. Bunun yerine:Yeni bir kullanıcı oluşturun.Bu kullanıcıya sudo yetkisi verin.SSH yapılandırmasında PermitRootLogin no ayarını kullanın.Bu sayede saldırganlar doğrudan root hesabınızı hedefleyemez; önce geçerli bir kullanıcı adı, ardından parolayı tahmin etmek zorunda kalırlar. Bu da brute force saldırılarını ciddi şekilde zorlaştırır. Brute force saldırı mantığını daha iyi anlamak istiyorsanız, brute force nedir rehberimize mutlaka göz atın.SSH anahtar (key) tabanlı kimlik doğrulama kullanmakParola ile SSH bağlantısı yapmak, özellikle de zayıf veya tekrar kullanılan parolalar söz konusuysa, ciddi risk taşır. Önerilen yaklaşım:Yerel bilgisayarınızda bir SSH anahtar çifti (public/private key) üretin.Genel anahtarı (public key) sunucudaki ilgili kullanıcının ~/.ssh/authorized_keys dosyasına ekleyin.SSH ayarlarında parola ile girişleri kapatın (PasswordAuthentication no).Böylece sunucuya sadece özel anahtarınızı elinde bulunduran cihazlardan bağlanılabilir. Anahtarı kaybetseniz bile, sunucu tarafında anahtarı silerek erişimi anında iptal edebilirsiniz.Güçlü parola politikası oluşturmakSSH anahtarına geçseniz bile, panel girişleri, veritabanı kullanıcıları ve Windows RDP gibi alanlarda parolalar hala kritik öneme sahiptir. Şu prensiplere dikkat edin:En az 12-16 karakter uzunlukta, rastgele üretilmiş parolalar kullanın.Harflere ek olarak rakam ve sembol kullanın.Aynı parolayı birden fazla sistemde asla tekrar etmeyin.Mümkünse parola yöneticisi kullanın.2. İşletim Sistemi ve Yazılımları Güncel TutmakHangi platformda olursanız olun, saldırıların büyük bir kısmı bilinen güvenlik açıkları üzerinden gelir. Bu nedenle düzenli güncelleme, VPS sunucu güvenliğinin en kritik bacaklarından biridir.Linux sunucularda güncellemeDebian/Ubuntu tabanlı sistemlerde:apt update && apt upgrade komutları ile paketleri güncelleyin.Otomatik güvenlik güncellemelerini etkinleştirmeyi değerlendirin.RHEL/CentOS tabanlı sistemlerde ise:yum update veya dnf update komutlarını düzenli aralıklarla çalıştırın.Komut satırına hakim değilseniz, temel Linux terminal komutları rehberimiz iyi bir başlangıç olacaktır.Kontrol panelleri ve eklentilercPanel, Plesk, aaPanel gibi paneller kullanıyorsanız, panel ve eklentilerin güncel tutulması en az işletim sistemi kadar önemlidir. Eski sürümler sık sık istismar edilen açıklar barındırır. Özellikle aaPanel kullanıyorsanız paneldeki güncelleme uyarılarını dikkate alın ve mümkün olduğunca kısa sürede uygulayın.Uygulama seviyesinde güncellemelerWordPress, Joomla, Laravel veya özel yazılım fark etmeksizin, çatı (framework) ve eklentileriniz güncel değilse, güvenlik zincirinizin en zayıf halkası onlar olur. Özellikle WordPress kullanıyorsanız:Çekirdek (core) güncellemelerini ertelemeyin.Kullanmadığınız tema ve eklentileri tamamen kaldırın.Geliştiricisi tarafından terk edilmiş eklentilerden uzak durun.3. Güvenlik Duvarı (Firewall) ve Port YönetimiVPS’in doğrudan internete açık olması, her portun potansiyel bir saldırı kapısı olduğu anlamına gelir. Bu yüzden güvenlik duvarı yapılandırması vazgeçilmezdir.Temel firewall yapılandırmasıLinux sistemlerde iptables, ufw veya firewalld kullanarak şu prensiplere göre kural seti oluşturun:Gerekli portları açık bırakın (örneğin 80, 443, SSH için 22 veya değiştirdiğiniz port).Kullanmadığınız tüm portları kapatın.Mümkünse yönetim portlarına sadece belirli IP’lerden erişime izin verin.Güvenlik duvarı mantığına yabancıysanız, temel kavramları anlamak için firewall nedir ve ne işe yarar içeriğimize göz atabilirsiniz.SSH portunu değiştirmekSSH portunu 22’den farklı bir değere taşımak tek başına tam koruma sağlamasa