Avukat Sitesinde Güvenlik Duvarı (WAF) ve Bot Trafiği Yönetimi: Gerçek Ziyaretçiyi Engellemeden Nasıl Korunulur?

Kısa cevap: Avukat sitesinde güvenlik duvarı (WAF) ve bot yönetimi, kötü niyetli otomatik trafiği azaltmayı hedefler; ancak kurallar fazla sert kurulursa arama motoru tarayıcılarını ve gerçek müvekkilleri de engelleyebilir. Güvenli yaklaşım; önce izleme modunda başlamak, kuralları kademeli açmak, hız sınırını yumuşak tutmak ve sonuçları Search Console ile sunucu loglarından izlemektir.

Bir hukuk bürosunun web sitesi iki ayrı kitleye aynı anda hizmet eder: sorununa çözüm arayan gerçek ziyaretçiler ve siteyi arama sonuçlarında görünür kılan arama motoru tarayıcıları. Aynı sitenin bir de görünmeyen kalabalığı vardır: içerik kopyalayan kazıyıcılar, yönetim paneline parola deneyen programlar ve forma otomatik mesaj bırakan botlar. Güvenlik duvarı bu üçüncü grubu azaltmak için kullanılır. Sorun, kuralların ayrım yapamadığı anda başlar: yanlış kurulmuş bir güvenlik duvarı, kötü botlardan çok daha fazla zararı iyi niyetli trafiğe verebilir.

Bu yazıda WAF’ın ne yaptığını, bot trafiğinin türlerini, yanlış engellemenin hangi sonuçlar doğurduğunu ve kuralları kademeli kurmanın pratik yolunu ele alıyoruz. Form spam’i ve CAPTCHA konusu ayrı bir başlıktır; bu konuyu Avukat Sitesinde Form Spam’ini Önleme (CAPTCHA ve Alternatifleri) yazısında bulabilirsiniz. Burada odak, sitenin kapısındaki genel trafik denetimidir.

WAF Nedir, Ne İşe Yarar?

WAF (Web Application Firewall), web uygulamalarına gelen HTTP isteklerini inceleyen ve önceden tanımlı kurallara göre izin veren, yavaşlatan veya reddeden bir güvenlik katmanıdır. Sunucunun önünde bir bulut hizmeti olarak çalışabileceği gibi, WordPress gibi bir içerik yönetim sisteminde eklenti biçiminde de kurulabilir. Cloudflare ve Wordfence gibi araçlar bu katmanın bilinen örnekleridir; hangi özelliğin hangi pakette sunulduğu zamanla değiştiği için güncel dokümantasyondan doğrulanmalıdır.

Bir WAF’ın tipik görevleri şunlardır:

• Formlara ve adres parametrelerine yönelik bilinen saldırı kalıplarını tanımak.
• Kısa sürede çok sayıda istek gönderen kaynakları sınırlamak.
• Yönetim paneli gibi hassas adreslere ek koruma uygulamak.
• Şüpheli botları ayıklayıp gerçek ziyaretçileri geçirmeye çalışmak.

WAF, tek başına bir güvenlik çözümü değildir. Güncel tutulan yazılım, güçlü parolalar, yetki sınırları ve düzenli yedekleme ile birlikte düşünülmelidir. Temel şifreleme ve kişisel veri tarafı için HTTPS, Güvenlik ve KVKK: Avukat Sitesi Gereklilikleri yazısı, bir saldırı veya hata sonrası geri dönüş planı için ise Avukat Sitesi İçin Yedekleme ve Felaket Kurtarma (Backup) Temelleri yazısı tamamlayıcıdır. Hiçbir önlem sitenin tamamen risksiz olduğu anlamına gelmez; amaç riski ve etkiyi azaltmaktır.

Bot Trafiği Türleri

Bot, bir insan yerine otomatik olarak web istekleri gönderen yazılımdır. Tüm botlar zararlı değildir; bu nedenle “botları engelle” şeklinde tek bir hedef koymak hatalıdır. Önce hangi tür trafikle karşılaştığınızı ayırt etmek gerekir.

Arama Motoru Botları (İyi Botlar)

Googlebot gibi arama motoru tarayıcıları, sitenizin sayfalarını keşfetmek ve dizine eklemek için istek gönderir. Bu trafik engellenirse yeni yazılarınız fark edilmeyebilir, mevcut sayfalarınızın güncellemeleri geç yansıyabilir. Bir isteğin gerçekten Googlebot’tan geldiğini kullanıcı aracı metninden anlamak güvenilir değildir; çünkü bu metin taklit edilebilir. Doğrulama yöntemi için Google’ın resmî rehberine bakmak gerekir; Google Search Central dokümantasyonunda tarayıcıların nasıl doğrulanacağı anlatılır. Bu bölümde adım adım yöntemi tekrarlamak yerine güncel kaynağa yönlendirmeyi tercih ediyoruz.

