Hosting panelindeki tek tıkla kurulumu çalıştırdınız, tarayıcıda /wp-admin açıldı, karşınızda tertemiz bir yönetim paneli duruyor. Ve tam da bu noktada çoğu kişi takılıyor: WordPress kurulum sonrası ne yapmalı, hangi ayara önce dokunulmalı, hangi kutucuk sonradan başa bela olur? Türkçe rehberlerin büyük kısmı kurulumu anlatıp "artık yazı yazmaya başlayabilirsiniz" diyerek bitiyor. Oysa yeni bir WordPress sitesinde asıl kritik olan an, ilk yazının yayınlanmasından önceki yarım saattir.
Bu yazıda, yıllardır yeni kurulan siteleri devraldığımda ilk baktığım ayarları sırasıyla anlatacağım. Sıra rastgele değil: listenin başındaki üç madde (kalıcı bağlantı yapısı, arama motoru görünürlüğü ve yedek düzeni) sonradan düzeltilmesi en pahalı olanlar. Bir kalıcı bağlantı değişikliği 300 yazılık bir sitede yüzlerce 404 üretir; kapalı kalmış bir "arama motorlarını engelle" kutusu sitenizi aylarca Google'a görünmez yapar; ilk yedeği almadan kurcalanan bir tema ise geri dönüşü olmayan bir gece demektir. Sondaki maddeler ise "yapılmazsa hayat devam eder" kategorisinde — ama hepsini ilk gün bitirirseniz sonraki iki yıl boyunca bu ekranlara bir daha dönmezsiniz.
Kalıcı Bağlantı Yapısını İçerik Girmeden Önce Seçin#
Kalıcı bağlantı (permalink) yapısı, ilk gün yapılması gereken tek en önemli ayardır çünkü sonradan değiştirmenin bedelini tüm eski adresleriniz öder. WordPress varsayılan olarak bazı kurulumlarda https://siteniz.com/?p=123 biçiminde çirkin ve anlamsız adresler üretir. Bunu Ayarlar → Kalıcı Bağlantılar ekranından değiştirirsiniz.
Pratikte üç seçenek mantıklıdır:
| Yapı | Örnek adres | Kime uygun |
|---|---|---|
| Yazı adı | /wordpress-kurulum-ayarlari/ | Kurumsal site, blog, hizmet sitesi — çoğu durumda doğru seçim |
| Ay ve ad | /2026/08/yazi-adi/ | Günlük haber üreten, tarih önemli olan yayınlar |
Özel yapı /%category%/%postname%/ | /wordpress/yazi-adi/ | Kategori mimarisi sabit kalacak içerik siteleri |
Yıllardır gördüğüm en yaygın hata, üçüncü seçeneğin coşkuyla seçilip altı ay sonra kategori yapısının değiştirilmesi. Kategoriyi yeniden adlandırdığınız an o kategorideki bütün yazıların adresi değişir. Bu yüzden emin değilseniz Yazı adı yapısında kalın; sade, kısa ve kategori bağımsızdır.
Seçimi yaptıktan sonra alt kısımdaki Kategori temeli ve Etiket temeli alanlarını da bir kez gözden geçirin. Boş bırakırsanız WordPress /category/ ve /tag/ öneklerini kullanır. Türkçe bir sitede bunları kategori ve etiket yapmak URL bütünlüğü açısından daha derli topludur.
Kaydettikten sonra bir yazı açıp adresine bakın. /index.php/ gibi bir parça görüyorsanız sunucu tarafında yeniden yazma kuralları çalışmıyor demektir. Apache'de bu genelde .htaccess dosyasının yazılabilir olmamasından kaynaklanır:
cd ~/public_html
ls -la .htaccess
chmod 644 .htaccess
Nginx kullanıyorsanız .htaccess hiç okunmaz; kural sunucu yapılandırmasında olmalıdır:
location / {
try_files $uri $uri/ /index.php?$args;
}
Bu kural yoksa kalıcı bağlantıları kaydettiğiniz anda ana sayfa dışındaki her adres 404 verir. Konunun tamamı, yapı seçenekleri ve 404 senaryosunun çözümü için wordpress permalink ayarları yazısına bakabilirsiniz.
