SunucuKontrol 1.113.0 sürüm notları: Yönlendirme döngüsü testi

Ayrıntılı anlatım

# SunucuKontrol 1.113.0

1.113.0 bir sağlamlaştırma sürümü. Bağımsız bir incelemenin bulduğu kırk hatanın tamamı düzeltildi; staging'den canlıya yayın artık siparişleri ve üyeleri koruyabiliyor; Let's Encrypt sertifika profilleri ve kısa ömürlü sertifikalar için hazırlık geldi. Birden çok sunucuyla çalışan kurulumlarda, başka sunucudaki sitelerin ekranları artık o sunucuyu soruyor.

Bu sürüm kimin işine yarar?

Staging (test kopyası) üzerinde çalışıp canlıya alan, özellikle WooCommerce mağazası olan site sahipleri.
Birden çok sunucuyu tek panelden yöneten barındırma firmaları.
Passkey, kurumsal giriş (OIDC) ya da kanal onayı kullanan hesaplar.
Gelişmiş İşlemler ekranındaki kartları kullanan yöneticiler.

Siparişleri koruyan staging yayını

Staging kopyası açıldıktan sonra canlı sitede yeni siparişler, yeni üyeler ve yorumlar oluşur. Eskiden staging'i veritabanıyla birlikte canlıya aldığınızda veritabanının tamamı staging'den geliyor, bu arada canlıda oluşan sipariş ve üyeler siliniyordu.

Artık Staging → Canlıya yayınla formunda "Canlıdaki siparişleri, üyeleri ve yorumları koru" seçeneği var ve varsayılan olarak açık. Açıkken:

Üyeler, üye bilgileri, yorumlar ve WooCommerce'in sipariş tabloları (siparişler, sipariş satırları, sipariş adresleri, müşteri tablosu, ödeme belirteçleri…) canlıda olduğu gibi kalır, staging'den gelmez.
Ayarlar, sayfalar, yazılar, ürünler, tema ve eklenti ayarları staging'den gelir.
Yalnız canlıda olan tablolara hiç dokunulmaz.
Yayın bitince hangi tabloların korunduğu sonuç mesajında yazar.

Önemli sınır: WooCommerce'te "yüksek performanslı sipariş depolama" (HPOS) kapalıysa siparişler sayfalarla aynı tabloda tutulur ve birbirinden ayrılamaz. Bu durumda yayın hiçbir şeyi değiştirmeden durur ve nedenini söyler: ya WooCommerce ayarlarından HPOS'u açın ya da yalnız dosyaları yayınlayın. Seçeneği kapatırsanız eski davranış (veritabanının tamamı staging'den) geçerli olur.

Seçerek yayına alma artık seçimlere uyuyor

Gelişmiş İşlemler'deki "Hazırlık sitesini seçerek yayına al" kartında yalnız veritabanını seçtiğinizde dosyalar da eziliyordu; yalnız dosya seçtiğinizde ise önce yedek alınmıyordu. "Yüklemeler (uploads) hariç" seçeneği de klasörü dışarıda bırakmıyordu. Artık:

Hangi seçimi yaparsanız yapın önce canlının yedeği alınıyor ve bu yedek Yedekler ekranında görünüyor.
Yalnız seçtiğiniz parça aktarılıyor.
wp-content/uploads ve logs dışlamaları gerçekten çalışıyor.
wp-config.php ve .env hiçbir zaman staging'den taşınmıyor; staging'in kendi veritabanını gösterdikleri için canlıyı yanlış veritabanına bağlarlardı.
Kartta "Siparişleri, üyeleri, yorumları koru" kipi de seçilebiliyor.

