Dasar Keamanan WordPress untuk Website Bisnis
Daftar praktis mengamankan WordPress: update rutin, plugin resmi, 2FA, peran pengguna, HTTPS, backup terpisah, dan WAF. Cocok untuk tim kecil.
Jawaban singkat
Sebagian besar website WordPress dibobol lewat plugin atau tema yang tidak diperbarui, password admin yang lemah, dan software bajakan. Dasar keamanannya: update rutin, pakai plugin dari sumber resmi, aktifkan 2FA, batasi peran admin, pakai HTTPS, simpan backup di luar server, dan tambahkan WAF.
Daftar isi
WordPress yang aman untuk bisnis bertumpu pada tujuh kebiasaan: update rutin, plugin dari sumber resmi, login dengan 2FA, peran pengguna yang dibatasi, HTTPS, backup di luar server, dan WAF.
Kenapa ini penting? Inti WordPress sendiri dirawat aktif dan rutin diperbarui. Celah yang paling sering dipakai penyerang justru datang dari plugin dan tema yang tidak diupdate, password admin yang lemah, dan software bajakan. Semuanya bisa dibereskan tim kecil tanpa keahlian keamanan khusus, dan daftar di bawah disusun dari yang paling berdampak.
Kenapa website kecil pun ikut jadi sasaran?
WordPress dipakai oleh sangat banyak website, dari blog pribadi sampai toko online, sehingga menarik bagi bot yang memindai celah secara otomatis. Penyerang jarang memilih website satu per satu. Bot mencari versi plugin tertentu yang diketahui rentan, lalu mencoba celah itu di ribuan website sekaligus.
Tujuannya beragam:
- menyisipkan link spam untuk SEO,
- mengalihkan pengunjung ke situs penipuan,
- mencuri data pelanggan,
- memakai server untuk mengirim spam.
Kalau kamu curiga website sudah terlanjur dibobol, baca dulu tanda website diretas dan langkah pertama.
1. Update inti, plugin, dan tema
Saat celah ditemukan dan diumumkan, pembuat plugin biasanya merilis versi perbaikan. Sejak itu informasi celahnya terbuka untuk umum, termasuk untuk penyerang, dan website yang belum update menjadi sasaran empuk.
- Cek update inti WordPress, plugin, dan tema minimal sekali seminggu, dan segera pasang update keamanan.
- Aktifkan update otomatis untuk plugin yang jarang bermasalah. WordPress mendukung pengaturan ini per plugin dari halaman Plugins.
- Hapus plugin dan tema yang tidak dipakai, jangan hanya dinonaktifkan. File yang tersisa tetap bisa diakses dan dieksploitasi.
- Ganti plugin yang sudah lama tidak diperbarui pembuatnya dengan alternatif yang masih dirawat.
Bagaimana mengamankan halaman login?
Halaman wp-login.php dan wp-admin terus dicoba bot dengan daftar password bocor. Empat hal yang perlu kamu pasang:
- Password panjang dan unik untuk setiap akun. Password manager memudahkannya, contohnya di password manager tim dengan Vaultwarden.
- Verifikasi dua langkah (2FA) untuk semua akun dengan akses admin atau editor, lewat plugin 2FA yang terpercaya.
- Batas percobaan login, agar IP yang gagal berkali-kali diblokir sementara.
- Nama pengguna yang tidak mudah ditebak. Hindari "admin" atau nama yang diambil dari nama website.
Siapa saja yang perlu jadi administrator?
Jawabannya: sesedikit mungkin. WordPress punya peran bawaan seperti Administrator, Editor, Author, Contributor, dan Subscriber.
- Berikan peran sekecil mungkin yang cukup untuk pekerjaannya. Penulis artikel cukup Author atau Editor.
- Hapus akun karyawan atau vendor yang sudah tidak bekerja sama.
- Saat menghapus akun, alihkan kontennya ke akun lain.
2. Rapikan pengaturan teknis
| Area | Langkah dasar | Alasannya |
|---|---|---|
| HTTPS | Pasang SSL dan alihkan semua halaman ke HTTPS | Password dan cookie login tidak terkirim dalam teks biasa |
| Editor file | Tambahkan define('DISALLOW_FILE_EDIT', true); di wp-config.php | Akun admin yang dibobol tidak bisa langsung mengubah kode tema dan plugin |
| Versi PHP | Pakai versi PHP yang masih didukung | Versi lama tidak lagi mendapat perbaikan keamanan |
| Hak akses file | Folder umumnya 755, file 644, wp-config.php lebih ketat | Mencegah file diubah oleh proses lain |
| XML-RPC | Nonaktifkan bila tidak dipakai aplikasi lain | Sering dipakai untuk brute force |
| File cadangan | Jangan simpan file .zip atau .sql di folder publik | File ini bisa diunduh siapa saja |
Websitemu dikelola lewat panel tanpa akses file? Tanyakan ke penyedia hosting pengaturan mana yang sudah diatur dan mana yang bisa kamu ubah. Rincian lengkap ada di dokumentasi resmi WordPress1.
3. Simpan backup di luar server
Backup adalah jalan keluar terakhir saat semua langkah lain gagal. Backup di server yang sama bisa ikut terhapus atau terinfeksi.
- Jalankan backup otomatis ke lokasi terpisah.
- Simpan riwayat beberapa hari ke belakang.
- Sesekali uji pemulihannya.
Penjelasan lengkapnya ada di backup website otomatis.
Apakah satu plugin keamanan sudah cukup?
Belum. Plugin keamanan membantu, tapi tetap perlu update rutin, password kuat dengan 2FA, peran pengguna yang dibatasi, dan backup di luar server. Selain itu, request jahat tetap sampai ke WordPress sebelum diperiksa plugin.
Di sinilah WAF berperan. WAF di depan website menyaring pola serangan seperti SQL injection dan XSS lebih awal. Cara kerjanya dibahas di apa itu WAF.
Untuk toko online atau website yang menyimpan data pelanggan, pemindaian kerentanan rutin membantu menemukan plugin rentan sebelum dimanfaatkan orang lain. NivelArmor menyediakan pemindaian kerentanan, penetration test, serta WAF dan pemantauan SOC terkelola, termasuk untuk website yang di-host di provider lain.
Baru akan membuat website WordPress dan tidak mau mengurus server? Nivelva Apps menyediakan WordPress 1 klik yang berjalan di server terisolasi, dengan SSL otomatis, Anti-DDoS, dan tombol update di panel. Backup harian tersedia sebagai add-on berbayar. Update plugin dan tema tetap kamu lakukan dari dasbor WordPress.
Pertanyaan yang sering diajukan
Apakah WordPress aman untuk website bisnis?
Aman bila dirawat dengan baik. Inti WordPress rutin diperbarui. Risiko terbesar biasanya datang dari plugin dan tema yang tidak diupdate, password lemah, dan software bajakan.
Apakah mengganti alamat wp-admin membuat website aman?
Bisa mengurangi bot yang mencoba login, tapi bukan pengganti 2FA, password kuat, dan update rutin.
Apa yang harus dilakukan bila website sudah terlanjur diretas?
Jangan langsung menghapus semuanya. Amankan akses, ganti password, simpan bukti, lalu pulihkan dari backup bersih dan tutup celah penyebabnya.
