Nulled Tema Neden Tehlikeli? Gizli Riskler ve Güvenli Alternatifler

Premium bir WordPress temasının ya da eklentisinin "ücretsiz" sürümünü bulmak birkaç tık sürer. Bu kopyalara nulled denir: lisans kontrolü kaldırılmış, geliştiricisinin izni olmadan dağıtılan dosyalardır. İlk bakışta tasarruf gibi görünse de hacklenen WordPress sitelerde sık görülen giriş kapılarından biridir.

Bu yazıda nulled tema ve eklentilerin neden tehlikeli olduğunu, sitenizde bulunup bulunmadığını nasıl anlayacağınızı, kullandıysanız ne yapmanız gerektiğini ve güvenli alternatifleri anlatıyoruz.

Nulled tema nedir, nasıl dağıtılır?

Ücretli temalar ve eklentiler genellikle bir lisans anahtarıyla etkinleştirilir; güncellemeler ve destek bu anahtara bağlıdır. Nulled sürümlerde bu kontrol kod değiştirilerek devre dışı bırakılır. Dosyalar forumlarda, "ücretsiz premium tema" sitelerinde ve dosya paylaşım bağlantılarında dolaşır.

Sorun şudur: dosyayı değiştiren kişinin yalnızca lisans kontrolünü mü kaldırdığını, yoksa koda başka bir şey de mi eklediğini bilemezsiniz. Ücretli bir ürünü emek harcayıp ücretsiz dağıtan birinin bunu neden yaptığını da sormak gerekir.

Nulled temalarda karşılaşılan 6 tehlike

1. Gizli arka kapılar

En yaygın risk, dışarıdan komut çalıştırmaya ya da dosya yüklemeye izin veren arka kapıdır (backdoor). Kod çoğunlukla temanın functions.php dosyasına ya da masum adlı bir yardımcı dosyaya gizlenir ve karartılmıştır. Güvenlik araştırmacılarının yıllardır belgelediği WP-VCD gibi zararlı yazılım aileleri nulled tema ve eklentilerle yayılmış; sitedeki diğer temaların dosyalarına da kod ekleyip gizli yönetici hesapları açmıştır.

2. SEO spam ve gizli bağlantılar

Temaya gömülü, ziyaretçiye görünmeyen ama arama motorunun okuduğu bağlantılar bahis, ilaç ya da sahte ürün sitelerine işaret eder. Bu bağlantılar sitenizin itibarını kullanır; Google'ın spam politikaları nedeniyle sıralamanız düşebilir. Daha ağır vakalarda sitenizde binlerce sahte sayfa açılır; bu durumu Japonca SEO spam rehberinde anlattık.

3. Zararlı yönlendirmeler ve reklamlar

Bazı nulled kopyalar ziyaretçiyi belirli koşullarda başka sitelere yönlendirir ya da sayfaya istenmeyen reklam ekler. Kod genellikle yalnız mobil ziyaretçide ya da ilk ziyarette çalıştığı için site sahibi uzun süre fark etmez.

4. Güvenlik güncellemesi alamamak

Lisanssız kopya resmi güncelleme kanalına bağlanamaz. Tema ya da eklentide bir güvenlik açığı yayımlandığında düzeltme size ulaşmaz; açık, sitenizde herkesin bildiği bir kapı olarak kalır.

5. Veri ve ödeme bilgisi hırsızlığı

E-ticaret sitelerinde ödeme sayfasına eklenen kart kopyalama betikleri, yönetici giriş bilgilerini kaydeden kodlar ve müşteri verisini dışarı taşıyan istekler görülebilir. Bu durumda zarar yalnız sitenize değil, müşterilerinize de yansır. Müşterilerinizin kişisel verileri etkilendiyse, veri sorumlusu olarak Kişisel Verileri Koruma Kurulu'na ihlali öğrendiğiniz andan itibaren en geç 72 saat içinde bildirim yapma yükümlülüğünüz doğabilir.

6. Hukuki ve itibar riski

Lisans koşulları üründen ürüne değişir; ancak nulled kopyada lisans anahtarı, destek ve resmi güncelleme hakkı yoktur. Sitenizin spam ya da zararlı yazılım yaydığı tespit edilirse hosting firmanız hesabı askıya alabilir, Google tarayıcılarda uyarı gösterebilir.

