Bot ve Erişim Kuralları

Bu ekran ne işe yarar?

Hostun Güvenlik sayfasındaki 2. Ek kurallar listesi, siteye kimin, nereden ve ne hızla erişeceğini belirler. Her kural bir satırdır. Satıra tıklayınca kuralın ayarları açılır. Sağdaki etiket kuralın şu anki durumunu gösterir. Göz simgesi, kural devreye girdiğinde ziyaretçinin göreceği sayfayı gösterir. Bot yönetimi ise aynı sayfada ayrı bir karttır.

Ek kurallar sayfanın altındaki Kaydet ve uygula düğmesiyle kaydedilir ve birkaç saniye içinde sunucuda geçerli olur. Geri al düğmesi kaydetmediğiniz değişiklikleri siler. Kaydettiğiniz değişiklikleri Ayar geçmişi ekranından geri alabilirsiniz.

Ne zaman kullanırsınız?

• e-Belediye uygulamanız yalnızca Türkiye'den kullanılsın istiyorsunuz.
• Bir iç uygulamayı yalnızca kurum ağına açmak istiyorsunuz.
• İzleme servisiniz veya yazılım firmanız korumaya takılıyor.
• Yapay zekâ şirketlerinin içeriğinizi model eğitimi için toplamasını istemiyorsunuz.
• Bulut sunuculardan gelen botlar sitenizi kopyalıyor veya yoruyor.
• Başka bir site resimlerinizi veya canlı yayınınızı kendi sayfasına gömüyor.

Ülke erişimi

Ülke erişimi siteyi yalnızca belirli ülkelere açar veya bazı ülkeleri engeller. Üç seçenek vardır: Kapalı, Sadece seçilen ülkeler girsin ve Seçilen ülkeleri engelle.

1. 2. Ek kurallar listesinde Ülke erişimi satırına tıklayın.
2. Sadece seçilen ülkeler girsin veya Seçilen ülkeleri engelle seçeneğini işaretleyin.
3. Ülkeleri adıyla veya koduyla arayıp ekleyin. Hızlı ekle satırı sık seçilen ülkeleri gösterir. Tüm liste (249) bağlantısı bütün ülkeleri açar.
4. Kurala takılan ziyaretçilere listesinden Erişimi engelle veya Tarayıcı doğrulaması iste (daha esnek) seçeneğini seçin.
5. Emin değilseniz Deneme modu (sadece kaydet) anahtarını açın.
6. Kaydet ve uygula düğmesine basın.

Örnek: e-Belediye yalnızca Türkiye'den kullanılsın. Bunun için Sadece seçilen ülkeler girsin seçilir ve Türkiye eklenir. Yurt dışındaki vatandaşlar da girebilsin istiyorsanız işlemi Tarayıcı doğrulaması iste yapın. Gerçek kişiler kısa bir doğrulamadan sonra girer.

IP adresi listeleri

IP adresi listeleri bölümünde üç liste vardır. Her satıra bir kayıt yazılır. Kayıt tek bir IP (212.156.1.5) veya bir ağ (88.255.10.0/24) olabilir. Her liste en fazla 500 kayıt alır.

Bot yönetimi

10. Bot yönetimi kartı gerçek arama motorlarını sahte botlardan ve otomasyon araçlarından ayırır. Googlebot ve Bingbot, Google ve Microsoft'un yayınladığı IP adresleriyle doğrulanır. Gerçek olanlar hiçbir korumaya takılmaz. Kendini Googlebot gibi tanıtıp başka bir adresten gelen istek çoğunlukla içerik kopyalayan veya açık arayan bir araçtır.

Kart son 30 günün istek sayılarını dört grupta gösterir: Doğrulanmış arama motorları, Sahte arama motoru botları, Otomasyon araçları ve Yapay zekâ botları.

• YandexBot, Applebot ve DuckDuckBot IP listesi yayınlamaz. Bu botlar normal ziyaretçi sayılır ve engellenmez.
• Google ve Microsoft adres listesi sunucuya inmemişse sahte bot kuralı uygulanmaz. Böylece gerçek bot hiçbir zaman engellenmez.
• Kendi betikleriniz siteyi kullanıyorsa betiğin IP'sini Kurallardan muaf IP'ler listesine ekleyin. Betik bir API yolunu kullanıyorsa yolu API ve entegrasyon yolları bölümüne de yazabilirsiniz.
• Bot yönetimi anahtarını kapatırsanız sahte botlar ve araçlar yalnızca akıllı korumada doğrulamaya takılır.

