Web Sitesi Bakımı Neden Gerekli? Güvenlik, Hız ve Güncellemeler

Siteniz yapıldı, teslim edildi, faturası kapandı ve o günden beri kimse yönetim paneline girmedi. Bozulduğunu çoğu zaman bir müşterinin “sitenize giremiyorum” demesinden ya da aylardır gelmeyen teklif taleplerinden öğrenirsiniz. O noktada sorun çoktan büyümüş olur.

Bir web sitesi yayına girdiği gün bitmez

Sitenin kendisi değişmese bile etrafındaki her şey değişir. Tarayıcılar güncellenir, sunucudaki yazılımların eski sürümleri desteğini yitirir, eklentilerde yeni güvenlik açıkları bulunur. Google da sayfa deneyimine bakışını zaman içinde günceller. Teslim günü sorunsuz çalışan bir site, tek satırına dokunulmadan iki yıl içinde sorunlu hale gelebilir.

Arabayı aldığınız gün bakımı bitmiş saymazsınız; yağ değişimi, lastik, muayene sırayla gelir. Web sitesinin farkı, gösterge panelinde yanan bir arıza ışığının olmamasıdır.

Web sitesi bakımı nedir? Web sitesi bakımı, yayındaki bir sitenin güvenli ve hızlı çalışmaya, doğru bilgi vermeye devam etmesi için yapılan düzenli teknik ve içerik kontrollerinin bütünüdür. Yazılım ve eklenti güncellemelerini, yedeklemeyi, sertifika ve alan adı takibini, formların ve sayfaların çalıştığının denetlenmesini, eskiyen içeriğin tazelenmesini kapsar. Siteye yeni özellik eklemek bakım değil, geliştirmedir.

Bakımsız bir sitenin başına gelenler

Aşağıdakilerin hiçbiri ders kitabından alınmış senaryo değil. Bakım anlaşması olmayan sitelerde yıllardır tekrar tekrar karşılaştığımız durumlar.

Eski bir eklentiden içeri girilmesi

WordPress gibi içerik yönetim sistemlerinde sitenin büyük kısmı eklentilerle (sisteme sonradan takılan hazır yazılım parçaları) çalışır. Bir eklentide güvenlik açığı bulunduğunda üretici genellikle kısa sürede yamayı yayınlar. Açığın ayrıntısı da aynı anda herkesin önüne düşer ve otomatik tarama yapan botlar güncellenmemiş siteleri tek tek bulur. Kimse sizi özellikle hedef almaz. Siteniz yalnızca listede güncellenmemiş olarak görünür.

Ardından siteye gizli bağlantılar, sahte ilaç ya da bahis sayfaları eklenir, ziyaretçi başka adreslere yönlendirilir. Google bunu fark ettiğinde arama sonucunuzun altına sitenin saldırıya uğramış olabileceğini yazar, Chrome ziyaretçiye kırmızı bir uyarı ekranıyla bu sitenin zararlı olabileceğini söyler. Temizlik yapılıp Google'dan yeniden inceleme istenene kadar o trafik pratikte sıfırdır.

Süresi dolan SSL sertifikası ve alan adı

SSL sertifikası (adres çubuğundaki kilidi sağlayan, ziyaretçiyle site arasındaki bağlantıyı şifreleyen sertifika) belirli aralıklarla yenilenir. Yenileme çoğu sunucuda otomatiktir ama otomasyon da bozulur: sunucu taşınır, DNS ayarı değişir, yenileme sessizce başarısız olur. Sertifikanın süresi dolduğu sabah ziyaretçi sitenizi değil, tarayıcının “bağlantınız gizli değil” uyarısını görür. Çoğu kişi o ekrandan geri döner. Sertifikaların geçerlilik süreleri de her yıl biraz daha kısalıyor; bu artık elle hatırlanacak bir iş değil.

Alan adı daha sinsidir. Kayıt yıllık yenilenir ve hatırlatma e-postası çoğu zaman siteyi yaptıran eski çalışanın ya da eski ajansın adresine gider. Süre dolduğunda site ve kurumsal e-postalar aynı anda durur. Bekleme süresi de geçerse alan adını başkası satın alabilir.

Sessizce bozulan formlar

Bakımsızlığın en pahalı sonuçlarından biri budur, çünkü ekranda hiçbir şey bozuk görünmez. Ziyaretçi teklif formunu doldurur, “mesajınız alındı” yazısını görür ve sayfadan çıkar. E-posta ise size hiç ulaşmaz. Sunucunun e-posta ayarı değişmiştir, gönderen adres spam listesine girmiştir ya da bir güncelleme form eklentisini bozmuştur. Talepler aylarca boşluğa gider.