Nulled eklentiler de aynı riski taşır

Yazının başlığı temalar olsa da aynı tehlike eklentiler için de geçerlidir; hatta daha büyüktür. Sayfa oluşturucular, form ve SEO eklentileri, WooCommerce uzantıları ve yedekleme araçları gibi popüler ücretli eklentilerin nulled sürümleri de yaygın biçimde dolaşır. WordPress'te bir eklenti, sitenin kendisiyle aynı yetkiyle çalışır: veritabanına, dosyalara ve kullanıcı hesaplarına tam erişimi vardır. Bu yüzden tek bir nulled eklenti, geri kalan her şey lisanslı olsa bile bütün siteyi riske atar. Güvenlik eklentilerinin nulled sürümleri ise ayrıca tehlikelidir: sizi korumak yerine sahte bir güven duygusu verir.

Nulled temanın gerçek maliyeti

Lisans bedelinden kazanılan tutar, bir olay yaşandığında karşılaşılan maliyetlerin yanında küçük kalabilir:

• Temizlik, yeniden kurulum ve güvenlik incelemesi için harcanan emek.
• Sitenin kapalı kaldığı ya da uyarıyla açıldığı günlerde kaybedilen ziyaretçi ve satış.
• Google uyarısı ya da spam sayfalar nedeniyle düşen arama sıralaması ve durdurulan reklamlar.
• Müşteri verisi etkilendiyse bildirim yükümlülükleri ve itibar kaybı.

Ajanslar ve serbest çalışanlar için not

Müşteri sitesine kurulan nulled bir ürün, sizin imzanızla teslim edilmiş bir risktir. Lisansları müşterinin adına ya da devredilebilir biçimde alın, hangi ürünün hangi lisansla kurulduğunu teslim belgesine yazın ve güncelleme sorumluluğunun kimde olduğunu teslimden önce netleştirin.

Sitenizde nulled tema ya da eklenti var mı?

Siteyi başkası kurduysa ya da eski bir projeyi devraldıysanız aşağıdaki kontrolleri yapın:

• Satın alma kaydı: Tema ve ücretli eklentiler için geliştiriciden ya da resmi mağazadan alınmış bir lisansınız var mı?
• Güncelleme kanalı: Ürün, lisans anahtarı girilmiş hâlde resmi güncelleme bildirimi alıyor mu? Hiç güncelleme almayan ücretli ürün şüphelidir.
• Dosya karşılaştırması: Aynı sürümün resmi kopyasını indirip dosyaları karşılaştırın; fazladan eklenmiş dosya ya da satırlar nulled kopyanın işaretidir.
• Şüpheli kod: eval, base64_decode, gzinflate ya da str_rot13 ile çözülen uzun, anlamsız metin blokları. Bu fonksiyonlar meşru kodda da kullanılabilir; önemli olan bağlamdır.
• Yabancı yönetici hesapları: Kullanıcılar ekranında tanımadığınız yöneticiler ya da anlamsız adlı hesaplar.
• Dışarıya giden istekler: Sunucunun tanımadığınız alan adlarına düzenli istek gönderdiği kayıtlar.

WP-CLI ile hızlı kontrol

Sunucuya SSH erişiminiz varsa wp theme list ve wp plugin list komutları kurulu ürünleri, sürümlerini ve güncelleme durumunu listeler. wp plugin verify-checksums --all ise WordPress.org dizinindeki eklentilerin dosyalarını resmi kopyayla karşılaştırır. Ücretli ürünler bu dizinde olmadığı için onları geliştiricinin sunduğu resmi paketle ayrıca karşılaştırmanız gerekir.

Nulled tema kullandıysanız ne yapmalısınız?

Yalnızca temayı güncellemek ya da silmek yetmez; kod sitedeki başka dosyalara ve veritabanına yayılmış olabilir. Şu sırayı izleyin:

1. 1.Sitenin mevcut hâlinin tam yedeğini alın ve sunucu dışında saklayın.
2. 2.Nulled tema ve eklentileri tamamen silin; üzerine yeni sürüm yüklemek eklenmiş dosyaları temizlemez.
3. 3.Ürünü resmi kaynağından lisanslı olarak yükleyin ya da güvenli bir alternatife geçin.
4. 4.Diğer tema ve eklentileri, WordPress çekirdeğini de resmi kopyalarla yeniden yükleyin.
5. 5.Veritabanında yabancı yönetici hesaplarını, bilinmeyen ayarları ve zamanlanmış görevleri kontrol edin.
6. 6.Hosting, FTP, veritabanı ve yönetici şifrelerini; wp-config.php güvenlik anahtarlarını da yenileyin.
7. 7.Siteyi yeniden tarayın ve birkaç hafta boyunca dosya değişikliklerini izleyin.

