VPS’te WordPress Kurulumu: Adım Adım Rehber

VPS WordPress kurulumu için Ubuntu 24.04 üzerinde Nginx, PHP-FPM ve MariaDB kurup alan adını sunucuya yönlendirin; ayrı bir veritabanı kullanın, Nginx yapılandırmasını test edin, Let's Encrypt ile HTTPS ekleyin ve kurulumdan sonra yedekleme ile güncelleme düzeni oluşturun. Böylece yalnızca çalışan değil, yönetilebilir bir WordPress sunucusu elde edersiniz.

VPS’te WordPress kurmak için hangi hazırlıklar gerekir?

WordPress kurulumu, dosyaları sunucuya kopyalamaktan ibaret değildir. Alan adı DNS kaydı, web sunucusu, PHP-FPM, veritabanı, dosya izinleri, HTTPS ve güncelleme politikası birlikte hazırlanmalıdır. Aşağıdaki örnek Ubuntu 24.04 LTS üzerinde Nginx, PHP-FPM ve MariaDB 10.11 kullanır. Komutları root yerine sudo yetkili ayrı bir kullanıcıyla çalıştırmak daha güvenlidir.

WordPress’in resmi gereksinimleri PHP 7.4 veya üzeri ile MySQL 8.0 veya üzerini ya da MariaDB 10.6 veya üzerini listeler. Kullanılan PHP sürümünün dağıtım ve eklenti desteğini ayrıca kontrol edin. HTTPS ise yalnızca adres çubuğundaki kilit simgesi değildir; yönetici parolaları ve oturum çerezleri şifreli taşınmalıdır.

Ne yapılmalı – Kuruluma başlamadan önce işletim sistemi sürümünü, RAM miktarını, disk alanını ve alan adının doğru VPS IP’sine yönlendiğini doğrulayın.

VPS WordPress kurulumu öncesi DNS ve sunucu hazırlığı

Önce alan adının A kaydını VPS’in IPv4 adresine, varsa AAAA kaydını VPS’in IPv6 adresine yönlendirin. IPv6 yapılandırılmadıysa rastgele bir AAAA kaydı bırakmak, bazı ziyaretçilerin çalışan IPv4 yerine erişilemeyen IPv6 yolunu seçmesine neden olabilir.

dig +short example.com A
dig +short example.com AAAA
hostnamectl
free -h
df -hT

dig +short çıktısında beklenen IP adresini görmelisiniz. df -hT ise özellikle / ve /var bölümlerindeki boş alanı gösterir. Küçük bir blog için 1 GB RAM ve 20 GB SSD teknik olarak yeterli olabilir; eklenti, medya ve trafik arttıkça PHP işçileri ile disk alanı ayrıca planlanmalıdır.

SSH erişimini de kurulumdan önce düzenleyin. Yeni bir yönetici kullanıcı oluşturup anahtar tabanlı girişe geçin, ardından güvenlik duvarında yalnızca gerekli portları açın. SSH portunu değiştirmek tek başına güvenlik sağlamaz; güçlü kimlik doğrulama, güncel paketler ve başarısız girişlerin izlenmesi daha değerlidir.

sudo adduser deploy
sudo usermod -aG sudo deploy
sudo apt update && sudo apt full-upgrade -y
sudo apt install -y ufw fail2ban curl unzip ca-certificates
sudo ufw allow OpenSSH
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Sunucuda çalışan başka bir servis varsa OpenSSH kuralının gerçek SSH portunu kapsadığını kontrol edin. UFW’yi etkinleştirmeden önce mevcut SSH oturumunu kapatmayın; ikinci bir terminalden bağlantıyı test edin.

Ne yapılmalı – DNS çözümlemesini ve ikinci SSH oturumunu doğrulamadan güvenlik duvarı ayarlarını tamamlanmış kabul etmeyin.

Nginx, PHP-FPM ve MariaDB nasıl kurulur?

WordPress isteklerini Nginx karşılar, PHP kodunu PHP-FPM çalıştırır, yazı ve ayar verilerini MariaDB saklar. Bu parçaların görevleri ayrıdır. Nginx doğrudan PHP yorumlamaz; ilgili isteği Unix soketi veya TCP üzerinden PHP-FPM havuzuna iletir.

sudo apt install -y nginx mariadb-server mariadb-client \
  php-fpm php-mysql php-curl php-gd php-mbstring php-xml \
  php-zip php-intl php-imagick
sudo systemctl enable --now nginx mariadb
sudo systemctl status nginx mariadb --no-pager

Ubuntu 24.04 depolarında PHP sürümü dağıtımın paket politikasına göre gelir. Sürümü ve PHP-FPM servis adını kontrol edin:

php -v
php -m | sort
systemctl list-units 'php*-fpm.service' --no-legend

WordPress için gerekli PHP modüllerinden biri eksikse yönetim panelinde eklenti kurulumu, görsel işleme veya kalıcı bağlantı işlemleri hata verebilir. Her eklentinin aynı kaynak tüketmediğini de hesaba katın; PHP-FPM havuzunu tahminle büyütmek yerine RAM ve CPU kullanımını izleyin.

