Güvenlik

WordPress İki Faktörlü Doğrulama (2FA) Kurulum Rehberi

12 Mayıs 2026 No comments yet
WordPress 2FA kurulum rehberi kapak görseli

Kısa özet: WordPress sitenize giriş yapan herkesin yalnızca kullanıcı adı ve şifreyle kimliğini kanıtlamasını beklemek, 2026 yılında ciddi bir güvenlik açığı oluşturur. Bu rehberde WordPress için iki faktörlü doğrulamayı (2FA) neden mutlaka aktif etmeniz gerektiğini, hangi yöntemlerin daha güvenli olduğunu, popüler eklentilerle adım adım kurulumu, tüm kullanıcılar için 2FA’yı nasıl zorunlu kılacağınızı, kurtarma kodlarını nasıl saklayacağınızı ve telefonunuzu kaybedip kilitli kalırsanız siteye nasıl tekrar erişebileceğinizi anlatacağız. Tüm anlatım site sahibi gözüyle, yönetimsel ve koruyucu yaklaşımla hazırlanmıştır.

İki Faktörlü Doğrulama (2FA) Nedir?

İki faktörlü doğrulama, kullanıcı adı ve şifrenize ek olarak ikinci bir kanıt unsuru daha isteyen bir güvenlik katmanıdır. “Bildiğiniz bir şey” (şifreniz) ile “sahip olduğunuz bir şey” (telefonunuzdaki doğrulayıcı uygulama, SMS kodu, donanım anahtarı) bir araya geldiğinde, saldırganın yalnızca şifreyi çalmış olması siteye girmesi için yeterli olmaz. WordPress dünyasında en yaygın 2FA biçimi, telefonunuzda çalışan TOTP (Time-based One-Time Password) uygulamalarıdır: Google Authenticator, Microsoft Authenticator, Authy ve benzeri uygulamalar her 30 saniyede bir değişen 6 haneli kodlar üretir.

WordPress core’a 2FA yıllarca dahil edilmek istense de, varsayılan olarak hâlâ çekirdek kurulumda yer almaz. Bu nedenle siteniz için 2FA çözümünü ya bir eklenti aracılığıyla ya da hostinginizin sağladığı uygulama düzeyindeki bir koruma katmanıyla devreye almanız gerekir. İyi haber şu: ücretsiz, kaliteli, geniş kullanıcı kitlesine sahip 2FA eklentileri mevcut ve doğru kurulumla 15 dakikadan kısa sürede sitenizi büyük ölçüde brute force saldırılarına karşı kapatabilirsiniz.

Neden Her WordPress Sitesinde 2FA Aktif Edilmeli?

Wordfence, Sucuri ve Patchstack gibi güvenlik firmalarının yıllık raporları, WordPress sitelerine yönelik saldırıların büyük çoğunluğunun otomatik brute force botları olduğunu gösteriyor. Bu botlar; sızdırılmış şifre veritabanlarını kullanır, sözlük saldırıları yapar ve günlerce hedef sitenin /wp-login.php sayfasına denemelerini yağdırır. Tek faktörlü bir giriş, yani sadece şifre talep eden bir giriş ekranı, şu durumlardan herhangi birinde tehlikededir:

  • Kullanıcılarınızdan biri başka bir sitede aynı şifreyi kullanmıştır ve o site sızdırılmıştır.
  • Şifre yeterince güçlü değildir veya rastgele üretilmemiştir.
  • Kullanıcının bilgisayarına bir bilgi çalan kötü amaçlı yazılım (info-stealer) bulaşmıştır.
  • Phishing e-postası ile kullanıcı sahte bir giriş sayfasına şifresini yazmıştır.
  • İç ağda paylaşılan bir Wi-Fi üzerinden trafik dinlemesi olmuş ve eski bir HTTP isteğinden veri sızmıştır.

Bu senaryoların her birinde 2FA, “şifreyi bilmek” yetersiz hale getirir. Saldırgan şifreyi bilse bile telefonunuzdaki doğrulayıcı uygulamaya veya donanım anahtarınıza erişemediği sürece giriş yapamaz. Üstelik 2FA yalnızca yönetici hesapları için değil, müşteri kayıtları içeren WooCommerce siteleri, üyelik tabanlı eğitim platformları ve özellikle çok yazarlı blog yapıları için de hayati önem taşır. Bir editörün hesabı ele geçirilirse, sitenize SEO spam linkleri eklenip arama motorlarından cezalandırılmanıza neden olabilir.