Güvenlik düzeltmeleri

Yönlendirme döngüsü testi: bir site kendi adresinden 127.0.0.1 ya da bulut meta veri adresine (169.254.169.254) yönlendirme vererek panel sunucusunun iç ağına istek yaptırabiliyordu. Test artık her adımda adresi denetliyor ve iç ağa giden adımı "engellendi" olarak gösterip duruyor.
Güvenlik anahtarı (passkey) silmek artık panel parolanızı soruyor; oturumu ele geçirilen biri anahtarınızı silemez. İki adımlı doğrulama zorunlu tutuluyorsa ve doğrulayıcı uygulamanız (TOTP) yoksa son anahtarınızı silemezsiniz; önce uygulamayı kurmanız istenir.
Askıdaki ya da çöpteki hesap: bekleyen bir yapay zeka onayı e-posta/Telegram bağlantısından verilemiyor; MCP (OAuth) bağlantısı yenilenemiyor.
Alan adı silindiğinde o alan adına yapay zekanın hazırladığı kurulum bilgileri (şifreli veritabanı parolası, API anahtarları), kancalar, günlük sınırlar ve alan adı izin kaydı da siliniyor. Eskiden kalıyordu; aynı kimlikle açılan yeni bir site eskisinin ayarlarını devralabilirdi.
Kurumsal giriş (OIDC): kullanıcının eşleme adresi ya da sağlayıcı adresi değişince eski kimlik mührü sıfırlanıyor; kullanıcı "hesap kimliği eşleşmiyor" diye kilitlenmiyor.
WP-CLI artık sabit bir sürümden indirilip SHA-256 özeti doğrulandıktan sonra kuruluyor; korumalı sistem altında da kurulabiliyor.
Bayi ince yetkilerinde boşluklar kapandı: askıya alma yetkisi kapalı bayi alan adı askıya alamıyor, silme yetkisi kapalı bayi çöpten geri getiremiyor, paket atama yetkisi kapalı bayi düzenleme formundan paket değiştiremiyor.
Müşteri değer karnesi (ROI) uçları modülün içinde de yönetici denetliyor.

E-posta ve DNS

Zamanlanmış otomatik yanıt (Gelişmiş İşlemler) artık posta kutusunun süzgeç kurallarını silmiyor; süzgeçler ve tatil yanıtı birlikte üretiliyor. Kart da yetki hatası vermiyor.
Saatlik gönderim sınırı kartı çalışıyor.
"Posta kayıtlarını ekle", alan adı Cloudflare gibi dış bir DNS sağlayıcısına bağlıysa kayıtları sağlayıcıya da yazıyor. Eskiden yalnız paneldeki bölgeye yazılıyor, sağlayıcıda eksik kalıyordu.
Olması gereken DNS kayıtları: başka sunucudaki sitede site kayıtları o sunucunun IP'sini gösteriyor (posta kayıtları posta sunucusunun IP'si). SPF iki adresi de yetkilendiriyor. Varsayılan bölgedeki www CNAME kaydı artık "eksik" sayılmıyor.
Alan adı gönderen izin/engel listesi zaten posta politikasına yazılıyordu; hiçbir şeyin okumadığı ikinci bir kopyası kaldırıldı.
DMARC raporu çözümlemesi başka alan adının raporunu bu alan adının ekranında göstermiyor.

Çok sunuculu kurulumlar

Panel birden çok sunucuyu yönetirken, başka sunucudaki bir sitenin bazı ekranları merkez sunucuyu soruyordu. Artık şu ekranlar sitenin kendi sunucusundan okuyor:

PHP eklentileri ve kurulu PHP sürümleri (alan adı listesindeki sürüm seçenekleri dahil)
"Engelimi kaldır" (o sunucudaki engel de görünür ve kaldırılabilir)
WAF ayarları, istisnalar, olaylar ve zararlı yazılım taraması
FTP erişim bilgisindeki sunucu adresi
Podman compose dosyası kaydı ve Podman durumu
MySQL süreç listesi, sorgu durdurma ve yavaş sorgu günlüğü (süreç satırında sunucu adı görünür)

Ayrıca:

Site taşıma birden çok hedef sunucu varken hangisine taşınacağını soruyor; yalnız web rolü olan sunucular listeleniyor.
Uzak sunucudaki veritabanı için merkezdeki phpMyAdmin'e giden (ve çalışmayan) bağlantı kaldırıldı; satırda veritabanının hangi sunucuda olduğu yazıyor. Merkez MySQL için "phpMyAdmin'i root ile aç" bağlantısı Sunucu Veritabanları başlığında.
Varnish, Brotli, Apache/OpenLiteSpeed kurulumu, ACME ayarı ve kabuk hapsi uçları API'de node parametresiyle belirli bir sunucuya yönlendirilebiliyor.
Küme kotası, tek bir uzak sunucu varken artık hep "kapalı" görünmüyor; kota her sunucu için ayrı ölçülüyor.
Uygulama klonu başka sunucudaki sitede veritabanını kopyalayamadığında bunu açıkça söylüyor.

