Yönetilen Barındırma Güvenlik Hizmetlerini Kapsar mı?
24 Ekim 2026 tarihinde yayımlandı
Yönetilen barındırma güvenliği kapsar mı? Genellikle evet; ancak tüm güvenlik görevlerini kapsamaz ve her planda aynı kapsamda sunulmaz. Yönetilen hizmet sağlayıcı, işlettiği sunucu katmanının güvenliğini sağlamalı ve bakımını yapmalıdır: işletim sistemi, temel hizmetler, izleme, yama süreci ve kurtarma araçları. Uygulamanız, kullanıcı hesaplarınız, ödeme ayarlarınız ve yüklediğiniz veriler yine de ekibinizin ilgilenmesini gerektirebilir.
Bu sınır önemlidir. “Yönetilen” ifadesi, her eklentinin, parolanın ve kod satırının etrafına yerleştirilen sihirli bir kalkan anlamına gelmez. Bu, işletimle ilgili bir anlaşmadır. Üretim ortamındaki bir siteyi, mağazayı, API'yi veya istemci iş yükünü taşımadan önce anlaşmada nelerin izlendiğinin, yamalandığının, yedeklendiğinin ve desteklendiğinin açıkça belirtildiğinden emin olun.
Yönetilen Barındırma Varsayılan Olarak Güvenliği Kapsar mı?
Düzgün yönetilen bir barındırma hizmeti, hizmetin parçası olarak genellikle temel sunucu güvenliğini içerir. Bu genellikle sağlayıcının sunucuyu güvenliği artırılmış bir başlangıç yapılandırmasıyla kurması, gereksiz ağ erişimini kısıtlaması, işletim sistemi güncellemelerini uygulaması, kullanılabilirlik sorunlarını izlemesi ve altyapı sorunlarını araştırabilecek destek mühendislerine erişim sağlaması anlamına gelir.
Yine de sunulan paketin ayrıntıları önemlidir. Bazı sağlayıcılar “yönetilen” derken, destek talebi açıldıktan sonra sunucuyu yeniden başlatacaklarını kasteder. Diğerleri hizmetleri etkin biçimde izler, uyarılara yanıt verir, yedekleri yönetir, yapılandırma konusunda yardımcı olur ve işletim sistemini güncel tutar. Bunlar, aynı etiketi taşıyan ancak birbirinden çok farklı hizmet düzeyleridir.
Bir işletme iş yükü için yönetimin proaktif mi yoksa talep üzerine mi olduğunu sorun. Proaktif yönetimde, müşteriler kesintiyi fark etmeden önce uyarılar harekete geçilmesini sağlayabilir. Talep üzerine yönetimde sunucu, yalnızca siz bir sorun bildirdikten sonra bakıma alınabilir. Bunların hiçbiri başlı başına yanlış değildir; ancak ikinci seçenek, operasyonel işlerin daha büyük bir kısmını size bırakır.
Barındırma sağlayıcısının üstlenmesi gereken güvenlik sorumlulukları
Altyapı düzeyinde barındırma sağlayıcısı fiziksel donanımın, veri merkezi ortamının, sanallaştırma platformunun ve temel ağın korunmasından sorumlu olmalıdır. Yönetilen VPS veya özel sunucu hizmetinde sağlayıcı; işletim sistemi yamalarını, hizmet izlemeyi, güvenlik duvarı yapılandırmasını, yedekleme sistemlerini ve acil destek erişimini nasıl yönettiğini de açıkça belirtmelidir.
İyi bir yönetilen hizmette güvenlik duyurularını ele almak için tanımlı bir süreç de bulunur. Ciddi bir işletim sistemi veya web hizmeti güvenlik açığı ortaya çıkarsa duyuruları takip eden, maruziyeti değerlendiren ve gerekli güncellemeleri planlayan ya da uygulayan biri olmalıdır. İyi yapıldığında bu işler pek görünmez. Temiz bir sunucu odası gibi heyecan verici değildir; mesele de tam olarak budur.
Yedeklemeler de güvenliğin bir parçasıdır. Yedeklemeler bir saldırıyı önlemez; ancak fidye yazılımlarından, başarısız güncellemelerden, yanlışlıkla silinen verilerden veya bir geliştiricinin hevesle doğrudan üretim ortamına dağıtım yapmasından kaynaklanan zararı azaltır. Yönetilen yedeklemeler bir saklama politikasına, açık bir geri yükleme sürecine ve tek bir olayın her iki kopyayı da ortadan kaldırmaması için birincil sunucudan yeterince ayrı bir depolama konumuna sahip olmalıdır.
