--- title: "WordPress Yönetici Hesabı Neden Asla Yazı Yayınlamamalı?" url: https://bw.agency/blog/wordpress-yonetici-hesabi-yayin-yapmamali/ date: 2026-11-04 modified: 2026-11-04 lang: tr author: "bwa" description: "WordPress'te yönetici hesabıyla yazı yayınlamak gereksiz risk yaratır. Rol dağılımı, görünen ad ve WP-CLI kontrolleriyle sitenizi nasıl koruyacağınızı öğrenin." categories: - "WordPress" image: https://img.poweredcache.net/bw.agency/wp-content/uploads/2026/11/wordpress-hesap-guvenilirligi.avif?rs=fit&w=793&h=500&ssl=1 word_count: 1053 --- # WordPress Yönetici Hesabı Neden Asla Yazı Yayınlamamalı? **Kısa cevap şu:** WordPress'te her yazı, onu yayınlayan hesabın adını herkese gösterir. Bu hesap yöneticiyse, sitenin anahtarlarını taşıyan kişiyi herkese tanıtmış olursunuz. Çözüm basit. Yazı yazmak için ayrı bir Yazar veya Editör hesabı açın. Yönetici hesabını yalnızca yönetim işleri için kullanın. ## Özet: 5 Maddede Doğru Hesap Düzeni - Yazılarınızı Yazar rolündeki bir hesapla yayınlayın. - Başkalarının içeriğini yönetiyorsanız Editör rolünü kullanın. - Yönetici hesaplarını en aza indirin ve her birini tek bir kişiye verin. - Acil durumlar için ayrıca bir yedek yönetici hesabı tutun. - Görünen adı ve yazar adresini (slug) elle belirleyin. Bunlar kullanıcı adınızın veya e-postanızın kopyası olmasın. ## En Az Yetki İlkesi Nedir? En az yetki ilkesi eski ve güvenilir bir kuraldır. Bu kurala göre hiçbir kullanıcı, işinin gerektirdiğinden fazla yetkiye sahip olmamalıdır. Çoğu site bu ilkeyi eklentilere ve sunucuya uygular. Ama yayın sürecini genellikle atlar. Şöyle düşünün: Yönetici hesabıyla yazı yayınlamak, binanın ana anahtarını günlük anahtarlığınızda taşımaya benzer. Bu çok pratiktir, ta ki anahtarlık çalınana kadar. ## WordPress Rolleri Kime Verilmeli? | Rol | Kime verilmeli? | Yazar adı görünür mü? | | --- | --------------- | -------------------------- | | Yönetici (Administrator) | Mümkün olan en az kişiye, artı bir acil durum hesabına. | Teknik olarak görünebilir, ama bu politika gereği yasaklanmalı. | | Editör (Editor) | Başkalarının yazılarını düzenleyip yayınlayan kişilere. | Evet. | | Yazar (Author) | Yalnızca kendi yazılarını yayınlayan kişilere. | Evet. | | Katkıcı (Contributor) | Taslağı başkası tarafından onaylanan yazarlara. | Yazı yayınlandıktan sonra evet. | | Abone (Subscriber) | Siteyi takip eden ve yorum yapan okurlara. | Hayır, ama yorumlarda görünen adı çıkar. | Siteyi yöneten ve aynı zamanda yazan kişinin iki hesabı olmalı. Biri yönetim için, diğeri yayın için kullanılır. Yönetici hesabıyla yorum da yapılmamalı. Çünkü her yorum, görünen adı ve yazar adresinden türeyen bir sınıfı kaydeder. Kullanıcı adınız bir sır değildir. Önemli olan, ad açığa çıktığında hangi yetkiye bağlı olduğudur. Editör hesabının adı bilinse bile bu hesap eklenti kuramaz. Tema dosyası düzenleyemez. Yeni yönetici de oluşturamaz. ## Editör Rolü de Risksiz Değildir Tek siteli kurulumlarda Editörler "unfiltered_html" yetkisine sahiptir. Yani yazılara istedikleri kodu ekleyebilirler. Ele geçirilmiş bir Editör hesabı, yazıya zararlı bir betik gizleyebilir. Bu saldırının adı "kalıcı XSS"dir (stored cross-site scripting). Betik, o yazıyı açan bir yöneticinin