Diğer düzeltmeler

HTTP/3 anahtarı her tıklamada hata veriyordu; düzeldi.
Hazır WordPress eklenti paketi kurulumu, düğüm rolü kaydı, bayi kota kartı, korumalı cron (çakışma kilidi ve azami süre) ve seçerek SQL dışa aktarma kartı hata vermeden çalışıyor.
Uygulama klonu, kopyalanan veritabanına kaynak sitenin veritabanı kullanıcısıyla bağlanabiliyor (yetki veriliyor); eskiden klon "Access denied" ile açılmıyordu.
Varnish önbellek süresi her site için ayrı tutuluyor; bir sitenin süresi artık bütün sitelere yazılmıyor ve ekranda gerçek değer görünüyor.
Podman: konteyner başlatma ve compose "başlat / imajları çek" işlemleri arka planda çalışıyor; büyük imajlar zaman aşımına düşmüyor. Ekran işin bitmesini kendisi bekliyor.
Uygulama kurucusu: Grav, Bludit, FreshRSS gibi veritabanı istemeyen uygulamalarda boş veritabanı açılıp kotanızdan düşülmüyor.
Çöp kutusu: çöpteki hesaplar toplu duyuru almıyor; kurumsal giriş eşlemeleri, göç hedefleri ve paket kullanıcı sayıları listelerinde görünmüyor; panoda çöpteki alan adları listelenmiyor.
PHP-FPM ayarı: "En kötü durumda bellek" uyarısı artık sunucunun kaydederken kullandığı ölçülen bellekle hesaplanıyor; sunucunun kabul ettiği ayar ekranda "kaydedilemez" görünmüyor.
Alan adı ekleme penceresi: panel hesabıyla çalışmayan sftp:// adresi yerine dosya erişimi için FTP hesabı açma yolu gösteriliyor.
LDAP: giriş ekranında görünen dizin adı formdan ayarlanabiliyor; eskiden her kayıtta varsayılana dönüyordu.
WordPress ayrıntılı otomatik güncelleme kartında "Yalnız prova" seçiliyken siteye hiçbir şey yazılmıyor.
Paket silinince paketin güvenlik ve yapay zeka ayarları da siliniyor.
Otomasyonlardaki "site ayakta mı" denetimi sitenin bulunduğu sunucuya soruyor.

Sertifika profilleri ve kısa ömürlü sertifikalar

SSL → ACME ayarları formunda Let's Encrypt için sertifika profili seçeneği var:

Klasik (90 gün) — varsayılan, bugünkü davranış.
Yalnız sunucu kimliği (tlsserver)
Kısa ömürlü (yaklaşık 6 gün) — seçildiğinde yenileme görevi günde iki kez (12 saatte bir) çalışır. Profili sonradan klasiğe döndürseniz de kısa ömürlü sertifikası kalan siteler oldukça bu sık yenileme sürer.

Profil seçimi, sunucudaki certbot sürümü destekliyorsa açılır (en az 4.0). Desteklemiyorsa seçim kapalı görünür, nedenini yazar ve sertifikalar eskisi gibi klasik profille alınır; hiçbir şey değişmez. Ayar ekranı ayrıca sertifika yenileme zamanını sağlayıcının önerdiği pencereye göre ayarlayan ARI desteğinin olup olmadığını gösterir (certbot 4.1 ve üzeri). Profil yalnız Let's Encrypt'e gönderilir; ZeroSSL ve Google Trust Services sertifikaları etkilenmez. Posta sunucusunun sertifikaları (SNI) yenilemeden sonra eskisi gibi kendiliğinden güncellenir.

Sınırlar

Siparişleri koruyan yayın, WooCommerce'in HPOS kipinde ya da sipariş tablosu ayrı olan eklentilerde çalışır; bilinmeyen bir eklentinin kendi sipariş tablosu staging'den gelebilir. Kritik bir eklentiniz varsa yayından önce "Canlıyla Karşılaştır" ile bakın.
E-posta sağlayıcısı DNS şablonu (Google Workspace, Microsoft 365) değişiklikleri hâlâ kayıt kayıt uyguluyor; tek seferde uygulama sonraki bir sürümde.
Ubuntu'nun paketlediği certbot 2.x profil desteklemediği için çoğu sunucuda sertifika profili seçimi şimdilik kapalı görünecek.

Güncellemeden sonra

Bir şey yapmanız gerekmiyor. Staging yayınında yeni koruma seçeneği varsayılan olarak açık gelir; eski davranışı istiyorsanız formdan kapatın.

