Bir şirket, ofis ağından WordPress’e giren bakım ekibinin bazı güvenlik kontrollerinde gereksiz yere engellenmesini istemeyebilir. Sabit çıkış IP’sini izin listesine eklemek bu sorunu çözebilir; fakat yanlış istemci adresi algılanıyorsa istisna bütün ziyaretçilere uygulanabilir.
IP adresi kişiyi değil, ağ bağlantısını tanımlar. Bu nedenle izin listesi güçlü parola, 2FA, en az yetki ve giriş loglarının yerine geçmemeli; yalnız açıkça tanımlanmış bir kontrol için kullanılmalıdır.
IP izin listesi nedir?
İzin listesi, WordPress’in gördüğü istemci IP’si kayıtlı adresle eşleştiğinde belirli bir istisna uygular. Bu istisna giriş engelini kaldırabilir, uyarıyı atlayabilir veya özel yönetim yoluna erişim verebilir. Hangi davranışın değiştiği ürün ayarında açıkça anlaşılmalıdır.
Ofis, VPN veya güvenli yönetim ağı için kullanılacak adres genel çıkış IP’sidir. 192.168.x.x gibi özel ağ adresleri internette aynı bağlantıyı tanımlamaz. IPv4 ve IPv6 çıkışları farklıysa ikisi de ayrı değerlendirilmelidir.
Gerçekçi bir örnek
Hosting şirketi, bakım ekibinin yalnız kurumsal VPN üzerinden yönetim sayfasına erişmesini ister. VPN’in sabit genel IP’si belgelenir ve tek adres olarak izin listesine eklenir. Mobil bağlantıdan yapılan deneme normal korumaya takılırken VPN üzerinden giriş amaçlandığı gibi çalışır.
İlk testte bütün kullanıcılar izinli görünüyorsa sorun kuralda değil, reverse proxy’nin WordPress’e kendi IP’sini istemci adresi olarak iletmesindedir. Ekip önce güvenilir proxy zincirini düzeltir; gerçek ziyaretçi IP’si doğrulandıktan sonra istisnayı yeniden sınar.
Ne zaman kullanılmalı?
İzin listesine yalnızca kim tarafından yönetildiği açıkça bilinen, sabit ve denetimli ağlar eklenmelidir. Dinamik ev bağlantısı, ortak Wi-Fi, geniş bulut sağlayıcı aralığı veya kim tarafından kullanıldığı bilinmeyen VPN çıkışı kalıcı güven için uygun değildir.
İstisnanın amacı da dar olmalıdır. Bir IP’yi deneme sınırından muaf tutmak ile bütün doğrulama kontrollerini atlatmak aynı riskte değildir. Mümkünse 2FA ve parola kontrolleri güvenilir ağda da açık kalmalıdır.
Temel kurulum
- Ağ yöneticisinden sabit genel IPv4 ve varsa IPv6 çıkış adresini alın.
- Sunucu ve WordPress giriş loglarında bu adresin gerçekten görüldüğünü doğrulayın.
- İstisnanın hangi kontrolü değiştireceğini belirleyin.
- Tek IP veya desteklenen en dar CIDR kaydıyla başlayın.
- Güvenilir ağdan ve mobil bağlantı gibi izinli olmayan bir ağdan ayrı test yapın.
- Kuralın sorumlusunu, amacını ve gözden geçirme tarihini kaydedin.
Proxy ve IP denetimleri
CDN, load balancer veya reverse proxy kullanılıyorsa doğrudan X-Forwarded-Forbaşlığına güvenmeyin. WordPress yalnız bilinen proxy’lerin yazdığı adres zincirini kabul etmelidir. Origin sunucu internete açıksa saldırgan sahte başlıkla izin listesine girmeyi deneyebilir.
- Güvenilir ve yabancı ağdan gelen ham başlıkları karşılaştırın.
- WordPress’in zincirden hangi IP’yi seçtiğini doğrulayın.
- IPv4, IPv6, VPN açık/kapalı ve farklı CDN edge’leri üzerinden testi yineleyin.
- Proxy yeniden başlatıldıktan sonra kuralın aynı sonucu verdiğini kontrol edin.
- IP değişikliği için uyarı ve düzenli gözden geçirme planlayın.
Riskler ve geri dönüş
En tehlikeli hata, proxy IP’sini güvenilir istemci sanmaktır; bu durumda bütün internet aynı izin kaydını paylaşabilir. Geniş ISS veya bulut ağı eklemek de ilgisiz kullanıcıların istisnadan yararlanmasına yol açar.
Adres değiştiğinde, ağın sorumlusu ayrıldığında veya kullanım amacı sona erdiğinde kaydı kaldırın. Kural meşru girişi bozarsa son eklenen izin kaydını geri alın ve giriş korumasının yeniden normal biçimde çalıştığını doğrulayın.
AIOWS nasıl yardımcı olur?
AIOWS Giriş Yöneticisi
AIOWS Giriş Yöneticisi, desteklenen IP ve giriş koruması kurallarını WordPress yönetiminde merkezi olarak incelemeye yardımcı olur. İzin listesi eklerken kuralın yalnız hedeflenen adrese ve giriş davranışına uygulanması, diğer güvenlik ayarlarının sabit kalmasını sağlar.
Önce WordPress’in gördüğü gerçek istemci IP’sini doğrulayın. Ardından tek bir kayıt ekleyip güvenilir ağ ile yabancı ağın sonuçlarını karşılaştırın. Doğru parola, yanlış parola, 2FA ve parola sıfırlama akışları beklenen biçimde çalışmalıdır. Test boyunca açık bir yönetici oturumu ve alternatif kurtarma yolu bulundurun.
Giriş Yöneticisi ağın kime ait olduğunu kanıtlamaz ve reverse proxy’nin hatalı adres iletimini kendi başına düzeltmez. Adresin gerçekten kurumun denetiminde olup olmadığı, güvenilir proxy yapılandırması ve origin sunucusuna erişim altyapı ekibi tarafından doğrulanmalıdır. Beklenmeyen geniş eşleşme görülürse kuralı kaldırın; başka istisnalar ekleyerek sorunu gizlemeyin.
AIOWS Giriş Yöneticisi’ni inceleyinAIOWS planlarını karşılaştırın
İlgili yazılar
- Şüpheli IP adreslerini WordPress girişinden engelleme
- WordPress giriş denemelerini sınırlandırma
- WordPress giriş loglarını okuma
Sonuç
Önce gerçek istemci IP’sinin doğru belirlendiğini kanıtlayın. Yalnızca sorumlu kişi veya ekibi açıkça belirlenmiş sabit bir IP adresi için gereken en dar istisnayı tanımlayın; 2FA ile güçlü parola kullanımını sürdürün. Her izin kaydının sorumlusu ve gözden geçirme tarihi olmalıdır.
