WordPress mi, Özel Web Sitesi mi? Hız ve Güvenlik Açısından Dürüst Bir Karşılaştırma

Önce terimleri netleştirelim

• WordPress sitesi: Açık kaynaklı WordPress içerik yönetim sistemi (CMS) üzerine kurulan, görünümü bir tema, ek özellikleri eklentilerle sağlanan site. Sayfalar çoğunlukla her ziyarette sunucuda veritabanından üretilir; yönetim paneli de aynı sunucuda çalışır.
• Özel (custom) web sitesi: İşletmenin ihtiyacına göre sıfırdan tasarlanıp kodlanan site. Hazır tema veya eklenti yığını yerine yalnızca gereken bileşenler yazılır. Kurumsal sitelerde bu genellikle sayfaların önceden üretilip doğrudan sunulduğu yalın statik bir mimari anlamına gelir; gerekirse içerik yönetimi için ayrı, sade bir panel eklenir.
• Arada bir yol, "headless" WordPress: İçerik WordPress panelinde yönetilir, ziyaretçinin gördüğü site ise ayrı ve özel kodlanmış bir ön yüzdür. Editör alışkanlığını korur ama iki sistemin bakımını gerektirir.

WordPress neden bu kadar yaygın?

WordPress'i küçümseyerek başlamak doğru olmaz. HTTP Archive'ın 2025 Web Almanac raporuna göre incelenen web sitelerinin %54'ünden fazlası bir CMS ile çalışıyor ve WordPress bu CMS'li sitelerin yaklaşık %64'ünü oluşturuyor. Bu yaygınlığın somut faydaları var:

• Hazır temalar ve eklentilerle hızlı başlangıç ve düşük ilk maliyet,
• WordPress bilen geliştirici ve ajans bulmanın kolaylığı,
• Blog ve haber yayıncılığı için olgun bir editör deneyimi,
• Çok sayıda editör, rol ve yayın akışı için hazır altyapı.

Sorun WordPress'in kendisinden çok, tipik bir WordPress kurulumunun zamanla dönüştüğü yapıdadır: bir sayfa oluşturucu, birkaç görsel efekt eklentisi, form, SEO, önbellek, güvenlik, yedekleme, çeviri ve sosyal medya eklentileri... Her biri tek başına makul görünür; toplamı ise hem hızı hem güvenliği etkileyen ağır bir yığın oluşturur.

Hız: ziyaretçi ve Google ne görüyor?

Google'ın sayfa deneyimini ölçmek için kullandığı Core Web Vitals değerlerinde "iyi" eşikler şöyledir (web.dev): en büyük içeriğin yüklenmesi (LCP) 2,5 saniye veya altı, etkileşime yanıt süresi (INP) 200 milisaniye veya altı, görsel kayma (CLS) 0,1 veya altı. Değerlendirme, sayfa yüklemelerinin 75. yüzdelik dilimine göre yapılır; yani ziyaretçilerin büyük çoğunluğu bu sınırların içinde kalmalıdır.

HTTP Archive Web Almanac 2025 verileri, WordPress sitelerinin bu konuda zorlandığını gösteriyor:

• Mobilde Core Web Vitals'ı geçen WordPress sitelerinin oranı %45; rapor WordPress'i bu açıdan en alt sıralardaki platformlar arasında sayıyor.
• WordPress sitelerinin medyan Lighthouse performans puanı mobilde 41, masaüstünde 63.
• WordPress sayfalarının mobildeki medyan ağırlığı yaklaşık 2.894 KB.

Bu rakamlar "WordPress hızlı olamaz" anlamına gelmez; iyi optimize edilmiş, az eklentili WordPress siteleri de vardır. Gösterdiği şey, ortalama bir kurulumun hıza karşı çalıştığıdır. Özel kodlanmış yalın bir sitede ise hız sonradan eklenen bir eklentiyle değil, baştan alınan kararlarla gelir: yalnızca kullanılan kod gönderilir, görseller doğru boyutta ve modern biçimde hazırlanır, sayfalar önceden üretildiği için sunucu her ziyarette veritabanı sorgusu çalıştırmaz.

