Memiliki situs web WordPress itu seperti memiliki rumah di internet. Anda pasti ingin rumah Anda aman dari pencuri dan gangguan, bukan? Demikian pula, situs WordPress Anda perlu dilindungi dari hacker, malware (perangkat lunak jahat), spam, dan serangan siber lainnya. Mengabaikan keamanan WordPress dapat berakibat fatal: kehilangan data, defacing situs, penurunan peringkat SEO, bahkan blacklist oleh Google.

Bagi pemula, konsep keamanan siber mungkin terdengar rumit. Namun, jangan khawatir! Artikel ini akan memandu Anda melalui langkah-langkah penting yang dapat Anda lakukan untuk mengamankan situs WordPress Anda, bahkan jika Anda tidak memiliki latar belakang teknis.

Mengapa Keamanan WordPress Itu Penting?

• Melindungi Data Anda: Kehilangan data situs, seperti artikel, gambar, atau data pelanggan, bisa menjadi mimpi buruk.
• Menjaga Reputasi Anda: Situs yang diretas atau terinfeksi malware dapat merusak kepercayaan pengunjung dan reputasi online Anda.
• Mencegah Penurunan SEO: Mesin pencari seperti Google akan memberi sanksi situs yang tidak aman atau terinfeksi, menurunkan peringkat Anda di hasil pencarian.
• Menghindari Pemblokiran oleh Hosting: Penyedia hosting Anda dapat menangguhkan situs Anda jika terdeteksi mengandung malware atau menjadi sumber serangan.
• Melindungi Pengunjung Anda: Situs yang aman memastikan data pribadi pengunjung Anda juga aman.

Langkah-langkah Penting untuk Mengamankan WordPress Anda

Berikut adalah serangkaian langkah yang harus Anda terapkan untuk membangun pertahanan yang kuat bagi situs WordPress Anda.

1. Perbarui Secara Teratur (Update, Update, Update!)

Ini adalah salah satu langkah keamanan paling mendasar dan paling sering diabaikan.

• WordPress Core: Selalu perbarui instalasi inti WordPress Anda ke versi terbaru. Setiap update seringkali menyertakan perbaikan bug dan, yang terpenting, patch keamanan untuk kerentanan yang ditemukan.
• Tema dan Plugin: Sama halnya, pastikan semua tema dan plugin yang Anda gunakan selalu diperbarui. Kerentanan pada tema atau plugin yang sudah ketinggalan zaman adalah pintu gerbang favorit bagi hacker.
• Cara Melakukan Update: Anda akan melihat notifikasi update di dashboard WordPress Anda. Cukup klik dan ikuti instruksinya. Selalu lakukan backup sebelum melakukan update besar.

2. Gunakan Kata Sandi yang Kuat dan Unik

Kata sandi yang lemah adalah undangan terbuka bagi hacker.

• Panjang dan Kompleks: Gunakan kata sandi minimal 12-16 karakter, kombinasi huruf besar dan kecil, angka, dan simbol.
• Unik: Jangan gunakan kata sandi yang sama untuk akun WordPress Anda (admin, cPanel, email) dan situs lain.
• Gunakan Pengelola Kata Sandi: Aplikasi seperti LastPass atau Bitwarden dapat membantu Anda membuat dan menyimpan kata sandi yang kuat dan unik dengan aman.
• Ganti Kata Sandi Secara Berkala: Ubah kata sandi Anda setiap 3-6 bulan.

3. Amankan Halaman Login WordPress Anda

Halaman login (wp-admin) adalah target utama serangan brute-force (percobaan login berulang kali).

• Ubah Username Default “admin”: Saat pertama kali menginstal WordPress, jangan gunakan username “admin”. Jika sudah terlanjur, buat pengguna admin baru dengan username unik, berikan hak akses administrator, lalu hapus pengguna “admin” yang lama.
• Batasi Percobaan Login: Gunakan plugin keamanan (seperti Wordfence atau iThemes Security) untuk membatasi berapa kali seseorang dapat mencoba login sebelum diblokir sementara.
• Two-Factor Authentication (2FA): Aktifkan 2FA untuk akun admin Anda. Ini menambahkan lapisan keamanan ekstra di mana Anda perlu memasukkan kode dari ponsel Anda setelah memasukkan kata sandi. Banyak plugin keamanan atau plugin khusus 2FA menawarkannya.
• Ganti URL Halaman Login (Opsional): Plugin keamanan juga memungkinkan Anda mengubah URL wp-admin ke sesuatu yang lebih unik, mempersulit hacker menemukannya.

4. Pilih Hosting yang Aman dan Terpercaya

Keamanan situs Anda dimulai dari server tempat ia di-host.

• Penyedia Hosting yang Reputable: Pilih penyedia hosting yang dikenal memiliki fitur keamanan yang kuat, seperti firewall, deteksi malware, dan pemantauan 24/7. Contoh: Hostinger, Niagahoster, SiteGround, Kinsta.
• SSL Certificate (HTTPS): Pastikan situs Anda menggunakan SSL (Secure Sockets Layer). Ini mengenkripsi komunikasi antara browser pengunjung dan server Anda. Kebanyakan penyedia hosting kini menawarkan SSL gratis (Let’s Encrypt). HTTPS juga merupakan faktor kecil untuk SEO.
• Backup Otomatis: Periksa apakah penyedia hosting Anda menawarkan backup otomatis dan seberapa sering backup dilakukan.

5. Gunakan Plugin Keamanan WordPress (Wajib Punya!)

Plugin keamanan bertindak sebagai penjaga gerbang situs Anda, mendeteksi ancaman dan melindungi dari serangan.

