---
title: "Perlukah Mengganti URL Login WordPress?"
description: "Mengganti alamat wp-login.php memang mengurangi serbuan bot, tapi bukan pengaman utama. Ini untung rugi, risiko terkunci, dan langkah yang lebih penting."
url: "https://nivelva.com/insight/mengganti-url-login-wordpress"
category: "Keamanan/Cyber Security"
tags: ["wordpress","wp-login","brute force","keamanan login","2fa"]
author: "Theresia Candiawan"
published: "2026-11-07T07:38:00+07:00"
updated: "2026-11-07T07:38:00+07:00"
language: "id"
publisher: "Nivelva (https://nivelva.com)"
---

# Perlukah Mengganti URL Login WordPress?

> **Jawaban singkat:** Boleh, tapi anggap sebagai pelengkap. Mengganti URL login mengurangi percobaan login otomatis dan beban server, namun tidak menghentikan penyerang yang serius. Pengaman utamanya tetap password kuat, 2FA, pembatasan percobaan login, dan update rutin.

Kamu membuka log aktivitas atau laporan plugin keamanan, lalu melihat ratusan percobaan login gagal ke `wp-login.php` dari alamat IP yang berganti-ganti. Usernamenya "admin", "administrator", atau nama domainmu sendiri. Reaksi pertama yang wajar: pindahkan saja halaman login ke alamat lain supaya bot tidak menemukannya.

Langkah itu memang ada gunanya. Tapi manfaatnya sering dilebih-lebihkan, dan ada beberapa jebakan kecil yang perlu kamu tahu sebelum memasangnya.

## Apa yang sebenarnya berubah?

Secara bawaan, semua situs WordPress punya pintu masuk yang sama: `/wp-login.php`, dan `/wp-admin` yang mengalihkan ke sana bila kamu belum login. Karena alamatnya bisa ditebak, bot di seluruh internet cukup mencoba alamat itu di setiap domain yang mereka temukan.

Plugin pengganti URL login bekerja dengan memberi halaman login alamat baru, misalnya `/masuk-tim`, lalu menolak atau mengalihkan permintaan ke alamat lama bagi pengunjung yang belum login. File `wp-login.php` sebenarnya masih ada. Plugin hanya mencegat permintaan sebelum formulir login ditampilkan.

Hasil yang biasanya terasa: log percobaan login gagal jauh lebih sepi, beban PHP dari bot sedikit berkurang, dan notifikasi dari plugin keamanan tidak lagi membanjiri email. Untuk situs di hosting dengan kuota CPU kecil, ini bisa membantu.

## Kenapa ini tidak cukup sebagai pengaman

Mengganti URL termasuk pendekatan **menyembunyikan**, bukan **mengunci**. Pintunya dipindah, tapi kuncinya tetap sama. Siapa pun yang mengetahui alamat baru, entah dari tautan yang bocor, dari tema yang menampilkan tautan login, atau dari plugin yang mengalihkan ke halaman login, tetap berhadapan dengan password yang sama lemahnya.

Ada pula jalur lain yang tidak tertutup. Antarmuka `xmlrpc.php` bisa menerima percobaan login tanpa menyentuh halaman login sama sekali, dan memungkinkan banyak tebakan dalam satu permintaan. Selama jalur ini terbuka, memindahkan halaman login tidak berpengaruh pada serangan yang lewat sana. Penjelasannya ada di [kenapa XML-RPC WordPress sebaiknya dimatikan](https://nivelva.com/insight/xml-rpc-wordpress-dimatikan).

Terakhir, sebagian besar situs WordPress yang dibobol bukan karena halaman loginnya mudah ditemukan. Penyebab yang jauh lebih sering adalah plugin atau tema yang belum diperbarui, password yang dipakai ulang dan sudah bocor di tempat lain, atau komputer admin yang terinfeksi pencuri password. Mengganti URL login tidak menyentuh satu pun dari masalah itu.