2FA Yöntemleri: Hangisi Daha Güvenli?

WordPress 2FA eklentilerinin büyük bölümü birden fazla yöntemi destekler. Her birinin güvenlik düzeyi ve kullanım kolaylığı farklıdır. Site sahibi olarak hangisini etkinleştireceğinize karar verirken bu farkları bilmeniz önemlidir.

TOTP (Uygulama Tabanlı Tek Kullanımlık Kodlar)

Google Authenticator, Microsoft Authenticator, Authy, 1Password ve Bitwarden gibi uygulamaların ürettiği 6 haneli kodlar bu kategoriye girer. RFC 6238 standardını kullanır, internet bağlantısı gerektirmez ve telefonunuzla doğrulayıcı uygulama arasındaki saatin senkron olması yeterlidir. Yaygın, ücretsiz, güvenli ve şiddetle önerilen yöntemdir. WordPress için varsayılan 2FA önerimiz TOTP uygulamasıdır.

Donanım Güvenlik Anahtarları (FIDO2 / WebAuthn)

YubiKey, SoloKey, Google Titan gibi USB ya da NFC anahtarlar, en yüksek güvenlik düzeyini sunar. Phishing’e karşı dirençlidir; çünkü tarayıcı, doğrulamayı yalnızca anahtarın daha önce kaydolduğu alan adı (origin) için yapar. Ancak fiziksel anahtarın kaybolması, çalınması veya hasar görmesi gibi riskler vardır; bu yüzden mutlaka yedek bir anahtar daha edinmeniz tavsiye edilir. Mağaza, ajans veya kurumsal WordPress kurulumlarınız için ideal seçimdir.

E-posta ile Tek Kullanımlık Kod

Eklentinin gönderdiği e-postaya gelen kodu girmeniz beklenir. Kurulumu en kolay yöntem olmakla birlikte güvenlik açısından en zayıf seçenektir; çünkü e-posta hesabı ele geçirildiğinde 2FA da çökmüş olur. Hosting sunucunuzdan e-posta gönderimi de teslim sorunlarına açıktır. Yine de hiç 2FA olmamasından her zaman iyidir; düşük riskli, az sayıda yazarın bulunduğu blog siteleri için kabul edilebilir bir başlangıçtır.

SMS Doğrulaması

SMS ile gelen kod, yıllarca yaygın olarak kullanıldı; ancak günümüzde SIM swap saldırılarına karşı korumasız olduğu için NIST de dahil olmak üzere birçok kurum tarafından artık önerilmiyor. WordPress için SMS 2FA seçeneğini, ancak müşteri kitlenizin başka bir 2FA yöntemi kullanamayacağı durumlarda son çare olarak değerlendirin.

Kurtarma Kodları (Recovery Codes)

Tek başına bir 2FA yöntemi olmaktan çok, diğer yöntemlere ek olarak çalışan tek kullanımlık yedek kodlardır. 2FA eklentilerinin neredeyse tamamı, kurulum sırasında 8-10 adet kurtarma kodu üretir. Bu kodları telefon ve hesap erişimini kaybettiğiniz senaryolarda kullanarak siteye tek seferlik girer ve 2FA’yı yeniden yapılandırabilirsiniz.

WordPress’te 2FA Kurmanın En İyi Yolları

Marketten yüzlerce 2FA eklentisi indirilebilir ama hepsi düzenli bakım almıyor. Aşağıda 2026 yılı itibariyle aktif geliştirilen, kalabalık kullanıcı kitlesine sahip ve WordPress topluluğunda iyi bilinen üç çözümü ele alacağız. Site sahibi olarak öncelik sıralamamız: önce yedek almak, sonra eklentiyi kurmak.

Adım 0: Mutlaka Önce Yedek Alın

Herhangi bir güvenlik eklentisi kurmadan önce sitenizin dosyaları + veritabanı seviyesinde bir tam yedeğini alın. Eğer yedek almıyorsanız UpdraftPlus, Solid Backups veya hosting kontrol panelinizdeki yedek aracını kullanarak en azından son 7 günlük bir yedek bandına sahip olun. wpneta.com içindeki yedekleme rehberinde de belirttiğimiz gibi, otomatik yedek + offsite kopya en az iki ayrı lokasyona alınmalıdır.