MariaDB’nin ilk güvenlik ayarları için interaktif komutu çalıştırın:

sudo mariadb-secure-installation

Yerel root hesabının parola davranışı, anonim kullanıcılar, test veritabanı ve uzaktan root erişimi hakkında sorular göreceksiniz. Üretim VPS’inde uzaktan root veritabanı erişimi gereksizdir.

Ne yapılmalı – PHP-FPM servis adını sistemde gerçekten bulunan sürümle eşleştirin; dosya yolunu tahmin ederek Nginx yapılandırmayın.

WordPress veritabanı ve kullanıcı hesabı nasıl oluşturulur?

WordPress için ayrı bir veritabanı ve yalnızca o veritabanında yetkili ayrı bir kullanıcı oluşturun. Uygulamayı MariaDB root hesabıyla çalıştırmak, bir eklenti açığının etkisini gereksiz yere büyütür.

sudo mariadb

CREATE DATABASE wp_site CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;
CREATE USER 'wp_user'@'localhost' IDENTIFIED BY 'Buraya-uzun-ve-rastgele-bir-parola';
GRANT ALL PRIVILEGES ON wp_site.* TO 'wp_user'@'localhost';
FLUSH PRIVILEGES;
EXIT;

utf8mb4, Türkçe karakterler ve dört baytlık Unicode karakterleri için uygun seçimdir. Parolayı sohbet, terminal geçmişi veya düz metin notlarında saklamayın; parola yöneticisi kullanın. Yüksek rastgelelikte bir parola üretmek için openssl rand kullanılabilir:

openssl rand -base64 32

Veritabanı hesabının erişimini test etmek için:

mariadb -u wp_user -p -h localhost wp_site -e 'SELECT VERSION();'

Bu komut MariaDB sürümünü döndürmelidir. Access denied görürseniz önce kullanıcı adı, veritabanı adı, parola ve host değerlerini kontrol edin; tablo oluşturmaya geçmeden önce kimlik doğrulamayı çözün.

WordPress dosyaları VPS’e nasıl yüklenir?

Site dosyalarını örnekte /var/www/example.com altında tutalım. Alan adınızı kendi değerinizle değiştirin. Arşivi resmi WordPress adresinden indirin; üretim ortamlarında kullanılan sürümün bütünlüğünü ve indirme kaynağını kontrol etmek iyi bir alışkanlıktır.

sudo mkdir -p /var/www/example.com
cd /tmp
curl -O https://wordpress.org/latest.tar.gz
sudo tar -xzf latest.tar.gz -C /var/www/example.com --strip-components=1
sudo chown -R www-data:www-data /var/www/example.com
sudo find /var/www/example.com -type d -exec chmod 755 {} \;
sudo find /var/www/example.com -type f -exec chmod 644 {} \;

Web sunucusunun dosyaları okuyabilmesi gerekir. WordPress’in yükleme ve önbellek işlemleri için bazı dizinlere yazma erişimi gerekebilir; bütün ağaca chmod 777 vermek çözüm değildir. Böyle bir izin, sorunun adını değiştirir, kendisini değil.

Yapılandırma dosyasını örnek dosyadan üretin:

cd /var/www/example.com
sudo -u www-data cp wp-config-sample.php wp-config.php
sudo -u www-data vim wp-config.php

DB_NAME, DB_USER, DB_PASSWORD ve DB_HOST değerlerini oluşturduğunuz bilgilerle değiştirin. AUTH_KEY, SECURE_AUTH_KEY ve diğer salt değerlerini WordPress’in resmi salt üretim servisiyle yenileyin; örnek değerleri üretim sitesinde bırakmayın.

Ne yapılmalı – wp-config.php içindeki veritabanı bilgilerini girip dosyanın sahibi ve izinlerini tekrar kontrol edin.

Nginx sanal host yapılandırması nasıl yapılır?

