GPL, bir WordPress temasının kodunu kopyalamanıza, değiştirmenize ve başkasına vermenize izin verir. Satıcının size lisans anahtarı vermesini, güncelleme sunucusuna erişim açmasını ya da destek talebinize cevap vermesini sağlamaz. Bir Pro temayı satıcıdan değil de üçüncü bir kişiden aldığınızda elinizde kalan şey çoğu zaman güncellenmeyen, donmuş bir kod kopyasıdır. Kötü durumda ise sitenize kendi elinizle kurduğunuz bir arka kapı.
WordPress’in lisansı temalara ne söylüyor
WordPress, GPLv2 (ya da sonraki sürüm) lisansıyla dağıtılıyor. WordPress.org’un lisans sayfası, türev çalışmanın sınırları konusunda hukuki bir gri alan bulunduğunu kabul ediyor, ama eklenti ve temaların WordPress’in türev çalışması olduğunu ve bu yüzden GPL’i devraldığını “güçlü biçimde” düşündüklerini yazıyor.
GPLv2 metninde bu yazının konusu için iki cümle öne çıkıyor. Birincisi 1. maddede: bir kopyayı aktarmanın fiziksel işlemi için ücret alabilirsiniz, isterseniz ücret karşılığında garanti de sunabilirsiniz. Yani GPL ücretli satışı yasaklamaz; Pro temalar bu yüzden hem GPL hem ücretli olabiliyor. İkincisi lisansın giriş bölümünde: yazılım başkası tarafından değiştirilip aktarılırsa, alan kişinin elindekinin asıl sürüm olmadığını bilmesi istenir, böylece başkalarının eklediği sorunlar asıl yazarların itibarına yansımaz. 11. madde de yazılımın, yasanın izin verdiği ölçüde garantisiz olduğunu söyler.
PHP kodu GPL, CSS ve görseller ayrı bir tartışma
Bu sorunun cevabı 2009’a dayanıyor. Matt Mullenweg, 2 Temmuz 2009’da WordPress News’te Software Freedom Law Center’dan alınan görüşü yayımladı. Görüşün özeti şuydu: temalardaki PHP dosyaları WordPress kodunun açıkça türevidir ve GPL’e tabidir, görseller ve CSS GPL olabilir ama olmak zorunda değildir. Aynı görüşe göre tema geliştiricileri bu öğelere isterlerse kısıtlayıcı telif koşulları uygulayabilir. Piyasada “split license” (bölünmüş lisans) denen model buradan çıktı: PHP kodu GPL, tasarım dosyaları satıcının kendi lisansıyla. JavaScript dosyaları o yazıda ayrıca ele alınmıyor.
WordPress.org ise kendi dizini için daha sıkı bir çizgi çekti. Mullenweg aynı yazıda WordPress.org’da yalnızca yüzde yüz GPL ya da GPL uyumlu şeylerin tanıtılıp barındırılacağını yazmıştı. Bugünkü Tema İnceleme El Kitabı da zip dosyasındaki her şeyin, kodun, verinin ve görsellerin GPL ya da GPL uyumlu bir lisansa uymasını şart koşuyor. El kitabının 14. bölümü bir adım daha ileri gidiyor: dizinde tema yayımlayan biri başka yerde dağıttığı temaların da, ücretsiz ve ücretli olanların hepsinin, yüzde yüz GPL uyumlu olduğunu kendi sitesinde kolay bulunur bir yerde belirtmek zorunda.
Bu sitedeki temaların hepsinin WordPress.org’da ücretsiz bir sürümü var. Yani satıcıları bu kurala tabi ve Pro sürümlerinin lisansı da GPL uyumlu olmak zorunda. Bu, “Pro tema GPL ise başkasından almak da yasaldır” düşüncesinin kaynağı. Lisans açısından kodu yeniden dağıtmak mümkün olabilir; bunun hukuki ayrıntısı, marka kullanımı ve somut durumunuz için bir avukata danışın. Ama lisans hukukunun ötesinde, aldığınız şeyin ne olduğu ayrı bir soru.