Gerçek bir örnek: Luniva Plastik

Luniva Plastik için yaptığımız çalışmada başlangıç noktası, yalnızca Türkçe ve neredeyse boş bir WordPress sayfasıydı. Yerine 4 dilli, yalın statik mimaride bir B2B ihracat sitesi kurduk. Ölçtüğümüz değerler:

• Ana sayfanın ilk yüklemesi yaklaşık 57 KB, toplam 5 istek,
• Üçüncü taraf istek yok (dış yazı tipi, takip veya widget sunucusuna bağlantı kurulmuyor),
• CLS 0 (yükleme sırasında hiçbir öğe kaymıyor),
• 77 sayfanın tamamında otomatik kontrollerde 0 hata.

Bu ölçüm, Web Almanac'taki medyan sayfa ağırlığıyla birebir aynı yöntemle yapılmış bir karşılaştırma değildir; ama aradaki büyüklük farkı yalın bir mimarinin neler kazandırabileceğini somut olarak gösterir.

Hız sıralamayı garanti eder mi?

Hayır, ve bunu dürüstçe söylemek gerekir. Google, Core Web Vitals'ın sıralama sistemlerinde kullanıldığını belirtiyor; ancak sayfa deneyimi zayıf olsa bile en alakalı içeriği göstermeye çalıştığını da açıkça yazıyor. Hız, benzer kalitede içerikler arasında fark yaratır; içeriğin yerini tutmaz. Ayrıntılar için Core Web Vitals rehberimize bakabilirsiniz. Hızın asıl getirisi çoğu zaman sıralamadan önce kullanıcıda görülür: mobil veriyle siteye giren bir satın alma sorumlusu sayfanın açılmasını beklemez.

Güvenlik: saldırı yüzeyi nerede büyüyor?

Güvenlik firması Patchstack'in 2025 verilerini içeren "State of WordPress Security in 2026" raporu, tabloyu net çiziyor:

• 2025'te WordPress ekosisteminde 11.334 yeni güvenlik açığı bildirildi; bu, 2024'e göre %42 artış demek.
• Bu açıkların %91'i eklentilerde, %9'u temalarda bulundu. WordPress çekirdeğinde ise yalnızca 6 açık bildirildi ve bunlar düşük öncelikliydi.
• Açıkların %46'sı, kamuya duyurulduğu anda geliştiricisi tarafından henüz düzeltilmemişti.
• Yoğun istismar edilen açıklarda ilk saldırıya kadar geçen ağırlıklı medyan süre 5 saat; yüksek etkili açıkların yaklaşık yarısı 24 saat içinde istismar ediliyor.

Buradan çıkan ders şudur: WordPress'in çekirdeği oldukça iyi korunuyor; risk, siteye eklenen her eklenti ve temayla büyüyor. Siteniz ne kadar çok üçüncü taraf kod çalıştırırsa, o kodların her birinin geliştiricisine o kadar güvenmek zorunda kalırsınız. OWASP'ın 2025 Top 10 listesindeki A03: Yazılım Tedarik Zinciri Hataları başlığı tam olarak bunu anlatır: güvenlik açığı bulunan, desteklenmeyen veya güncel olmayan bileşenler ve bunların zamanında güncellenmemesi.

WordPress'te güvenliği zorlaştıran dört nokta

1. Eklenti ve tema açıkları: Yukarıdaki rakamların gösterdiği gibi, açıkların büyük çoğunluğu buradan gelir. Bir açığın duyurulmasıyla istismarı arasında saatler olabilir.
2. Güncelleme yükü: WordPress'in kendi güvenlik kılavuzu çekirdeğin ve eklentilerin her zaman güncel tutulmasını, kullanılmayan eklentilerin silinmesini önerir. Ancak her güncelleme, başka bir eklentiyle uyumsuzluk veya tasarım bozulması riski taşır; bu yüzden birçok işletme güncellemeyi erteler.
3. Herkese açık yönetim girişi: Yönetim paneli, siteyle aynı adreste ve sunucuda çalışır. WordPress dokümantasyonu kaba kuvvet (brute force) parola denemelerini yaygın bir saldırı olarak tanımlar ve başarısız denemelerin bile siteyi isteklerle boğabileceğini belirtir; ek koruma olarak iki adımlı doğrulama önerir.
4. Terk edilmiş eklentiler: Yıllar önce kurulan ve geliştiricisi artık ilgilenmeyen bir eklenti, kimse fark etmeden açık kapı olarak kalabilir.

