KOBİ'ler İçin IT Altyapısı: Sunucu, Yedekleme ve E-posta

Küçük ve orta ölçekli bir işletmede IT altyapısı genellikle "çalıştığı sürece kimsenin düşünmediği" bir konudur. Web sitesi açılıyor, e-postalar gidiyor, dosyalar bir yerde duruyor; yeterli. Sorun, bu sistemlerin bozulduğunda değil, bozulmaya başladığında fark edilmemesidir. KOBİ'ler için doğru IT çözümleri pahalı donanım ya da karmaşık yazılımlar değil; birkaç temel alanda düzenli, sıkıcı ama hayati alışkanlıklar kurmaktır.

Bu yazıyı teorik bir kontrol listesi olarak değil, kendi sunucularımızda ve kendi ürünlerimizde yaşadığımız gerçek olaylardan çıkardığımız derslerle yazdık. Sunucu güvenliği, yedekleme, e-posta teslim edilebilirliği, alan adı yönetimi ve lisans bağımlılıkları başlıklarında, bir işletmenin başına gelebilecek sorunları ve bunlara karşı alınabilecek pratik önlemleri anlatıyoruz.

KOBİ'ler İçin IT Çözümleri Neden Önemli?

Büyük şirketlerin bir IT departmanı vardır; bir sorun olduğunda birileri alarm alır, kayıtları inceler, müdahale eder. KOBİ'lerde ise bu rol çoğu zaman "bilgisayardan anlayan çalışana" ya da web sitesini yıllar önce yapan freelancer'a kalmıştır. Bu durumda üç risk ortaya çıkar:

• Görünmezlik: Sistem bir sorun yaşadığında uyarı üretir, ama uyarıyı okuyan kimse yoktur.
• Dağınıklık: Alan adı bir hesapta, hosting başka bir hesapta, e-posta üçüncü bir sağlayıcıda; şifreler ise eski bir çalışanın bilgisayarında.
• Tek nokta bağımlılığı: Tek bir lisansın, tek bir sağlayıcının ya da tek bir kişinin aksaması tüm işi durdurur.

İyi kurgulanmış IT çözümleri bu üç riski azaltmaya odaklanır. Aşağıdaki bölümler, her birini pratik önlemlerle açıyor.

Sunucu Güvenliği: Saldırı Sessiz Gelir

Küçük işletmelerin sunucuları çoğu zaman özel olarak hedef alınmaz; otomatik araçlar internetteki sunucuları tarar ve buldukları açıktan içeri girer. Saldırgan içeri girdiğinde de genellikle tek bir arka kapıyla yetinmez: Zamanlanmış görevler, sistem servisi gibi görünen sahte süreçler ya da sunucu her açıldığında çalışan komutlarla erişimini korumaya çalışır. Bu yüzden yalnızca bulunan zararlı dosyayı silmek çoğu zaman yetmez.

Bir saldırı şüphesinde akılda tutulması gerekenler:

1. Temizlikte sıra önemlidir. Önce kendini yeniden kuran mekanizmaları (zamanlanmış görevler, servisler, açılış komutları) kapatmak, en son saldırganın kullandığı hesabı silmek gerekir. Ters sırada yaparsanız, sildiğiniz şey birkaç dakika sonra geri gelir.
2. Kayıtlar kalıcı olmalı. Sistem kayıtları (loglar) yalnızca bellekte tutuluyorsa, sunucu yeniden başlatıldığında olayın kanıtı da kaybolur. Kayıtların diske yazıldığından emin olun; kritik dosyalardaki değişiklikleri izleyen denetim kuralları ve düzenli çalışan otomatik kontroller, bir sorunu günler sonra değil, oluştuğu gün fark etmenizi sağlar.
3. Uyarıların ulaştığından emin olun. Sunucunun gönderdiği uyarı e-postaları spam klasörüne düşüyor ya da kimsenin bakmadığı bir adrese gidiyorsa, uyarı sistemi hiç yokmuş gibidir. Uyarı sistemi kurmak yetmez; uyarının gerçekten okunduğunu test etmek gerekir.

Kendi sunucularımızda uyguladığımız temel sertleştirme adımları, çoğu KOBİ için de iyi bir başlangıç listesidir:

• Yönetim paneline yalnızca SSL (şifreli bağlantı) ile erişim.
• Şifresiz (cleartext) e-posta girişinin kapatılması.
• Uygulamaların iç portlarının dışarıya kapatılması; dışarıya yalnızca gerçekten gereken servislerin açık olması.
• Kaba kuvvet (brute-force) şifre denemelerine karşı korumanın sıkılaştırılması.
• Yönetim erişiminin herkese açık internetten değil, özel bir ağ (VPN) üzerinden yapılması.