Adım 1: WP 2FA (Melapress) Eklentisi ile Kurulum

WP 2FA, kurulum sihirbazı sayesinde 2FA’yı en hızlı şekilde aktif eden ücretsiz eklentidir. Aşağıdaki adımları izleyebilirsiniz:

  1. WordPress yönetim panelinde Eklentiler → Yeni Ekle bölümüne girin.
  2. Arama kutusuna “WP 2FA” yazın, Melapress tarafından geliştirilen sürümü kurun ve etkinleştirin.
  3. Aktivasyon sonrası açılan sihirbazda kimlik doğrulama yöntemi olarak Tek kullanımlık kod (TOTP) seçin.
  4. Telefonunuza Google Authenticator veya Microsoft Authenticator uygulamasını indirin.
  5. Ekrandaki QR kodunu uygulamayla tarayın; 6 haneli kodu doğrulama alanına girip kaydedin.
  6. Karşınıza çıkacak Backup Codes ekranında 10 adet kurtarma kodunu indirip güvenli bir parola yöneticisine veya ofiste kilitli bir kasaya saklayın.

Bu noktada kendi yönetici hesabınız için 2FA aktiftir. Sonraki bölümde diğer kullanıcı rollerini de zorunlu 2FA kapsamına alacağız.

Adım 2: Wordfence Login Security ile Kurulum

Zaten Wordfence kullanıyorsanız ayrı bir 2FA eklentisi kurmanıza gerek yoktur. Wordfence ücretsiz sürümünde dahili bir 2FA modülü ile gelir:

  1. Wordfence → Login Security menüsüne gidin.
  2. Üst sekmelerden Two-Factor Authentication ekranını açın.
  3. QR kodu, doğrulayıcı uygulamanızla tarayın ve “Recovery Codes” alanındaki 5 yedek kodu indirip saklayın.
  4. Activate butonuna basın; ardından gelen 6 haneli kodu girip yapılandırmayı onaylayın.
  5. Aynı ekranda CAPTCHA ve XML-RPC korumasını etkinleştirin; brute force saldırılarına karşı ek koruma sağlar.

Wordfence’in ücretsiz sürümü; CAPTCHA, NTP saat kontrolü ve XML-RPC için ayrı 2FA kontrolü gibi pratik özellikler sağladığı için tek başına çoğu siteye yeter. Daha geniş bir tarama ve gerçek zamanlı kural seti istiyorsanız Premium sürüm seçeneğini değerlendirebilirsiniz.

Adım 3: Two Factor (10up & Plugin Vault) ile Kurulum

“Two Factor” eklentisi, çekirdeğe en yakın eklenti olarak bilinir; çünkü ilk sürümü WordPress core ekibi tarafından geliştirilip plugin olarak ayrılmıştır. Sade ara yüzü ve düşük kaynak tüketimiyle çok yazarlı yapılar için pratiktir.

  1. Eklentiler → Yeni Ekle → “Two Factor” araması yapıp etkinleştirin.
  2. Üst menüde Kullanıcılar → Profilim sayfasına gidin.
  3. “Two-Factor Options” bölümünden Time Based One-Time Password (TOTP) seçin.
  4. QR kodu tarayıp 6 haneli kodu girin, “Submit” diyerek aktive edin.
  5. Aynı bölümden Recovery Codes oluşturun ve güvenli bir yerde saklayın.

Bu eklentinin avantajı, WordPress yönetim API’sine yakın çalışması ve gelecekte çekirdeğe taşınma ihtimaliyle daha az teknik borç oluşturmasıdır. Dezavantajı ise rol bazlı zorunlu hale getirme özelliğinin yerleşik gelmemesidir; bunun için bir alt başlıkta ele alacağımız küçük bir kod eklemeniz gerekir.

Tüm Kullanıcılar İçin 2FA’yı Zorunlu Hale Getirme

Yalnızca kendi yönetici hesabınızda 2FA olması yeterli değildir. Aynı sitedeki diğer editör, yazar ve mağaza yöneticisi hesapları korumasız kaldığı sürece siteniz zayıf halkadan kırılabilir. WP 2FA eklentisi bu işi sihirbazıyla halleder; ancak diğer eklentilerde küçük bir yapılandırma gerekir.