Özel kodlanmış site daha mı güvenli?

Doğru kurulduğunda saldırı yüzeyi belirgin biçimde küçüktür, ama "hacklenemez" değildir. Farkı yaratan şeyler:

• Yalın statik mimaride ziyaretçiye önceden hazırlanmış sayfalar sunulur; herkese açık bir veritabanı sorgusu, eklenti kodu veya sitenin içinde çalışan bir yönetim paneli yoktur.
• Yalnızca gerçekten kullanılan bileşenler bulunur; "ne işe yaradığını kimsenin bilmediği" bir eklenti yoktur.
• Form gibi dinamik kısımlar küçük ve denetlenebilir parçalar olarak yazılır, çok katmanlı spam koruması ve doğrulamayla korunur.

Özel sitelerin de kullandığı kütüphaneler vardır ve bunların da güncellenmesi gerekir; tek fark, bu bileşenlerin sayısının az ve bilinir olması ve güncellemelerin yayına alınmadan önce test edilebilmesidir. Bu nedenle özel bir site yaptırırken de bakım ve güvenlik güncellemelerinin kimin sorumluluğunda olduğu sözleşmede yazılı olmalıdır. Siteniz dışında genel siber güvenlik düzeninize de bakmak isterseniz yedekleme ve siber güvenlik hizmetimizi inceleyebilirsiniz.

Karşılaştırma tablosu

WordPress ne zaman hâlâ doğru seçimdir?

Dengeli olmak gerekirse, aşağıdaki durumlarda WordPress'i ciddi biçimde düşünün:

• İçerik ağırlıklı bir siteniz var: Haftada birkaç yazı yayımlanıyor, birden fazla editör, yazar ve onay akışı var.
• Bütçe çok sınırlı: Hemen yayında olmanız gerekiyor ve özel tasarım için bütçe ayıramıyorsunuz. Bu durumda az eklentili, iyi bir temayla başlamak mantıklıdır.
• Ekibiniz WordPress'i zaten biliyor: Kurum içinde güncellemeleri düzenli yapan, eklentileri takip eden biri varsa risklerin önemli kısmı yönetilebilir.
• İhtiyacınız WordPress ekosisteminde hazır ve olgun: Örneğin üyelik veya basit bir etkinlik takvimi gibi, iyi bakılan bir eklentiyle karşılanan özellikler.

Bu senaryolarda bile şunları yapın: eklenti sayısını en aza indirin, yalnızca düzenli güncellenen eklentileri seçin, kullanılmayanları silin, yönetici hesaplarında iki adımlı doğrulamayı açın ve güncellemeleri ertelemeyin.

Özel site ne zaman öne geçer?

• Siteniz bir satış kanalıdır, yayın platformu değildir: İçerik ayda birkaç kez değişiyor; asıl amaç güven vermek, ürünü anlatmak ve teklif toplamak.
• Hız ve ilk izlenim kritik: Ziyaretçileriniz mobilden, farklı ülkelerden, yavaş bağlantılarla geliyor.
• Güvenlik ve bakım için ayrılmış bir kişi yok: "Kurduk, unuttuk" riski taşıyan bir WordPress, en tehlikeli senaryodur.
• Çok dilli yapı ve teknik SEO önemli: Dil sürümleri, hreflang, site haritası ve yapılandırılmış veri baştan doğru kurulmak isteniyor. Bu adımların listesi için teknik SEO kontrol listemize bakabilirsiniz.
• Markaya özgü bir tasarım isteniyor: Tema sınırlarına takılmadan, kurumsal kimliği yansıtan bir arayüz.
• Sahiplik önemli: Kodun, tasarımın ve verinin size ait olmasını, başka bir ekibe devredilebilmesini istiyorsunuz.