tarayıcısında çalışır. Yöneticinin oturumunu kullanarak sessizce yeni yönetici açabilir veya eklenti kurabilir. Bunu önlemek için wp-config.php dosyasına şu satırı ekleyebilirsiniz: `define( 'DISALLOW_UNFILTERED_HTML', true );` Yöneticiler için iki adımlı doğrulama (2FA) zorunlu olmalıdır. Mümkünse yayın yapabilen tüm hesaplarda da açın. ## Yazar Adı Hangi Bilgileri Açığa Çıkarır? WordPress her kullanıcı için üç ayrı tanımlayıcı tutar: - Giriş adı (login) - Görünen ad (display name) - Yazar adresi (slug veya nicename) Varsayılan ayarlarda WordPress, giriş adını diğer ikisinin yerine kullanabilir. Kullanıcı ad ve soyad girmezse, görünen ad doğrudan giriş adı olur. Giriş adı bir e-posta adresiyse sorun büyür. Örneğin "[ali@ornek.com](mailto:ali@ornek.com)" giriş adı, görünen ad olarak aynen yayınlanır. Yazar adresi ise "aliornek-com" olur. Görünen ad şu yerlerde yayınlanır: - Temadaki yazar satırı - RSS ve Atom akışları - oEmbed verisi - REST API kullanıcı bilgisi - Oturum açıkken yapılan her yorum Yazar adresi ise yazar arşiv URL'lerinde, REST API'de, kullanıcı site haritasında ve yorum sınıflarında görünür. Bu durum özel içerik türleri için de geçerlidir. Kurslar, etkinlikler, forum konuları, ilanlar ve destek talepleri aynı yazar bağlantısını taşır. Kısacası içerik üreten herkes yönetici olmayan bir hesap kullanmalıdır. ## E-posta Adresinin Yayınlanması Neden Risklidir? WordPress 4.5'ten beri her hesap, giriş ekranında e-posta adresiyle de oturum açabilir. Yayınlanan bir e-posta adresi bu yüzden çalışan bir giriş bilgisidir. Aynı adres şu amaçlarla da kullanılabilir: - Sızdırılmış şifre veritabanlarında arama - Hedefli oltalama (phishing) saldırıları - Şifre sıfırlama istismarı - Kişinin farklı servislerdeki hesaplarını eşleştirme Yine de abartmamak gerekir. Bilinen bir kullanıcı adı tek başına kimseyi içeri sokmaz. Asıl risk zayıf şifreler ve korumasız giriş ekranlarıdır. Güvenlik duvarı, deneme sınırı ve 2FA ilk savunma hattınız olmalıdır. ## Her Tanımlayıcıya Tek Bir Görev Verin E-posta adresini giriş adı olarak yasaklamak cazip görünebilir. Ama OWASP, doğrulanmış e-postaların kullanıcı adı olarak kullanılmasına izin verilmesini önerir. WooCommerce gibi pek çok eklenti de hesapları e-postadan oluşturur. Bu yüzden kural şudur: Giriş adı e-posta olabilir. Hata, onu yayınlamaktır. | Alan | Görevi | Örnek | | ---- | ------- | ------ | | Giriş adı | Yalnızca kimlik doğrulama | [ali@ornek.com](mailto:ali@ornek.com) | | Görünen ad | Herkese açık yazar adı | Ali Yılmaz veya Ali Y. | | Yazar adresi (slug) | Herkese açık URL | ali-yilmaz | | Takma ad | Nadiren görünen gayriresmi ad | Ali | Takma adla yazmak isteyen biri için tahmin edilemeyen bir adres seçin. Örneğin "Saha Notları" adı ve "a7f3c9e2" adresi kullanılabilir. Ortak bir ekip adı da olabilir. Ama ortak hesap asla paylaşılmamalı. Hesabı tek bir kişi kontrol etmeli. ## KVKK ve GDPR Açısından Durum GDPR'ın 25. maddesi, kişisel verilerin varsayılan olarak herkese açılmamasını ister. Sahibinin seçmediği bir e-posta adresinin yazar adı olarak yayınlanması bu ilkeyle çelişir. Türkiye'deki KVKK da veri minimizasyonu ilkesini benimser. Bu bir hukuki görüş değildir, ama dikkate alınması gereken bir