"Arama Motorlarını Engelle" Kutusunu Mutlaka Kontrol Edin#
Ayarlar → Okuma ekranındaki "Arama motorlarının bu siteyi dizine eklemesini engelle" kutusu, yeni sitelerin Google'da çıkmamasının bir numaralı sebebidir. Geliştirme aşamasında bilinçli olarak işaretlenir, sonra yayına alırken unutulur.
Kutu işaretliyken WordPress iki şey yapar: robots.txt dosyasına Disallow: / benzeri bir kural basar ve sayfaların <head> bölümüne noindex etiketi ekler. İkincisi daha sinsidir, çünkü robots.txt düzeltilse bile sayfa kaynağındaki etiket kalırsa Google yine dizine almaz.
Kontrolü tarayıcıdan tek satırda yapabilirsiniz. Sitenizin ana sayfasında sağ tık → Sayfa kaynağını görüntüle deyip şunu arayın:
<meta name='robots' content='noindex, nofollow' />
Terminaliniz varsa daha hızlısı:
curl -s https://siteniz.com/ | grep -i "noindex"
curl -s https://siteniz.com/robots.txt
İkisinden de çıktı gelmiyorsa temizsiniz. Kutuyu kaldırdıktan sonra Google'ın yeniden taraması birkaç gün sürebilir; süreci hızlandırmak için Search Console üzerinden site haritanızı göndermek gerekir. Bu adımı atlarsanız sitem Google'da çıkmıyor yazısında anlatılan senaryoyla haftalar sonra karşılaşırsınız.
Site Adresi, www Tercihi ve HTTPS Zorlaması#
Site adresini bir kez seçin ve tutarlı kalın. Ayarlar → Genel altındaki WordPress Adresi (URL) ve Site Adresi (URL) alanlarının ikisi de https:// ile başlamalı ve www tercihiniz konusunda birbiriyle aynı olmalıdır.
Dört olası kombinasyon vardır ve üçü yönlendirilmelidir:
| Adres | Olması gereken |
|---|---|
http://siteniz.com | 301 → https://siteniz.com |
http://www.siteniz.com | 301 → https://siteniz.com |
https://www.siteniz.com | 301 → https://siteniz.com |
https://siteniz.com | Kanonik adres, 200 döner |
Hangisini kanonik seçeceğiniz teknik olarak fark etmez, tutarlılık önemlidir. Karar veremiyorsanız www olmayan kısa biçimi seçin; alt alan adı yapınız büyüdüğünde de sade kalır.
SSL sertifikanız yoksa bu ayarı https yapmayın; önce sertifikayı kurun. cPanel'de AutoSSL zaten çalışıyorsa sertifika kurulum sonrası birkaç dakika içinde gelir. Sertifika hazır olduktan sonra yönlendirmeyi .htaccess üzerinden garanti altına alın:
RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]
Bu bloğu WordPress'in kendi # BEGIN WordPress bloğunun üstüne ekleyin; içine yazarsanız bir güncellemede silinir.
Adresleri değiştirdikten sonra tema veya eski içeriklerde http:// ile başlayan resim/script bağlantıları kalmışsa tarayıcı "karışık içerik" uyarısı verir ve kilit simgesi görünmez. Bu tipik olarak veritabanına kaydedilmiş eski medya adreslerinden gelir ve içerikte toplu bir adres değişimi yapılması gerekir.
Yönetici Hesabını ve Giriş Güvenliğini Düzeltin#
Kurulum sihirbazı size bir yönetici hesabı oluşturdu. Şimdi üç şeyi kontrol edin.
- Kullanıcı adı
adminolmasın. Otomatik saldırıların büyük çoğunluğu bu adı dener. Kullanıcı adı WordPress arayüzünden değiştirilemez; yeni bir yönetici oluşturup eskisini silmeniz ve içerikleri yeni kullanıcıya devretmeniz gerekir. - Görünen ad kullanıcı adıyla aynı olmasın. Yazı altında "admin" yazıyorsa saldırgana kullanıcı adını hediye etmiş olursunuz. Kullanıcılar → Profil altında Genel olarak görüntülenecek ad alanını farklı yapın.