Nginx, alan adını doğru WordPress dizinine yönlendiren bir server bloğuna ihtiyaç duyar. Aşağıdaki yapılandırmada PHP istekleri yalnızca mevcut dosya yoksa PHP-FPM’e gönderilir; statik dosyalar gereksiz yere PHP işçisine gitmez.

sudo vim /etc/nginx/sites-available/example.com

server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;

    root /var/www/example.com;
    index index.php index.html;

    client_max_body_size 64M;

    location / {
        try_files $uri $uri/ /index.php?$args;
    }

    location ~ \.php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php8.3-fpm.sock;
    }

    location ~* /\. {
        deny all;
    }
}

PHP-FPM soket yolu sisteminizde farklı olabilir. ls /run/php/ ile gerçek dosya adını görün. Ardından siteyi etkinleştirip varsayılan siteyi kaldırabilirsiniz; bunu başka bir web sitesi çalışmadığından eminseniz yapın.

sudo ln -s /etc/nginx/sites-available/example.com /etc/nginx/sites-enabled/example.com
sudo rm -f /etc/nginx/sites-enabled/default
sudo nginx -t
sudo systemctl reload nginx

nginx -t satırında syntax is ok ve test is successful görülmeden reload çalıştırmayın. Küçük bir noktalı virgül eksikliği bile çalışan sitenin erişilemez olmasına yol açabilir.

Kalıcı bağlantılar için try_files satırı kritiktir. Bu satır yoksa ana sayfa açılıp yazı URL’leri 404 döndürebilir. 404 sorunları için ayrıca 404 Hatası Nedir? Sebepleri ve Çözüm Yolları yazısındaki teşhis adımlarına bakabilirsiniz.

Ne yapılmalı – PHP-FPM soketini doğrulayın, ardından yalnızca başarılı nginx -t çıktısından sonra reload yapın.

HTTPS ve WordPress ilk kurulum ekranı nasıl tamamlanır?

HTTP üzerinden alan adını açarak WordPress web kurulumunu test edin. Dil, site başlığı, yönetici kullanıcı adı, parola ve e-posta adresini belirleyin. Yönetici kullanıcı adını admin seçmek zorunda değilsiniz; tahmin edilmesi kolay adlar brute-force denemelerini kolaylaştırır.

Site HTTP üzerinden düzgün açıldıktan sonra Let’s Encrypt sertifikası alın. Certbot’un Nginx eklentisi, uygun server bloğunu bulup sertifika ve yönlendirme ayarlarını düzenleyebilir.

sudo apt install -y certbot python3-certbot-nginx
sudo certbot --nginx -d example.com -d www.example.com
sudo certbot renew --dry-run

--dry-run, yenileme akışını gerçek sertifikayı değiştirmeden sınar. Sertifika yenilemesinin otomatik çalıştığını yalnızca cron dosyasına bakarak varsaymayın; günlükleri ve deneme çıktısını kontrol edin.

HTTPS sonrasında WordPress adreslerinin https:// ile başladığını yönetim panelindeki Ayarlar, Genel ekranından doğrulayın. HTTP’den HTTPS’e yönlendirme sırasında döngü oluşursa ters proxy başlıkları, siteurl ve home değerleri birlikte incelenmelidir. HTTPS kullanımıyla ilgili yönlendirme sonrasında 301 Yönlendirme Nedir? SEO İçin Kullanım Rehberi yazısındaki durum kodu açıklamaları yardımcı olabilir.

İlk kurulumdan sonra https://example.com/wp-admin adresine girin. Kalıcı bağlantı ayarını seçip kaydedin; Nginx’teki try_files satırı doğruysa WordPress rewrite kuralları çalışacaktır.

VPS WordPress kurulumu sonrasında hangi güvenlik ayarları yapılmalı?

Kurulum tamamlanınca iş bitmez. WordPress çekirdeği, eklentiler, temalar ve işletim sistemi ayrı güncelleme yüzeyleridir. Kullanılmayan eklenti ve temaları yalnızca devre dışı bırakmak yerine kaldırmak saldırı yüzeyini azaltır.

Yönetim hesabında güçlü ve benzersiz parola, iki aşamalı doğrulama ve doğru e-posta adresi kullanın. XML-RPC’yi gerektiren bir mobil uygulama veya entegrasyon yoksa kapatmayı değerlendirin; bunu körlemesine yapmak yerine kullandığınız özellikleri test edin.

Dosya düzenleyicisini kapatmak için wp-config.php içine ekleyebilirsiniz:

define('DISALLOW_FILE_EDIT', true);

Bu ayar, panel içinden tema ve eklenti dosyalarını değiştirmeyi engeller; dosya yüklemeyi veya güncellemeyi tamamen kapatmaz. Yönetim panelini yalnızca belirli IP’lere açmak mümkün olsa da mobil ve değişken bağlantılar için operasyonel maliyeti hesaplayın.

Günlükleri izleyin. journalctl -u nginx, Nginx erişim günlüğü ve PHP-FPM günlüğü 502, 403 ve yavaş isteklerin kaynağını ayırmaya yardım eder. 502 Bad Gateway Hatası Nedir ve Nasıl Çözülür yazısında da PHP-FPM bağlantısı ve upstream hataları için ek kontrol noktaları bulunur.

