"Bakım paketi" teklifleri genellikle birbirine benzer görünür: güncelleme, yedekleme, güvenlik, destek. Fark, bu kelimelerin arkasında ne olduğunda ortaya çıkar. Bir firmanın "yedekleme" dediği şey, sunucuda aynı diskte duran ve hiç geri yüklenmemiş bir dosya olabilir; diğerininki ise farklı bir konumda saklanan, düzenli olarak geri yükleme testi yapılan otomatik yedeklerdir. İkisi de teklifte aynı satırda yazar.
İyi bir web sitesi bakım hizmeti en az şu başlıkları kapsamalıdır: yazılım ve sunucu güncellemeleri, düzenli ve test edilmiş yedekler, güvenlik ve erişilebilirlik izleme, SSL ve alan adı takibi, belirli bir saat kotasıyla içerik desteği, aylık rapor ve yazılı yanıt süreleri (SLA). Aşağıdaki kontrol listesini, elinizdeki ya da alacağınız teklifin yanına koyup madde madde işaretleyebilirsiniz. Her maddede neye bakmanız gerektiğini ve sorulacak soruyu kısaca yazdık.
Neden bakım? Kısa bir hatırlatma
Bir web sitesi, yayına alındığı gün donmuş bir ürün değildir. Üzerinde çalıştığı yazılımlar (PHP, veritabanı, içerik yönetim sistemi, eklentiler, kütüphaneler) sürekli güncellenir; eski sürümler belirli bir süre sonra güvenlik desteğinden çıkar. PHP'nin resmî destek takvimi, her ana sürümün yaklaşık iki yıl aktif destek ve ardından iki yıl yalnızca güvenlik desteği aldığını gösterir. Bakımsız bir site, birkaç yıl içinde desteklenmeyen bir yazılım yığınının üzerinde çalışır hâle gelir. Sitelerin neden ve nasıl ele geçirildiğini ve böyle bir durumda ilk adımları web sitesi hacklendiğinde yapılacaklar yazımızda anlattık; bakımın asıl amacı o yazıya hiç ihtiyaç duymamaktır.
1. Yazılım ve sunucu güncellemeleri
- Çekirdek yazılım güncellemesi: WordPress, Laravel veya kullanılan başka bir altyapının güvenlik ve sürüm güncellemeleri. Soru: "Güvenlik güncellemeleri yayımlandıktan sonra ne kadar sürede uygulanıyor?"
- Eklenti, tema ve kütüphane güncellemeleri: Açıkların büyük kısmı çekirdekten değil, eklenti ve bağımlılıklardan gelir. Soru: "Terk edilmiş veya artık güncellenmeyen eklentileri tespit edip alternatif öneriyor musunuz?"
- Test ortamında deneme: Büyük güncellemeler önce sitenin bir kopyasında (staging) denenmeli, sonra canlıya alınmalı. Soru: "Güncellemeleri doğrudan canlı sitede mi yapıyorsunuz?"
- Güncelleme sonrası kontrol: Formlar, ödeme veya randevu akışları, menüler ve kritik sayfalar güncellemeden sonra elle ya da otomatik testlerle kontrol edilmeli.
- PHP ve sunucu yazılımı sürümü: Sitenin çalıştığı PHP ve veritabanı sürümünün desteklenen bir sürüm olduğunun takibi. Soru: "Mevcut PHP sürümümüzün güvenlik desteği ne zaman bitiyor ve geçiş planınız ne?"
- İşletim sistemi ve sunucu güncellemeleri (VPS/bulut ise): Paylaşımlı hostingde bu iş genellikle hosting firmasındadır; kendi sunucunuzda ise bakım kapsamına girip girmediği açıkça yazmalıdır. Sunucu tarafındaki temel adımları Linux sunucu güvenliği kontrol listemizde topladık.
2. Yedekleme ve geri yükleme
- Ne yedekleniyor? Dosyalar ve veritabanı birlikte. Yalnızca dosya yedeği, formlardan gelen kayıtları ve içerikleri kapsamayabilir.