da, otomatik tarama ve bot trafiğini önemli ölçüde azaltır. Bu değişiklik sonrasında firewall’da yeni portu mutlaka açtığınızdan emin olun.Windows VPS için RDP güvenliğiWindows VPS kullanıyorsanız, uzak masaüstü (RDP) bağlantılarını şu şekilde sağlamlaştırın:RDP portunu varsayılan 3389’dan farklı bir porta taşıyın.Güçlü, tahmin edilmesi zor parolalar kullanın.Mümkünse VPN üzerinden erişim kurgulayın.Belirli IP blokları dışında RDP erişimini kısıtlayın.RDP kullanım geçmişini ve bağlantıları temiz tutmak için Windows uzak bağlantı geçmişi temizleme rehberimizi de inceleyebilirsiniz.4. Saldırı Tespit ve Engelleme: Fail2ban, WAF ve Cloud ServislerFail2ban ile brute force saldırılarını engellemekLinux VPS’lerde sık kullanılan araçlardan biri de Fail2ban’dir. Bu araç, log dosyalarını izler; belirli bir IP’den çok fazla başarısız giriş denemesi tespit ederse, o IP’yi firewall üzerinden otomatik olarak engeller. Özellikle SSH, FTP, SMTP ve web paneli girişleri için son derece etkilidir.Web Application Firewall (WAF) kullanmakSQL injection, XSS, LFI gibi uygulama katmanı saldırılarına karşı klasik firewall her zaman yeterli değildir. Bu noktada devreye WAF çözümleri girer. Uygulama katmanındaki anormal istekleri filtreleyerek, web sitenizi ve API’lerinizi korumaya yardımcı olurlar.Cloudflare ve benzeri servislerle ek korumaÖzellikle DDoS saldırıları, bot trafiği ve kötü niyetli isteklerin filtrelenmesi için Cloudflare gibi servisler oldukça etkilidir. DNS trafiğinizi bu hizmetler üzerinden geçirerek hem performans hem güvenlik kazanabilirsiniz. Konuya yabancıysanız, Cloudflare nedir ve nasıl kullanılır ile Cloudflare ile zararlı erişimleri engelleme yazılarımızdan yararlanabilirsiniz.5. Uygulama, Web Sunucusu ve Veritabanı GüvenliğiWeb sunucusunu sertleştirmek (hardening)Apache, Nginx gibi web sunucuları doğru yapılandırılmadığında, saldırganlara gereğinden fazla bilgi verebilir veya gereksiz modüller üzerinden açık oluşturabilir. Örneğin:Sunucu imzasını (server signature) kapatın.Gereksiz modülleri devre dışı bırakın.Dizin listelemeyi kapatın.Apache tarafına ilgi duyuyorsanız, daha teknik detaylar için Apache nedir ve nerede kullanılır yazımızı okuyabilirsiniz.PHP ve uygulama katmanı ayarlarıPHP tabanlı uygulamalarda:display_errors ayarını üretim ortamında kapatın.Gerekli olmayan exec, shell_exec gibi fonksiyonları devre dışı bırakmayı değerlendirin.Dosya yükleme boyutlarını ve uzantılarını sınırlandırın.Veritabanı güvenliğiVeritabanları çoğu proje için en kritik bileşen konumundadır. Şu noktalara dikkat edin:Veritabanını mümkünse sadece localhost’tan erişilebilir şekilde çalıştırın.Her uygulama için ayrı veritabanı kullanıcısı oluşturun.Kullanıcılara sadece ihtiyaç duydukları yetkileri verin.Varsayılan kullanıcı adlarından (örneğin root) uzak durun veya ek güvenlik katmanları uygulayın.6. Zararlı Yazılımlar, Sıfır Gün Açıkları ve İzlemeZararlı yazılımlara karşı tarama yapmakVPS’iniz ele geçirildiğinde her zaman fark etmeyebilirsiniz. Bazı saldırganlar sisteme sessizce yerleşip spam, DDoS veya kripto madenciliği yapmak için sunucunuzu kullanır. Bu nedenle periyodik olarak zararlı yazılım taraması yapmak önemlidir. Zararlı yazılım türleri hakkında detaylı bilgi için zararlı yazılım nedir yazımıza göz atabilirsiniz.Sıfır gün açıkları ve güncel kalmakHenüz üreticisi tarafından kapatılmamış, yeni ortaya çıkan güvenlik açıklarına sıfır gün açığı denir. Tamamen korunmak her zaman mümkün olmasa da, güvenlik bültenlerini takip etmek, yazılımları gecikmeden güncellemek ve gereksiz servisleri kapatmak riskinizi ciddi ölçüde azaltır. Bu kavramı daha