WordPress iletişim formları: güvenlik kontrol listesi

Çoğu WordPress sitesi birkaç form eklentisinden birini kullanır: Contact Form 7, WPForms, Gravity Forms, Ninja Forms, Fluent Forms ve birkaç başkası. Her biri güvenli çalıştırılabilir veya tamamen açık bırakılabilir. Fark nadiren eklentinin kendisindedir; ayarlarında, çevresindeki ek modüllerde, postanın sunucudan nasıl çıktığında ve ulaştıktan sonra mesajlara ne olduğundadır.

• Form eklentisini ve her ek modülü güncel tutun; artık kullanmadıklarınızı silin.
• Eklentinin kendi spam önlemesini etkinleştirin; tuzak alan, CAPTCHA entegrasyonu, uygun olduğu yerde Akismet. Gerçekten çalıştığını doğrulayın.
• Bildirimleri kendi alan adınızdaki bir adresten kimlik doğrulamalı SMTP üzerinden gönderin.
• Yüklemeleri tür ve boyuta göre sınırlayın; yüklenen dosyaların herkese açık listelenmesini veya bunlara göz atılmasını önleyin.
• Alıcı e-posta adresini sayfadan ve kaynak kodundan uzak tutun.
• Yalnızca ihtiyacınız olan girdileri ve yalnızca ihtiyaç duyduğunuz süre boyunca saklayın.
• WordPress, tema veya herhangi bir eklenti güncellemesinden sonra kısa bir kontrol yapın.

Güncellemeler: form eklentisi ve çevresindeki her şey

Form eklentileri internetteki herkesten girdi kabul ettiğinden popüler hedeflerdir. Güvenlik düzeltmeleri normal güncellemelerle gelir; bu yüzden gecikmeden güncelleyin ve yalnızca ana eklentiyi değil. Ödeme, yükleme, CRM bağlantısı, koşullu mantık veya ek CAPTCHA sağlayıcısı modülleri kendi güvenlik açıkları olan ayrı kodlardır. Bir zamanlar test için kurup unuttuğunuz eklentiler de öyledir. Devre dışı bırakmak yetmez: devre dışı eklentiler hâlâ sunucudadır ve bazı durumlarda dosyalarına doğrudan erişilebilir. Kullanmıyorsanız silin.

Spam önleme: açın, ardından çalıştığını kanıtlayın

Çoğu form eklentisi kendi spam önleme seçeneklerine sahiptir veya harici hizmetlerle entegre olur: botların doldurup insanların hiç görmediği tuzak alan, reCAPTCHA, hCaptcha veya Cloudflare Turnstile gibi CAPTCHA'lar ve mesaj içeriğini spam veri tabanıyla karşılaştıran Akismet. Seçenekler eklentiye ve sürüme göre değişir; varsaymak yerine ayarları kontrol edin. Harici CAPTCHA'lar üçüncü taraftan betik yükler, Akismet ise gönderilen içeriği harici hizmete gönderir; her ikisi de gizlilik politikanızda ve kurulumunuza bağlı olarak rıza yönetiminizde yer almalıdır.

Daha yaygın sorun, açık olup çalışmayan korumadır. Herkese açık test anahtarlarıyla çalışan CAPTCHA her şeyi geçirir. Betiği önbellek veya optimizasyon eklentisi ya da JavaScript hatası tarafından engellenen bileşen hiçbir şeyi durdurmaz. Gizleyen stilleri olmayan tuzak alan ekran okuyucular tarafından seslendirilir ve gerçek ziyaretçilerce doldurulur. Bu nedenle her değişiklikten sonra formu özel pencerede açın, tarayıcı konsolunu ve sayfa kaynağını kontrol edin, bir test mesajı gönderin. Google'a bağlı olmayan koruma istiyorsanız ücretsiz formexposed WordPress eklentisi tuzak alan, zaman kontrolü ve iş ispatı ekler ve eklenti güncellemelerinden sonra siteyi yeniden kontrol eder; çeşitli seçeneklerden biridir.

Posta: nasıl gönderilir ve nereye gider?