WP 2FA ile Rol Bazlı Zorunluluk

  1. WP 2FA → Ayarlar menüsüne gidin.
  2. 2FA Policy sekmesinden “Enforce on these users” seçeneğini açın.
  3. “All users with these roles” alanından Administrator, Editor, Shop Manager, Author rollerini seçin.
  4. Grace Period alanına 7 gün gibi makul bir süre girin; kullanıcılar bu süre içinde 2FA’yı kurmazsa giriş engellenir.
  5. E-posta bildirimi metnini Türkçeleştirin, kaydedin.

Two Factor Eklentisi için Mini Kod Snippet’i

Two Factor eklentisinde rol bazlı zorunluluğu aşağıdaki gibi bir child theme dosyasında veya site özel eklentisinde tanımlayabilirsiniz:

add_action( 'admin_init', function () {
    if ( ! is_user_logged_in() ) {
        return;
    }

    $user = wp_get_current_user();
    $required_roles = array( 'administrator', 'editor', 'shop_manager' );

    $intersect = array_intersect( $required_roles, (array) $user->roles );
    if ( empty( $intersect ) ) {
        return;
    }

    if ( class_exists( 'Two_Factor_Core' ) && ! Two_Factor_Core::is_user_using_two_factor( $user->ID ) ) {
        wp_redirect( admin_url( 'profile.php#two-factor-options' ) );
        exit;
    }
} );

Bu snippet, belirtilen rollere sahip kullanıcılar 2FA aktive etmeden yönetim panelinde başka bir ekrana geçemez. Snippet’i mu-plugins klasörüne tek dosyalık bir eklenti olarak koymak (örneğin wp-content/mu-plugins/site-2fa-enforce.php) güncelleme döngüsünden bağımsız çalışmasını sağlar.

WooCommerce Müşterileri için 2FA

WooCommerce mağazaları yalnızca yönetici hesaplarını değil, müşteri hesaplarını da güvende tutmak zorundadır. Müşteri verileri ele geçen bir mağaza, KVKK ve GDPR kapsamında ciddi yaptırımlarla karşılaşabilir. WP 2FA ve Wordfence Login Security, “customer” rolünü de kapsayacak şekilde yapılandırılabilir. Ancak müşteri tarafı için aşağıdaki noktalara dikkat edin:

  • 2FA’yı tüm müşteriler için zorunlu kılmak satın alma sürecinde sürtünme yaratabilir. Bunun yerine müşteriye seçenek sunmak ve teşvik (örneğin küçük bir indirim) iyi bir orta yoldur.
  • Mobil ödeme akışında TOTP yerine “passkey/WebAuthn” desteği sunan eklentiler tercih edilebilir; çünkü doğrulayıcı uygulama açıp kod kopyalamak mağazadan çıkış oranını artırır.
  • Müşteri 2FA’sını yalnızca My Account / Sipariş Geçmişi sayfaları gibi hassas alanlarla sınırlandırmak, ödemeyi engellemeden hesap çalınmasını zorlaştırır.

WP-CLI ile Hızlı 2FA Yönetimi

SSH erişiminiz olan bir hosting kullanıyorsanız, WP-CLI üzerinden 2FA durumunu hızlıca denetleyebilirsiniz. Aşağıdaki örnek komutlar günlük bakım kontrolünüze dahil edilebilir.

# Tüm yönetici hesaplarını listele
wp user list --role=administrator --fields=ID,user_login,user_email,roles

# WP 2FA eklentisinin etkin olup olmadığını kontrol et
wp plugin status wp-2fa

# Belirli bir kullanıcının 2FA meta verisini görüntüle
wp user meta get 1 _two_factor_enabled_providers

# Tüm kullanıcılarda WP 2FA aktif kayıt sayısını say
wp db query "SELECT COUNT(*) FROM wp_usermeta \
    WHERE meta_key = '_two_factor_enabled_providers' \
    AND meta_value <> 'a:0:{}';"

Bu sorgular eklentinin meta veri anahtarlarına bağlıdır; farklı 2FA eklentilerinde anahtar adları değişir. Eklentinin dokümantasyonunu kontrol ederek doğru meta anahtarı kullanın.

2FA’da Kilitli Kaldıysanız: Kurtarma Senaryoları

2FA’nın en büyük “korkulu rüyası” telefon kaybı, doğrulayıcı uygulamanın silinmesi veya yedek kodların kayıp olmasıdır. Site sahibi olarak bu durumlarda paniğe kapılmadan uygulayabileceğiniz birkaç hat vardır.