• Wordfence Security:
  • Fitur Utama: Firewall aplikasi web (WAF) untuk memblokir lalu lintas berbahaya, pemindai malware, pemantauan login, dan otentikasi dua faktor. Versi gratisnya sangat powerful.
• iThemes Security (sebelumnya Better WP Security):
  • Fitur Utama: Lebih dari 30 cara untuk mengamankan dan melindungi situs WordPress Anda, termasuk deteksi perubahan file, penguncian pengguna nakal, dan pengaturan keamanan server.
• Sucuri Security:
  • Fitur Utama: Dikenal karena pemindaian malware yang kuat, pembersihan situs yang terinfeksi, dan firewall berbasis cloud.

Penting: Pilih salah satu plugin keamanan utama ini, bukan keduanya, untuk menghindari konflik dan masalah performa.

6. Lakukan Backup Situs Secara Teratur

Ini adalah jaring pengaman Anda. Jika terjadi hal terburuk (situs diretas atau rusak), Anda bisa mengembalikan situs Anda ke kondisi sebelumnya.

• Plugin Backup:
  • UpdraftPlus (Gratis/Premium): Sangat populer, memungkinkan backup otomatis ke cloud storage (Dropbox, Google Drive, dll.) dan restorasi mudah.
  • Duplicator (Gratis/Premium): Bagus untuk backup dan juga migrasi situs.
• Frekuensi Backup: Lakukan backup harian jika situs Anda sering diperbarui (misalnya, blog yang sering posting), atau setidaknya mingguan untuk situs statis.
• Simpan di Lokasi Terpisah: Jangan hanya menyimpan backup di server yang sama dengan situs Anda. Simpan salinannya di cloud atau komputer lokal Anda.

7. Lindungi File inti WordPress dan Direktori Penting

Beberapa pengaturan dan perubahan kecil dapat meningkatkan keamanan file Anda.

• Disable File Editing: Nonaktifkan pengeditan file tema dan plugin langsung dari dashboard WordPress. Ini mencegah hacker mengubah kode jika mereka mendapatkan akses admin. Tambahkan baris berikut ke file wp-config.php Anda:

PHP
define(‘DISALLOW_FILE_EDIT’, true);

 

• Batasi Akses File (Permissions): Pastikan izin file dan folder di server Anda diatur dengan benar. Umumnya, folder harus 755 dan file harus 644. Jangan pernah 777 kecuali jika ada instruksi spesifik dan Anda tahu risikonya. Anda bisa mengubahnya melalui klien FTP atau file manager di cPanel.
• Lindungi wp-config.php: File wp-config.php berisi informasi penting tentang database Anda. Anda bisa memindahkannya satu tingkat di atas direktori root WordPress Anda (jika hosting mengizinkannya) atau menambahkan aturan khusus di file .htaccess untuk membatasi akses.

Apache
<Files wp-config.php>

order allow,deny

deny from all

</Files>

8. Hapus Tema dan Plugin yang Tidak Digunakan

Setiap tema atau plugin yang terinstal, meskipun tidak aktif, bisa menjadi celah keamanan.

• Hapus Total: Nonaktifkan, lalu hapus semua tema dan plugin yang tidak Anda gunakan atau tidak berencana gunakan di masa mendatang. Ini mengurangi area permukaan serangan (attack surface) situs Anda.
• Tetap Satu Tema Default: Disarankan untuk menyimpan satu tema default WordPress (misalnya, Twenty Twenty-Four) yang tidak aktif sebagai cadangan jika tema utama Anda mengalami masalah.

9. Bersihkan Komentar Spam

Komentar spam bukan hanya mengganggu tetapi juga bisa menjadi saluran untuk malware atau phishing.

• Aktifkan Moderasi Komentar: Di Pengaturan > Diskusi, centang “Komentar harus disetujui secara manual”.
• Gunakan Akismet Anti-Spam: Plugin ini (pra-instal di setiap WordPress) sangat efektif dalam menyaring komentar spam. Anda hanya perlu mengaktifkannya dan mendapatkan kunci API gratis untuk situs pribadi.

Penting: Bersihkan Situs yang Sudah Terinfeksi

Jika situs Anda sudah terinfeksi malware atau diretas:

1. Jangan Panik: Situs yang terinfeksi masih bisa diselamatkan.
2. Segera Lakukan Backup: Buat backup situs Anda, meskipun sudah terinfeksi. Ini penting untuk analisis dan sebagai point of no return.
3. Hubungi Penyedia Hosting: Beri tahu hosting Anda. Mereka mungkin memiliki alat atau layanan untuk membersihkan malware.
4. Gunakan Plugin Keamanan: Plugin seperti Wordfence atau Sucuri memiliki fitur scanner yang dapat membantu mengidentifikasi dan menghapus malware. Sucuri bahkan menawarkan layanan pembersihan situs secara profesional.
5. Ganti Semua Kata Sandi: Setelah membersihkan situs, segera ganti semua kata sandi Anda (WordPress, cPanel, FTP, database).

Mengamankan situs WordPress Anda adalah proses berkelanjutan yang membutuhkan perhatian dan ketekunan. Tidak ada solusi tunggal yang bisa melindungi Anda 100% dari semua ancaman. Namun, dengan menerapkan langkah-langkah yang disebutkan di atas secara konsisten, Anda akan secara drastis mengurangi risiko menjadi korban serangan siber. Prioritaskan keamanan, dan situs Anda akan menjadi tempat yang aman dan dapat diandalkan bagi Anda dan pengunjung Anda.