WordPress varsayılan olarak postayı sunucunun PHP posta işlevine verir; birçok barındırmada bu mesajların kimlik doğrulaması zayıftır ve spama düşer veya sessizce kaybolur. Bunun yerine SMTP eklentisi veya barındırma sağlayıcınızın posta hizmeti üzerinden, kullanıcı adı ve parolası olan gerçek bir posta kutusuyla ve kendi alan adınızdaki örneğin özel bir forms@ gönderen adresiyle gönderin. Alan adının SPF, DKIM ve DMARC kayıtları bu göndereni kapsamalıdır. Ziyaretçinin adresini From alanına koymayın: sizin alan adınız değildir; mesaj DMARC hizalamasını geçemez ve ziyaretçinin alan adı politikasına bağlı olarak spama düşer veya reddedilir. Reply-To olarak ayarlarsanız yine tek tıklamayla yanıtlayabilirsiniz.

Alıcı adresinin yeri sayfa değil, eklenti ayarlarıdır. İletişim sayfanızın kaynağını kontrol edin: formun yanındaki mailto bağlantısı veya alıcı adresini tutan gizli alan, bu adresi her adres toplama botuna verir. Eski veya özel yapılmış formlarda daha kötü olabilir: sunucu gizli alıcı alanına güveniyorsa herkes bunu değiştirip formunuzu rastgele adreslere posta göndermek için kullanabilir.

Yüklemeler ve saklanan girdiler

Dosya yüklemeleri formun en riskli özelliğidir; önce gerçekten ihtiyacınız olup olmadığını sorun. Varsa birkaç tehlikeli türü engellemek yerine yalnızca beklediğiniz türlere, örneğin PDF ve yaygın resim biçimlerine izin verin ve boyut sınırı koyun. Eklentinin yüklemeleri nereye kaydettiğini kontrol edin: herkese açık dizinde listelenememeli ve ideal olarak tahmin edilebilir adresten hiç erişilememelidir. İşleri tamamlandığında silin veya sunucuda tutmak yerine ek olarak gönderin.

Birçok form eklentisi veya ek modülü her gönderimi, çoğu zaman spam dahil, WordPress veri tabanına kaydeder. Posta başarısız olduğunda yararlı bir yedektir; ancak aynı zamanda büyüyen bir kişisel veri yığınıdır. GDPR'ın saklama süresinin sınırlandırılması ilkesi (Art. 5(1)(e)) uyarınca bu veriler gerekenden uzun tutulmamalıdır. Saklanan girdilere ihtiyacınız olup olmadığına, hangi alanlara ve ne kadar süreyle ihtiyaç duyduğunuza karar verin; ardından varsa eklentinin otomatik silme ayarını kullanın veya eski girdileri düzenli silin. Veri tabanı yedekleri aynı verileri içerir.

Her güncellemeden sonra

1. 1İletişim sayfasını özel pencerede açın: form ve spam önleme öğesi doğru görüntüleniyor, tarayıcı konsolunda hata görünmüyor olmalı.
2. 2Sayfa kaynağını görüntüleyin: tuzak alan ve CAPTCHA betiği hâlâ orada olmalı; alıcı adresi ise olmamalı.
3. 3Bir test mesajı gönderin: spama değil gelen kutusuna ulaşmalı ve üstbilgiler SPF, DKIM ve DMARC'ın geçtiğini göstermelidir.
4. 4Önemli ayarları kontrol edin: alıcı, gönderen adresi, izin verilen yükleme tür ve boyutları, girdilerin ne kadar saklandığı.
5. 5Gizlilik politikası bağlantısının ve varsa rıza metninin formda hâlâ gösterildiğini kontrol edin.
6. 6Formun kanıtlanabilir biçimde en son ne zaman çalıştığını bilmek için tarihi ve kontrol ettiklerinizi not edin.

Rutin hale geldiğinde bu işlem az zaman alır ve aksi halde haftalarca fark edilmeyen sessiz arızaları yakalar. Dışarıdan bakış için formexposed.com'daki ücretsiz kontrol hiçbir şey göndermeden sitenin herkese açık form sayfalarını inceler ve beklediğiniz korumanın mevcut ve etkili yapılandırılmış olup olmadığını gösterir; hesap gerekmez.