Bu adımların hiçbiri pahalı değildir; ama bir kez yapılıp unutulmamaları, düzenli gözden geçirilmeleri gerekir. Kişisel veri işleyen işletmeler için bu tedbirler aynı zamanda yasal yükümlülüklerle de ilişkilidir; ayrıntılar için KVKK teknik tedbirler rehberimize bakabilirsiniz. Yasal yükümlülüklerinizin kapsamını netleştirmek için ise bir hukukçuya danışmanızı öneririz.

Yedekleme: Alınan Değil, Geri Dönülebilen Yedek

"Yedeğimiz var" cümlesi, IT dünyasının en tehlikeli rahatlatıcılarından biridir. Bizim yaşadığımız olay şuydu: Sunucu yedekleri zamanla diski dolduruyordu. Disk doluluğu yüzde doksanı geçtiğinde yedekleme sistemi hata vermeden, sessizce çalışmayı bırakıyordu. Yani kâğıt üzerinde yedekleme açıktı, ama yeni yedek alınmıyordu.

Çözüm olarak yedek saklama süresini düşürdük ve aylık disk kontrolünü rutin hâline getirdik. Ama asıl ders daha geniş:

• Yedeğin alındığını değil, geri yüklenebildiğini test edin. Belirli aralıklarla bir yedeği gerçekten geri yükleyip çalıştığını doğrulamayan bir yedekleme sistemi, varsayımdan ibarettir.
• Yedeğin bir kopyası sunucunun dışında olmalı. Sunucu ele geçirilirse, bozulursa ya da sağlayıcı erişimi keserse, aynı makinedeki yedek de gider.
• Yedekleme de izlenmeli. Son başarılı yedeğin tarihini düzenli kontrol edin. Disk doluluğu gibi yedeği sessizce durdurabilecek koşullar için ayrıca uyarı kurun.

Basit bir yedekleme planı şu soruları cevaplamalı:

Soru	Örnek cevap
Neyi yedekliyoruz?	Web sitesi dosyaları, veritabanı, e-posta kutuları, muhasebe ve ortak dosyalar
Ne sıklıkla?	Veritabanı günlük, dosyalar haftalık (değişim hızına göre)
Kaç kopya, nerede?	Biri sunucuda, en az biri sunucu dışında
Ne kadar süre saklanıyor?	Disk kapasitesini aşmayacak, ama geri dönüşe yetecek bir süre
En son ne zaman geri yükleme testi yapıldı?	Tarihi kayıtlı olmalı

E-posta: Gönderilen Her Mail Ulaşmaz

İşletmelerin en çok şikâyet ettiği IT sorunlarından biri, "maillerimiz spam'e düşüyor" ya da "karşı taraf mailimizi almamış" cümleleridir. Bunun en yaygın sebebi, alan adınızın e-posta kimlik doğrulama kayıtlarının eksik ya da hatalı olmasıdır.

Üç temel kayıt vardır:

• SPF: Alan adınız adına hangi sunucuların e-posta gönderebileceğini belirtir.
• DKIM: Gönderilen her e-postaya, değiştirilmediğini kanıtlayan dijital bir imza ekler.
• DMARC: SPF ve DKIM kontrolünden geçemeyen e-postalara alıcı sunucunun ne yapacağını söyler ve size rapor gönderilmesini sağlar.

Bu kayıtlar yalnızca kişisel e-postalar için değil, sunucu uyarıları, form bildirimleri ve faturalar gibi otomatik gönderimler için de geçerlidir. Özellikle alt alan adlarından gönderilen e-postalar sık gözden kaçar; bu adreslerin SPF kaydı yoksa büyük e-posta sağlayıcıları mesajı spam'e atabilir ya da doğrudan reddedebilir. En pratik çözüm, otomatik e-postaları kayıtları doğru kurulu ana alan adınız üzerinden göndermektir.

Pratik öneriler:

• Ana alan adınızın yanı sıra e-posta gönderen her alt alan adı ve servis (form bildirimleri, fatura sistemi, CRM, bülten aracı) için SPF ve DKIM'in tanımlı olduğunu kontrol edin.
• Hangi alan adının e-postasının hangi sağlayıcıda (kendi sunucunuz, Google Workspace, Microsoft 365) barındığını yazılı bir haritada tutun. Yönlendirme ayarları karıştığında e-postalar yanlış kutuya düşebilir.
• "Her adrese gelen maili ana kutuya at" (catch-all) gibi ayarlara dikkat edin; yanlış yazılmış adreslere gelen önemli e-postalar kimsenin açmadığı bir kutuda birikebilir.

Alan Adı ve Lisanslar: Sıkıcı Ama Hayati Tarihler

"Site çalışmıyor" şikâyeti geldiğinde ilk akla gelen sunucu sorunudur. Oysa sebep çoğu zaman çok daha basittir: Otomatik yenilemesi kapalı bir alan adının süresi dolduğunda önce askıya alınır, belirli bir süre sonra tamamen serbest kalır. Sunucu ayakta olsa bile site açılmaz, kurumsal e-postalar gelmez. Bu yüzden sunucuda saatlerce hata aramadan önce ilk bakılacak yer alan adının bitiş tarihidir.

