Web Sitesi Bakımı: Neleri Kapsar, Ne Kadar Tutar?

Web sitesi bakımı bir tetikte olma hâli olarak satılıyor — "biz göz kulak oluruz" — ve sigorta gibi satın alınıyor; bu yüzden de bu kadar sık tartışma konusu oluyor. İkisi de değil. Bakım, başka kurumların belirlediği bir takvimdir ve o takvimdeki her tarih yayımlanmıştır; yani işi bir şey imzalamadan önce fiyatlayabilir, bir teklifin gerçek olup olmadığını kontrol edebilirsiniz.

Bu rehber o takvimde gerçekte ne olduğunu, her tarihin kaynağıyla birlikte sıralıyor; sonra da son tarihi olmayan ama yine de para tutan kısmı anlatıyor.

Çalışma ortamı bilinen bir tarihte desteklenmeyi bırakıyor

Siteniz neyin üzerine kuruluysa, onun ömrünün dolacağı tarih yıllar önce, işletmenizi hiç duymamış insanlar tarafından belirlendi.

PHP her dala dört yıl veriyor: iki yıl etkin destek, sonra iki yıl yalnızca güvenlik yaması. Desteklenen sürümler sayfası tabloyu yayımlıyor. Eylül 2026 itibarıyla PHP 8.1 ve altındaki her şeyin ömrü dolmuş durumda, 8.2 ve 8.3 yalnızca güvenlik yaması alıyor ve 8.2, 31 Aralık 2026'da güvenlik desteğinden çıkıyor.

Node.js daha kısa. Sürüm takvimi bir LTS hattına toplam 30 ay veriyor, üretimde yalnızca Active LTS ya da Maintenance LTS çalıştırmayı öneriyor ve Node 20'nin ömrü Mart 2026'da zaten doldu.

İki rakam da aynı türden bir olgu: bir sürüm yükseltmesinin vadesi, zaten bildiğiniz bir tarihte doluyor. Bu, bir bakım bütçesindeki en büyük kalem ve en sık atlanan kalem; çünkü o gün hiçbir şey bozulmuyor — yalnızca sonradan bozulacak şeyler için yama almayı bırakıyorsunuz.

Atlamak ölçekte neye benziyor

Bunun gerçek bir maliyet olduğunun en iyi kanıtı, kimse ödemediğinde ne olduğu. WordPress.org, güncelleme servisine bağlanan kurulumların PHP sürüm dağılımını yayımlıyor. Yukarıdaki PHP tablosuyla yan yana okuyun, tablo net:

• WordPress kurulumlarının %38,7'si hiç güvenlik desteği olmayan bir PHP sürümünde çalışıyor.
• %17,1'i hâlâ PHP 7.4'te; 2022'de yama almayı bıraktı.

O siteler çalışıyor. Sayfa sunuyor, sipariş alıyor, iyi görünüyorlar. Yapmadıkları tek şey yama almak; "çalışıyor" ile "destekleniyor" arasındaki fark da olmadığı güne kadar görünmüyor. Aynı çürüme özel uygulamalarda bağımlılıklar üzerinden yaşanıyor; fark, kimsenin o istatistiği yayımlamaması — yani daha uzun süre görünmez kalması.

CMS'in kendi saati ve işe yarar bir kolu var

WordPress kullanıyorsanız eklenti ve çekirdek güvenlik sürümleri tekrar eden kalemdir. Bu yığının ödünleşimlerini özel kodlama mı WordPress mi yazısında ele almıştık; gerçekten lehine olan kısım dâhil: Temmuz 2026'da çekirdekteki zincirlenebilir bir açık kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmaya izin verdiğinde, proje etkilenen sürümlerde otomatik güncellemeyi zorunlu hâle getirdi. Kimsenin giriş yapmadığı siteleri WordPress'in kendisi yamaladı.

Özel bir uygulamanın saldırı yüzeyi daha az ve böyle bir mekanizması yok. Bağımlılıklarından birinde ciddi bir açık çıkarsa düzeltme, biri güvenlik bildirimini okuduğunda size ulaşır ve biri dağıtım yaptığında yayına girer. İki model de bakım ister; farklı bakım ister — hangisinde olduğunuzu söylemeyen bir plan da plan değildir.