Güvenliğin çoğu zaman sizin sorumluluğunuzda kalan kısmı
Yazılım ekledikçe paylaşılan sorumluluk sınırı yukarı çıkar. Barındırma sağlayıcısı sunucuyu güvenli hale getirebilir; ancak pazarlama ekibinizin hangi WordPress eklentisine hâlâ ihtiyacı olduğuna, bir uygulama rolünün gereğinden fazla izne sahip olup olmadığına veya bir çalışanın başka bir hizmette kullandığı parolayı tekrar kullanıp kullanmadığına güvenli biçimde karar veremez.
Uygulama güncellemeleri, kod güvenliği, içerik yönetim sistemi eklentileri, yönetici hesapları, API anahtarları, veritabanı izinleri ve uygulamanın topladığı kişisel verilerden genellikle siz veya geliştiriciniz sorumlu olmaya devam edersiniz. Çevrimiçi mağaza işletiyorsanız ödeme, kargo ve müşteri desteği entegrasyonlarının güvenlik ayarlarını da yönetmeniz gerekir.
Bu, sağlayıcının işten kaçması değildir. Bu, gerekli bir erişim sınırıdır. Uygulama kodunu sessizce değiştiren veya tanımadığı bir eklentiyi silen bir sağlayıcı, en kötü zamanda bir iş sürecini bozabilir. Sorumlulukların açık olması, iyi niyetli tahminlerden daha güvenlidir.
Yönetilen Barındırma Güvenlik Hizmetlerini Kapsar mı
Güvenlik iddiaları ancak gerçek operasyonlarla bağlantılı olduğunda işe yarar. Sunucunun kurulumundan bir uyarıya, güncellemeye, yedek geri yüklemesine veya olası bir ihlale kadar neler yaşandığını açıklayabilen bir sağlayıcı arayın.
Hizmet en azından şu operasyonel alanları kapsamalıdır:
- Yama yönetimi: İşletim sistemi ve temel hizmet güncellemelerini kimin yüklediği, acil düzeltmelerin nasıl ele alındığı ve yeniden başlatma gerektirebilecek değişiklikler için bakım aralıklarının kullanılıp kullanılmadığı.
- İzleme ve uyarılar: Hangi hizmetlerin denetlendiği, mühendislerin günün her saati uyarı alıp almadığı ve başarısız bir denetim ya da olağandışı kaynak kullanımı durumunda nasıl yanıt verildiği.
- Erişim koruması: SSH, kontrol paneli, root ve destek erişiminin nasıl denetlendiği, kaydedildiği ve artık gerekmediğinde kaldırıldığı.
- Yedeklemeler ve geri yükleme: Yedeklerin ne sıklıkla alındığı, ne kadar süre saklandığı, nerede depolandığı ve geri yükleme desteğinin hizmete dahil olup olmadığı.
- Olay müdahalesi: Olası bir ihlali kimin araşt ırdığı, hangi kanıtların korunduğu, size ne kadar hızlı bildirim yapıldığı ve sağlayıcının sorumluluğunun nerede sona erdiği.
İşe yarar yanıtlar almak için 40 sayfalık bir politika belgesine ihtiyacınız yok. Hizmet kapsamı kısa ve net olabilir; önemli olan ayrıntılı olmasıdır. “Güvenlik hizmeti sunuyoruz” ifadesi belirsizdir. “Sunucu kullanılabilirliğini 7/24 izliyor, desteklenen işletim sistemini güncel tutuyor, planlı yedeklemeler alıyor ve geri yüklemeye yardımcı oluyoruz” ifadesi, iş süreçlerinizi planlayabileceğiniz kadar açıktır.
Yönetilen VPS Güvenliği, Uygulama Güvenliğiyle Aynı Şey Değildir
Yönetilen VPS, paylaşımlı barındırmadan daha fazla denetim olanağı sunar; bu denetimle birlikte daha fazla tercih de gelir. Özel hizmetler kurabilir, güvenlik duvarı kuralları belirleyebilir, ölçüm verilerini dışa aktarabilir, cron işleri yapılandırabilir ve tek bir sunucuda birden fazla uygulama dağıtabilirsiniz. Bu esneklik ajanslar ve SaaS ekipleri için değerlidir; ancak destek sorumluluğunun sınırını daha da önemli hale getirir.