Kod paylaşılabilir, hizmet paylaşılamaz
Bir Pro temaya ödediğiniz para yalnızca bir zip dosyasının karşılığı değil. Satıcılar güncellemeyi ve desteği lisans anahtarına bağlıyor. Astra’nın belgelerine göre lisans anahtarı ürünü kaydedip ücretsiz güncellemeleri almak ve destek merkezine girip talep açmak için gerekiyor. Anahtar satıcı hesabındaki Astra Pro eklenti zip’inin altında duruyor ve WordPress panelinde Astra > Dashboard ekranına giriliyor. GeneratePress fiyat sayfası, tüm ürünlerinin tek bir lisans anahtarını paylaştığını ve güncellemelerin yeni özelliklerin yanında güvenlik yamalarını da içerdiğini yazıyor.
Başkasından aldığınız bir kopyada bu anahtar yok. Olsa bile bu, başkasının satın aldığı ve onun hesabındaki site sınırına ve lisans süresine bağlı bir anahtardır. Destek tarafı da aynı: Wordfence’in 2021 yazısına göre ücretli müşterilerine destek veren satıcılar, kendilerine değil başka bir dağıtıcıya ödeme yapan kişilere destek vermiyor. Müşteri destek talebi açtığında satıcı onun kim olduğunu bilmiyor.
Wordfence aynı yazıda iki noktanın daha altını çiziyor. Birincisi marka: GPL kodu çatallayıp (fork) yeniden dağıtmaya izin verir, ama adı ve logoyu değiştirmeden dağıtmak asıl geliştiricinin markasını ihlal eder. İkincisi sunucu tarafı: bazı ücretli ürünler gücünü zip’teki koddan değil, satıcının sunucusundan gelen veriden alıyor ve bu veri geçerli bir lisans olmadan gelmiyor. Wordfence kendi örneğini veriyor: dışarıdan “premium” diye alınan Wordfence kopyaları, panelde premium etkin görünse bile ücretsiz sürümün 30 gün gecikmeli kurallarını alıyor.
Güncellemenin neden önemli olduğunu kendi verimizle de görebiliyoruz. Endeksimizdeki 115 temanın ücretsiz sürümlerinden 41’i son 30 günde, 60’ı son 90 günde, 111’i son bir yılda WordPress.org’da yeni sürüm yayımlamış (veri tarihi 19 Ekim 2026). WordPress.org’daki sürüm sayısı Astra’da 285, Blocksy’de 447. Bunlar yalnızca ücretsiz tarafın sürümleri; Pro eklentinin ayrı bir sürüm takvimi var ve onu bu veri göstermiyor. Ama ücretsiz tema güncellendiğinde ona uyum sağlayan Pro güncellemesi gelmezse, elinizdeki donmuş kopya her ay biraz daha geride kalır. Lisans süresi bittiğinde yasal bir kopyada bile neyin durduğunu lisans bitince ne olur yazısında satıcı satıcı karşılaştırdık.
Nulled kopyalarda ne bulundu
“Nulled”, ücretli bir ürünün lisans kontrolü kaldırılarak ya da atlatılarak dağıtılan kopyası için kullanılan terim. Güvenlik firmalarının yayımladığı raporlarda bu kopyalarla ilgili bulgular yıllardır aynı yöne işaret ediyor:
Aralık 2017, Sucuri. Denis Sinegubko’nun 6 Aralık 2017 tarihli yazısına göre, enjekte edilmiş spam bağlantılarının tanıttığı nulled premium tema sitelerinden indirilen her temada WP-VCD adlı zararlı yazılım önceden kurulu geliyordu. Değiştirilmiş functions.php dosyasının en başına eklenen bir satır, class.theme-modules.php adlı dosyayı yüklüyordu. Bu dosya zararlıyı temaya kuruyor ve diğer kötü amaçlı dosyaları oluşturuyordu. Bulaşan sitelerde “100010010” gibi adlarla sahte yönetici hesapları açılıyor, sayfalara spam bağlantıları yerleştiriliyordu.