- Ne sıklıkla? İçeriği sık değişen siteler için günlük; az değişen kurumsal siteler için haftalık çoğu zaman yeterlidir. Güncelleme öncesinde ayrıca anlık yedek alınmalı.
- Nerede? Yedeğin sitenin bulunduğu sunucudan farklı bir konumda tutulması şarttır. Sunucu çökerse ya da ele geçirilirse aynı yerdeki yedek de kaybolabilir.
- Ne kadar süre saklanıyor? Saklama süresi, sorunun geç fark edildiği durumlar için önemlidir. Örneğin bir zararlı kod iki hafta sonra fark edilirse, yalnızca son yedi günün yedeği temiz olmayabilir.
- Geri yükleme testi yapılıyor mu? Hiç geri yüklenmemiş bir yedek, çalıştığı kanıtlanmamış bir yedektir. Soru: "En son ne zaman bir yedekten test geri yüklemesi yaptınız?"
- Yedeğe kim erişebilir? Ajans ayrıldığında yedeklerin size teslim edilmesi sözleşmede yazmalı.
Yedekleme stratejisinin genel çerçevesi için 3-2-1 yedekleme kuralı yazımıza bakabilirsiniz.
3. Güvenlik izleme
- Erişilebilirlik (uptime) izleme: Sitenin birkaç dakikada bir otomatik kontrol edilmesi ve kapandığında bakım ekibine anında bildirim gitmesi. Sitenizin kapandığını müşterinizden öğrenmemelisiniz.
- Zararlı yazılım taraması: Dosyalarda beklenmeyen değişikliklerin ve bilinen zararlı kod kalıplarının düzenli taranması.
- Search Console güvenlik raporu: Google, ele geçirilmiş içerik veya zararlı yazılım tespit ettiğinde bunu Search Console'daki Güvenlik Sorunları raporunda bildirir. Bu raporun ve e-posta bildirimlerinin takibi bakım kapsamında olmalı.
- Güvenlik duvarı ve giriş koruması: Yönetim paneline yönelik kaba kuvvet denemelerinin engellenmesi, iki adımlı doğrulama, gerekirse panelin IP ile kısıtlanması. Cloudflare gibi bir katman kullanılıyorsa ayarlarının da düzenli gözden geçirilmesi; ayrıntılar Cloudflare rehberimizde.
- Kullanıcı hesabı denetimi: Ayrılan çalışanların veya eski ajansların yönetici hesaplarının kapatılması. Basit ama en çok ihmal edilen maddelerden biridir.
- Olay müdahalesi: Site ele geçirilirse temizlik bakım ücretine dahil mi, ayrıca mı ücretlendirilir? Soru: "Bir güvenlik olayında ilk müdahale süreniz ne ve bu işin bedeli pakette var mı?"
4. SSL, alan adı ve hosting takibi
- SSL sertifikası yenilemesi: Ücretsiz sertifikalar genellikle otomatik yenilenir; ama otomasyon bozulduğunda site "güvenli değil" uyarısıyla açılır. Bitiş tarihinin izlenmesi gerekir. Sertifika türleri için SSL sertifikası yazımıza bakabilirsiniz.
- Alan adı yenileme tarihi: Süresi dolan bir alan adı, site ve e-postaların aynı anda durması demektir. Yenileme tarihinin takvime alınması ve otomatik yenilemenin açık olduğunun kontrolü.
- DNS kayıtları: E-posta, alt alan adları ve doğrulama kayıtlarının yanlışlıkla silinmemesi; değişikliklerin kayıt altına alınması.
- Disk ve kaynak kullanımı: Hosting kotası dolduğunda yedekler alınamaz, e-postalar gelmez, site yavaşlar. Kullanımın izlenmesi ve gerektiğinde uyarı verilmesi.
5. Performans ve teknik sağlık
- Hız ölçümü: Ana sayfa ve kritik sayfalarda periyodik hız ölçümü. Bir eklenti güncellemesi veya yeni eklenen bir takip kodu, siteyi fark edilmeden yavaşlatabilir.
- Kırık bağlantı ve 404 kontrolü: Silinen sayfaların yönlendirilmesi, bozulan iç bağlantıların düzeltilmesi.