1) Kurtarma Kodu Kullanın

Kurulumda indirdiğiniz 10 adet kurtarma kodu, bu senaryolar için tasarlanmıştır. Tek kullanımlık olduklarını unutmayın; bir tanesini kullandığınızda profilden yeni kodlar üretip eski listeyi imha edin.

2) Doğrulayıcı Uygulamayı Yedek Cihazınızdan Geri Yükleyin

Authy gibi bulut yedeği destekleyen uygulamalar, yeni cihazınızda eski hesaplarınızı geri yükleyebilir. Google Authenticator ise QR transferi özelliğiyle eski telefondan yenisine aktarım sağlar. Mümkünse 2FA’yı kurarken aynı QR’ı parola yöneticinizdeki güvenli notlara da kaydetmek, bu krizi tamamen önler.

3) FTP/SSH ile 2FA Eklentisini Geçici Olarak Devre Dışı Bırakın

Hiçbir kurtarma kanalı çalışmazsa, hosting kontrol paneliniz, SFTP veya SSH üzerinden eklentiyi geçici olarak devre dışı bırakabilirsiniz:

# SSH üzerinden, WordPress kök dizininde
cd /var/www/html/wp-content/plugins
mv wp-2fa wp-2fa.disabled
# veya Wordfence için:
mv wordfence wordfence.disabled

Bu işlem, eklentinin kullanıcı girişlerine müdahale etmesini durdurur ve siteye yalnızca şifreyle girebilirsiniz. Sorununuzu çözdükten sonra klasör adını eski haline döndürmeyi ve hemen yeni bir 2FA yapılandırması kurmayı ihmal etmeyin.

4) Veritabanından 2FA Meta Verisini Sıfırlayın

Daha cerrahi bir müdahale için phpMyAdmin veya WP-CLI ile yalnızca ilgili kullanıcının 2FA kaydını silebilirsiniz:

-- Sadece kendi kullanıcı ID'niz için 2FA meta verisini sıfırlayın
DELETE FROM wp_usermeta
WHERE user_id = 1
  AND meta_key IN (
    '_two_factor_enabled_providers',
    '_two_factor_provider',
    '_two_factor_totp_key',
    '_two_factor_backup_codes',
    'wp_2fa_enabled_methods',
    'wp_2fa_totp_key'
);

Komutu çalıştırdıktan sonra siteye eski şifrenizle girip 2FA’yı yeniden yapılandırabilirsiniz. Kullanıcı ID değerini (örneğin 1) kendi yönetici hesabınızın gerçek ID’siyle değiştirin; başka bir kullanıcının kaydını yanlışlıkla silmemek için bu adımdan önce mutlaka tam veritabanı yedeği alın.

Diğer Güvenlik Katmanları: 2FA Yetmez

İki faktörlü doğrulama, brute force ve şifre sızıntısı saldırılarına karşı çok etkili olsa da tek başına yeterli değildir. Site sahibinin uygulaması gereken tamamlayıcı katmanlar şunlardır:

Güçlü Şifre Politikası

2FA’yı atlatmaya çalışan bir saldırgan, ilk adımda yine şifrenize ihtiyaç duyacaktır. Tüm kullanıcılar için minimum 14 karakter, büyük-küçük harf, rakam ve sembol içeren şifreler tanımlanmalıdır. WP Hardening, Solid Security veya WP 2FA gibi eklentilerin “Force Strong Passwords” özelliğini etkinleştirin.

Doğru Dosya İzinleri

WordPress dizin yapısında klasörler 755, dosyalar 644, wp-config.php dosyası ise 600 veya 640 olmalıdır. Yanlış izinler, 2FA bypass’ından bağımsız olarak dosyalarınıza yazma yetkisi verir. Dosya izinleri rehberimizde tüm değerleri detaylandırdık.

wp-config Sabitleriyle Sıkılaştırma

2FA’nın yanı sıra aşağıdaki sabitler de wp-config.php dosyasında tanımlanmalıdır:

define( 'DISALLOW_FILE_EDIT', true );
define( 'DISALLOW_FILE_MODS', true );
define( 'FORCE_SSL_ADMIN', true );
define( 'WP_AUTO_UPDATE_CORE', 'minor' );
define( 'AUTOMATIC_UPDATER_DISABLED', false );