Örneğin barındırma sağlayıcısı VPS hipervizörünü, işletim sistemini ve standart yönetim yığınını güvenli hale getirebilir. Docker yapılandırması, özel Node.js hizmeti, veritabanı sorgularının davranışı ve dağıtım işlem hattınızda saklanan gizli bilgiler ekibinizin sorumluluğunda olabilir. Bir kapsayıcı gereksiz bir bağlantı noktasında dışarıya açılmışsa, alttaki VPS tamamen yamalanmış olsa bile bu genellikle uygulama yapılandırmasıyla ilgili bir sorundur.
Doğru yönetilen hizmet sağlayıcı, bir olay yaşanmadan önce sorumluluk sınırını belirlemenize yardımcı olur. Kodu.cloud'da yönetilen altyapı, müşterilerin gece 2'de sunucu günlüklerini tek başlarına okumak zorunda kalmaması için izleme, yedeklemeler ve insan desteğiyle birlikte sunulur. Yine de en güvenli kurulum, her iki tarafın da hangi katmanı kimin izlediğini bildiği kurulumdur.
Satın Almadan Önce Sorulacak Sorular
Zaman damgasını kimsenin görmek istemeyeceği bir güvenlik uyarısı gelen kutunuza düşmeden, geçişten önce bu soruları sorun. Öncelikle işletim sistemi güncellemelerinin hizmete dahil olup olmadığını ve otomatik mi, planlı mı yoksa destek talebiyle mi yapıldığını öğrenin. Ardından hangi hizmetlerin izlendiğini ve izlemenin yalnızca çalışma süresini mi yoksa disk alanını, bellek baskısını, başarısız yedeklemeleri ve kritik süreçleri de mi kapsadığını sorun.
Sonra yedeklerin nasıl geri yüklendiğini sorun. Var olan ancak hızlıca geri yüklenemeyen bir yedek, insana yalnızca güven veren bir hikâyeden ibarettir. Geri yükleme işlemlerinin self servis olup olmadığını, mühendis desteği gerektirip gerektirmediğini, ayrıca ücretlendirilip ücretlendirilmediğini ve düzenli olarak test edilip edilmediğini öğrenin.
Olası bir ihlalden sonra neler olacağını da sormalısınız. Sağlayıcı sunucuyu yalıtacak, günlükleri koruyacak, kimlik bilgilerini değiştirmenize yardımcı olacak ve kurtarma sürecini destekleyecek mi? Yoksa yalnızca makinenin çevrimiçi olduğunu mu doğrulayacak? Yanıt, harici bir güvenlik ortağına, geliştiriciyle sürekli destek anlaşmasına veya daha güçlü iç prosedürlere ihtiyaç duyup duymadığınıza karar vermenize yardımcı olur.
Son olarak kontrol panelini ve hesap erişimi seçeneklerini gözden geçirin. Çok faktörlü kimlik doğrulama, ayrı kullanıcı hesapları, kısıtlı izinler ve eski çalışanların erişiminin hemen kaldırılması, önlenebilir pek çok olayı engeller. Gelişmiş güvenlik araçları işe yarar; ancak hesapların düzenli ve temiz yönetimi de gerçekten önemli bir iş görür.
Güvenliği Gerçek Riskinize Göre Oluşturun
Küçük bir iletişim formu bulunan tanıtım sitesi, binlerce sipariş alan bir mağazayla veya müşteri kayıtlarını tutan bir SaaS platformuyla aynı denetimlere ihtiyaç duymaz. Yönetilen barındırma planı, kesinti ve veri kaybının işletmeye etkisine uygun olmalıdır. Daha yüksek riskli iş yükleri; yalıtılmış altyapı, daha sıkı güvenlik duvarı politikaları, sunucu dışı yedeklemeler, güvenlik açığı taraması, erişim incelemeleri ve belgelenmiş bir olay planı gerektirebilir.
Birçok küçük ve orta ölçekli işletme için pratik hedef, küçük bir kurumsal güvenlik departmanı kurmak değildir. Hedef; geciken yamalar, izleme olmaması, zayıf kimlik bilgileri, test edilmemiş yedekler ve ilk kimin yanıt vereceğine ilişkin belirsizlik gibi öngörülebilir sorun noktalarını ortadan kaldırmaktır. Bunlar kontrol altına alındığında hizmet yeniden sorunsuz işler.
Yönetilen barındırma, güvenlik iş yükünüzü azaltmalı; güvenliği başkasına ait bir muammaya dönüştürmemelidir. Sorumluluklarını açıkça belirten bir sağlayıcı seçin, uygulama katmanının sahipliğini elinizde tutun ve ihtiyaç duymadan önce kurtarma sürecini test edin.
Andres Saar, Müşteri Destek Mühendisi