Özel site, içerik yönetiminden vazgeçmek demek de değildir. Örneğin Royal Class Garage sitesinde içerik, ekip tarafından yönetim panelinden güncellenebiliyor. Önemli olan, panelin ihtiyaca göre seçilmesi ve gereksiz yere herkese açık bırakılmamasıdır.

Toplam maliyete nasıl bakmalı?

İlk faturada WordPress neredeyse her zaman daha ucuz görünür. Doğru karşılaştırma için en az üç yıllık tabloyu düşünün:

WordPress için: kurulum + ücretli tema ve eklenti lisansları (çoğu yıllık yenilenir) + barındırma + düzenli güncelleme ve uyumluluk testi için harcanan zaman + güvenlik eklentisi veya hizmeti + olası bir saldırı sonrası temizlik ve itibar maliyeti.

Özel site için: tasarım ve geliştirme bedeli + barındırma + yıllık bakım (kütüphane güncellemeleri, küçük içerik ve tasarım değişiklikleri).

Bu hesap her zaman özel site lehine çıkmaz; özellikle sık içerik üreten ekiplerde WordPress daha ekonomik kalabilir. Genel karar çerçevesi için özel yazılım mı, hazır yazılım mı yazımız aynı mantığı yazılımın tamamına uygular. Teklifleri karşılaştırırken yazılım teklifi nasıl değerlendirilir kontrol listesi de işinize yarar.

Karar kontrol listesi: 8 soru

Her "evet" için 1 puan verin:

• 0–2 puan: Az eklentili, iyi bakılan bir WordPress büyük olasılıkla yeterli.
• 3–5 puan: İki yol da düşünülebilir; headless bir yapı veya içerik yönetimi sade tutulmuş özel bir site değerlendirilmeli.
• 6–8 puan: Özel kodlanmış yalın bir site güçlü bir aday.

Mevcut WordPress sitesinden geçerken

Geçişin en büyük riski, yıllar içinde kazanılmış arama trafiğini kaybetmektir. Bunu önlemek için:

1. URL envanteri çıkarın: Trafik ve bağlantı alan tüm sayfaları listeleyin.
2. Eski adresleri yenilerine 301 ile yönlendirin: Hiçbir sayfa sessizce kaybolmasın.
3. İçeriği taşıyın ve iyileştirin: Değeri olan yazılar korunur, boş veya yinelenen sayfalar birleştirilir.
4. Yayından sonra izleyin: Search Console'da dizine ekleme ve 404 hatalarını ilk haftalarda yakından takip edin.

Adım adım süreç için site taşırken SEO kaybını önleme rehberimizi okuyabilirsiniz.

Sık yapılan hatalar

• Platformu moda olduğu için seçmek: "Herkes WordPress kullanıyor" da "WordPress eskidi" de karar gerekçesi değildir; ihtiyaç ve bakım kapasitesi belirleyicidir.
• Her ihtiyaç için yeni bir eklenti kurmak: Her eklenti hem yük hem yeni bir güvenlik sorumluluğudur.
• Güncellemeleri ertelemek: Açıkların bir kısmı duyurulduktan saatler sonra istismar ediliyor.
• Özel siteyi bakımsız bırakmak: Özel kod da kütüphane güncellemesi ve düzenli kontrol ister.
• Taşımada yönlendirmeleri unutmak: Yeni site ne kadar iyi olursa olsun, eski adresler kırılırsa trafik düşer.

Kaynaklar

• Patchstack — State of WordPress Security in 2026 (2025 verileri) (İngilizce)
• HTTP Archive — Web Almanac 2025, CMS bölümü (İngilizce)
• web.dev — Web Vitals (İngilizce)
• Google Search Central — Sayfa deneyimi ve Google Arama sonuçları (İngilizce)
• OWASP Top 10:2025 — A03 Yazılım Tedarik Zinciri Hataları (İngilizce)
• WordPress Developer Resources — WordPress'i güçlendirme (Hardening) (İngilizce)
• WordPress Developer Resources — Kaba kuvvet (brute force) saldırıları (İngilizce)