// Oturum yenileme süresi (saniye cinsinden, varsayılan 48 saat)
define( 'COOKIE_DOMAIN', 'siteniz.com' );

// Salt değerlerini düzenli olarak yenileyin
// https://api.wordpress.org/secret-key/1.1/salt/ üzerinden alın
define( 'AUTH_KEY',         'rastgele-uzun-deger' );
define( 'SECURE_AUTH_KEY',  'rastgele-uzun-deger' );
define( 'LOGGED_IN_KEY',    'rastgele-uzun-deger' );
define( 'NONCE_KEY',        'rastgele-uzun-deger' );

Salt değerlerini her 3-6 ayda bir yenilemek, aktif oturumları geçersiz kılar; saldırgan eski bir oturum çerezi çalmışsa bu hareket onun oturumunu da koparır. Bu işlem 2FA ile birlikte oldukça güçlü bir koruma katmanı oluşturur.

Güvenlik Eklentisiyle Tarama

Wordfence, Sucuri SiteCheck veya iThemes/Solid Security gibi eklentilerle haftalık zamanlanmış tarama planlayın. Bu eklentiler, çekirdek dosyalardaki kontrol toplamı (checksum) sapmalarını, art niyetli kod parçalarını ve şüpheli giriş denemelerini raporlar. 2FA, içeri girişi engeller; tarama eklentisi, içeride kalmış bir tehdidi yakalar.

Düzenli Yedekleme Stratejisi

Site kurtarma rehberinde de söylediğimiz gibi, yedekler bir stratejidir: 3-2-1 kuralı (3 kopya, 2 farklı medya, 1 offsite) ve günlük dosya + saatlik veritabanı yedeği olmazsa olmazdır. 2FA, hesabın çalınmasını zorlaştırır; yedek, sitenin yok edilmesi durumunda eski haline getirilmesini garanti eder.

Güncelleme Disiplini

WordPress çekirdek, tema ve eklenti güncellemelerini geciktirmek, 2FA aktif olsa bile bilinen güvenlik açıklarıyla sitenizin saldırıya açık kalmasına yol açar. Otomatik küçük (minor) güncellemeleri açık bırakın; majör güncellemeleri staging ortamında test edip uygulayın. wp-cli.phar plugin update --all --dry-run komutuyla planınızı önceden gözden geçirebilirsiniz.

2FA Kurulumu Sonrası Sorun Giderme Kontrol Listesi

  • Saat senkronizasyonu: Sunucu zamanı doğru mu? timedatectl status ile kontrol edin. TOTP kodlarının çalışması için sunucu ve telefonun ±30 saniye içinde olması gerekir.
  • Eklenti çakışması: Bir önbellek eklentisinin /wp-admin tarafında çalışması 2FA token’larını bozabilir. WP Rocket veya LiteSpeed Cache gibi araçların yönetim paneli için cache’lemediğinden emin olun.
  • XML-RPC kapısı: 2FA aktif olsa bile xmlrpc.php üzerinden brute force denemesi olabilir. Wordfence “XML-RPC Protection” veya .htaccess üzerinden tamamen kapatın.
  • Application Passwords: WordPress 5.6+ ile gelen uygulama şifrelerini sınırlandırın. Yalnızca gerektiğinde aktif edip kullanım sonrası iptal edin.
  • Login URL gizleme: WPS Hide Login gibi bir eklentiyle /wp-login.php yolunu özelleştirin; tek başına yeterli değildir ama otomatik botların gürültüsünü azaltır.
  • CAPTCHA: Google reCAPTCHA v3 veya Cloudflare Turnstile, login sayfasına ek bir bot filtresi koyar.
  • Bildirim: 2FA kurulumu hatalı kullanıcılarda nadir hatalara yol açabilir; admin e-posta adresinizin doğru çalıştığından emin olun.

Sık Sorulan Sorular (SSS)

2FA kurulduktan sonra siteme giremezsem ne olur?

Kurulum sırasında indirdiğiniz kurtarma kodlarıyla bir defaya mahsus giriş yapın ve 2FA’yı yeniden yapılandırın. Kurtarma kodları da kayıpsa hosting panelinizdeki dosya yöneticisinden ilgili 2FA eklentisinin klasör adını değiştirerek geçici olarak devre dışı bırakabilirsiniz.