Kartın ayarları kendi Kaydet düğmesiyle kaydedilir.

Yapay zekâ botları

Yapay zekâ botları kuralı ChatGPT, Claude, Perplexity gibi şirketlerin botlarını yönetir. Panel 31 yapay zekâ botunu tanır. Botlara izin verseniz de istekleri sayılır.

Eğitim botları sitenize ziyaretçi getirmez. Asistan ve arama botları (ChatGPT-User, Claude-User, PerplexityBot ...) ise bir kullanıcının sorusu üzerine sayfanızı açar. Bu botlara izin verirseniz siteniz yapay zekâ cevaplarında kaynak olarak görünebilir. Google, Bing ve Yandex bu ayardan etkilenmez. robots.txt dosyanız her zaman açık kalır.

Bölümün altındaki tablo son 30 günde gelen botları gösterir. Tabloda botun şirketi, türü, istek sayısı ve İzinli ya da Engelleniyor durumu yazar. Bütün sitelerinizin toplamı Siteleriniz → Güvenlik sayfasındaki Yapay zekâ botları kartındadır.

Veri merkezi ve bulut IP'leri

Botların çoğu sunucu firmalarının ağlarından gelir. DigitalOcean, OVH, AWS ve Azure bunlara örnektir. Ev ve mobil internetten gelen vatandaş bu kuraldan etkilenmez. Türk Telekom, Turkcell, Vodafone, Superonline gibi Türk ev ve mobil internet sağlayıcıları listede yoktur.

• Bölümün altında listedeki ağ sayısı ve son güncelleme zamanı yazar.
• Gerçek Google ve Bing botları, kurallardan muaf IP'ler ve API yolları etkilenmez.
• Sitenize bulut sunucudan bağlanan bir hizmetiniz varsa (ör. izleme aracı) adresini Kurallardan muaf IP'ler listesine ekleyin.
• Kural yalnızca IPv4 adreslerinde çalışır.
• Deneme modu (sadece kaydet) anahtarıyla önce hangi adreslerin geldiğini görebilirsiniz.

Tor ve VPN

Tor ve VPN kuralı kimliğini gizleyen ziyaretçileri yönetir. Tor ağı ve VPN ve anonim proxy için ayrı ayrı İzin ver, Doğrulama iste veya Engelle seçersiniz.

• Tor tarayıcısı gizlilik için de kullanılır. Saldırı ve dolandırıcılık denemelerinde de sık görülür.
• Bazı gerçek kullanıcılar da VPN kullanır. Emin değilseniz VPN için Doğrulama iste seçin.
• Kurallardan muaf IP'ler ve gerçek arama motoru botları etkilenmez. Doğrulama iste seçeneği API yollarında uygulanmaz.
• Kural yalnızca IPv4 adreslerinde çalışır. Bölümün altında listelerin boyutu ve son güncelleme zamanı yazar.

İstek sınırı ve otomatik ban

İstek sınırı ve otomatik ban kuralı kısa sürede çok fazla istek gönderen IP adreslerini yavaşlatır ve engeller. Standart koruma saldırı hızındaki istekleri zaten durdurur. Bu kural daha sıkı bir sınır koymanızı sağlar.

1. Bir IP 10 saniyede en fazla kaç istek gönderebilsin? alanına sınırı yazın. Kapalı, Normal site: 300 ve Sıkı: 100 düğmeleri alanı hazır değerle doldurur.
2. Otomatik ban anahtarını açık bırakın ve Ban süresini dakika olarak yazın. Varsayılan süre 15 dakikadır.
3. Gerçek ziyaretçilerin takılıp takılmadığını görmek için önce Deneme modu (sadece kaydet) anahtarını açabilirsiniz.
4. Kaydet ve uygula düğmesine basın.

