WordPress.org dizinindeki ücretsiz bir eklentiye güvenlik düzeltmesi geldiğinde, yönetim panelinizde kırmızı bir sayı belirir ve tek tıkla güncellersiniz. Ücretli bir tema ya da eklentide bu yol her zaman yoktur. Güncelleme satıcının sunucusundan, bir lisans anahtarıyla ya da ayrı bir eklentiyle gelir; lisans süresi bittiğinde de çoğu zaman durur. Son 12 ayda (20 Ekim 2026 itibarıyla) yayımlanan WordPress açık kayıtlarının yaklaşık beşte biri, WordPress.org dizininde bulunmayan ürünlere ait. Bu ürünlerin büyük bölümü ücretli. O kayıtlardan birinin sizi ilgilendirip ilgilendirmediğini anlamak için güncellemenin nereden geldiğini bilmeniz gerekiyor.
Neden ayrı bir yol var
WordPress.org dizinindeki eklentiler için kurallar açık: dizin yönergelerine göre bir eklenti, güncellemeleri ya da başka eklenti, tema ve eklentileri WordPress.org dışındaki sunuculardan sunamaz. Dizindeki ürünlerin güncellemesi bu yüzden hep aynı yerden, WordPress.org’dan gelir.
Ücretli ürünler dizinde değildir; satıcı kendi güncelleme sistemini kurar. Kullanılan yollar genellikle şunlardır:
- Satıcının kendi lisans eklentisi ya da tema içi lisans ekranı. Lisans anahtarını girersiniz, güncellemeler panelin olağan güncelleme ekranında görünmeye başlar.
- Pazar yerinin güncelleme eklentisi. ThemeForest ve CodeCanyon ürünleri için Envato’nun yayımladığı Envato Market eklentisi.
- Elle indirme. Satıcının ya da pazar yerinin indirme sayfasından yeni sürümün ZIP dosyasını alıp yüklemek.
Lisans anahtarı girilmemiş bir ücretli ürün, panelde “güncel” görünebilir. Güncelleme gelmiyor diye ürünün güvenli olduğu sonucunu çıkarmayın.
ThemeForest ve CodeCanyon
Envato’nun ürün destek politikasına göre bir ürünün yeni sürümü, önceki alıcılara İndirilenler (Downloads) sayfası üzerinden otomatik olarak sunulur. Ürünün tanımlandığı gibi çalışmasını sağlayan ve ciddi güvenlik sorunlarını gideren güncellemeler tüm ürünler için geçerlidir. Destek ise ayrı bir konudur: satın alma tarihinden itibaren 6 ay sürer ve satın alırken uzatılırsa en fazla 12 aya çıkar.
Bu ayrım önemli. Destek süreniz dolmuş olsa da ThemeForest’tan aldığınız bir temanın yeni sürümünü İndirilenler sayfasından alabilirsiniz; destek, satıcıya soru sorma hakkıdır. Politika, destek bittikten sonra güncellemelerin süreceği konusunda ayrıca bir taahhüt içermiyor; bunu satıcının ürün sayfasında kontrol edin.
Panelden güncellemek için Envato’nun Envato Market eklentisi kullanılır. Envato’ya göre eklenti, ThemeForest ve CodeCanyon’dan alınan temaların ve eklentilerin güncellemesini WordPress içinden yapar; tema güncellemeleri eklentiden, standart güncelleme sayfasından ya da WP-CLI’dan uygulanabilir. Kurulum için build.envato.com üzerinden kişisel bir API anahtarı (token) oluşturulur. Eklenti WordPress.org dizininde olmadığından Envato’nun verdiği ZIP dosyasıyla elle yüklenir.
Sık karşılaşılan bir durum: tema, gerekli eklentileri (sayfa oluşturucu, kaydırıcı, ek modüller) kendi paketinin içinde getirir. Bu paketlenmiş eklentilerin güncellemesi genellikle temanın yeni sürümüyle gelir. Tema güncellenmezse, içindeki eklentiler de eski sürümde kalır; o eklentilerden biri için bir açık kaydı yayımlanmışsa siz farkına varmadan etkilenen sürümü kullanmaya devam edersiniz.
Yıllık lisans bitince
Satıcı lisanslarında genel kural, lisans bittiğinde ürünün çalışmaya devam etmesi ama güncellemelerin durmasıdır. Divi’nin satıcısı Elegant Themes’in SSS’i bunu açıkça yazar: yıllık üyelik yenilenmezse daha önce indirdiğiniz temaları kullanmaya devam edebilirsiniz, ama dönem sonunda üye alanına erişim, yeni temalar, tema güncellemeleri ve teknik destek kesilir. Ömür boyu üyelikte ise güncellemeler ve destek ömür boyu sürer.