Arama motorlarının dışında, bağlantı önizlemesi üreten sosyal medya botları, çalışma süresi izleme hizmetleri ve sitenizi kendi isteğinizle kontrol eden araçlar da meşru otomasyon sayılabilir. Bunları listeleyip bilinçli olarak izin vermek, sonradan sürpriz yaşamamayı sağlar.

Kazıyıcılar (Scraper)

Kazıyıcılar, sayfaların metnini toplu olarak kopyalayan yazılımlardır. Bir hukuk bürosu için asıl endişe, özgün makalelerin izinsiz çoğaltılması ve sunucuya gereksiz yük bindirilmesidir. Kazıyıcıları tamamen durdurmak çoğu zaman mümkün değildir; çünkü iyi yapılandırılmış bir kazıyıcı insan ziyaretçi gibi davranabilir. Daha gerçekçi hedef, saniyeler içinde yüzlerce sayfa isteyen davranışları yavaşlatmaktır. Bu tür davranışların izini sürmek için Log Dosyası Analizi Avukat Siteleri İçin Ne İşe Yarar? yazısındaki yaklaşım yardımcı olabilir.

Kaba Kuvvet Denemeleri (Brute-Force)

Kaba kuvvet denemesi, bir giriş formuna çok sayıda kullanıcı adı ve parola kombinasyonunu otomatik olarak denemektir. WordPress sitelerinde yönetim paneli giriş adresi bu tür denemelerin bilinen hedefidir. Bu trafik gerçek ziyaretçilerin kullanmadığı bir adrese yöneldiği için, yanlış engelleme riski diğer türlere göre daha düşüktür. Deneme sayısı sınırı, iki adımlı doğrulama ve yönetim giriş adresine ek koruma burada makul önlemlerdir.

Yanlış Engellemenin Bedeli

Güvenlik duvarı sorunları genellikle sessiz yaşanır: sayfa çalışıyor görünür, siz giriş yapabiliyorsunuzdur, ama başka bir ziyaretçi veya tarayıcı erişemiyordur. Bu durumun iki ana sonucu vardır.

Googlebot’u Engellemek

Arama motoru tarayıcısı sürekli hata veya meydan okuma sayfası alırsa, sitenin taranabilirliği zayıflar. Search Console’da sunucu hataları, erişilemeyen sayfalar veya tarama istatistiklerinde düşüş görülebilir. Bunun dizin ve görünürlük üzerindeki etkisi hemen değil, zaman içinde ortaya çıkar; bu yüzden sorun fark edildiğinde bir süredir devam ediyor olabilir. Kuralı düzelttikten sonra da normale dönüş zaman alabilir.

Gerçek Müvekkili Engellemek

Arama yapıp sitenize gelen, iletişim formunu doldurmak isteyen kişi bir meydan okuma sayfasıyla karşılaşır veya form gönderimi sessizce reddedilirse, vazgeçmesi olasıdır. Bu kayıp ölçülmesi zor olduğu için fark edilmez; form sayısında düşüş olarak yansır ama nedeni araştırılmaz. Özellikle ülke bazlı engelleme, yurt dışında yaşayan müvekkilleri ve VPN kullanan ziyaretçileri etkileyebilir. Aynı IP adresini paylaşan kurumsal ağlardan gelen ziyaretçiler de hız sınırına takılabilir.

Doğrulama Yöntemi

Engelleme şüphesi varsa şu adımlar izlenebilir:

• Search Console’daki URL Denetimi aracıyla önemli sayfaları canlı olarak test etmek.
• Güvenlik duvarı panelindeki engellenen istekler listesinde arama motoru ve bilinen izleme hizmetlerine ait kayıtlar aramak.
• İletişim formunu farklı cihaz, ağ ve tarayıcılardan deneyip gönderimin başarıyla tamamlandığını görmek.
• Kural değişikliği tarihi ile form sayısı ve tarama istatistiklerindeki değişimi yan yana koymak.

Güvenli Kurulum Yaklaşımı

Kuralları tek seferde açmak yerine kademeli ilerlemek, yanlış engelleme riskini azaltan en pratik yöntemdir.