Kırık bağlantılar ve yavaşlayan sayfalar

Silinen bir ürün, adı değişen bir hizmet sayfası, kaldırılan bir katalog PDF'i. Her biri sitenin içinde ve Google'da 404 (sayfa bulunamadı) hatasına giden bir bağlantı bırakır. Ziyaretçi boş sayfaya düşer, o sayfanın yıllar içinde topladığı arama değeri de boşa gider.

Yavaşlama ise sinsi gelir. Sıkıştırılmadan yüklenen fotoğraflar, üst üste eklenen takip kodları, şişen bir veritabanı. Bir gün telefondan açılan ana sayfanın sizi uzun uzun beklettiğini fark edersiniz. Hızın nasıl ölçüldüğünü ve Google'ın sayfa deneyimi için baktığı değerleri site hızı ve Core Web Vitals rehberimizde ayrıntılı anlattık. Kırık bağlantı ve yavaşlık, yapılan arama motoru optimizasyonu (SEO) çalışmasının teknik tarafını da doğrudan geri çeker.

Eski fiyat, eski adres, eski yasal metin

Bir mobilya mağazasının sitesinde iki yıl önceki fiyatlar duruyorsa müşteri telefonda o fiyatı ister ve haklı olarak tartışır. Taşınmış bir ofisin eski adresi sitede yazıyorsa müşteri yanlış kapıya gider. Gizlilik ve çerez metinleri de KVKK (Kişisel Verilerin Korunması Kanunu) uygulamasındaki değişikliklere ve siteye sonradan eklenen takip araçlarına göre güncellenmezse, metinde yazanla sitede yapılan birbirini tutmaz.

PHP sürümü değişince çöken site

PHP, sitelerin büyük kısmının sunucuda çalıştığı programlama dilidir ve her sürümün desteği belli bir tarihte biter. Örneğin PHP 7.4'ün güvenlik desteği 2022'nin sonunda sona erdi. Barındırma (hosting) firmaları eski sürümü bir süre daha tutar, sonra sunucuyu yeni sürüme geçirir. Yıllardır güncellenmemiş bir tema ya da eklenti yeni sürümle uyumlu değilse site bir sabah beyaz ekranla ya da anlaşılmaz bir hata mesajıyla açılır.

Bakımsız sitelerde gördüğümüz en ani çöküş budur.

Düzenli bakım neleri içerir

İyi bir bakım planı, yukarıdaki sorunların her birini ziyaretçi fark etmeden yakalamaya göre kurulur.

Güvenlik tarafında çekirdek yazılım, tema ve eklentiler düzenli güncellenir. Kullanılmayan eklentiler silinir, yönetici hesapları ve şifreler gözden geçirilir. Yedek otomatik alınır ve sunucunun dışında bir yerde de tutulur. Yedeğin varlığı yetmez, arada bir gerçekten geri yüklenip sitenin açıldığı denenmelidir. Hiç geri yüklenmemiş bir yedek, çalıştığını umduğunuz bir dosyadır.

İzleme tarafında çalışma süresi takibi (uptime monitoring) site her kapandığında birkaç dakika içinde haber verir. SSL ve alan adı bitiş tarihleri takvime bağlanır, formlar elle test edilir. Aylık hız ölçümü ve kırık bağlantı taraması, sorunu ziyaretçiden önce görmenizi sağlar.

İçerik tarafı en çok ihmal edilen kısımdır. Fiyatlar, ekip bilgileri, çalışma saatleri, kampanya sayfaları, KVKK ve çerez metinleri belli aralıklarla baştan okunur ve güncellenir.

Hangi kontrolün ne sıklıkla yapılacağı sitenin büyüklüğüne göre değişir. Kurumsal bir site için başlangıç önerimiz şöyle:

WordPress güncellemesi tek tık değildir

Sık duyduğumuz bir cümle var: “Güncelleme için ajansa ne gerek var, panelde düğmesi duruyor.” Düğme gerçekten duruyor. Sorun, düğmeye basıldıktan sonra ne olacağını kimsenin bilmemesi.

Bir eklenti yeni sürümünde, başka bir eklentinin kullandığı bir işlevi değiştirebilir. Tema, güncellenen sayfa düzenleyicisiyle uyumsuz kalabilir. Ödeme ya da form eklentisi yeni PHP sürümünde hata verebilir. Bunların her biri düğmeye basılan saniyede siteyi düşürebilir ve geri dönüş yolu hazır değilse site saatlerce kapalı kalır.