Kasım 2019, Wordfence. Wordfence tehdit ekibi 4 Kasım 2019’da WP-VCD’nin Ağustos 2019’dan beri her hafta, diğer tüm WordPress zararlılarından daha fazla yeni bulaşmayla ilişkili olduğunu yazdı. Zararlı, ilişkili sitelerden oluşan bir ağın dağıttığı nulled tema ve eklentilerle yayılıyordu. Gelir iki yoldan geliyordu: arama sonuçlarını manipüle eden kara şapka SEO faaliyeti ve ziyaretçileri tehlikeli yönlendirmelere ve açılır reklamlara gönderen kötü amaçlı reklam kodu.
Temmuz 2020, Sucuri. Luke Leal’in 8 Temmuz 2020 tarihli yazısı, korsan premium eklenti ve temaların içine konmuş iki dosyayı inceliyor. Biri mu-plugins klasöründe bir arka kapı oluşturuyor, diğeri yönetici hesaplarını bulup saldırganın o hesapla oturum açmasını sağlıyordu. Kod ayrıca sitenin WordPress kurulum bilgilerini saldırganın sunucusuna gönderiyordu. Saldırgan, eklediği yazıları yönetim panelinde CSS ile gizleyebiliyordu. Dağıtıcının kullanım koşullarında, sağlayıcının eklenti dosyalarını ve veritabanı içeriğini değiştirebileceğine dair bir madde bile vardı.
Temmuz 2021, Wordfence. Ramuel Gall’ın 21 Temmuz 2021 tarihli yazısına göre Wordfence, kendi eklentisinin nulled sürümünü çalıştıran 23.000’den fazla site tespit etti. Yazı, nulled tema ve eklentilerin sıklıkla SEO spam’i dağıtmak, başka sitelere saldırmak, hassas bilgi çalmak ve ziyaretçileri kötü amaçlı reklam sitelerine yönlendirmek için kullanılan arka kapılar içerdiğini, birçoğunun veritabanına diğer yöneticilerden gizlenen yönetici hesapları eklediğini yazıyor. Wordfence’in nulled kopyasını kullanan sitelerin, ücretsiz sürümü kullanan ortalama siteye göre başka kaynaklı bir bulaşma yaşama ihtimali iki kattan fazlaydı.
2021 yazısında bir değişime de dikkat çekiliyor: nulled tema dağıtan sitelerin bir kısmı zararlı yazılım yerine aylık abonelik ve “indirimli premium” satışına yönelmiş. Wordfence’e göre bu kopyalarda zararlı yazılım daha az görülüyor, ama yine de tam premium özellikleri vermiyorlar ve çoğu zaman WordPress dizininde ücretsiz duran kodun yeniden paketlenmiş hâli oluyorlar. Forumlarda ve sosyal medya gruplarında ücretsiz dağıtılan kopyalarda ise zararlı yazılım hâlâ çok yaygın.
Bu raporların ortak noktası şu: nulled bir tema kurduğunuzda o koda sitenizin tam denetimini veriyorsunuz. WordPress dizinindeki tema ve eklentiler zararlı kod için incelemeden geçiyor; forumlarda, sosyal medya gruplarında ve nulled sitelerde dağıtılanlar geçmiyor.
Elinizdeki “Pro” zip’i nasıl kontrol edersiniz
Bir siteyi devraldınız, bir müşteri size bir zip gönderdi ya da bir arkadaşınız “bende Pro var” dedi. Wordfence’in 2021 yazısına göre birçok site sahibi kendi sitesinde nulled bir eklenti olduğunu bilmiyor bile. Aşağıdaki adımlar kesin bir temizlik garantisi vermez, ama ne durumda olduğunuzu anlamanıza yardım eder.
