Avukat Sitesinde İki Faktörlü Doğrulama ve Yönetici Hesabı Güvenliği

Kısa cevap: Avukat sitesinde yönetici hesabı, tüm sitenin ve form kayıtlarının anahtarıdır. Uygulama tabanlı iki faktörlü doğrulama, uzun ve benzersiz parola, “admin” yerine tahmin edilmesi zor kullanıcı adı, en az yetki ilkesine göre roller ve ayrılan kişilerin erişiminin hemen kapatılması temel önlemlerdir. Hiçbir yöntem riski sıfırlamaz; ancak birlikte uygulandığında hesabın ele geçirilme ihtimalini belirgin biçimde azaltır.

Bir hukuk bürosunun web sitesi çoğu zaman yalnızca bir tanıtım sayfası olarak düşünülür. Oysa iletişim formundan gelen kayıtlar, randevu talepleri ve bazen kısa dava özetleri site yönetim panelinin arkasında durur. Panele giren biri yalnızca içeriği değiştirmekle kalmaz; müvekkil iletişim verilerine de erişebilir. Bu yazıda, teknik SEO ve web tasarımı çalışmalarında sıkça gördüğümüz yönetici hesabı risklerini ve bunları azaltmanın pratik yollarını ele alıyoruz. Bağlantı şifrelemesi (HTTPS) ve KVKK (Kişisel Verilerin Korunması Kanunu) yaklaşımı için HTTPS, Güvenlik ve KVKK: Avukat Sitesi Gereklilikleri yazımıza, yedekleme tarafı için Avukat Sitesi İçin Yedekleme ve Felaket Kurtarma (Backup) Temelleri yazımıza göz atabilirsiniz. Burada odak noktamız, kapıdaki kilit: yani hesapların kendisi.

Yönetici Hesabı Neden Hedef?

Saldırganlar genellikle belirli bir büroyu seçmez; otomatik araçlarla çok sayıda sitenin giriş sayfasını dener. Avukat siteleri ise iki nedenle ayrıca değerli hale gelir: sitede kişisel veri bulunur ve site, güven duyulan bir mesleğin adıyla yayın yapar. Yönetici hesabı ele geçirildiğinde olası sonuçları üç başlıkta toplayabiliriz.

Form Kayıtları ve Müvekkil Verisi

İletişim formu kayıtları site veritabanında ya da yönetim panelindeki bir listede tutuluyorsa, panele giren kişi ad, telefon, e-posta ve mesaj içeriğini görebilir. Bu veriler kişisel veridir; mesajın içeriği bazen müvekkil-avukat ilişkisine ilişkin bilgi taşıdığı için meslek sırrı bakımından da hassastır. Bu nedenle olay yalnızca teknik bir arıza olmaktan çıkar; KVKK ve meslek kuralları açısından değerlendirilmesi gereken bir konuya dönüşür. Formlarda hangi verinin toplanıp ne kadar süre saklanacağı, hesap güvenliğiyle birlikte düşünülmelidir. Form tarafındaki istenmeyen mesaj trafiği için ayrıca Avukat Sitesinde Form Spam’ini Önleme (CAPTCHA ve Alternatifleri) yazısına bakılabilir.

İçerik ve Yönlendirme Manipülasyonu

Yönetici paneline erişen biri sayfa metinlerini, telefon numarasını, WhatsApp bağlantısını ya da adres bilgisini değiştirebilir. Daha sinsi bir yöntem, ziyaretçileri farklı bir adrese yönlendiren görünmez kodlar eklemektir. Büro bunu fark edene kadar müvekkil adayları yanlış numaraya ulaşabilir, arama motoru da sitede şüpheli içerik görebilir. Google’ın bu tür güvenlik sorunlarına yaklaşımı için Google Search Central belgeleri güncel kaynaktır.