- Form ve e-posta testi: İletişim formunun gerçekten e-posta gönderdiğinin düzenli kontrolü. Sessizce çalışmayı bırakan bir form, aylarca fark edilmeyebilir.
- Veritabanı ve önbellek bakımı: Gereksiz kayıtların temizlenmesi, önbelleğin doğru çalıştığının kontrolü.
- Search Console uyarıları: Dizine ekleme hataları, mobil kullanılabilirlik ve Core Web Vitals bildirimlerinin takibi.
6. İçerik desteği
- Kapsam: Metin değişikliği, yeni görsel ekleme, yeni sayfa açma, kampanya banner'ı, duyuru. Hangisi pakete dahil, hangisi ayrı iş?
- Saat kotası: İçerik desteği çoğu pakette aylık bir saat kotasıyla tanımlanır. Kullanılmayan saatler sonraki aya devrediyor mu? Kota aşılırsa saat ücreti nedir?
- Talep yolu: E-posta, destek formu, WhatsApp? Taleplerin takip edilebildiği tek bir kanal, "o mesajı görmemişim" sorununu ortadan kaldırır.
- Küçük geliştirmeler: Yeni bir form alanı, bir bölümün yerinin değişmesi gibi işler içerik desteği mi, yoksa ayrı tekliflendirilen geliştirme mi? Sınır baştan çizilmeli.
7. Yanıt süreleri ve SLA
SLA (Service Level Agreement, hizmet seviyesi anlaşması), bakım ekibinin hangi tür soruna ne kadar sürede yanıt vereceğini ve çözmek için ne kadar süre öngördüğünü yazılı hâle getirir. Sözlü "hemen ilgileniriz" taahhüdü yeterli değildir.
| Öncelik | Örnek durum | Sorulacak |
|---|---|---|
| Kritik | Site tamamen kapalı, ele geçirilmiş, ödeme akışı çalışmıyor | İlk yanıt ve müdahale süresi; mesai dışında ve hafta sonunda geçerli mi? |
| Yüksek | İletişim formu çalışmıyor, önemli bir sayfa bozuk | Aynı iş günü içinde müdahale ediliyor mu? |
| Normal | Görsel kayması, küçük hata | Kaç iş günü içinde çözülüyor? |
| Talep | İçerik değişikliği, yeni sayfa | Planlama süresi ve teslim takvimi |
Tablodaki sürelerin rakamlarını bilerek boş bıraktık; makul süreler sitenin işinize ne kadar kritik olduğuna ve bütçeye göre değişir. Önemli olan, sürelerin sözleşmede yazması ve "yanıt" ile "çözüm" sürelerinin ayrı ayrı tanımlanmasıdır.
8. Raporlama ve şeffaflık
- Aylık rapor: Yapılan güncellemeler, alınan yedekler, kesinti süreleri, tespit edilen güvenlik olayları, kullanılan içerik saatleri.
- Değişiklik kaydı: Hangi tarihte, kim, neyi değiştirdi? Bir sorun çıktığında geriye dönük iz sürmeyi kolaylaştırır.
- Öneriler: İyi bir bakım ekibi yalnızca yapılanı değil, yapılması gerekeni de raporlar: "PHP sürümünüz yıl sonunda destekten çıkıyor," "Şu eklentinin geliştiricisi güncellemeyi bıraktı."
- Erişim listesi: Siteye, hostinge ve ilgili hesaplara kimlerin erişimi olduğunun güncel listesi.
9. Sözleşmede bakılacaklar
- Kapsam ve kapsam dışı: Pakete dahil olmayan işler (yeni özellik, yeniden tasarım, büyük sürüm geçişi, güvenlik olayı sonrası temizlik) açıkça listelenmeli.
- Süre ve fesih: Minimum taahhüt süresi var mı? Fesihte ihbar süresi ne kadar?
- Devir ve teslim: Sözleşme bittiğinde son yedeğin, erişim bilgilerinin ve dokümantasyonun teslimi.
- Sorumluluk sınırları: Hosting firması kaynaklı kesintiler veya sizin tarafınızda yapılan değişikliklerden doğan sorunlar nasıl ele alınıyor?