Önce kaynağı netleştirin. Bu ürünü satıcının kendi sitesinden siz ya da müşteriniz mi satın aldı? Satıcı hesabında görünen bir lisans, bir sipariş e-postası ya da bir fatura yoksa elinizdeki zip’in kaynağı belirsizdir. Yurt dışındaki satıcıya kartla yapılan ödemenin kur ve vergi tarafını yurt dışından tema ödemesi yazısında ele aldık.
Lisans sizdeyse satıcı hesabınızdan aynı sürümün temiz zip’ini indirin ve sitedeki dosyalarla dosya dosya karşılaştırın. İki klasörü karşılaştıran herhangi bir araç işinizi görür; bilgisayarınızda Git kuruluysa git diff --no-index temiz-klasor sitedeki-klasor komutu farkları satır satır gösterir. Sucuri’nin 2017’de anlattığı türde bir bulaşmada fark, functions.php dosyasının başına eklenmiş tek bir satır ya da temiz pakette olmayan bir PHP dosyası olarak görünür. Ücretsiz temanın kendisini de WordPress.org’dan aynı sürüm numarasıyla indirip aynı şekilde karşılaştırabilirsiniz.
WP-CLI kullanıyorsanız bir sınırı bilin: wp plugin verify-checksums komutu eklenti dosyalarını WordPress.org’un yayımladığı sağlama değerleriyle karşılaştırır. WordPress.org’da yayımlanmayan bir Pro eklentinin sağlama değeri orada yoktur. Temalar için ise wp theme komutları arasında böyle bir doğrulama komutu bulunmuyor. Bu yüzden Pro dosyalarında güvenebileceğiniz karşılaştırma, satıcıdan indirdiğiniz temiz kopyadır.
Sonra yönetici hesaplarına bakın. wp user list --role=administrator komutu yöneticileri kullanıcı adı, e-posta ve kayıt tarihiyle listeler. Tanımadığınız bir hesap ya da kayıt tarihi temanın kurulduğu güne denk gelen bir yönetici varsa ciddiye alın. Wordfence, nulled tema ve eklentilerin eklediği yönetici hesaplarının panelde diğer yöneticilerden gizlenebildiğini yazıyor; bu yüzden panelden değil veritabanından, WP-CLI ya da barındırma firmanızın veritabanı aracıyla bakmak daha sağlıklı. Sucuri de 2020 yazısında wp-content/mu-plugins klasöründe beklenmedik dosya olup olmadığına bakılmasını öneriyor; incelediği arka kapı tam olarak oraya yerleşiyordu.
Şüpheli bir şey bulursanız yalnızca temayı silmek yetmez. Sucuri, nulled yazılımı kaldırmanın tek başına yeterli olmadığını ve böyle bir yazılım kurulmuş sitenin ele geçirilmiş olabileceği varsayımıyla incelenmesi gerektiğini yazıyor. Wordfence de nulled kopyanın hemen silinmesini, ardından sitenin bir güvenlik eklentisiyle taranmasını öneriyor. Bunlara ek olarak bizim önerimiz, temiz olduğundan emin olduğunuz bir yedeğe dönmeyi değerlendirmeniz, yönetici şifrelerini değiştirmeniz ve temayı resmî kaynaktan yeniden kurmanız. Site sizin değilse sahibine durumu yazılı olarak bildirin.
Asıl karar fiyatla ilgiliyse önce yasal seçenekleri karşılaştırın. Birçok satıcı ilk yılı indirimli sunuyor, bazıları ömür boyu lisans satıyor. GeneratePress fiyat sayfasında satın almadan sonraki 30 gün içinde iade sözü var; satıcıların iade koşullarını Pro tema iade koşulları yazısında karşılaştırdık. Örneğin Astra Pro sayfasında ilk yıl, yenileme ve ömür boyu tutarı kontrol tarihiyle ayrı ayrı duruyor; temalar arasındaki ilk yıl ve yenileme farkını da yenileme farkı tablosunda topladık.