Cara Mengamankan cPanel dan WHM dari Peretas

Server cPanel yang aman adalah server yang selalu diperbarui, login admin-nya dilindungi 2FA dan pembatasan IP, serta punya lapisan penangkal brute force dan serangan web. Sebagian besar pengaturan itu sudah tersedia di WHM, tinggal diaktifkan.

Kenapa ini penting? Satu server cPanel bisa menampung puluhan website. Kalau akun root WHM jatuh ke tangan peretas, semua situs, email, dan database ikut terancam sekaligus. Daftar berikut disusun dari yang paling berdampak dan paling mudah dikerjakan.

Mulai dari Security Advisor

Buka WHM > Security Center > Security Advisor. Fitur bawaan ini memeriksa konfigurasi server dan memberi daftar rekomendasi berwarna: merah untuk masalah serius, kuning untuk saran, hijau bila sudah baik. Kerjakan yang merah dulu, lalu jalankan ulang pemeriksaannya. Ini cara tercepat melihat kondisi server tanpa menebak-nebak.

Apakah update otomatis cPanel perlu dinyalakan?

Ya. Banyak celah cPanel dan perangkat lunak di bawahnya (Apache, PHP, Exim, kernel) sudah ditambal sebelum dieksploitasi luas, asal server memasang pembaruannya. Cek di WHM > Server Configuration > Update Preferences dan pilih tier rilis yang stabil dengan pembaruan otomatis. Untuk paket sistem operasi, aktifkan pembaruan keamanan otomatis dari distro (AlmaLinux, CloudLinux, atau Ubuntu, sesuai versi cPanel-mu).

Jangan lupa versi PHP. Situs yang masih memakai PHP yang sudah lewat masa dukungannya tidak lagi menerima tambalan keamanan. Atur versi per akun lewat MultiPHP Manager.

Lindungi login root, reseller, dan pengguna

Aktifkan 2FA. Buka WHM > Security Center > Two-Factor Authentication, aktifkan, lalu wajibkan untuk root dan reseller. Pengguna cPanel bisa mengaktifkan 2FA mereka sendiri dari menu Security.

Hidupkan cPHulk. cPHulk Brute Force Protection memblokir IP atau akun yang terlalu sering gagal login ke layanan cPanel, WHM, webmail, dan SSH. Masukkan IP kantormu ke whitelist agar tidak ikut terkunci.

Kurangi pemakaian root. Untuk pekerjaan harian, buat akun reseller atau gunakan izin terbatas. Akses root hanya untuk perubahan server.

Password kuat dan unik. Atur kekuatan minimal di Password Strength Configuration. Password yang dipakai ulang dari layanan lain adalah sasaran empuk serangan credential stuffing.

Amankan SSH

SSH adalah pintu langsung ke server, jadi lebih berisiko dari panel web.

• Pakai login SSH key dan matikan login password. Alasannya dibahas di SSH key vs password.
• Setel PermitRootLogin prohibit-password atau lebih ketat lagi, masuk dengan pengguna biasa lalu su.
• Batasi IP yang boleh mengakses port SSH bila IP kantormu tetap.
• Pastikan versi OpenSSH sudah menambal celah besar seperti regreSSHion.

Batasi siapa yang bisa membuka port admin

Port penting di server cPanel: 2087 (WHM, HTTPS), 2083 (cPanel, HTTPS), 2096 (Webmail, HTTPS), dan versi tanpa enkripsi 2086, 2082, 2095. Jalankan semua akses lewat HTTPS dan matikan pilihan non-SSL bila tidak diperlukan.

Kalau semua admin bekerja dari IP tetap, batasi akses 2087 hanya untuk IP tersebut lewat firewall atau Host Access Control di WHM. Pengguna hosting biasa tetap bisa memakai 2083 dan webmail.

Pasang ModSecurity dan pemindai malware

ModSecurity adalah firewall aplikasi web (WAF) yang berjalan di Apache. Di WHM > Security Center > ModSecurity Vendors, kamu bisa memasang set aturan OWASP Core Rule Set. Pantau log beberapa hari pertama karena aturan yang ketat kadang memblokir fungsi situs yang sah, misalnya editor halaman.

Untuk malware, ImunifyAV disertakan di server cPanel dan bisa memindai file di akun pengguna. Situs WordPress yang jarang diperbarui adalah penyebab paling umum file berbahaya masuk ke server. Dasar perlindungannya ada di keamanan WordPress dasar.

Bagaimana nasib CSF setelah ConfigServer tutup?

Banyak server cPanel selama bertahun-tahun memakai CSF (ConfigServer Security & Firewall). Per pengumuman cPanel, ConfigServer resmi berhenti pada 31 Agustus 2025: skrip gratisnya tetap tersedia dengan lisensi GPLv3, tetapi tidak ada lagi tambalan, pembaruan, atau dukungan dari pembuat aslinya. Beberapa komunitas membuat fork, dan cPanel sendiri mengarahkan pengguna ke Imunify360 sebagai pengganti.

Apa artinya bagimu? Kalau server masih memakai CSF, periksa dari mana CSF mendapat pembaruan. Jangan memasang skrip dari domain atau fork yang tidak jelas pengelolanya, karena alat firewall berjalan dengan hak root. Pilih salah satu: fork yang dikelola pihak tepercaya, Imunify360, atau firewall bawaan sistem (firewalld) dengan pengaturan yang kamu pahami.

Jangan lupakan backup

Pengamanan terbaik pun bisa gagal. Atur WHM > Backup Configuration untuk mencadangkan semua akun secara terjadwal, dan kirim salinannya ke penyimpanan di luar server. Backup yang hanya disimpan di disk server yang sama ikut hilang bila server dibobol atau disk rusak. Uji pemulihan secara berkala, jangan hanya mengecek bahwa file backup ada.

Satu hal lagi: catat setiap perubahan keamanan yang kamu lakukan. Saat ada masalah, catatan itu mempercepat pelacakan, apakah penyebabnya serangan atau pengaturan yang terlalu ketat.