- Şifre gerçekten güçlü olsun. WordPress'in ürettiği rastgele şifreyi bir parola yöneticisine kaydedip aynen kullanmak en pratiği. Elle bir şifre kuracaksanız şifre üretici aracıyla üretin.
Kurulum sonrası ilk gün yapılacak dördüncü bir güvenlik işi daha var: wp-config.php içindeki güvenlik anahtarlarının gerçekten rastgele olduğundan emin olmak. Bazı otomatik kurucular bu satırları örnek değerlerle bırakır:
define( 'AUTH_KEY', 'put your unique phrase here' );
define( 'SECURE_AUTH_KEY', 'put your unique phrase here' );
Böyle görünüyorsa oturum çerezleriniz tahmin edilebilir demektir. Değerleri yenilemek tüm oturumları kapatır, başka hiçbir yan etkisi yoktur. Ayrıntısı wordpress güvenlik anahtarları yazısında.
Son olarak giriş denemelerini sınırlayın. Yeni kurulmuş, hiç bağlantısı olmayan bir sitede bile ilk 48 saat içinde /wp-login.php adresine kaba kuvvet denemeleri gelir — bu bir abartı değil, sunucu erişim kayıtlarında düzenli olarak gördüğüm bir gerçek. Giriş limitleme yazısındaki yöntemlerden birini uygulamak on dakikanızı alır.
Yedek Düzenini İlk Eklentiden Önce Kurun#
Yedek, "sonra hallederim" listesine giremeyecek tek maddedir. Sebebi basit: siteyi bozan şey genelde içerik değil, denemedir. Yeni bir tema kurup ayarlarıyla oynadığınız, bir eklentiyi merak edip aktifleştirdiğiniz gece bozulur. O gece geri dönebileceğiniz bir noktanız yoksa sıfırdan başlarsınız.
İlk gün için üç katmanlı basit bir düzen yeterlidir:
- Hosting tarafındaki otomatik yedek. cPanel kullanıyorsanız Yedekleme ekranından planınızın sunduğu zamanlamayı kontrol edin; hangi sıklıkta alındığını ve kaç gün saklandığını bilerek devam edin.
- Site içinden bağımsız bir yedek. Sunucu tarafındaki yedeğin erişilemez olduğu senaryolar vardır (hesap askıya alınması gibi). Sitenizin kendi yedeğini farklı bir yere alan bir düzen kurun; wordpress yedekleme yazısındaki yöntemler bunun için yeterli.
- Değişiklikten hemen önce elle alınan tam kopya. Tema/eklenti kurmadan önce dosya + veritabanı kopyası. Terminaliniz varsa iki komut:
tar -czf ~/yedek-$(date +%F).tar.gz -C ~/public_html .
mysqldump -u kullanici -p veritabani > ~/veritabani-$(date +%F).sql
Bu kadar. Kritik olan üçüncü maddedir: otomatik yedekler dünkü hâli getirir, elle alınan kopya ise "beş dakika önceki hâli" getirir ve aradaki fark genelde bir günlük emeğe denk gelir.
Giden E-postayı Baştan SMTP'ye Bağlayın#
WordPress'in şifre sıfırlama, yorum bildirimi ve iletişim formu maillerinin hiç ulaşmaması klasik bir başlangıç sorunudur. Sebep şu: WordPress varsayılan olarak PHP'nin mail() fonksiyonunu kullanır, bu da alan adınıza ait olmayan bir kimlikle, kimlik doğrulaması yapılmadan mail göndermek anlamına gelir. Alıcı tarafındaki SPF/DKIM kontrolleri bunu ya spam klasörüne atar ya da sessizce siler.
Doğrusu, sitenizin mailini kendi alan adınıza ait gerçek bir posta kutusu üzerinden, kimlik doğrulamalı SMTP ile göndermektir. İlk gün yapmanız gerekenler:
- Barındırma panelinizde
[email protected]gibi gerçek bir e-posta hesabı oluşturun. - WordPress tarafında bir SMTP eklentisi kurup sunucu adı, port ve kimlik bilgilerini girin.