- Veri işleme: Bakım ekibi sitedeki kişisel verilere (form kayıtları, üye bilgileri) erişebiliyorsa, bu durumun KVKK açısından nasıl düzenlendiği. Bu bir hukuki değerlendirme gerektirir; bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
- Fiyat güncellemesi: Bedel yıllık mı sabit, yoksa belirli dönemlerde güncelleniyor mu?
Paket seviyelerini karşılaştırmak
Pek çok ajans bakımı birkaç kademeli paket olarak sunar. Paketleri karşılaştırırken fiyat yerine aşağıdaki sorulara verilen cevaplara bakın:
- Yedekler sunucu dışında mı ve geri yükleme testi yapılıyor mu?
- Güncellemeler önce test ortamında mı deneniyor?
- Uptime izleme ve anlık bildirim var mı?
- Güvenlik olayında temizlik pakete dahil mi?
- İçerik desteği için kaç saat ayrılmış?
- Kritik sorunlar için mesai dışı müdahale var mı?
- Aylık rapor gönderiliyor mu?
Bu yedi sorunun cevabı, iki paket arasındaki gerçek farkı çoğu zaman fiyattan daha iyi anlatır. Sitenin ilk kurulum maliyetini oluşturan kalemleri ise kurumsal web sitesi fiyatları yazımızda ele aldık.
Sık Sorulan Sorular
Küçük bir kurumsal site için bakım şart mı?
İçerik az değişse bile yazılım güncellemeleri, yedekler ve SSL/alan adı takibi şarttır. Sitenin küçük olması saldırı riskini azaltmaz; otomatik saldırılar siteleri büyüklüğüne göre değil, açıklarına göre seçer. Küçük siteler için daha hafif ve uygun bütçeli bir paket yeterli olabilir.
Bakımı kendimiz yapabilir miyiz?
Teknik bilgisi olan bir ekip üyesi varsa güncellemeler ve içerik değişiklikleri içeride yapılabilir. Ancak yedeklerin sunucu dışına alınması, geri yükleme testleri ve güvenlik izleme gibi işler düzen ve süreklilik ister. Hangi işin kimde olduğunu yazılı hâle getirmek, "ben yaptığını sanıyordum" durumunu önler.
Hosting firması zaten yedek alıyor, yine de gerekir mi?
Hosting firmalarının aldığı yedekler genellikle kendi altyapılarını korumak içindir; saklama süresi, sıklığı ve size ne kadar hızlı geri yükleneceği garanti olmayabilir. Kendi kontrolünüzde, farklı bir konumda tutulan bağımsız bir yedek her zaman daha güvenlidir.
Siteyi yapan ajans dışında başka bir firmayla bakım anlaşması yapılabilir mi?
Evet, kaynak kod, erişim bilgileri ve hosting hesabı sizdeyse mümkündür. Yeni bakım ekibi işe genellikle bir ilk inceleme ile başlar: mevcut sürümleri, eklentileri, yedekleri ve güvenlik durumunu tespit eder. Bu yüzden sahiplik ve erişimlerin baştan sizde olması önemlidir.
Bakım anlaşması yoksa en azından ne yapmalıyız?
Üç şey: sunucu dışında tutulan otomatik yedek, ayda bir yazılım güncellemesi ve uptime izleme. Bunlar en büyük riskleri tek başına önemli ölçüde azaltır.
Sonuç
Bakım paketi, adı aynı olsa da içeriği firmadan firmaya çok farklı bir hizmettir. Doğru paketi seçmenin yolu, "güncelleme", "yedek" ve "destek" kelimelerinin arkasında tam olarak ne yapıldığını sormak ve yanıtları sözleşmeye yazdırmaktır. Yukarıdaki dokuz başlık, bu konuşmayı yapmanız için yeterli bir çerçeve sunar.
Nexova Studio olarak web geliştirme ve IT hizmetleri kapsamında, yaptığımız ya da devraldığımız sitelere kapsamı ve yanıt süreleri yazılı bakım anlaşmaları sunuyoruz. Mevcut sitenizin bakım ihtiyacını birlikte değerlendirmek için bize ulaşın.