WooCommerce müşterilerime 2FA’yı zorunlu kılmalı mıyım?

Tüm müşteriler için zorunlu kılmak yerine “tavsiye edilen” şeklinde sunmak, kayıp sepetleri azaltır. Yüksek değerli üyelik veya abonelik ürünleri satıyorsanız, premium üyeleri için zorunlu hale getirmek anlamlı olur.

SMS ile 2FA güvenli mi?

Günümüzde SIM swap saldırıları nedeniyle SMS, en zayıf 2FA yöntemidir. Mümkün olduğunca TOTP uygulamaları veya FIDO2 donanım anahtarları tercih edilmelidir.

Aynı sitede birden fazla 2FA eklentisi kurabilir miyim?

Hayır. Hem performans hem de çakışma sorunlarına yol açar. Birini seçip diğerini tamamen kaldırın; gerekirse yedek alıp deneyerek karar verin.

Google Authenticator yerine Microsoft Authenticator kullanabilir miyim?

Evet. TOTP standardını destekleyen her uygulama (Authy, 1Password, Bitwarden, Aegis vs.) WordPress 2FA eklentileriyle uyumlu çalışır.

2FA aktivasyonu site hızımı yavaşlatır mı?

Hayır. 2FA yalnızca giriş ekranında çalışır, ön yüz (front-end) sayfa hızını etkilemez. Önbellek eklentilerinizin /wp-admin yolunu cache’lememesine özen gösterin.

Çok yazarlı bir blogda 2FA’yı nasıl yönetirim?

WP 2FA eklentisinin “Enforce by role” özelliğini kullanın. Yazarlara mail ile bilgilendirme gönderin ve 7 günlük grace period verin. Sonrasında siteye giremeyenlerin admin onayıyla kurtarma kodu ile yeniden yapılandırma yapın.

Hosting firmamın panelinde de 2FA var; WordPress için ayrı 2FA gerekli mi?

Evet. Hosting panel 2FA’sı yalnızca cPanel veya benzeri panel girişlerini korur. WordPress yönetici girişi farklı bir kapıdır ve mutlaka ayrı bir 2FA katmanı gerektirir.

Kaynak Önerileri

  • WP 2FA dokümantasyonu: Melapress resmi belgeleri rol bazlı politika örnekleriyle doludur.
  • Wordfence Learning Center: Brute force koruma, IP whitelist ve 2FA hakkında derinlemesine makaleler.
  • NIST SP 800-63B: Çok faktörlü kimlik doğrulama için referans güvenlik kılavuzu.
  • OWASP Authentication Cheat Sheet: Web uygulamalarında kimlik doğrulama prensipleri.
  • wpneta.com Yedekleme Rehberi: 2FA ile birlikte mutlaka uygulamanız gereken yedek stratejisi.
  • wpneta.com Hosting Seçimi Rehberi: 2FA’nın etkili çalışması için sunucu saat senkronizasyonu, SSH erişimi ve yedek altyapısı sunan hosting kriterleri.

Sonuç

WordPress’i 2026 yılında 2FA olmadan yayınlamak, evin anahtarını kapı altına bırakmaya benzer. Brute force botları, sızdırılmış parola listeleri ve gelişmiş phishing kampanyaları, yalnızca şifreye güvenen tüm siteleri yüksek riske sokar. 15 dakikalık bir kurulumla; WP 2FA, Wordfence veya Two Factor eklentilerinden birini etkinleştirip rol bazlı zorunluluk tanımlayarak sitenizi yönetici hesabı üzerinden ele geçirilme riskinin büyük bölümünden kurtarabilirsiniz.

Unutmayın: 2FA tek başına bir sihir değildir. Güçlü şifreler, doğru dosya izinleri, wp-config.php sıkılaştırması, güvenlik tarama eklentileri ve sıkı bir yedek stratejisiyle birlikte düşünüldüğünde WordPress sitenizi katmanlı bir savunmayla donatırsınız. Kurulumdan sonra kurtarma kodlarınızı güvenli bir parola yöneticisinde sakladığınızdan ve aileniz veya ekibinizden bir kişinin bu kodlara ulaşabildiğinden mutlaka emin olun; bu küçük disiplin, ileride çok büyük bir sürprize karşı kalkanınız olacaktır.

Related posts