Güven ve Görünürlük Kaybı

Ele geçirilmiş bir site, arama sonuçlarında uyarıyla işaretlenebilir ve ziyaretçi güveni zedelenir. Bir avukat için itibar, sitenin teknik sağlığından ayrı düşünülemez. Bu yüzden hesap güvenliği, ciddi bir SEO ve itibar konusudur. Hesap güvenliği, büro adının başkasınca kullanılmasına karşı önlemlerin yalnız bir parçasıdır; taklit site ve mesajlara karşı adımları sahte hukuk bürosu taklidine karşı gerçek büronun korunması yazısında ele aldık.

İki Faktörlü Doğrulama Yöntemleri

İki faktörlü doğrulama (2FA), giriş için parolanın yanında ikinci bir kanıt isteyen yöntemdir. Parola sızsa bile saldırganın ikinci adımı geçmesi gerekir. Yaygın üç yaklaşımın artı ve eksilerini kısaca karşılaştıralım.

Uygulama Tabanlı Doğrulama

Telefondaki bir doğrulayıcı uygulama, kısa süreli kodlar üretir. Artıları: Telefon şebekesine bağlı değildir, kurulumu kolaydır, çoğu site yönetim sistemiyle uyumludur. Eksileri: Telefon kaybolursa ya da değişirse kurtarma kodu gerekir; bu kodlar saklanmadıysa hesaba giriş zorlaşır.

SMS ile Doğrulama

Kod, kayıtlı telefon numarasına kısa mesajla gelir. Artıları: Ek uygulama gerektirmez, kullanıcı için tanıdıktır. Eksileri: Hat devri ve SIM kart kopyalama gibi saldırılara açıktır, mesaj zaman zaman gecikebilir. Hiç doğrulama olmamasından iyidir; ancak imkân varsa uygulama tabanlı yöntem tercih edilmelidir.

Donanım Güvenlik Anahtarı

USB ya da NFC ile çalışan fiziksel bir anahtardır. Artıları: Sahte giriş sayfalarına (oltalama) karşı güçlü bir dirençleri vardır. Eksileri: Ek maliyet gerektirir, anahtarın kaybına karşı yedek anahtar bulundurmak gerekir ve her yönetim aracıyla uyumlu olmayabilir. Çok kişinin yönetici olduğu veya yüksek hacimli veri tutan sitelerde değerlendirilebilir.

Parola ve Kullanıcı Yönetimi

Parola yönetiminde amaç, akılda tutulabilir değil, tahmin edilemez bir parola kullanmaktır. Bunun için üç alışkanlık yeterince etkilidir:

• Uzun ve benzersiz parola: Her hizmet için ayrı parola kullanılmalıdır. Bir yerden sızan parola başka bir yerde denenir.
• Parola yöneticisi: Uzun parolaları üretip saklayan bir yönetici, tekrar kullanımı gereksiz kılar. Yöneticinin ana parolası ve kendi hesabı ayrıca iki faktörle korunmalıdır.
• “admin” kullanıcı adından kaçınma: Birçok otomatik deneme “admin” ve benzeri tahmin edilebilir adlarla başlar. Yönetici hesabına büro adından türetilmemiş, kolay tahmin edilemeyen bir kullanıcı adı vermek ve yazı yazarken görünen adı kullanıcı adından ayırmak faydalıdır.

Giriş denemesi sınırlama da bu tabloyu tamamlar: art arda hatalı denemeden sonra giriş geçici olarak engellenir ve deneme-yanılma yöntemi yavaşlar. Bunun için hosting katmanındaki ya da site yönetim sistemindeki ayarlardan yararlanılabilir. Hosting tarafındaki imkânlar için Avukat Sitesi İçin Doğru Hosting Seçimi: Hız ve Güvenlik Kriterleri yazısı yol gösterebilir.

Roller, Erişim ve Ayrılan Kişiler

En Az Yetki İlkesi

Her kullanıcıya yalnızca işini yapması için gereken yetki verilmelidir. İçerik girişi yapan bir stajyer ya da yazar hesabının eklenti kurma, kullanıcı ekleme veya form kayıtlarını dışa aktarma yetkisi olmamalıdır. Yönetici rolü, mümkün olduğunca az sayıda kişide kalmalı ve günlük içerik işleri için ayrı, sınırlı yetkili bir hesap kullanılmalıdır. Böylece günlük hesap ele geçirilse bile zarar sınırlı kalır.