Benzer bir bağımlılık lisanslarda da var. Sunucumuzun kontrol paneli lisansı askıya alındığında, web üzerinden e-posta erişimi ve tüm e-posta hesaplarına giriş iki gün boyunca çalışmadı. Sunucunun kendisi ayaktaydı; ama tek bir lisansın durması bütün e-posta trafiğini etkiledi.

Alan adı ve lisanslar için kontrol listesi:

1. Tüm alan adlarında otomatik yenilemeyi açın ve ödeme yöntemlerinin güncel olduğunu kontrol edin.
2. Bitiş tarihlerini ayrıca bir takvim hatırlatmasına ekleyin; otomatik yenilemenin de başarısız olabileceğini varsayın.
3. Alan adlarını tek bir hesapta toplayın; farklı kişilerin farklı hesaplarında dağınık kalmasın.
4. Kontrol paneli, SSL sertifikası, yazılım lisansları gibi kritik bağımlılıkların bitiş tarihlerini tek bir listede izleyin.
5. Bir sorun olduğunda hangi sağlayıcıyla, hangi hesaptan iletişime geçileceğini önceden belirleyin.

Küçük Bir İşletme İçin Temel IT Çözümleri Kontrol Listesi

Yukarıdaki derslerin tamamını tek bir listede topladık. Bu listeyi yılda en az iki kez gözden geçirmenizi öneririz:

• Alan adları otomatik yenilemede, bitiş tarihleri takvimde.
• Hosting, alan adı ve e-posta hesaplarının erişim bilgileri güvenli ve ortak bir yerde, birden fazla yetkili kişide.
• Yönetim panellerine erişim şifreli bağlantı ve güçlü şifrelerle; mümkünse iki aşamalı doğrulama ile.
• Kullanılmayan servisler ve açık portlar kapalı.
• Yedekler düzenli alınıyor, bir kopyası sunucu dışında, geri yükleme test edildi.
• Disk doluluğu ve son yedek tarihi düzenli kontrol ediliyor.
• SPF, DKIM ve DMARC kayıtları tüm gönderen alan adları için tanımlı.
• Sunucu ve güvenlik uyarıları, gerçekten okunan bir adrese gidiyor ve spam'e düşmüyor.
• Kritik lisansların bitiş tarihleri izleniyor.

Sık Sorulan Sorular

Küçük bir işletmenin kendi sunucusu olmalı mı? Çoğu KOBİ için kendi fiziksel sunucusunu ofiste tutmak gerekli değildir. Güvenilir bir hosting ya da bulut altyapısı, doğru yapılandırıldığında daha az bakım yükü getirir. Önemli olan sunucunun nerede olduğundan çok, kimin yönettiği ve nasıl izlendiğidir.

Yedeklerimizin çalıştığını nasıl anlarız? Tek güvenilir yol, belirli aralıklarla bir yedeği gerçekten geri yükleyip test etmektir. Ayrıca son başarılı yedeğin tarihini ve disk doluluğunu düzenli kontrol edin; bazı sistemler disk dolduğunda hata vermeden yedek almayı bırakır.

E-postalarımız neden spam'e düşüyor? En yaygın sebep, alan adınız için SPF, DKIM ve DMARC kayıtlarının eksik ya da hatalı olmasıdır. Özellikle form bildirimleri, faturalar ya da sistem uyarıları gibi farklı servislerden gönderilen e-postalar için ayrı ayrı kontrol yapılmalıdır.

Sitemiz açılmıyorsa ilk neye bakmalıyız? Sunucuya bakmadan önce alan adının süresinin dolup dolmadığını kontrol edin. Ardından hosting hesabının ve kontrol paneli lisansının aktif olup olmadığına bakın. Bu basit kontroller, birçok "büyük arıza"nın birkaç dakikada çözülmesini sağlar.

Sonuç

KOBİ'ler için iyi IT çözümleri; sunucunun sertleştirilmesi, geri dönülebilen yedekler, doğru kurulmuş e-posta kayıtları ve bitiş tarihleri izlenen alan adı ve lisanslar üzerine kurulur. Bu alanların ortak noktası şudur: Hepsi sessizce bozulur. Saldırgan iz bırakmadan yerleşir, yedek hata vermeden durur, e-posta kimse fark etmeden spam'e düşer, alan adı bir gece sessizce düşer. Bu yüzden asıl yatırım, düzenli kontrol ve gerçekten okunan uyarılardır.

Altyapınızın bugünkü durumunu birlikte gözden geçirmek isterseniz IT çözümleri hizmetimizi inceleyebilirsiniz. Sunucu, yedekleme, e-posta ya da alan adı tarafında bir sorun yaşıyorsanız veya yaşamadan önlem almak istiyorsanız bize ulaşın; mevcut yapınızı inceleyip öncelik sırasına göre bir yol haritası çıkaralım.