Paylaşımlı Hosting mi VPS mi? İşletmeler İçin Seçim Rehberi

Paylaşımlı hosting mi VPS mi sorusu, bir sitenin hangi sunucuda, kimin bakımıyla ve hangi maliyetle çalışacağını belirler. Seçenek aslında dört tane: paylaşımlı hosting, VPS, yönetilen bulut platformu ve hazır SaaS altyapı. Aşağıda dördünün farkını, sunucu bakımının kime düştüğünü ve Node uygulamalarının durumunu anlatıyoruz. Sunucu konumu, KVKK, CDN ve yedekleme de ele alınıyor. Site türüne göre bir karar tablosu da var. (Örnek olarak kendi kurulumumuzu gösteriyoruz.)

Paylaşımlı hosting, VPS, yönetilen bulut ve SaaS arasındaki fark nedir?

Fark, sunucunun ne kadarının siteye ayrıldığı ve bakımını kimin yaptığıdır. Paylaşımlı hostingde her şey ortaktır, bakım firmadadır. VPS'te sanal bir sunucu ayrılır; yönetilen bulutta ise yalnızca uygulama yüklenir.

Paylaşımlı hosting, tek bir fiziksel sunucunun işlemcisini, belleğini ve diskini birçok sitenin birlikte kullandığı barındırma türüdür. Site sahibine bir kontrol paneli ve bir klasör verilir. Sunucunun kendisine yönetici erişimi yoktur. Bu düzen PHP ve MySQL ile çalışan siteler için kurulmuştur.

VPS (sanal özel sunucu), fiziksel bir makinenin sanallaştırmayla bölünmesinden doğan, tek bir müşteriye ayrılmış sunucudur. İşlemci, bellek ve disk payı pakette yazılıdır. Yönetici erişimi müşteridedir; istenen yazılım kurulabilir. Yönetilmeyen VPS'te bakım müşteride, yönetilen VPS'te sağlayıcıdadır.

Yönetilen bulut platformu bir adım daha soyuttur. Kod ya da kapsayıcı yüklenir; sunucu, işletim sistemi ve ölçekleme platformun işidir. SaaS altyapı ise kodsuz çalışır. İşletme hazır bir site ya da mağaza hizmetine aylık abone olur.

"Gürültülü komşu" sorunu siteyi nasıl etkiler?

Gürültülü komşu, aynı sunucudaki başka bir sitenin kaynakları tüketip diğer siteleri yavaşlatmasıdır. Microsoft'un mimari rehberi bunu çok kiracılı sistemlerin doğal riski sayıyor. En sık paylaşımlı hostingde görülür.

Belirtisi düzensizliktir. Aynı sayfa sabah hızlı, öğleden sonra yavaş açılır; kodda hiçbir şey değişmemiştir. Rehber de aynı işareti veriyor. Başka zamanlarda sorunsuz çalışan istek rastgele yavaşlıyorsa komşudan şüphelenmek gerekir.

VPS bu riski azaltır ama sıfırlamaz. Sanal sunucular yine aynı fiziksel makinede durur. Fark, işlemci ve bellek payının pakette yazılı olmasıdır. Paylaşımlı pakette ise kaynak sınırı aynı sunucudaki diğer sitelerle birlikte zorlanır.

Sunucu bakımını kim yapar?

Yönetilmeyen VPS'te bakımın tamamı müşteridedir; sağlayıcı yalnızca donanımı ve ağı çalışır tutar. Yönetilen VPS'te işletim sistemi, güvenlik ve yedek firmadadır. Paylaşımlı hostingde de bakım firmadadır, ama sitenin kendi yazılımı yine site sahibine aittir.

Sunucu bakımı tek bir iş değil, düzenli tekrar eden bir listedir:

• İşletim sistemi ve güvenlik güncellemeleri.
• Web sunucusu, PHP ve Node.js sürümlerinin yükseltilmesi.
• Güvenlik duvarı, uzaktan erişim anahtarları ve gereksiz açık portların kapatılması.
• SSL sertifikasının yenilenmesi.
• Yedeğin alınması ve geri yüklemenin denenmesi.
• Disk, bellek ve işlemci için izleme ve uyarı.