Ayrılan Çalışan ve Ajans Erişimi

En sık atlanan konu budur. Büroda çalışan biri ayrıldığında e-posta kapatılır, ancak site paneli, hosting, alan adı kayıt hesabı ve analiz araçlarındaki erişim açık kalabilir. Aynısı daha önce çalışılmış ajans ve freelancer hesapları için de geçerlidir. Her ayrılışta ve her proje bitiminde erişimler gözden geçirilmeli; ortak hesap kullanılıyorsa parola değiştirilmelidir. Mümkünse herkesin kendi adına tanımlı hesabı olmalı, böylece kimin ne yaptığı izlenebilir.

Hesap Ele Geçirilirse Ne Yapılır?

Şüphe ettiğinizde sakin ve sıralı hareket etmek gerekir. Genel bir sıra şöyle olabilir; ayrıntılar sitenin yapısına göre değişir:

1. Erişimi kapatın: Şüpheli hesabı devre dışı bırakın, gerekirse siteyi geçici olarak bakım moduna alın.
2. Parola ve oturumları sıfırlayın: Tüm yönetici parolalarını değiştirin, açık oturumları sonlandırın; hosting ve e-posta parolalarını da yenileyin.
3. Neyin değiştiğini inceleyin: Yeni eklenen kullanıcıları, değişen sayfaları ve beklenmedik kodları kontrol edin.
4. Temiz yedekten dönün: Olay öncesine ait, temiz olduğu doğrulanmış bir yedeğe dönmek çoğu zaman güvenli yoldur. Yedek stratejisi için ilgili yazımıza bakabilirsiniz.
5. Hukuki değerlendirme alın: Form kayıtları ya da müvekkil verisi etkilenmiş olabilirse, ilgili mevzuat çerçevesinde bildirim yükümlülüğü olup olmadığı ve atılacak adımlar gerekirse uzman hukuk desteğiyle değerlendirilmelidir. Süre ve usul konusunda varsayım yapmayın.
6. Kayıt tutun: Ne zaman fark edildi, ne yapıldı, hangi veri etkilenmiş olabilir; notlar hem teknik hem hukuki değerlendirmede işe yarar.

Sık Yapılan Hatalar

• İki faktörlü doğrulamayı yalnızca “bir kişi” için açıp diğer yönetici hesaplarını korumasız bırakmak.
• Kurtarma kodlarını kaydetmemek ya da aynı e-postada, parolayla birlikte saklamak.
• Herkesin aynı yönetici hesabını paylaşması.
• Eski ajans ve çalışan hesaplarını silmeyi unutmak.
• Parolayı e-posta veya mesajlaşma uygulaması üzerinden düz metin olarak iletmek.
• Güncel olmayan tema ve eklentileri bırakıp yalnızca parolaya güvenmek; parola güvenliği tek başına yeterli bir çözüm değildir.
• Geri dönüş planını hiç denememek; yedeğin gerçekten açılıp açılmadığını kriz anında öğrenmek.

Önlemler ve Kontrol Listesi

Aşağıdaki tablo, ana önlemleri koruduğu risk ve dikkat edilecek noktayla birlikte özetler.

Kısa kontrol listesi:

• Tüm yönetici hesaplarında iki faktörlü doğrulama açık mı?
• Kurtarma kodları güvenli ve ayrı bir yerde saklanıyor mu?
• Her kullanıcı için uzun ve benzersiz parola kullanılıyor mu?
• “admin” gibi tahmin edilebilir kullanıcı adları kaldırıldı mı?
• Roller en az yetkiye göre düzenlendi mi, yönetici sayısı asgaride mi?
• Ayrılan çalışan ve eski ajans hesapları kapatıldı mı?
• Giriş denemesi sınırlama ve bildirim etkin mi?
• Temiz bir yedek var mı ve geri dönüş denendi mi?
• Olay halinde kimin ne yapacağı yazılı olarak belirlendi mi?