İzleme Modunda Başlayın

Birçok WAF aracı, kuralı uygulamadan yalnızca kayıt tutma (izleme, log-only veya benzeri) modunu sunar. Bu özelliğin adı ve kapsamı araca göre değişir; güncel dokümantasyondan doğrulayın. İlk günlerde kuralların hangi istekleri yakalayacağını gözlemleyin, meşru trafikle çakışanları ayıklayın, sonra engelleme moduna geçin.

Kuralları Kademeli Açın

Her kuralı ayrı ayrı açıp aralarında gözlem süresi bırakın. Aynı anda beş kural açıldığında sorun çıkarsa hangisinin sebep olduğunu bulmak zorlaşır. Değişiklik tarihlerini bir not defterinde veya iş takip aracında saklayın.

Beyaz Liste ve İzinli Hizmetler

Büronuzun kendi IP adresleri, çalışma süresi izleme hizmetleri, ödeme ve randevu entegrasyonları gibi bilinen meşru kaynaklar için beyaz liste (izin listesi) oluşturun. Arama motoru tarayıcıları için IP veya kullanıcı aracı temelli basit izin kuralları yazmak yerine, doğrulaması güvenilir yöntemleri tercih edin; çünkü kullanıcı aracı taklit edilebilir, IP aralıkları da zamanla değişebilir.

Hız Sınırını Yumuşak Başlatın

Hız sınırı eşiğini düşük tutmak cazip görünse de, bir sayfanın görsel, betik ve stil dosyaları aynı anda birden fazla istek üretir. Eşiği, tek bir insan ziyaretçinin makul davranışının epey üzerine koyun; gözleme göre kademeli sıkılaştırın. Mümkünse ilk tepkiyi engelleme yerine doğrulama veya yavaşlatma olarak seçin.

Giriş Sayfası Koruması

Yönetim paneli girişi, ziyaretçi trafiğinden ayrı bir yüzeydir ve en güvenli sıkılaştırma alanıdır. Deneme sayısı sınırı, iki adımlı doğrulama, yönetici hesaplarının sayısını azaltma ve kullanılmayan hesapları kapatma gibi önlemler gerçek ziyaretçiyi etkilemez. Yönetim giriş adresini değiştirirseniz, bunu ekip içinde not edin.

Test ve İzleme

Kurulum bittiğinde iş bitmez; kuralların etkisi düzenli izlenmelidir.

• Search Console tarama istatistikleri: Sunucu hataları, erişilemeyen sayfalar ve günlük tarama isteği sayısındaki ani değişimler bir işarettir.
• URL Denetimi: Önemli sayfaların Google tarafından alınabildiğini canlı testle kontrol edin.
• Sunucu logları: Arama motoru isteklerinin hangi durum kodlarıyla yanıtlandığına bakın; 403 veya 429 kodlarında artış, kuralın fazla sert olduğunu düşündürür.
• Form ve çağrı ölçümü: İletişim formu gönderimlerinde açıklanamayan düşüş olup olmadığını takip edin.
• Güvenlik duvarı raporları: Engellenen isteklerin en çok hangi kural ve adreslerde yoğunlaştığını inceleyin.

Search Console ve tarama davranışına ilişkin güncel bilgiler için Google Search Central belgeleri esas alınmalıdır.

Sık Yapılan Hatalar

• Kuralları izleme aşaması olmadan doğrudan engelleme moduna almak.
• Kullanıcı aracı metnine güvenerek “Googlebot” yazan her isteği geçirmek veya tersine kullanıcı aracı bazlı geniş engeller yazmak.
• Ülke bazlı engeli, hedef kitleyi (yurt dışındaki müvekkiller dâhil) düşünmeden açmak.
• Meydan okuma sayfasını bütün sitede zorunlu tutmak.
• Hız sınırını tek bir insan davranışına göre değil, çok düşük bir sayıya göre ayarlamak.
• Kural değişikliklerini kaydetmemek; sonradan sorunun nedenini bulamamak.
• Güvenlik duvarını tek koruma sanıp güncelleme ve yedeklemeyi ihmal etmek.
• Test etmeden, yalnızca yönetici olarak oturum açmış hâlde siteyi “çalışıyor” saymak.

Kural ve Önlemlerin Karşılaştırması

Aşağıdaki tablo, sık kullanılan önlemleri sağladıkları faydayla birlikte yanlış engelleme riski açısından özetler. Risk dereceleri genel bir değerlendirmedir; sitenizin kitlesine ve kurulumuna göre değişebilir.