- Gönderen adresini oluşturduğunuz hesapla aynı yapın. Farklı yaparsanız hizalama bozulur ve teslimat düşer.
- Test maili gönderip Gmail'de "Orijinali göster" ile SPF ve DKIM sonuçlarına bakın.
| Bağlantı türü | Port | Şifreleme |
|---|---|---|
| Gönderme (önerilen) | 587 | STARTTLS |
| Gönderme (örtük TLS) | 465 | SSL/TLS |
| Okuma (IMAP) | 993 | SSL/TLS |
| Şifresiz gönderme | 25 | Kullanmayın |
Kurulumun ayrıntısı wordpress smtp e-posta yazısında. Gönderdiğiniz mailler yine de spam klasörüne düşüyorsa sorun WordPress'te değil alan adınızın DNS kayıtlarındadır; maillerim spama düşüyor yazısı teşhis sırasını veriyor.
Varsayılan İçerikleri ve Gereksiz Eklentileri Temizleyin#
Her yeni kurulum birkaç örnek içerikle gelir ve bunlar temizlenmezse hem arama sonuçlarında çıkar hem de saldırı yüzeyi olur:
- "Merhaba dünya!" yazısı — silin, çöp kutusunu da boşaltın.
- "Örnek Sayfa" — silin.
- Örnek yorum — silin.
- Kullanılmayan temalar — varsayılan temalardan yalnızca bir tanesini yedek olarak bırakın, gerisini kaldırın. Etkin olmayan tema da güncelleme gerektirir ve güncellenmezse açık taşır.
- Kurulumla gelen tanıtım eklentileri — kullanmayacaksanız devre dışı bırakmak yetmez, silin. Devre dışı bir eklentinin dosyaları hâlâ sunucudadır ve doğrudan çağrılabilir.
Bir de dosya düzenleyiciyi kapatın. Yönetim panelinden tema/eklenti dosyası düzenlemek, panele erişen birinin sunucuda PHP çalıştırmasının en kolay yoludur. wp-config.php içine tek satır:
define( 'DISALLOW_FILE_EDIT', true );
Bu satır Görünüm → Tema Dosyası Düzenleyici menüsünü tamamen kaldırır ve panele erişen birinin sunucuda kod çalıştırmasının en kolay yolunu kapatır.
Tartışma, Medya ve Bölgesel Ayarlar#
Bu üç ekran hızlı geçilir ama ilk günde ayarlanmazsa aylar sonra düzeltmesi sıkıcıdır.
Ayarlar → Tartışma. Yeni sitelerin spam yorum yükü şaşırtıcı derecede yüksektir. En azından "Bir yorumun görünmesi için yazarının önceden onaylanmış bir yorumu olmalı" seçeneğini işaretleyin ve "Yazılar için yeni yorumlara izin ver" kutusunu, yorum kullanmayacaksanız kapatın. Kurumsal tanıtım sitelerinin çoğunda yorum hiç gerekmez ve kapatmak spam yükünü sıfırlar.
Ayarlar → Medya. WordPress her yüklenen görselden birden fazla boyut üretir. Tema da kendi boyutlarını ekler. Sonuç: tek bir fotoğraf diskte yedi sekiz kopya olarak durur. İlk gün kullanmayacağınız boyutların değerlerini 0 yaparsanız disk kullanımınız aylar içinde ciddi biçimde düşer. Ayrıca "Yüklemeleri ay ve yıl temelli klasörlerde düzenle" seçeneğini işaretli bırakın; tek klasörde on binlerce dosya biriktiğinde dosya yöneticisi kilitlenir.
Ayarlar → Genel → Zaman dilimi. İstanbul seçin. UTC+3 gibi sabit bir sapma seçerseniz zamanlanmış yazılar ve kayıt zaman damgaları beklenmedik biçimde kayabilir. Tarih biçimini de j F Y yaparsanız Türkçe okunur (11 Ağustos 2026).
