.htaccess ile Site güvenliği

Arkadaşlar merhaba. Maalesef bazı sitelerime virüs girmiş. Tekrar olmaması için güvenlik önlemi almaya çalışıyorum.
klasör içine saçmasapan isimli php uzantılı dosyalar atmışlar, ayrıca indexphp wpsettings gibi dosyalara da kod eklenmiş.
.htaccess ile bu dosyalara erişimi engellediğimde site hiç açılmıyor. "site açılsın ama bu dosyalara ve wp-content klasörüne erişim olmasın, yanlış dosya eklenemesin" istiyorum. bunu nasıl sağlarım?

+takip

takip

Wordfence eklentisini kur, güvenliği iyi.

wp-content klasörüne erişim olmazsa siteniz çalışmaz....

Wordfence dahil tüm güvenlik eklentileri çöptür. Güvenlik kısmını Cloudflare ve Sunucu yapılandırma dosyalarından ayarlanması gerek. Wordfence gibi eklentileri dediğim işlem sonrası kullanabilirsiniz tek başına yetersizdir.

Selamlar hocam,
Öncelikle wordpress de bilmediğin bir eklenti varsa onları kaldırmanı öneririm.
Ayrıca kullandığın hosting firması çok önemli. Web sitende herhangi bir zafiyet olmayabilir fakat hostingde ortak kullanım varsa, yapılandırma eksik ise litespeed gibi ne kadar wordpress alt yapın sağlam olursa olsun hacklenirsin.

Tavsiyelerimi yerine getirirsen bu riski en aza indirgeyebilirsin.

1. VDS veya VPS' de barınabilirsin veya cloudlinux yapısı ile çalışan bir reseller kullanabilirsin.
2. wp-admin panel yolunu değiştir. ( bununla ilgili çok kaynak var) LockDownWP Admin kullanabilirsin.
3. Mysql bilgilerini tamamen değiştirin. Site ile ilgili olmayan dbusername ve güçlü pw kullanın.
4. tema adını gizle, ve themes/screenhsot.png dosyasını sil.
5. Admin panel erişimleri için 2FA kullan. ( Google Authenticator miniOrange's Authenticator)
6. Sunucunda backup dosyası barındırma.
7. wpconfig de güvenlik anahtarları vardır. bunu 1 kereye mahsus olmak üzere değiştirin. Wordress_SecretKey
8. .htaccess dosyası içerisinde wp-load engellemesi yapın.
   

   <files wp-load.php>
   order allow,deny
   deny from all
   </files>

9. wp-config.php dosyasının iznini 440 veya 400 olacak şekilde değiştirin.
10. xml-rpc özelliği devre dışı bırakmanızı öneririm ( özelleştirme yoksa)
11. Wordpress versionunuzu gizleyin. Aşağıdaki kodu functions.php alt satırlara doğru ekleyin.
    
    

    function wp_version_remove_version() { return ''; }
    add_filter('the_generator', 'wp_version_remove_version')

12. Wordpress sürüm numarası css de rrs de yazar bunuda yine functions.php de aşağıdaki kodu kullanarak gizleyebilirsiniz.

// Script ve CSS'den WP Sürüm No Kaldırma
function remove_version_from_style_js( $src ) {
if ( strpos( $src, 'ver=' . get_bloginfo( 'version' ) ) )
$src = remove_query_arg( 'ver', $src );
return $src;
}
add_filter( 'style_loader_src', 'remove_version_from_style_js');
add_filter( 'script_loader_src', 'remove_version_from_style_js');
// Remove query string from static files
function remove_cssjs_ver( $src ) {
if( strpos( $src, ‘?ver=’ ) )
$src = remove_query_arg( ‘ver’, $src );
return $src;
}
add_filter( ‘style_loader_src’, ‘remove_cssjs_ver’, 10, 2 );
add_filter( ‘script_loader_src’, ‘remove_cssjs_ver’, 10, 2 );

Aklıma gelenler şimdilik bunlar, kolay gelsin.

çok teşekkür ederim, tek tek okuyup uygulayacağım hepsini

@MedyaXX;
tekrar merhaba. dediklerinizin hepsini yaptım. tertemiz bir wp kurdum sadece content klasörünü aldım ama fayda etmedi. halen dosyaların içine kodlar gelmeye devam ediyor. wp_settings dosyasına atmışlar meselaç. Halbuki .htaccess'in içinde
<files wp-settings.php>
order allow,deny
deny from all
</files>
Kodu var. buna rağmen dosyaya kod geliyor. Bnun sebebi nedir? bu kötü durumdan nasıl kurtuluruz? Bu arada sitenin hostigini de değiştirdim. ne yaparsam yapayım fayda etmiyor