Site zaten yönlendirme yapıyor ya da Google uyarısı aldıysa ayrıntılı adımları site hacklendi ne yapmalı rehberimizde bulabilirsiniz.

Güvenli alternatifler

• Lisansı resmi kaynaktan alın: Temayı geliştiricinin kendi sitesinden ya da resmi mağazadan satın alın. Lisans, güvenlik güncellemelerini ve desteği de kapsar.
• WordPress.org dizinindeki ücretsiz temaları kullanın: Buradaki temalar yayına alınmadan önce inceleme sürecinden geçer ve güncellemeleri WordPress panelinden gelir.
• Hafif bir tema ve sayfa oluşturucunun ücretsiz sürümüyle başlayın: İhtiyacınız netleştiğinde yalnız gerçekten kullandığınız özelliğin lisansını alın.
• Ucuz "paket" sitelerine temkinli yaklaşın: Çok sayıda premium ürünü düşük fiyata sunan sitelerde dosyanın değiştirilip değiştirilmediğini doğrulayamazsınız.
• Kullanmadığınız ürünleri silin: Etkin olmayan bir tema ya da eklenti de sunucuda durduğu sürece saldırı yüzeyidir.

Sitenizde nulled bir ürün kullanıldığından şüpheleniyorsanız ücretsiz site analiziyle dışarıdan görünen belirtileri hemen kontrol edebilirsiniz. Arka kapı ve yayılmış kod için WordPress virüs temizleme hizmetimizde kod manuel olarak incelenir; temizlik sonrası sürekli izleme için aylık koruma ve korumalı barındırma için Kalkan Hosting seçeneklerine göz atın.

Sıkça Sorulan Sorular

Nulled temayı antivirüsle taradım, temiz çıktı. Güvenli mi?

Garanti etmez. Tarayıcılar bilinen imzaları yakalar; karartılmış ya da o dosyaya özel yazılmış kod imza veritabanında yer almayabilir. Dosyanın kaynağını doğrulayamıyorsanız resmi kopyayla değiştirmek en güvenli yoldur.

Nulled tema kullanmak yasal mı?

Lisans koşulları üründen ürüne değişir ve hukuki değerlendirme bu yazının konusu değildir. Güvenlik açısından ise tablo nettir: nulled kopyada güncelleme ve destek hakkı yoktur ve dosyanın kim tarafından değiştirildiği bilinmez.

Nulled eklentiyi sildim, sitem temizlendi mi?

Her zaman değil. Arka kapı başka dosyalara, veritabanına ya da yönetici hesaplarına yayılmış olabilir. Silme işleminden sonra çekirdek ve eklentileri resmi kopyalarla yeniden yükleyin, kullanıcıları ve zamanlanmış görevleri kontrol edin.

Ücretsiz tema ile nulled tema aynı şey mi?

Hayır. WordPress.org dizinindeki ücretsiz temalar geliştiricisi tarafından ücretsiz dağıtılır ve inceleme sürecinden geçer. Nulled tema ise ücretli bir ürünün izinsiz ve değiştirilmiş kopyasıdır.

Nulled ürün kullanılan bir siteyi devraldım, nereden başlamalıyım?

Önce tam yedek alın, ardından tüm yönetici şifrelerini ve wp-config.php güvenlik anahtarlarını yenileyin. Sonra nulled ürünleri resmi lisanslı sürümleriyle değiştirin ve siteyi arka kapı ile yabancı hesaplar açısından baştan sona inceleyin.

Temanın orijinal olduğunu nasıl doğrularım?

Resmi kaynaktan indirilen aynı sürümle dosyaları karşılaştırın, lisans anahtarının geliştiricinin panelinde kayıtlı olduğunu ve ürünün resmi güncelleme aldığını kontrol edin.