Yedekleri VPS’in aynı diskinde tutmayın. En azından veritabanı dökümü ve wp-content dizini ayrı bir hedefe kopyalanmalı; geri yükleme provası yapılmadan yedek tamamlanmış sayılmamalıdır.

Ne yapılmalı – Güncellemeleri uygulamadan önce veritabanı ve dosya yedeği alın, ardından boş bir test ortamında geri dönüşü deneyin.

Performans için PHP, önbellek ve yedekleme ayarları

WordPress performansında ilk bakılacak yer her zaman daha büyük VPS değildir. Gereksiz eklentiler, ağır sorgular, büyük görseller ve önbelleksiz PHP istekleri kaynak tüketimini artırır. Önce htop, Nginx günlükleri ve veritabanı sorgu süreleriyle darboğazı ölçün.

PHP-FPM havuzunda pm.max_children değeri RAM’e göre belirlenmelidir. Her PHP işçisinin tükettiği bellek eklenti ve uygulama yüküne göre değişir; rastgele 50 işçi açmak küçük bir VPS’i kısa sürede swap’e itebilir. Swap alanı için VPS’te Swap Alanı Oluşturma ve Linux Bellek Yönetimi rehberindeki sınırları ve izleme adımlarını kullanabilirsiniz.

Medya dosyaları için WebP veya AVIF dönüşümü, tarayıcı önbellek başlıkları ve sayfa önbelleği değerlendirilebilir. TTFB’yi milisaniye milisaniye tartışmadan önce sayfa önbelleğinin istekleri gerçekten önbellekten karşılayıp karşılamadığını ölçün.

Basit bir veritabanı yedeği:

sudo install -d -m 700 /var/backups/wordpress
sudo mariadb-dump --single-transaction wp_site | \
  gzip | sudo tee /var/backups/wordpress/wp_site-$(date +%F).sql.gz > /dev/null
sudo tar -czf /var/backups/wordpress/wp-content-$(date +%F).tar.gz \
  -C /var/www/example.com wp-content

Bu dosyaları aynı VPS’te bırakmak yalnızca hızlı bir geri dönüş noktası sağlar; disk arızasına karşı koruma sağlamaz. Rsync ile uzak hedefe kopyalama ve Borg ile sürümlü, şifreli yedekleme daha sağlam bir modeldir. Ayda bir yedek geri dönüş provası planlayın.

Ne yapılmalı – Yedek dosyasının oluşturulduğunu değil, yeni ve boş bir WordPress kurulumunda açılabildiğini doğrulayın.

Kurulum sorunlarını nasıl teşhis edebilirsiniz?

Sayfa açılmıyorsa hemen VPS’i yeniden başlatmayın. Önce sorunun DNS, ağ, Nginx, PHP-FPM, veritabanı veya WordPress katmanında olduğunu ayırın.

• dig +short example.com ile DNS adresini kontrol edin.
• curl -I https://example.com ile HTTP durum kodunu ve yönlendirmeyi görün.
• sudo nginx -t ile yapılandırma sözdizimini test edin.
• systemctl status php8.3-fpm nginx mariadb ile servisleri inceleyin.
• journalctl -u nginx -n 100 --no-pager ve PHP-FPM günlüklerini okuyun.
• sudo tail -f /var/log/nginx/error.log ile yeni isteğin hata kaydını izleyin.

403 hatası çoğunlukla izin veya Nginx kuralı, 404 hatası yanlış try_files ya da kalıcı bağlantı, 502 hatası ise PHP-FPM soketi veya servis sorunudur. Veritabanı bağlantı hatasında wp-config.php değerlerini ve MariaDB kullanıcı yetkilerini kontrol edin.

WordPress kurulumu sırasında yalnızca tarayıcıdaki hata mesajına güvenmeyin. Aynı isteği curl ile tekrarlamak ve ilgili log satırını aynı zaman aralığında bulmak, tahminle yapılan restart’lardan çok daha hızlıdır.

Kuruluma Başlamadan Önce Şunları Kontrol Edin

• VPS işletim sistemini güncelleyin ve ayrı bir sudo kullanıcısı oluşturun.
• A ve gerekiyorsa AAAA DNS kayıtlarını gerçek sunucu adresine yönlendirin.
• SSH erişimini ikinci bir terminalden test edin.
• 80 ve 443 portlarını açıp gereksiz servisleri kapatın.
• PHP-FPM soket yolunu ve gerekli PHP modüllerini doğrulayın.
• WordPress için ayrı MariaDB veritabanı ve kullanıcı oluşturun.
• HTTPS, uzak yedekleme ve geri yükleme provasını tamamlayın.

Sık Sorulan Sorular

Kaynaklar

• WordPress – Requirements — wordpress.org
• NGINX Documentation — nginx.org
• PHP Manual – Debian Installation — php.net