Ayarlar → Genel → Site başlığı ve slogan. Slogan alanı kurulumdan "Bir başka WordPress sitesi" olarak gelir ve tema bunu doğrudan sayfa başlığına basabilir. Aramada bu ifadeyle çıkan çok sayıda Türk sitesi vardır; ilk gün düzeltin.
İlk Gün Kontrol Listesi#
Aşağıdaki tabloyu sırayla uygulayın. "Sonra düzeltme maliyeti" sütunu, o adımı atlarsanız üç ay sonra ne kadar iş çıkacağını gösterir.
| # | Ayar | Nerede | Sonra düzeltme maliyeti |
|---|---|---|---|
| 1 | Kalıcı bağlantı yapısı | Ayarlar → Kalıcı Bağlantılar | Yüksek — tüm eski adresler kırılır |
| 2 | Arama motoru engeli kaldırıldı | Ayarlar → Okuma | Yüksek — kayıp indeksleme süresi geri gelmez |
| 3 | Yedek düzeni kuruldu | Hosting paneli + eklenti | Çok yüksek — kayıp veri geri gelmez |
| 4 | HTTPS ve kanonik adres | Ayarlar → Genel + .htaccess | Orta — yönlendirme zinciri karmaşıklaşır |
| 5 | Yönetici adı ve güçlü şifre | Kullanıcılar | Orta |
| 6 | Güvenlik anahtarları yenilendi | wp-config.php | Düşük |
| 7 | SMTP kuruldu | Eklenti + posta hesabı | Orta — kayıp form mesajları geri gelmez |
| 8 | Varsayılan içerik/tema/eklenti temizliği | Yazılar, Görünüm, Eklentiler | Düşük |
| 9 | Tartışma ve medya ayarları | Ayarlar | Düşük |
| 10 | Zaman dilimi ve site başlığı | Ayarlar → Genel | Düşük |
Onuncu maddeyi bitirdikten sonra siteyi bir kez Ctrl+F5 ile açın, bir yazı yayınlayın, bir de test maili gönderin. Üçü de sorunsuzsa artık içerik girmeye başlayabilirsiniz.
Sıkça Sorulan Sorular#
WordPress kurduktan sonra ilk olarak ne yapmalıyım#
İlk iş kalıcı bağlantı yapısını seçmek, ikinci iş "arama motorlarını engelle" kutusunu kontrol etmektir. Bu ikisi içerik girildikten sonra düzeltilmesi en pahalı ayarlardır: kalıcı bağlantıyı değiştirmek mevcut tüm adresleri kırar, kapalı kalan indeksleme kutusu ise sitenizi haftalarca aramada görünmez tutar. Üçüncü sırada yedek düzeni gelir, çünkü tema ve eklenti denemelerine başlamadan önce geri dönebileceğiniz bir nokta olması gerekir. Bu üçü bittiğinde geri kalan ayarlar acele gerektirmez.
Kalıcı bağlantı yapısını sonradan değiştirirsem ne olur#
Değiştirdiğiniz anda eski adreslerin tamamı 404 vermeye başlar. WordPress bazı basit geçişlerde otomatik yönlendirme yapmaya çalışır ama bu garanti değildir ve özellikle kategori içeren yapılardan çıkarken çalışmaz. Arama motorlarındaki mevcut sıralamalarınız ve dışarıdan gelen bağlantılar kırılır. Zorunlu kalırsanız eski adresten yenisine 301 yönlendirme kuralları yazmanız, sonra Search Console üzerinden yeni site haritasını göndermeniz gerekir.
Yeni WordPress sitem Google'da neden çıkmıyor#
En yaygın neden Ayarlar → Okuma altındaki arama motoru engelleme kutusunun işaretli kalmasıdır. İkinci sırada site haritasının hiç gönderilmemiş olması gelir; Google yeni ve hiç bağlantı almamış bir alan adını kendiliğinden bulmak için aylar harcayabilir. Üçüncüsü sitenin gerçekten yeni olmasıdır — ilk indekslenme birkaç günden birkaç haftaya kadar sürebilir. Sayfa kaynağında noindex etiketi olup olmadığını kontrol ederek birinci ihtimali on saniyede eleyebilirsiniz.