Doğru sıra şudur: önce tam yedek, sonra güncelleme. Mümkünse güncelleme önce sitenin bir test kopyasında (staging) denenir, ardından canlı sitede eklentiler birer birer güncellenir ve her adımdan sonra ana sayfa, formlar, varsa sepet ve ödeme adımları kontrol edilir. Toplu “hepsini güncelle” yerine tek tek ilerlemek, bir şey bozulduğunda hangi eklentinin bozduğunu bulmayı dakikalara indirir.

Otomatik güncellemeyi bütün eklentilere açıp bırakmayı da önermiyoruz. Küçük güvenlik yamalarında işe yarar, ama büyük sürüm geçişleri gece kendi kendine yapıldığında bozulmayı sabah müşterinizden duyarsınız.

Hangi işleri kendiniz yapabilirsiniz

Bakımın bir kısmı teknik bilgi istemez, yalnızca düzen ister. Sitenin sahibi ya da ofiste siteyle ilgilenen biri şunları rahatlıkla üstlenebilir:

• Ayda bir iletişim ve teklif formlarını kendi bilgilerinizle doldurup e-postanın gerçekten geldiğini kontrol etmek.
• Fiyat, adres, telefon, çalışma saatleri ve ekip bilgilerini üç ayda bir okuyup değişenleri not etmek.
• Alan adı ve barındırma faturalarının hangi e-posta adresine gittiğini öğrenmek ve o adresin hâlâ okunan bir adres olduğundan emin olmak.
• Siteyi telefondan açıp ana sayfa, iletişim sayfası ve en çok ilgi gören hizmet ya da ürün sayfasında bir müşteri gibi gezinmek.

Güncellemeler, yedeğin geri yüklenerek denenmesi, PHP sürüm geçişi, sunucunun e-posta ayarları, saldırı sonrası temizlik ve hız iyileştirmesi ise teknik bilgi ister. Bunları kendiniz denemeniz mümkün ama hatanın bedeli yüksek. Yanlış sırayla yapılan bir güncelleme siteyi bir günden uzun kapalı bırakabilir, yarım kalan bir temizlikten sonra saldırı birkaç hafta içinde geri gelir.

Bakım anlaşmasında neler yazmalı

“Aylık bakım” başlığı tek başına bir şey söylemez. Bakım anlaşması imzalayacaksanız sözleşmede en azından şunların açıkça yazdığından emin olun:

• Kapsam: hangi kontrollerin hangi sıklıkla yapılacağı, içerik güncellemesinin dahil olup olmadığı ve dahilse ayda kaç saatle sınırlı olduğu.
• Müdahale süresi: site çöktüğünde ya da saldırı fark edildiğinde kaç saat içinde işe başlanacağı, mesai dışında ve hafta sonunda neyin geçerli olduğu.
• Yedek düzeni: yedeğin hangi sıklıkla alındığı, kaç gün geriye saklandığı, nerede durduğu ve geri yükleme denemesinin ne zaman yapıldığı.
• Aylık rapor: yapılan güncellemeler, çalışma süresi, hız ölçümü ve bulunan sorunların yazılı dökümü. Rapor gelmiyorsa ne yapıldığını bilemezsiniz.
• Kapsam dışı işler: yeni sayfa, yeni özellik ya da tasarım değişikliği gibi taleplerin saatlik mi yoksa iş bazında mı ücretlendirileceği.

Bir de alan adının ve barındırma hesabının kimin adına kayıtlı olduğunu sorun. Bizim tavsiyemiz, ikisinin de işletmenin kendi adına olması ve ajansa yalnızca yetki verilmesi. Ajansla yollarınız ayrılsa bile sitenin anahtarları sizde kalır.

Bakımı kesmenin gerçek maliyeti

Bakım ücreti, bütçe daraldığında ilk kesilen kalemlerin başında gelir. Site çalışıyor, ödemesi her ay çıkıyor, karşılığında gözle görülür bir değişiklik yok. Anlaşılır bir tepki.

Bize sorarsanız hesap ters kuruluyor. Yıllık bakım bütçesi, yeni bir sitenin yapım bedelinin küçük bir kısmını tutar. Bakımı kesen işletmelerin önemli bir bölümünü iki yıl kadar sonra yeniden görüyoruz. O noktada eklentiler o kadar eskimiştir ki güncellemek siteyi bozar, PHP geçişi temayı çalışmaz hale getirir, saldırı temizliği her ay tekrarlanır. Kurtarmak, yeniden yapmaktan pahalıya gelir. Biriktirildiği sanılan para da sıfırdan bir kurumsal web tasarımı projesine gider.

Bazen gerçekten yenileme zamanı gelmiştir; bunun işaretlerini web sitesi yenileme rehberimizde ayrıca yazdık. Yine de yenileme kararını işinizin ihtiyacı belirlemeli, birikmiş bakımsızlık değil.