Sertifikalar çok daha sık yenilenecek

Bakım tekliflerinin çoğunun henüz yetişemediği kalem bu. CA/Browser Forum'un 11 Nisan 2025'te kabul edilen SC081v3 oylaması, kamuya açık TLS sertifikalarının azami geçerliliğini 398 günden 47 güne indiren bir takvim belirliyor; indirimler Mart 2026'da başlıyor, Mart 2029'da tamamlanıyor.

Yıllık bir yenileme, birinin takvim hatırlatıcısı olarak hayatta kalabilir. Altı yedi haftada bir yenileme kalamaz. Bugün sertifika süreciniz bir kişi ve bir e-postadan oluşuyorsa, o sürecin de kendi son kullanma tarihi var; onu otomatik sertifika üretimiyle değiştirmek, bir kesinti sırasında keşfedilmesi değil şimdi planlanması gereken bir bakım işi.

Yedekler ve herkesin atladığı test

Hiç geri yüklenmemiş bir yedek, yedek değil bir inançtır. Bu kalemin parasını ödemeye değer tek sürümü, bilerek, geçici bir ortama, belirtilen aralıklarla yapılan bir geri yüklemeyi içerir — ve ne kadar sürdüğünün notunu; çünkü o süre sizin gerçek kurtarma sürenizdir.

Son başarılı geri yüklemenin tarihini sorun. Cevap, bir bakım sağlayıcısı hakkında teklifin geri kalanından fazlasını söyler.

Son tarihi olmayan yarı

Yukarıdakilerin hepsi dışarıdan dayatılmış ve dolayısıyla tahmin edilebilir. Diğer yarı değil:

• İşletmenin talep ettiği içerik ve sayfa değişiklikleri.
• API'sini kendi takvimine göre değiştiren üçüncü taraf entegrasyonlar.
• Mevzuat ya da satıcılar kıpırdadığında kıpırdayan analitik, izin ve izleme.
• Sitenin kendi büyümesinin getirdiği performans gerilemeleri — 40 üründe hızlı olup 4.000'de olmayan bir sayfa. Bu bazen bir düzeltme, bazen de yeniden yapımın gerekçesi. Nelere bakılacağını Core Web Vitals rehberimiz anlatıyor.

Bakım hizmetlerinin iki yönde de yanlış gittiği yer bu yarı: sınırsız fiyatlanırsa kimsenin yönetmediği bir kuyruğa dönüşüyor; sıfır fiyatlanırsa her küçük değişiklik bir pazarlığa. İşleyen sürümü, dâhil bir kotayı ve üstünde ne olacağını yazar.

Biz ne yapıyoruz

Bakımı yapım bedelinin yüzdesi olarak değil yukarıdaki tarihlere göre fiyatlıyoruz. Bu, rakamın hangi çalışma ortamında olduğunuza ve ömrünün dolmasına ne kadar kaldığına göre değişmesi demek — dürüst olan da bu: üç yılı kalmış bir daldaki site, üç ayı kalmıştan gerçekten daha ucuza ayakta kalır.

Cevabın "bakım planı gerekmez" olduğu durumu da söylüyoruz. Yönetilen barındırmada duran, formu, entegrasyonu ve CMS'i olmayan bir tanıtım sitesinin aylık hizmet bedeline ihtiyacı yok; alan adını yenileyecek ve üç ayda bir bakacak birine ihtiyacı var. O müşteriye plan satmak iş değil gelir olurdu. Neleri kapsadığımızı web sitesi yapımı sayfamız anlatıyor.

Her bakım teklifine sorulacak beş soru

1. Hangi çalışma ortamı sürümündeyiz ve ömrü ne zaman doluyor? Cevap bir tarih değilse teklif maliyetlendirilmemiştir.
2. Güvenlik güncellemelerini kim, ne kadar sürede uyguluyor? "Gerektikçe" bir cevap değil; "yayımlanmasından sonraki 72 saat içinde" bir cevaptır.
3. En son ne zaman bir yedek geri yüklendi ve ne kadar sürdü? Alındı değil. Geri yüklendi.
4. Sertifikalar nasıl yenileniyor, otomatik mi? Geçerlilik 47 güne giderken elle süreç, planlanmış bir kesintidir.
5. Neler dâhil değişiklik sayılıyor? Kotayı ve aşım ücretini yazılı alın; böylece dördüncü ayda kimse bir başlık değişikliğini tartışmaz.

Birinin seçtiği bir yüzdeye değil yayımlanmış tarihlere oturan bir bakım rakamı isterseniz, sitenin neyin üzerinde çalıştığını bize söyleyin; takvime göre maliyetlendirelim.