Kurulumla gelen varsayılan temaları silmeli miyim#
Kullanmadıklarınızı silin, yalnızca bir tanesini yedek olarak bırakın. Etkin olmayan bir tema da güvenlik güncellemesi alır ve güncellenmediğinde açık taşımaya devam eder; dosyaları sunucuda durduğu için doğrudan çağrılabilir. Bir varsayılan temayı tutmanızın sebebi ise sorun gidermedir: aktif temanız hata verdiğinde geçici olarak varsayılana dönmek en hızlı teşhis yöntemidir. Bu yüzden "hepsini sil" değil, "biri kalsın" doğru yaklaşımdır.
WordPress mailleri gitmiyorsa ne yapmalıyım#
Öncelikle PHP'nin mail() fonksiyonundan çıkıp kimlik doğrulamalı SMTP'ye geçin. Alan adınıza ait gerçek bir posta kutusu oluşturun, bir SMTP eklentisi kurun ve gönderen adresini bu kutuyla birebir aynı yapın. Ardından bir test maili gönderip alıcı tarafta SPF ve DKIM sonuçlarını kontrol edin. Mailler hâlâ ulaşmıyorsa sorun WordPress'te değil, alan adınızın DNS kayıtlarındadır ve SPF/DKIM/DMARC tarafını düzeltmeniz gerekir.
İlk gün hangi eklentileri kurmalıyım#
Mümkün olduğunca az. İlk gün için gerekli olan üç işlev vardır: yedekleme, giden e-posta için SMTP ve temel SEO ayarları. Bu üçünü karşılayan üç eklenti yeterlidir. Her yeni eklenti güncelleme yükü, uyumsuzluk riski ve saldırı yüzeyi getirir; "bir bakayım" diye kurulup unutulan eklentiler zamanla en büyük bakım yükü hâline gelir. İhtiyacı gördükçe eklemek, baştan on eklenti kurup sonra hangisinin siteyi yavaşlattığını aramaktan çok daha kolaydır.
Yeni sitede yedek almaya gerçekten ilk günden başlamalı mıyım#
Evet, hatta ilk temayı kurmadan önce. Yeni bir sitede içerik az olduğu için yedeğin değersiz olduğu düşünülür, oysa kaybedilen şey içerik değil kurulum emeğidir: tema ayarları, menü yapısı, eklenti yapılandırmaları ve saatlerce süren denemeler. Bunları ikinci kez yapmak ilk seferden daha uzun sürer. En az iki kopya tutun — biri barındırma tarafında, biri bağımsız bir konumda — çünkü hesabın kendisine erişilemediği durumlarda sunucudaki yedek de erişilemez olur.
Kapanış#
Yeni bir WordPress kurulumunda ilk yarım saatte yapılan işler, sonraki iki yılın bakım yükünü belirler. Kalıcı bağlantı yapısını içerik girmeden seçmek, arama motoru engelini kaldırmak ve yedek düzenini kurmak — bu üçü listenin geri kalanından çok daha ağır basar, çünkü ötekiler her zaman düzeltilebilirken bunların bedeli geri alınamaz. Geri kalan yedi madde de sabit maliyetlidir: bir kez yapılır, bir daha dönülmez. Kontrol listesini yukarıdaki sırayla uygulayıp sonunda bir yazı yayınlayıp bir test maili gönderirseniz, sitenin temeli sağlam kurulmuş olur.
Bu işleri kendiniz takip etmek istemiyorsanız işi devralan seçenekler var: WordPress hosting paketleri kurulum, güncelleme ve önbellek tarafını hazır yapılandırmayla sunar; sürekli güncelleme takibi, güvenlik izleme ve düzenli kontrol istiyorsanız WordPress bakım hizmeti bunu üstlenir. Yedek katmanını sunucudan bağımsız kurmak için yedekleme çözümlerine, alan adınız ve sertifikanız henüz hazır değilse SSL sayfasına bakabilirsiniz.