cPanel veya Plesk kullanan bir web sitesinin güvenliği; güncel yazılım, hesap ayrımı, dosya izinleri ve uygulama ayarlarının birlikte yönetilmesine bağlıdır. Tek bir PHP ayarı veya klasör adı değişikliği bütün saldırıları önlemez. Hosting hesabınızla değiştirebildiğiniz ayarları, sunucu yöneticisinin sorumluluğundaki işlemlerden ayırın.
Önce PHP çalışma modelini ve dosya sahibini belirleyin
Dosyanın sahibi, grubu ve PHP işleminin çalıştığı kullanıcı izin kararını etkiler. Web uygulamasının okuması gereken yapılandırmayı okunamaz yapmak siteyi bozabilir; gereksiz yazma yetkisi vermek de riski artırır. Dosya, dizin ve servis kullanıcılarını incelemeden bütün sisteme aynı chmod değerini uygulamayın.
Plesk’in PHP işleyici rehberi FastCGI ve FPM seçeneklerini ve Apache/nginx farkını açıklar. İşleyici değişikliği uygulamanın davranışını etkileyebilir; nginx tarafından işlenen bir sitede Apache’nin .htaccess kuralları aynı şekilde uygulanmaz.
PHP işlevlerini uygulamanın ihtiyacına göre sınırlandırın
cPanel PHP güvenlik belgesi, kullanılmayan iç işlevlerin sınırlandırılmasını önerir. disable_functions listesini kopyalamadan önce uygulamanın hangi işlevleri kullandığını kontrol edin. Örneğin işlem başlatan bir işlevi kapatmak, ona bağımlı zamanlanmış görevi veya dosya işleme adımını durdurabilir.
Üretimde ayrıntılı hata mesajlarını ziyaretçiye göstermeyin; teşhis kayıtlarını erişimi sınırlandırılmış loglardan inceleyin. Yükleme ve dosya erişimi ayarlarını da uygulamanın gerçek ihtiyacına göre değerlendirin.
Symlink ve hesaplar arası erişimi ayrıca değerlendirin
cPanel’in symlink koruma belgesi, korumanın işletim sistemi izinleri, dosya sistemi ve kullanılan Apache modülleriyle ilişkisini açıklar. Bir yapılandırma dosyasına 700 vermek veya site dizinini yeniden adlandırmak tek başına hesap izolasyonu sağlamaz.
Perl gibi bir sistem programının izinlerini chmod veya chattr ile topluca değiştirmeyin. Gerekli betik desteğini panelin hizmet planı ve alan adı ayarlarından, yetkiniz ve uygulama gereksinimleri doğrultusunda yönetin.
Uygulama bakımı ve değişiklik kontrolü
CMS, tema ve eklentileri güncel tutun; kullanılmayan bileşenleri gözden geçirin. Erişimi sınırlı bir yedek alın ve geri yüklemeyi kontrol edin. WAF kuralları ek koruma sağlayabilir, ancak uygulama güncellemesinin veya doğru yetkilendirmenin yerini tutmaz. Ayar değişikliğinden sonra oturum açma, dosya yükleme ve zamanlanmış görev gibi temel işlevleri test edin.