işarettir. ## Sitenizi WP-CLI ile Nasıl Kontrol Edersiniz? Aşağıdaki komutlar, yönetici hesaplarına ait yayınlanmış içerikleri sayar. Sonuç sıfırdan büyükse düzeltmeniz gereken bir durum vardır. `types=$(wp eval 'echo implode( ",", array_diff( get_post_types( array( "public" => true ) ), array( "attachment" ) ) );') admins=$(wp user list --role=administrator --format=ids | tr ' ' ',') wp post list --author="$admins" --post_type="$types" --post_status=publish --format=count` Burada "--post_type=any" kullanmayın. Bu seçenek bbPress konuları gibi bazı herkese açık içerik türlerini atlar. Yönetici hesabına ait içerik bulursanız, yazara ayrı bir Yazar veya Editör hesabı açın. Ardından içerikleri o hesaba aktarın. Önce yazı kimliklerini listeleyip kontrol edin, sonra yalnızca o yazıları güncelleyin: `wp post update --post_author=` Medya dosyalarını ayrı ayrı değerlendirin. Görünen adı ve yazar adresini düzeltmek tek komutla yapılır: `wp user update --display_name="Ali Yılmaz" --user_nicename="ali-yilmaz"` Çoklu site kurulumlarında komutları her site için "--url" ile ayrı ayrı çalıştırın. Süper yöneticileri "wp super-admin list" komutuyla ayrıca denetleyin. ## Yapılmaması Gereken 3 Şey - Eski yazar adreslerini yönlendirmeyin. Eski adresten yeni adrese yönlendirme yapmak, o e-postaya ait bir hesabın var olduğunu doğrular. - Ad değiştirmenin eski yorumları düzelttiğini sanmayın. Her yorum, yazıldığı andaki adın bir kopyasını saklar. Bunları ayrıca güncellemeniz gerekir. - Kayıt sırasında e-posta ile giriş adını engellemeyin. Bu, e-ticaret ve tek oturum açma (SSO) eklentilerini bozabilir. Üstelik hiçbir açığı kapatmaz. ## Ajans Olarak Önerimiz Müşteri sitelerinde şu kuralları standart olarak uyguluyoruz: - Her sitede en fazla iki adlandırılmış yönetici ve bir acil durum hesabı bulunur. - Yöneticiler içerik yayınlamaz ve oturum açıkken yorum yapmaz. - Tüm yazarların görünen adı ve yazar adresi elle belirlenir. - Yayın yapabilen tüm hesaplarda iki adımlı doğrulama açıktır. - Bu kurallar yazılı bir kullanıcı güvenlik politikasıyla belgelenir. ## Sıkça Sorulan Sorular ### WordPress yönetici hesabıyla yazı yayınlamak tehlikeli midir? Tek başına bir açık değildir. Ama yönetici hesabının adını herkese duyurur. Bu da saldırganın hedefini kolaylaştırır. ### WordPress'te kullanıcı adı gizli tutulmalı mı? Hayır, kullanıcı adı bir sır değildir. Önemli olan, herkese açık adın yönetici yetkisi taşımayan bir hesaba ait olmasıdır. ### E-posta adresini giriş adı olarak kullanmak yanlış mı? Hayır, OWASP doğrulanmış e-postaları kullanıcı adı olarak kabul eder. Yanlış olan, bu adresin yazar adı olarak yayınlanmasıdır. ### Siteyi yönetip aynı zamanda yazı yazıyorsam ne yapmalıyım? İki hesap açın. Yönetici hesabını yalnızca yönetim için, Yazar veya Editör hesabını yayın için kullanın. ### Görünen adımı nasıl değiştiririm? Kullanıcılar > Profil ekranından "Herkese açık görünen ad" alanını değiştirin. Toplu düzeltme için WP-CLI komutlarını kullanabilirsiniz. Kaynak: Bu yazı, Dan Knauss'un Bad Sector blogunda yayınlanan "WordPress Administrator accounts should never publish" makalesinden yararlanılarak hazırlanmıştır: [badsector.blog](https://badsector.blog/administrator-account-never-publishes/)