Güvenlik açısından bunun anlamı şu: lisansı bitmiş bir ücretli tema, ertesi gün çıkan bir açık kaydı için düzeltme almaz. Site çalışmaya devam ettiği için sorun görünmez. Bir açık kaydı çıktığında yapmanız gereken ilk şey, kurulu sürümle kayıttaki “etkilenen son sürümü” karşılaştırmak; ikinci şey, lisansınızın o düzeltmeyi indirmenize izin verip vermediğine bakmak.
Verimizde ücretli ürünler
Kayıtlarda bir ürünün ücretli olduğu yazmaz; biz yalnız WordPress.org dizininde olup olmadığını görebiliriz. Dizin dışı ürünlerin çoğu ücretli olsa da aralarında yalnız GitHub’da dağıtılan ücretsiz eklentiler de var. Bu çekinceyle birkaç rakam:
- Son 12 ayda dizin dışı ürünlere ait kayıt sayısı 1.300’ün üzerinde.
- Divi teması için yedi kayıt yayımlandı; bunların beşi katkıcı düzeyinde bir hesap gerektiren XSS ve SSRF kayıtları. Ayrıntılar Divi sayfasında. Divi için yazılmış üçüncü taraf eklentilerde (form oluşturucular, filtreler, üyelik eklentileri) ayrıca çok sayıda kayıt var ve bunların bir kısmı kritik puanlı; temanın kendisi güncel olsa bile bu eklentiler ayrı ayrı güncellenmeli.
- Avada teması için iki, temayla birlikte gelen Avada (Fusion) Builder eklentisi için ondan fazla kayıt var. Bu, paketlenmiş eklenti örneğinin tam kendisi: tema paketini güncellemeden eklentiyi güncellemek çoğu zaman mümkün değil.
Temalar sayfasında tüm tema kayıtlarını, dizin içi ve dizin dışı ayrımıyla listeliyoruz. Dizin dışı ürünlerin sayfalarında “güncel sürümü buradan doğrulayamıyoruz” notu görürsünüz, çünkü bu ürünlerin güncel sürüm bilgisi herkese açık bir API’de yok.
Sürüm satırını ücretli bir temada okumak
Divi kayıtları, ücretli bir temada sürüm karşılaştırmasının neden dikkat istediğini gösteriyor. Son bir yılın yedi Divi kaydından beşi 4.27.x sürümlerini etkiliyor (“4.27.5 ve öncesi”, “4.27.6 ve öncesi”); biri 5.11.1 ve öncesini etkiliyor; biri ise 5.9.0’dan önceki sürümlerde düzeltildiğini söylüyor. Yani kayıtlar aynı anda iki ana sürüm hattından söz ediyor.
Bu durumda iki şeye bakın. Birincisi, sitenizde hangi hat kurulu: Görünüm › Temalar ekranında tema kartına tıkladığınızda sürüm numarası görünür. İkincisi, o hat için satıcının yayımladığı son sürüm hangisi. Ücretli temalarda bu bilgi herkese açık bir API’de bulunmadığı için ürün sayfamızda “güncel sürümü buradan doğrulayamıyoruz” notu çıkar; satıcının değişiklik notları (changelog) tek güvenilir kaynaktır.
Eski bir ana sürümde kalmayı seçen siteler için ayrıca sorun: satıcı yalnız yeni hatta düzeltme yayımlıyorsa, eski hatta kalan sitenin “güncel” olması mümkün değildir. Lisansınız geçerli olsa bile bu, ana sürüm geçişini bir güvenlik kararı hâline getirir.
Ücretli ürün kullanıyorsanız, kontrol listesi
- Lisans anahtarını girin. Tema ya da eklentinin lisans ekranında anahtar kayıtlı değilse güncelleme bildirimi gelmez.
- Lisans bitiş tarihini not edin. Bitiş yaklaştığında, ürünü kullanmaya devam edecekseniz yenilemenin güvenlik açısından da anlamı olduğunu hesaba katın.
- Paketlenmiş eklentileri listeleyin. Tema hangi eklentileri kendi içinde getiriyor? Bunların adlarını eklentiler sayfasındaki arama kutusuna yazıp son 12 ayda kayıt çıkıp çıkmadığına bakın.
- Kurulu sürümü kayıtla karşılaştırın. Görünüm › Temalar ekranında tema sürümü, Eklentiler ekranında eklenti sürümü yazar.
- Alt tema kullanın. Ana temayı güncellemek, alt temadaki özelleştirmelerinizi silmez; güncellemeyi korkulan bir iş olmaktan çıkarır.
- Resmî kaynak dışından “güncel sürüm” indirmeyin. Lisans bittiği için başka sitelerden indirilen kopyaların riski ayrı bir konu ve nulled tema yazımızda anlattık.
Puanların ve rol etiketlerinin nasıl okunacağını öğrenmek için CVSS yazısına bakabilirsiniz.