WordPress giriş adresini (URL) nasıl değiştiririm?

Neden önemli

Dünyadaki her WordPress sitesi aynı iki adreste cevap verir: /wp-login.php ve /wp-admin. Botlar bunu bilir. Giriş sayfanı bulmaları gerekmez; ulaşabildikleri her sitede bu adresi ister ve parola tahmin etmeye başlarlar.

Girişi yalnızca senin bildiğin bir yola taşımak siteni bu kalabalığın dışına çıkarır. Otomatik tahmin betikleri 404'e çarpar ve yoluna devam eder. Kayıtların sessizleşir, sunucun daha az iş yapar ve geriye kalan denemeleri okumak kolaylaşır.

Bunun yapmadığı şey. Girişi gizlemek bir gizleme katmanıdır. Kolay hedefi ortadan kaldırır ama hiçbir şeyi kilitlemez. WordPress'in başka kapıları da vardır; en önemlisi kendi başına kullanıcı adı ve parola kabul eden xmlrpc.php. XML-RPC kapısı açık bırakılmış gizli bir giriş sayfası, kilitsiz bir yan kapının hemen yanındaki gizli bir ön kapıya benzer. Bu adımı birkaç adımın ilki olarak gör:

• başarısız giriş denemelerini sınırla,
• yöneticiler için iki adımlı giriş ekle,
• XML-RPC girişini ve kullanıcı adı sızıntılarını kapat,
• güçlü ve benzersiz parolalar kullan, WordPress'i güncel tut.

Sık yapılan hatalar

• Test etmeden çıkış yapmak. Ana sekmende oturumun hâlâ açıkken yeni yolu her zaman gizli bir pencerede test et. Bir sorun varsa hâlâ düzeltebilirsin.
• Adresi kaydetmemek. "Nasılsa hatırlarım" dışarıda kalmanın en yaygın sebebidir. Adresi parola yöneticine koy.
• Tahmin edilmesi kolay bir yol seçmek. /login, /admin ve /secure botların ilk denediği yollardır. Tek başına yaygın bir kelime olmayan bir şey kullan.
• Diğer kapıları unutmak. XML-RPC girişi hâlâ açıksa parola tahmini oraya kayar. XML-RPC'yi güvenle kapatma rehberine bak.
• Yeni yolu önbelleğe almak. Bir CDN ya da sayfa önbelleği giriş sayfasını saklarsa form bozulabilir. wp-login.php için yapacağın gibi bu yolu da önbellek dışında bırak.

Eklentisiz

WordPress'te giriş adresini değiştiren bir ayar yoktur. Elle yapılan yöntemler şunlar:

wp-login.php dosyasının adını değiştirmek. Bazı rehberler wp-login.php dosyasını yeni bir adla kopyalayıp içindeki tüm referansları değiştirmeyi önerir. Bu, WordPress güncellendiği anda bozulur; çünkü güncelleme orijinal dosyayı geri getirir ve senin kopyan eskir. Önermiyoruz.

Dosyayı sunucu düzeyinde kısıtlamak. Apache'de .htaccess ile wp-login.php dosyasını yalnızca kendi IP adresine açabilirsin:

<Files wp-login.php>
  Require ip 203.0.113.10
</Files>

Her zaman sabit tek bir adresten çalışıyorsan bu sağlam bir yöntemdir. IP'nin değiştiği gün seni dışarıda bırakır ve eşleşen bir kural olmadan Nginx ya da LiteSpeed kurulumlarında işe yaramaz. Ayrıca wp-admin yönlendirmelerini de gizlemez.

HTTP basic auth kullanmak. Birçok barındırma firması kontrol panelinden wp-login.php dosyasına parola koymana izin verir. İşe yarar ama herkes için ikinci bir giriş kutusu ekler ve fazla geniş uygulanırsa ön yüzden yapılan admin-ajax.php çağrılarını bozabilir.

Dürüst özet: elle yapılan yollar ya güncellemelerde bozulur ya da sabit bir IP'ye bağlıdır. İsteği araya girerek yakalayan bir eklenti daha basittir ve güncellemelerden sağ çıkar.

Bir şeyler ters giderse

• Yeni yol 404 gösteriyor. Yolda yazım hatası olup olmadığını kontrol et, sonra sayfa önbelleğini ve CDN önbelleğini temizleyip yeni bir gizli pencerede tekrar dene.

• Dışarıda kaldın. wp-config.php dosyasına, "That's all, stop editing!" satırının üstüne şunu ekle:

  define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' );
  

  Giriş formu hemen siten.com/new-path adresinde açılır.

• wp-config.php dosyasına erişimin yok mu? FTP ya da barındırma firmanın dosya yöneticisiyle /wp-content/plugins/ içindeki hushfort-security klasörünü sil. WordPress varsayılan girişine döner.

Kurtarma rehberinin tamamı Giriş adresini değiştirdikten sonra dışarıda kaldıysan sayfasında.

Hushfort ile

Giriş Gizle, ücretsiz WordPress güvenlik eklentisi Hushfort Security'de yer alır.

Hushfort'un Giriş Gizle katmanı sen bir yol seçene kadar hiçbir şey yapmaz; bu yüzden onu açmak seni yanlışlıkla dışarıda bırakamaz. Bir yol belirlediğinde:

• wp-login.php ve wp-admin 404 döndürür (istersen ana sayfana ya da seçtiğin bir URL'ye yönlendirir).
• admin-ajax.php, REST API, WP-Cron ve XML-RPC çalışmaya devam eder; temanla eklentilerin eskisi gibi davranır.
• Genel Durum ekranında güncel giriş adresini ve acil durum satırını gösteren bir "Erişimini kaybedersen" kartı durur.
• Eklentiyi devre dışı bırakmak WordPress'i normal girişine döndürür.

Giriş Gizle ücretsiz eklentide. Hushfort Pro Deneme Sınırı, İki Adımlı Doğrulama ve XML-RPC için Arka Kapı Kilidi'ni ekler; böylece gizli giriş tek sur değil, birkaç surdan biri olur.