Listenin hiçbir maddesi bir kez yapılıp bitmez. Güncellemesi atlanan bir sunucu, aylar sonra bilinen bir açıkla ele geçirilebilir. (Eklentiler ve sitenin kendi kodu her pakette site sahibinin sorumluluğundadır.)

Yönetilen VPS'te kapsam firmadan firmaya değişir. "Yönetilen" sözcüğü bazen yalnızca işletim sistemi güncellemesi anlamına gelir. Sözleşmede yedek sıklığı, geri yükleme süresi ve uygulama desteği ayrı ayrı yazmalıdır. Bizim kuralımız basit: ekipte sunucu bakımını üstlenecek biri yoksa yönetilmeyen VPS önermiyoruz.

Next.js gibi Node uygulamaları paylaşımlı hostingde neden zor çalışır?

Paylaşımlı hosting, her isteği PHP ile karşılayan bir düzen üzerine kuruludur. Next.js'in sunucu özellikleri ise sürekli açık duran bir Node.js süreci ister. Böyle bir süreç paylaşımlı paketin bellek ve süreç sınırlarına çoğu zaman sığmaz.

Next.js belgeleri, kendi sunucunda yayın için üç yol sayıyor: Node.js sunucusu, Docker ve statik dışa aktarma. İlk ikisi sürekli çalışan bir süreç ister. Belgeler, Next.js sunucusunun önüne nginx gibi bir ters vekil sunucu konmasını da öneriyor.

Statik dışa aktarma paylaşımlı hostingde çalışır. Derleme her sayfa için bir HTML dosyası üretir; bunlar her web sunucusundan sunulabilir. Ama sunucu gerektiren özellikler kapanır:

• Server Actions ile form işleme.
• Ayar dosyasındaki yönlendirme, yeniden yazma ve başlık kuralları.
• Artımlı statik yenileme (ISR).
• Varsayılan görsel iyileştirme.
• Çerez okuma ve istek anında çalışan proxy katmanı.

Bazı paylaşımlı paketler panelden Node uygulaması çalıştırma seçeneği sunar. Denemek için yeterli olabilir. Kalıcı bir iş sitesinde ise süreç sınırları ve sürüm seçimi baştan kontrol edilmeli. İki altyapının farkını Next.js ve WordPress karşılaştırması sayfamızda anlattık.

Kendi sitemiz nasıl bir sunucuda çalışıyor?

idelyazilim.com, Hetzner'de Helsinki'deki bir VPS'te çalışıyor ve önünde Cloudflare var. Site üç parçadan oluşuyor: Next.js ön yüz, PHP arka uç ve MySQL veritabanı. Üçü de bizim geliştirdiğimiz bir yapı.

Bir Node süreciyle PHP'yi yan yana çalıştırmak VPS'te sade bir iştir; paylaşımlı pakette değil. Karşılığında güncelleme, yedek ve erişim güvenliği bizim ekibin üzerinde. Her parçanın sürümünü de kendimiz seçiyoruz. (Sağlayıcı adı bir öneri değil, yalnızca bizim kurulumumuzun bilgisidir.)

Sunucu Türkiye'de mi yurt dışında mı olmalı?

Sunucu konumu iki şeyi etkiler: sayfanın ne kadar beklettiği ve kişisel verinin hukuki durumu. Ziyaretçiye yakın sunucu, önbellekte olmayan isteklerde bekleme süresini kısaltır. Yurt dışındaki sunucu ise KVKK'da yurt dışı aktarım sorusunu açar.

Gecikme mesafeyle artar. Önbellekte olmayan her HTML isteği ve her form gönderimi sunucuya kadar gidip döner. Görsel, CSS ve JavaScript dosyalarını ise bir CDN ziyaretçiye yakın noktadan verebilir. Sunucusu uzakta olan sitede en çok hissedilen bekleme, ilk baytın gelme süresidir.