derinlemesine anlamak için sıfır gün açığı nedir içeriğimizi inceleyebilirsiniz.Log yönetimi ve alarm mekanizmalarıBaşarısız giriş denemeleri, olağan dışı trafik artışları, beklenmedik hata mesajları… Tüm bunlar log dosyalarınızda zaten yazıyor. Önemli olan bu logları düzenli olarak incelemek ve kritik eşikler için alarm tanımlamak. Log kavramına aşina değilseniz, log kaydı nedir ve nasıl incelenir yazımızı mutlaka okumanızı öneririz.7. Yedekleme (Backup) Stratejisi OluşturmakEn sağlam güvenlik altyapısı bile yüzde yüz garanti vermez. Bir gün yanlış bir komutla dizin silebilir, bir yazılım güncellemesi ile sistemi bozabilir veya beklenmedik bir saldırı sonucu verileriniz zarar görebilir. Bu yüzden iyi bir yedekleme stratejisi VPS güvenliğinin ayrılmaz bir parçasıdır.Yedekleri sadece aynı sunucuda tutmayın; farklı bir fiziksel ortamda veya depolama alanında saklayın.Yedekleme sıklığını proje kritikliğine göre belirleyin (günlük, saatlik vb.).Yedeklerin gerçekten çalıştığından emin olmak için periyodik olarak geri yükleme testi yapın.MarkaHost altyapısında VPS sunucular için planlarken, proje ihtiyacına göre hem otomatik hem manuel yedekleme stratejileri kurgulamanız konusunda da size destek sunuyoruz.8. Performans ve Güvenlik DengesiGüvenlik önlemleri ile performans arasında her zaman ince bir denge vardır. Çok sıkı firewall kuralları gerçek kullanıcı trafiğini de zorlaştırabilir; aşırı loglama disk alanını tüketebilir. Bu yüzden hem güvenliği hem performansı birlikte ele almak gerekir. Bu noktada, sunucu optimizasyonu ve performans arttırma rehberimizde anlattığımız prensipler, güvenlik ayarlarını yaparken de işinize yarayacaktır.9. Adım Adım VPS Güvenlik Checklist (Özet)Tüm anlattıklarımızı uygulamaya dökmeniz için pratik bir kontrol listesini aşağıya bırakıyorum. Yeni bir VPS kurduğunuzda veya mevcut sunucunuzu gözden geçirmek istediğinizde bu listeyi kullanabilirsiniz:Root’a doğrudan giriş kapatıldı, sudo yetkili ayrı kullanıcı oluşturuldu mu?SSH için anahtar tabanlı kimlik doğrulama etkin mi, parola ile giriş kapalı mı?İşletim sistemi, panel ve uygulamalar güncel mi?Firewall aktif mi, sadece gerekli portlar açık mı?SSH/RDP portları varsayılan değerlerden farklı mı?Fail2ban veya benzeri saldırı engelleme araçları kurulu mu?Web sunucusu ve veritabanı yapılandırmaları gözden geçirildi mi?Loglar düzenli olarak inceleniyor veya uyarı mekanizması var mı?Çalışır durumda, test edilmiş bir yedekleme sistemi mevcut mu?Dış koruma için Cloudflare benzeri bir katman yapılandırıldı mı?Sonuç: Güvenli Bir VPS İçin Süreklilik ŞartVPS sunucu güvenliği, “bir kere ayarla, unut” mantığıyla yönetebileceğiniz bir konu değil. İşletim sistemi güncelleniyor, yeni güvenlik açıkları keşfediliyor, projeleriniz büyüyor, trafik deseniniz değişiyor. Yani hem tehditler hem de ihtiyaçlar zaman içinde sürekli evriliyor. Bu yüzden güvenliği de canlı bir süreç gibi ele almak, periyodik kontroller ve iyileştirmeler yapmak gerekiyor.MarkaHost olarak, VPS ve diğer sunucu çözümlerimizi tasarlarken hem performans hem de güvenlik tarafında size sağlam bir zemin sunmaya odaklanıyoruz. Doğru kaynak seçimi, güvenli ağ kurgusu, düzenli yedekleme planları ve ihtiyaç halinde yönetilen hizmet desteği ile, projenizi güvenle büyütmenize yardımcı olabiliriz. Eğer mevcut VPS’inizin ne kadar güvenli olduğundan emin değilseniz, altyapınızı birlikte gözden geçirmek ve ihtiyacınıza en uygun VPS veya ideal Fiziksel Sunucu senaryosunu planlamak için bizimle iletişime geçebilirsiniz. Güvenli, hızlı ve sürdürülebilir bir altyapı için ilk adım her zaman farkındalık; ikinci adım ise doğru konfigürasyondur.