Kontrol Listesi

• Güvenlik duvarı kuralları önce izleme modunda denendi mi?
• Kurallar tek tek ve tarihleri kaydedilerek açıldı mı?
• Arama motoru tarayıcıları için güvenilir doğrulama yöntemi belirlendi mi?
• Büro IP adresleri ve izleme hizmetleri izin listesine alındı mı?
• Hız sınırı eşiği gerçek ziyaretçi davranışının üzerinde mi?
• Yönetim girişinde deneme sınırı ve iki adımlı doğrulama var mı?
• İletişim formu farklı ağ ve cihazlardan test edildi mi?
• Search Console tarama istatistikleri ve sunucu logları düzenli izleniyor mu?
• Güncel bir yedek ve geri dönüş planı mevcut mu?

Sonuç ve Değerlendirme

Güvenlik duvarı ve bot yönetimi, avukat sitesinin kötü niyetli otomatik trafikten etkilenmesini azaltabilir; ancak başarılı kurulumun ölçütü, ne kadar çok isteğin engellendiği değil, meşru ziyaretçi ve arama motoru erişiminin korunmasıdır. İzleme modu, kademeli kural açma, yumuşak hız sınırı ve düzenli test bu dengeyi kurmanın temel araçlarıdır. Sitenizin teknik altyapısı, güvenlik ve tarama ayarları hakkında destek almak isterseniz web tasarım ve teknik altyapı hizmetimizi inceleyebilirsiniz.

Sıkça Sorulan Sorular

Güvenlik duvarı (WAF) Googlebot'u engelleyebilir mi?

Evet, kurallar fazla geniş kurulursa engelleyebilir. Hız sınırı, ülke bazlı filtre veya kullanıcı aracı kuralları arama motoru tarayıcısını da kapsayabilir. Bu nedenle kuralları izleme modunda deneyin, Search Console tarama istatistiklerini ve sunucu loglarını düzenli kontrol edin, doğrulama için Google'ın güncel rehberini kullanın.

Bot trafiğinin tamamını engellemek doğru mu?

Hayır. Arama motoru tarayıcıları, bağlantı önizleme botları ve izleme hizmetleri gibi meşru otomasyonlar da vardır. Hedef, kazıyıcı ve kaba kuvvet denemesi gibi zararlı davranışları azaltırken iyi botlara ve gerçek ziyaretçilere erişimi korumaktır. Tüm botları kapatmak görünürlüğü ve ölçümü olumsuz etkileyebilir.

Hız sınırlama (rate limiting) gerçek ziyaretçiyi etkiler mi?

Eşik çok düşük ayarlanırsa etkileyebilir. Bir sayfa görsel, betik ve stil dosyaları için birden fazla istek üretir; ayrıca ofis ve mobil operatör ağlarında birçok kişi aynı IP adresini paylaşabilir. Eşiği makul insan davranışının üzerinde başlatıp gözleme göre ayarlamak ve ilk tepkiyi yavaşlatma olarak seçmek daha güvenlidir.

Yanlış engelleme yapıldığını nasıl anlarım?

Search Console'da sunucu hatası veya tarama istatistiklerinde ani düşüş, sunucu loglarında 403 ya da 429 kodlarında artış, güvenlik duvarı panelinde arama motoru kayıtları ve iletişim formu sayısında açıklanamayan azalma işaret olabilir. Formu farklı cihaz ve ağlardan denemek ile URL Denetimi aracını kullanmak teşhise yardımcı olur.

WordPress eklentisi mi bulut tabanlı WAF mı tercih edilmeli?

Bu karar sitenizin altyapısına, bütçenize ve teknik ekibinize bağlıdır. Eklenti tabanlı çözümler sunucu içinde çalışırken, bulut tabanlı çözümler isteği sitenize ulaşmadan önce inceler. Her ikisinin özellikleri ve sınırları zamanla değiştiği için güncel dokümantasyonu okuyup, seçtiğiniz aracı önce izleme modunda denemeniz önerilir.

Yazar Hakkında

Avukatlar İçin SEO, hukuk bürolarının web sitelerini arama motorlarında daha görünür ve kullanıcı açısından daha anlaşılır kılmaya odaklanan bir markadır. Ekip; teknik SEO, web tasarımı, site hızı, güvenlik ayarları ve tarama erişilebilirliği gibi konularda avukatlara özel içerik ve altyapı çalışmaları yürütür. Yazılarda abartılı vaatlerden kaçınılır; meslek kurallarına saygılı, doğrulanabilir ve sade bir anlatım benimsenir. Bu yaklaşım, hukuk bürolarının dijital varlığını sürdürülebilir biçimde geliştirmesini hedefler.