KVKK tarafındaki temel değişiklik 7499 sayılı Kanunla geldi. Kanunun 9. maddesinin yeni hâli 1 Haziran 2024'te yürürlüğe girdi. Kurum'un rehberine göre yurt dışındaki bir bulutta depolama, belirli koşullar sağlanırsa aktarım sayılıyor. Yurt dışından destek amaçlı uzaktan erişim de aynı kapsama girebiliyor.

Rehber aktarım için üç kademe sayıyor: yeterlilik kararı, uygun güvenceler ve arızi aktarım. Uygun güvencelerden biri standart sözleşmedir. Standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde Kurum'a bildirilmelidir.

Hangi kademeye dayanılacağı ve aydınlatma metninin ne diyeceği hukuki bir karardır. Bu kararı bir KVKK hukukçusuyla verin. Biz teknik tarafı, yani verinin nerede durduğunu ve kime aktığını çıkarırız. Soru yalnızca sunucuyla sınırlı değildir; CDN, e-posta ve form araçları da veriyi işler.

CDN sunucu seçiminin yerine geçer mi?

Geçmez; CDN sunucunun önünde durur, yerine geçmez. Cloudflare varsayılan olarak görsel, CSS, JavaScript ve yazı tipi gibi dosyaları önbelleğe alır. HTML ve JSON yanıtları ise varsayılan olarak önbelleğe alınmaz.

Cloudflare'in belgelerine göre önbellek, MIME türüne değil dosya uzantısına bakar. Sunucunun gönderdiği Cache-Control başlıklarına da uyar. Önbellekte olmayan bir dosyaya aynı anda çok istek gelirse sunucuya yalnızca ilki gider. Diğerleri onun yanıtını bekler.

İşletme açısından anlamı şu: CDN, sunucunun statik dosya yükünü alır ama HTML üretim süresini kısaltmaz. Kampanya günü gelen trafiğin büyük kısmı görsel ve betikse sunucu rahatlar. Form, sepet ve panel istekleri ise yine sunucunun gücüne bağlıdır.

Çizim, Cloudflare'in varsayılan davranışını bizim üç parçalı yapımız üzerinde gösteriyor. Cloudflare'in güvenlik ve hız katmanlarını Cloudflare kullanmanın faydaları sayfamızda topladık. Sunucu yanıt süresinin LCP'ye etkisini Core Web Vitals iyileştirme rehberimizde ele aldık.

Yedekleme ve geri dönüş süresi pakete göre nasıl değişir?

Paket değiştikçe yedeği alan kişi, saklandığı yer ve geri yükleme hızı değişir. Paylaşımlı hostingde yedek çoğu zaman firmanındır ve kapsamı pakete bağlıdır. Yönetilmeyen VPS'te yedeği kurmak, saklamak ve denemek tamamen müşterinin işidir.

İki ölçü bu farkı netleştirir. Veri kaybı penceresi (RPO), bir arızada en fazla ne kadar geriye ait verinin kaybolabileceğidir. Geri dönüş süresi (RTO) ise sitenin yeniden açılmasına kadar geçen süredir. Günlük yedekte RPO bir güne kadar çıkabilir.

ABD siber güvenlik ajansı CISA'nın küçük işletmelere önerdiği 3-2-1 kuralı iyi bir başlangıçtır:

1. Önemli dosyaların 3 kopyası olsun: biri asıl, ikisi yedek.
2. Kopyalar 2 farklı ortamda dursun, örneğin disk ve bulut depolama.
3. 1 kopya sunucunun bulunduğu yerin dışında saklansın.

CISA, geri yüklemenin düzenli denenmesini ve verinin en az 7 gün geriye alınabilmesini de öneriyor. Bizim önerimiz buna iki kural ekler. Veritabanı her gün yedeklenir ve bir kopya farklı bir sağlayıcıda tutulur. Geri yükleme ayda bir kez boş bir sunucuda denenir. (Denenmemiş yedek ancak ilk arızada sınanmış olur.)

Sağlayıcının aynı veri merkezinde tuttuğu anlık görüntü (snapshot) tek başına yeterli değildir. Veri merkezinde ya da hesapta sorun çıkarsa sunucuyla birlikte yedeğe de ulaşılamaz.

Sunucuyu büyütme zamanı geldiği nasıl anlaşılır?