• Sınırı aşan ziyaretçi önce doğrulama görür.
• Koruma seviyesi Standart ise veya istek bir API yoluna geliyorsa sınırı aşan istek geçici olarak durdurulur. Ziyaretçi “Çok fazla istek” yanıtı alır.
• Otomatik ban açıksa sınırın 5 katını aşan IP güvenlik duvarında banlanır.
• Resim, stil ve yazı tipi dosyaları ile harita kareleri (WMS/WMTS) sayılmaz. Haritada gezinen kullanıcı sınıra takılmaz.

Dosya hırsızlığı (hotlink) koruması

Başka bir site sizin resminizi, videonuzu, canlı yayın akışınızı (m3u8) veya PDF'inizi kendi sayfasına gömebilir. Bu durumda dosya her açılışta sizin sunucunuzdan indirilir. Bant genişliğiniz ve sunucu yükünüz artar. Ziyaretçi ise içeriğinizi başka sitede görür. Dosya hırsızlığı (hotlink) koruması bunu önler.

Korunan dosyalar bölümünde Görseller, Video, ses ve canlı yayın ve Belgeler (yalnızca sayfaya gömülünce) türlerini seçersiniz. Ek uzantılar (isteğe bağlı) alanına başka uzantılar yazabilirsiniz (ör. jfif, heic). Şunlar her zaman geçer:

• Bağlantıya tıklayarak sitenize gelen ziyaretçi
• Kurumunuzun kendi alan adları
• Dosyalarınızı kullanabilecek siteler listesine yazdığınız alan adları ve alt alan adları (en fazla 100 site)
• Arama motorları ve sosyal medya (Google, Bing, Yandex, Facebook, X, LinkedIn, WhatsApp, Telegram). Bu seçeneği kapatabilirsiniz.
• Kaynak bilgisi göndermeyen istekler (mobil uygulama, adres çubuğu). Panel bu seçeneği kapatmanızı önermez.

1. Koruma listesinden Yalnızca say (deneme) seçeneğini seçip kaydedin.
2. Birkaç gün sonra Dosyalarınızı kullanan siteler (son 30 gün) tablosuna bakın. Tabloda site, 30 günlük ve bugünkü istek sayısı ve en çok kullanılan dosyalar yazar.
3. Anlaşmalı sitelerin satırında İzin ver düğmesine basın.
4. Korumayı Engelle veya Görsel yerine uyarı resmi göster olarak değiştirin.

Yeni bir site dosyalarınızı bir günde 500'den fazla kullanırsa size bir kez e-posta gelir. Telegram, SMS veya webhook (hotlink.detected) seçtiyseniz bu kanallardan da haber verilir.

Form ve dosya yükleme koruması

Form ve dosya yükleme koruması iki ayardan oluşur. Yalnızca form gönderimleri (POST) incelenir. JSON istekleri ve sayfa açılışları etkilenmez.

• Tehlikeli dosya yüklemesini engelle: Başvuru, şikâyet, ihale gibi formlardan .php, .asp, .exe, .htaccess gibi sunucuda çalışabilen dosyaların yüklenmesini engeller. resim.php.jpg gibi çift uzantı hileleri de yakalanır. Dosyanın içinde PHP kodu varsa da engelle seçeneği resmin içine gizlenmiş kodu da durdurur. Resim, PDF, Word, Excel ve ZIP dosyaları etkilenmez. Varsayılan listede 42 uzantı vardır. Ayrıca engellenecek uzantılar alanına ek uzantı yazabilirsiniz. 10 dakikada 5 deneme yapan IP banlanır.
• Aynı formu art arda gönderme sınırı: Bir IP aynı form adresine 10 dakikada sınırdan fazla gönderim yaparsa “çok fazla gönderim” sayfası görür. Sınırı 5, 10, 20, 50 veya 100 gönderim olarak seçersiniz. Sınırın 3 katına ulaşan IP banlanır. Giriş sayfaları bu sınıra girmez.

/wp-admin/, /wp-json/, /wp-cron.php, /administrator/ ve API yolları bu iki korumadan kendiliğinden muaftır. Başka adresleri Bu iki korumadan muaf adresler alanına yazabilirsiniz. Bahis, reklam ve yetişkin içerikli form iletileri ayrı bir sayfada durdurulur. Bu sayfa Giriş sayfası ve form koruması rehberinde anlatılır.

