WordPress form eklentisinde 9,8 ve İran sitelerinin durumu

İran siteleri için iyi haber ve kötü haber

İyi haber: sıralanan 326 Farsça WordPress sayfasında form eklentisini tespit ettik ve bu eklenti hiçbirinde çıkmadı. Yerel pazar başka bir şey kullanıyor.

Kötü haber: sorunun türü, hangi eklentiyi seçtiğinizle ilgili değil. Sitenizdeki her açık form, hesabı olmayan herkesin size veri verdiği bir giriş noktasıdır. O form dosya yüklemeyi de kabul ediyorsa, yabancıların sunucunuzun diskine yazmasına izin veriyor ve neyin serbest olduğuna eklentinin doğrulaması karar veriyor demektir.

Sizi asıl endişelendirmesi gereken 9,8 değil

Aynı sekizlik listede, puanı daha düşük ama işletme sahibi için daha önemli bir kayıt var. O kayıt, birinin adresteki bir sayıyı değiştirerek başkalarının yarım kalmış form kayıtlarını okumasına izin veriyordu: isimler, e-posta adresleri, telefon numaraları, adresler ve mesaj metinleri.

Teknik puanı 5,3, çünkü sunucuyu kaybetmiyorsunuz. Kaybettiğiniz şey potansiyel müşteri listeniz. Bir ajans ya da mağaza için bu, sunucunun çökmesinden kötüdür; çünkü sunucu bir yedekle geri gelir, müşteri verisi gelmez.

Bugün yapmaya değer üç şey

Birincisi, iletişim formunuzda dosya yükleme açıksa ve gerçekten ihtiyacınız yoksa kapatın. Hizmet sitelerindeki iletişim formlarının çoğu bu seçenek açık geliyor ve yılda bir kez bile kullanılmıyor.

İkincisi, formunuzun gönderilenleri nerede sakladığını öğrenin. Form eklentilerinin çoğu, e-postayla ilettiği halde her gönderimin bir kopyasını veritabanında tutuyor. Yani sitenizde bir kez bile bakmadığınız bir kişisel veri deposu duruyor. Depoya ihtiyacınız yoksa kaydetmeyi kapatın ya da eski kayıtları silin.

Üçüncüsü, eklentiler için otomatik güncellemeyi açın. Bu olayda yamalı sürüm, yayından bir gün sonra hazırdı; ayrıntıların herkese açılmasıyla sitenizin güncellenmesi arasındaki boşluk, saldırganın aradığı pencerenin ta kendisi.

Kendimize uyguladığımız bir kontrol

Aynı listede bir Cloudflare Turnstile captcha eklentisine ait kayıt da vardı. Bu sitede Turnstile çalıştırıyoruz, o yüzden gidip o eklenti mi diye baktık. Değildi; bizim Turnstile uygulamamız başka bir yoldan geliyor ve o eklenti burada hiç kurulu değil.

İki dakika sürdü ve önerdiğimiz alışkanlık da bu. Bir eklentiyle ilgili haber okuduğunuzda önce kendi panelinizde arayın, o eklenti sizde var mı diye. Ne olduğunu varsayın ne de olmadığını.

Formlar ve müşteri adayları, site satan birinin gözünden

İletişim formu, ziyaretçinin müşteriye dönüştüğü tek yer ve genellikle projenin en önemsiz parçası muamelesi görüyor. Üç şeyin doğru olması gerekiyor ve hiçbiri güvenlikle ilgili değil: birinin okuduğu bir kutuya düşmeli, gönderene teyit iletmeli ve mümkün olan en az sayıda alan taşımalı.

Kurduğumuz sitelerde form, bir projenin nasıl yürüdüğünü anlattığımız adımlardan biri olarak teslim testinin parçasıdır ve üzerinden gerçek bir gönderim yaparız; çünkü e-postası spama düşen bir form, form olmamasıyla tamamen aynı şeydir. Kampanya da yürütüyorsanız, yaptığımız pazarlama işi reklamdan değil bu noktadan başlar.

Bu aramayla gelen sorular

En iyi form eklentisi hangisi?

Örneklemimizde en çok kullanılan Contact Form 7, ikinci Gravity Forms'tu. Özelliklere göre seçmeyin. Ne kadar hızlı güncelleme çıkardığına ve gönderimleri veritabanınızda tutup tutmadığına göre seçin.

İyi bir ücretsiz seçenek var mı?

Formu kendi sitenizde istiyorsanız Contact Form 7'nin ücretsiz sürümü yeter. Barındırılan hizmetler de var, ama o zaman müşteri verisi başkasının sunucusunda oturur; bu bir ayrıntı değil, bir karardır.

Form kaç alan içermeli?

İlk görüşme için gerekmeyen her alanı çıkarın. Bir isim ve ulaşılacak tek bir yol yeter; gerisi konuşmada sorulur. Yükleme alanını yalnızca gerçekten dosya istiyorsanız bırakın.

Formda dosya yükleme ne kadar riskli?

Doğru yapılandırıldığında yönetilebilir, ama bu kayıt gösteriyor ki "doğru yapılandırma" sizin değil eklentinin kodunun işi. İhtiyacınız yoksa kapatın; tamamen size ait tek kontrol bu. Gerisi sunduğumuz güvenlik hizmeti başlığına girer.

Form eklentileri 19 Ağustos 2026'da, sıralanan 326 Farsça WordPress sayfasında tespit edildi. Dış kaynak: Ulusal Güvenlik Açığı Veritabanı'ndaki CVE-2026-15748 kaydı.