Kaynak sınırına yaklaşan site önce yoğun saatlerde yavaşlar. İşlemci uzun süre yüksek kalır, bellek dolar, yanıt süresi uzar. Bu işaretler düzenli tekrar ediyorsa büyütme zamanı gelmiştir.

Paylaşımlı hostingde ölçekleme üst pakete geçmektir; sunucu yine ortak kalır. VPS'te daha büyük bir plana geçilir ve bu çoğu zaman kısa bir yeniden başlatma ister. Yönetilen bulut ise trafiğe göre kopya sayısını kendiliğinden artırabilir.

Bizim kullandığımız eşik şu: yoğun saatlerde işlemci bir hafta boyunca %70'in üstündeyse büyütmeyi konuşuruz. Ani trafik için önce önbelleğe bakmak daha ucuzdur. Statik dosyalar CDN'den dönüyorsa sunucuya kalan yük belirgin biçimde azalır.

Paylaşımlı hosting mi VPS mi: hangi işletmeye hangisi uyar?

Seçimi trafik sayısından çok site türü ve ekip becerisi belirler. PHP ile çalışan küçük bir tanıtım sitesi paylaşımlı hostingde rahat eder. Node uygulaması, özel yazılım ya da müşteri verisi tutan panel VPS veya yönetilen bulut ister.

Tablo bizim önerimizdir, tek doğru değildir. Aynı işletme büyüdükçe bir satırdan diğerine geçebilir. Aşağıdaki akış aynı kararı dört soruyla veriyor.

Aylık maliyeti hangi kalemler belirler?

Faturadaki tutar gerçek maliyetin yalnızca bir parçasıdır. Yönetilmeyen VPS faturada ucuz görünür, ama bakım saatleri ekibin zamanından gider. Doğru karşılaştırma bütün kalemleri aynı hesapta toplar.

Bizim kullandığımız hesap beş kalemden oluşur:

• Paket ya da sunucu ücreti.
• Yedek ve anlık görüntü ücreti.
• Bakım emeği: aylık bakım saati × saat maliyeti.
• Ek hizmetler: e-posta, lisans, ek IP adresi ya da izleme aracı.
• Kesinti payı: sitenin kapalı kaldığı bir saatin işletmeye maliyeti.

Birimsiz bir örnek düşünelim. Yönetilmeyen VPS 1 birim, yönetilen VPS 3 birim olsun. Ekip ayda 4 saat bakım yapıyor, saatin maliyeti 0,5 birim. Bakım emeği eklenince yönetilmeyen seçenek de 1 + 4 × 0,5 = 3 birime çıkar. Fark kapanınca karar, sorumluluğu kimin taşıyacağına kalır.

Sağlayıcı faturayı dövizle kesiyorsa aylık maliyet kurla birlikte değişir. Bütçe bu yüzden tek bir rakamla değil, bir aralıkla planlanmalı. E-posta da hesaba girer. Paylaşımlı paketlerde posta kutusu çoğu zaman pakete dahildir; VPS'e geçerken e-postanın nerede duracağına ayrıca karar verilir.

Taşımadan önce neler kontrol edilmeli?

Taşıma, eski sunucu kapanmadan yeni sunucuda sitenin tamamen denenmesiyle güvenli olur. Sıra önemlidir. Bizim önerdiğimiz sıra şu:

1. Sitenin çalıştığı dil ve sürümler çıkarılır: PHP, Node.js, veritabanı.
2. Tam yedek alınır ve yeni sunucuda geri yüklenerek denenir.
3. DNS kayıtlarının TTL değeri taşımadan birkaç gün önce düşürülür.
4. MX, SPF, DKIM ve DMARC kayıtlarının yeni DNS'te aynen durduğu doğrulanır.
5. Geçişten sonra formlar, ödeme adımları ve bildirimler tek tek denenir.

E-posta kayıtlarının nasıl kurulduğunu kurumsal e-posta ve SPF, DKIM, DMARC ayarı yazımızda adım adım anlattık. Yeni bir site planlıyorsanız altyapı sorusunu web tasarım hizmetimiz kapsamında birlikte değerlendirebiliriz.