Bu yazıda Cloudflare Turnstile ile WordPress sitenizi spam yorumlardan ve botlardan ücretsiz olarak nasıl koruyabileceğinizi adım adım anlatacağım.
Merhaba yine her zaman olduğu gibi bir ihtiyaçtan doğan bir beğendiğim bir çözümü size sunmak istiyorum. Bu sitem Google üzerinde index almasıyla beraber botların kucağına düşmüş ve bu botlardan sürekli olarak spam yorum geliyordu. Yorumlar her ne kadar ben onay vermeden sitede yayınlanmasada sürekli spam yorumların geldiğini görmek sinir bozucu olabiliyor.
Çözüm aramaya başlarken bir kaç antispam eklentisine denk geldim bunlardan bir tanesi çok popüler olan https://akismet.com/ ama o da benden 540₺ para istiyordu.
Kişisel bir blog için bu parayı vermek bana mantıklı gelmedi. Klasik çözüm olan Google reCAPTCHA’yı da düşündüm ama hem ziyaretçiye “trafik ışıklarını seçin” bulmacası çözdürmek hoşuma gitmiyor hem de sayfaya ekstra Google scriptleri yüklüyor. Sitem zaten Cloudflare arkasında olduğu için (Cloudflare API kullanımını merak ediyorsanız Cloudflare Toplu IP Güncelleme ve Cloudflare API Kullanımı yazıma göz atabilirsiniz) aklıma Cloudflare’in ücretsiz captcha alternatifi olan Turnstile geldi.
Cloudflare Turnstile Nedir?
Cloudflare Turnstile, Cloudflare’in reCAPTCHA’ya alternatif olarak sunduğu ücretsiz bir bot doğrulama servisi. En güzel tarafı ziyaretçiye çoğu zaman hiçbir şey çözdürmemesi; arka planda tarayıcı üzerinde birkaç kontrol yapıp gerçek bir insan olup olmadığınıza karar veriyor. Kullanıcı sadece küçük bir “başarılı” kutucuğu görüyor ya da istersen tamamen görünmez çalışıyor.
- Ücretsiz
- Ziyaretçiye resim/bulmaca çözdürmüyor
- Sitenin Cloudflare üzerinde olması şart değil, her siteye eklenebiliyor
- WordPress için hazır eklentisi var, kurulumu 5 dakika sürüyor
1. Cloudflare Üzerinden Site Key ve Secret Key Alma
İlk olarak Cloudflare hesabımıza giriş yapıyoruz. Sol menüden Turnstile sekmesine girip Add widget butonuna tıklıyoruz.
- Widget name: Kendinizin tanıyacağı bir isim veriyoruz, ben site adını yazdım.
- Hostname: Turnstile’ı kullanacağımız alan adını ekliyoruz (örneğin baristeksin.com.tr). Alt alan adlarında da çalışmasını istiyorsanız onları da ekleyebilirsiniz.
- Widget Mode: “Managed” seçeneğini seçiyoruz. Bu modda Cloudflare şüpheli gördüğü ziyaretçiye bir kutucuk tıklatıyor, normal ziyaretçiyi hiç uğraştırmıyor.
Kaydettikten sonra karşımıza Site Key ve Secret Key çıkıyor. Bu iki anahtarı bir kenara not alıyoruz, birazdan WordPress tarafında kullanacağız. Secret Key’i kimseyle paylaşmayın, sızdığını düşünürseniz aynı ekrandan yenileyebilirsiniz.
2. Cloudflare Turnstile WordPress Eklentisinin Kurulumu
WordPress panelinde Eklentiler > Yeni Ekle kısmından Simple Cloudflare Turnstile eklentisini aratıp kuruyor ve etkinleştiriyoruz. Ben bu sitede bu eklentiyi kullanıyorum, hafif ve gereksiz hiçbir şey yüklemiyor.
Etkinleştirdikten sonra Ayarlar > Cloudflare Turnstile menüsüne giriyoruz ve Cloudflare’den aldığımız Site Key ile Secret Key’i ilgili alanlara yapıştırıp kaydediyoruz.
Eklenti, anahtarlar doğru girilmeden yanlışlıkla kendinizi admin panelinden kilitlemeyesiniz diye önce bir test istiyor. Ayarlar sayfasında çıkan Turnstile kutucuğunu doğrulayıp tekrar kaydettiğinizde eklenti aktif hale geliyor.
3. Turnstile Nerelerde Çalışsın?
Aynı ayarlar sayfasında Turnstile’ın hangi formlarda gösterileceğini seçebiliyoruz. Ben şunları açtım:
- Yorum formu – asıl derdimiz olan spam yorumlar için
- Giriş (wp-login) formu – şifre deneme botlarına karşı
- Kayıt formu – sahte üyelik açılmasın diye
- Şifremi unuttum formu – sürekli şifre sıfırlama maili gelmesin diye
WooCommerce, Contact Form 7, WPForms gibi eklentiler kullanıyorsanız onların formları için de ayrı ayrı seçenekler mevcut. Ayrıca sayfa hızını etkilememesi için Turnstile scriptinin ertelenerek (defer) yüklenmesini de açabilirsiniz.
4. Test
Ayarları kaydettikten sonra gizli sekmede sitenizi açıp bir yazının altındaki yorum formuna ve wp-login sayfasına bakın. Gönder butonunun üstünde Turnstile kutucuğunu görüyorsanız her şey yolunda demektir. Botlar bu doğrulamayı geçemediği için yorumları artık size kadar ulaşmıyor.
Küçük Bir Uyarı: Turnstile Tek Başına Yeterli Değil
Turnstile spam yorumlara ve basit botlara karşı çok iyi iş çıkarıyor ama her şeyi çözmüyor. Kendi tecrübemden söyleyeyim: captcha çözme servislerini kullanan saldırganlar bu tür doğrulamaları aşabiliyor. Eğer admin şifreniz bir şekilde ele geçirildiyse Turnstile saldırganı durdurmaz. Bu yüzden şunları da mutlaka yapın:
- Admin hesaplarında uzun ve başka hiçbir yerde kullanmadığınız şifreler kullanın.
- Mümkünse iki aşamalı doğrulama (2FA) açın.
- Kullanmadığınız admin hesaplarını ve uygulama şifrelerini (Application Passwords) silin.
- Sunucunuz size aitse wp-login.php için istek sınırı (rate limit) koyun.
Sonuç
Akismet’e para vermeden, ziyaretçiyi bulmaca çözmekle uğraştırmadan spam yorum sorununu Cloudflare Turnstile ile ücretsiz olarak çözmek mümkün. Kurulumu birkaç dakika sürüyor ve bir kere ayarladıktan sonra bir daha uğraşmanıza gerek kalmıyor. Benzer bir sorun yaşıyorsanız mutlaka deneyin, takıldığınız yer olursa yorumlarda yazabilirsiniz. Tabi yorumunuz Turnstile’dan geçerse 🙂