Değişiklik listesi

Panelde Panel Yönetimi → Panel Güncellemesi ekranında gösterilen sürüm notunun tamamı:

Güvenlik

Yönlendirme döngüsü testi artık her adımda adresin iç ağa (127.0.0.1, 169.254.169.254, özel ağlar) gitmediğini denetliyor; bir site kendi sayfasından panel sunucusunun iç ağına istek yaptıramıyor.
Güvenlik anahtarı (passkey) silmek parola istiyor; iki adımlı doğrulama zorunluyken doğrulayıcı uygulaması olmayan kullanıcı son anahtarını silemiyor.
Askıdaki ya da çöpteki hesabın bekleyen yapay zeka onayı kanaldan verilemiyor, MCP bağlantısı yenilenemiyor.
Alan adı silinince o alan adının yapay zeka kurulum sırları (şifreli veritabanı parolası, API anahtarları), kancaları ve izin kaydı da siliniyor.
Kurumsal giriş (OIDC) eşlemesi ya da sağlayıcısı değişince kullanıcı artık kilitlenmiyor.
WP-CLI sabit sürüm ve SHA-256 doğrulamasıyla kuruluyor.

Staging ve yayın

Siparişleri koruyan yayın: staging'i canlıya alırken "Canlıdaki siparişleri, üyeleri ve yorumları koru" seçeneği (varsayılan açık) bu tabloları staging'den getirmiyor; staging açıldıktan sonra gelen siparişler ve üyeler kaybolmuyor. Siparişler hâlâ yazı tablosunda tutuluyorsa (WooCommerce HPOS kapalı) yayın hiçbir şey değiştirmeden durup nedenini söylüyor.
Seçerek yayına alma artık seçimlere uyuyor: yalnız veritabanı seçildiğinde dosyalar ezilmiyor, yalnız dosya seçildiğinde de önce yedek alınıyor ve yedek Yedekler ekranında görünüyor; "uploads hariç" gerçekten dışarıda bırakıyor.

E-posta ve DNS

Zamanlanmış otomatik yanıt posta süzgeçlerinizi silmiyor; Gelişmiş İşlemler'deki otomatik yanıt ve saatlik gönderim sınırı kartları çalışıyor.
"Posta kayıtlarını ekle" dış DNS sağlayıcısına bağlı alan adlarında kayıtları sağlayıcıya da yazıyor.
Olması gereken DNS kayıtları, başka sunucudaki sitede o sunucunun IP'sini gösteriyor; varsayılan www CNAME kaydı eksik sayılmıyor.

Çok sunuculu kurulum

Başka sunucudaki sitelerde PHP eklentileri, "Engelimi kaldır", WAF ve zararlı tarama, FTP adresi, Podman compose kaydı, MySQL süreç listesi ve kurulu PHP sürümleri artık o sitenin sunucusundan okunuyor; site taşımada hedef sunucu seçilebiliyor.
Varnish, Brotli, Apache/OpenLiteSpeed, ACME ayarı ve kabuk hapsi uçları hedef sunucu alabiliyor (API: node).

Diğer düzeltmeler

HTTP/3 anahtarı, hazır WordPress eklenti paketi, düğüm rolü kaydı, bayi kota kartı ve korumalı cron kaydı hata vermeden çalışıyor.
Uygulama klonu yeni veritabanına bağlanabiliyor (kullanıcı yetkisi veriliyor).
Varnish önbellek süresi her site için ayrı tutuluyor.
Podman'da konteyner başlatma ve compose başlat/çek arka planda çalışıyor; büyük imajlar zaman aşımına düşmüyor.
Veritabanı istemeyen uygulamalar için boş veritabanı açılmıyor; çöpteki hesaplar toplu duyuru ve listelerde görünmüyor.
PHP-FPM bellek uyarısı sunucunun kullandığı ölçülen bellekle hesaplanıyor; başarı penceresinde çalışmayan SFTP adresi yerine FTP hesabı yolu gösteriliyor.

Sertifikalar

Let's Encrypt sertifika profili (klasik, yalnız sunucu, kısa ömürlü) seçilebiliyor; kısa ömürlü sertifikalar 12 saatte bir yenileniyor. Seçim, sunucudaki certbot destekliyorsa açılıyor (en az 4.0); desteklemiyorsa sertifikalar eskisi gibi alınıyor. Yenileme zamanını sağlayıcının önerisine göre ayarlayan ARI desteği ayarlarda görünüyor.

Bu sürüme nasıl geçilir?

Panelde Panel Yönetimi → Panel Güncellemesi ekranında Güncellemeyi Denetle deyin; sürüm numarasının yanında bu sayfadaki notlar görünür. Kurulum tek tıktır ya da gece kendiliğinden yapılabilir. Paket, yayıncının RSA-4096 anahtarıyla imzalanmış bir manifestle gelir; imza doğrulanmazsa kurulum başlamaz, kurulum sonrası sağlık denetimi geçmezse panel önceki sürüme kendiliğinden döner. Güncelleme için lisansın geçerli olması gerekir; süresi dolmuş lisansta panel ve siteler çalışmaya devam eder.