Diğer erişim kuralları

Giriş sayfası koruması, Mesai saati kuralı ve Yönetim paneli kilidi de 2. Ek kurallar listesindedir. Bu üç kural Giriş sayfası ve form koruması rehberinde anlatılır. Özel kurallar ile adres, ülke, IP veya tarayıcı kimliğine göre kendi kuralınızı yazarsınız. Özel kurallar Saldırı koruması rehberindedir.

Aynı kuralları birden fazla hosta tek seferde uygulamak için Siteleriniz → Güvenlik sayfasındaki Toplu güvenlik ayarı bölümünü kullanın. Toplu ayar ülke erişimi, IP listeleri, yapay zekâ botları, Tor ve VPN ve istek sınırı ayarlarını da kapsar. Ayrıntılar Ayar geçmişi ve şablonlar rehberindedir.

Tanınan IP adresleri

Siteleriniz → Güvenlik sayfasındaki Tanınan IP adresleri kartı, kayıtlarda ve istatistiklerde IP adresinin yanında ne olduğunu yazar. Ayar kurumunuzun bütün siteleri için geçerlidir.

• Arama motoru ve yapay zekâ botları kendiliğinden tanınır. Google Inspection Tool, Googlebot, Bingbot, YandexBot, Applebot, DuckDuckBot, Baiduspider, PetalBot, SeznamBot ve 31 yapay zekâ botu bu listededir.
• Onay işaretli botlar Google ve Bing'in yayınladığı IP aralıklarıyla doğrulanır. Bu aralıkların dışından gelip kendini Googlebot gibi gösteren istemci Googlebot (sahte) etiketiyle görünür.
• Kendi IP etiketleriniz bölümünde bir IP'ye veya ağa ad verirsiniz. Örneğin izleme sunucunuza “İzleme sunucusu”, kurum ağınıza “Belediye ağı” adını verebilirsiniz.

Etiket kayıtlarda, hostun genel bakışında, güvenlik olaylarında ve referans kodu sayfasında IP'nin yanında görünür. Bir IP birden fazla etikete uyuyorsa en dar ağın etiketi geçerli olur. Etiketi kaldırmak kayıtları silmez.

1. Siteleriniz → Güvenlik sayfasını açın.
2. Tanınan IP adresleri kartında IP veya ağ alanına adresi yazın.
3. Yanındaki alana bir ad yazın. Ad en fazla 60 karakter olur.
4. Ekle düğmesine basın.

Sık sorulan sorular

Yurt dışındaki vatandaşlar siteye giremiyor. Ne yapmalıyım?

Ülke erişimi kuralı Sadece seçilen ülkeler girsin ise ve işlem Erişimi engelle seçiliyse yurt dışından giriş kapanır. İşlemi Tarayıcı doğrulaması iste yaparsanız yurt dışındaki gerçek kullanıcılar kısa bir doğrulamadan sonra girer.

Siteyi yalnızca kurum içinden açık tutabilir miyim?

Evet. Kurumunuzun dış IP adreslerini Sadece bu IP'ler erişebilsin (kapalı devre) alanına yazın. Listede olmayan herkes engellenir. Listedeki adresler hiçbir doğrulamaya takılmaz.

İzleme servisimiz veya yazılım firmamız korumaya takılıyor.

Bu hizmetlerin IP adreslerini Kurallardan muaf IP'ler listesine ekleyin. Bu adresler doğrulama, ülke ve istek sınırı kurallarına takılmaz. Kayıtlarda kolay tanımak için Tanınan IP adresleri kartında adreslere ad da verebilirsiniz.

Yapay zekâ botlarını engellersem Google'da görünmez olur muyum?

Hayır. Google, Bing ve Yandex Yapay zekâ botları ayarından etkilenmez. Eğitim botlarını engelle seçeneği asistan ve arama botlarına da izin verir. Böylece siteniz yapay zekâ cevaplarında kaynak olarak görünmeye devam edebilir.

Bir IP yanlışlıkla banlandı. Ne yapmalıyım?

Hostun Güvenlik olayları sayfasındaki Şu an banlı IP'ler tablosundan banı kaldırın. Bir daha takılmaması için IP'yi Kurallardan muaf IP'ler listesine ekleyin. Ayrıntılar Güvenlik olayları rehberindedir.