Sonuç ve Değerlendirme

Yönetici hesabı güvenliği, pahalı araçlardan çok düzenli alışkanlıklarla ilgilidir: ikinci doğrulama adımı, benzersiz parolalar, sınırlı yetkiler ve unutulmayan bir erişim temizliği. Hiçbir önlem riski tamamen ortadan kaldırmaz; ama hesabın ele geçirilmesini zorlaştırır ve olay yaşandığında zararı sınırlar. Müvekkil iletişim verisi barındıran bir sitede bu önlemler hem KVKK hem meslek sırrı açısından ayrı bir önem taşır. Sitenizin yönetim ve erişim yapısını gözden geçirmek isterseniz, web tasarım ve teknik altyapı hizmetimiz kapsamında ihtiyaçlarınızı birlikte değerlendirebiliriz.

Sıkça Sorulan Sorular

Avukat sitesinde iki faktörlü doğrulama zorunlu mu?

Genel bir yasal zorunluluk olarak değerlendirmek doğru olmaz; ancak müvekkil iletişim verisi tutan bir sitede parola tek başına zayıf kalabilir. İkinci doğrulama adımı, parola sızsa bile girişi zorlaştırdığı için yönetici hesaplarında özellikle tavsiye edilen bir önlemdir. Uygulama kapsamını sitenizin yapısına göre belirlemek gerekir.

SMS doğrulama yeterli mi, uygulama tabanlı yöntem neden öneriliyor?

SMS doğrulama hiç olmamasından daha iyidir; ancak hat devri ve SIM kart kopyalama gibi saldırılara açıktır. Uygulama tabanlı yöntem telefon şebekesine bağlı olmadığı için bu risklerden etkilenmez. Telefon kaybına karşı kurtarma kodlarını güvenli bir yerde saklamak, her iki yöntemde de kritik bir ayrıntıdır.

"admin" kullanıcı adını neden değiştirmek gerekir?

Otomatik deneme araçları genellikle "admin" gibi tahmin edilebilir adlarla başlar. Kullanıcı adı bilindiğinde saldırganın yalnızca parolayı bulması gerekir. Yeni, tahmin edilmesi zor bir yönetici hesabı oluşturup eski adı kaldırmak, bu ilk adımı zorlaştırır. İşlem sırasında içerik sahipliği bağlantılarını aktarmayı unutmayın.

Ayrılan çalışan veya eski ajansın erişimi nasıl kapatılır?

Site paneli, hosting, alan adı kayıt hesabı, e-posta ve analiz araçlarındaki kullanıcıları tek tek gözden geçirin. Gereksiz hesapları silin veya yetkisini düşürün, ortak kullanılan parolaları değiştirin. Her ayrılışta ve proje bitiminde bu kontrolü tekrarlamak için yazılı bir erişim listesi tutmak işleri kolaylaştırır.

Yönetici hesabı ele geçirilirse KVKK açısından ne yapılmalı?

Önce erişimi kapatıp parola ve oturumları sıfırlayın, ne olduğunu kayıt altına alın. Form kayıtları gibi kişisel verilerin etkilenmiş olabileceği durumda bildirim yükümlülüğünün olup olmadığı ilgili mevzuat çerçevesinde değerlendirilmelidir. Süre ve usul konusunda varsayımla hareket etmeyin; gerekirse uzman hukuk desteği alın.

Yazar Hakkında

Avukatlar İçin SEO, hukuk bürolarının web sitelerinde teknik SEO, web tasarımı ve içerik yapısı alanlarında çalışan bir ajans markasıdır. Ekip, avukat sitelerinde sayfa hızı, mobil uyum, site mimarisi, güvenlik altyapısı ve görünürlük konularını meslek kurallarını gözeterek ele alır. Çalışmalarda abartılı vaatlerden kaçınılır; ölçülebilir, sürdürülebilir ve Türkiye Barolar Birliği reklam kurallarına uygun yaklaşım benimsenir. Yazılar, bu deneyimden süzülen pratik bilgileri paylaşmak için hazırlanır.