## Perbandingan dengan langkah lain

Supaya jelas posisinya, berikut perbandingan beberapa langkah pengamanan login yang umum dipakai.

| Langkah | Mengurangi bot | Menahan penyerang yang tahu alamat login | Risiko efek samping |
|:--|:--|:--|:--|
| Ganti URL login | Banyak | Tidak | Lupa alamat, bentrok dengan plugin atau cache |
| Password unik dan panjang | Tidak | Ya | Hampir tidak ada bila memakai password manager |
| 2FA untuk semua admin | Tidak | Ya, sangat kuat | Perlu menyimpan kode cadangan |
| Batasi percobaan login | Sebagian | Ya, memperlambat tebakan | Bisa mengunci admin yang salah ketik |
| Fail2ban atau WAF | Banyak | Sebagian | Perlu akses server atau layanan tambahan |
| Matikan XML-RPC | Sebagian | Menutup satu jalur | Bisa memutus Jetpack atau integrasi lama |

Dari tabel itu terlihat polanya. Mengganti URL bagus untuk mengurangi kebisingan, sedangkan 2FA dan password yang kuat yang benar-benar menahan orang masuk. Daftar akun yang perlu 2FA bisa kamu mulai dari [checklist 2FA akun penting bisnis](https://nivelva.com/insight/checklist-2fa-akun-bisnis). Untuk situs di VPS, memblokir alamat IP yang berulang kali gagal login juga efektif, misalnya dengan [Fail2ban](https://nivelva.com/insight/fail2ban-blokir-brute-force).

## Risiko yang sering tidak diceritakan

Risiko paling umum adalah **lupa alamat login baru**. Admin yang jarang masuk, atau karyawan baru, akan mendapati `wp-admin` berujung halaman 404. Simpan alamat baru di password manager tim, bukan di catatan yang tercecer.

Risiko kedua adalah **terkunci karena konflik**. Plugin pengganti URL bisa bentrok dengan plugin keamanan lain yang juga mengatur halaman login, dengan plugin membership atau WooCommerce yang memakai halaman login sendiri, atau dengan cache yang menyimpan halaman pengalihan. Kalau sampai terkunci, jalan keluarnya biasanya lewat File Manager atau SFTP: ganti nama folder plugin tersebut di `wp-content/plugins`. WordPress akan menonaktifkannya, dan `wp-login.php` kembali bisa dipakai.

Risiko ketiga lebih halus: **rasa aman palsu**. Setelah log terlihat sepi, pemilik situs merasa urusan keamanan sudah beres lalu menunda update plugin dan membiarkan admin lama tanpa 2FA. Justru ini yang berbahaya.

## Jadi, perlu atau tidak?

Untuk kebanyakan website bisnis, jawabannya: **boleh dipasang, asal setelah pengaman utama beres**. Urutannya kira-kira begini. Pertama, pastikan semua akun admin memakai password unik dan 2FA, dan hapus akun admin yang tidak lagi dipakai. Kedua, aktifkan pembatasan percobaan login dan tutup XML-RPC bila tidak dibutuhkan. Ketiga, perbarui inti, plugin, dan tema secara rutin, serta simpan backup di luar server. Baru setelah itu, mengganti URL login menjadi lapisan tambahan yang mengurangi kebisingan dan beban server.

Bila situsmu punya banyak pengguna yang login (misalnya toko dengan akun pelanggan atau situs membership), pertimbangkan ulang. Mengganti URL login di situs seperti ini lebih mudah menimbulkan kebingungan dan tiket bantuan daripada manfaatnya, dan pembatasan percobaan login plus WAF biasanya lebih tepat. Pola serangan ke halaman admin secara umum dibahas di [kenapa halaman login admin jadi sasaran brute force](https://nivelva.com/insight/halaman-login-admin-sasaran-brute-force).

## Kalau tetap ingin memasangnya

Pilih plugin yang masih aktif diperbarui dan punya banyak pengguna, lalu pasang di saat situs sedang sepi. Sebelum mengaktifkan, buat backup dan pastikan kamu punya akses File Manager atau SFTP, supaya bisa menonaktifkan plugin bila terjadi masalah. Pilih alamat baru yang tidak mudah ditebak tapi masih bisa diingat tim, hindari kata umum seperti `login`, `admin`, atau `masuk` saja.

Setelah aktif, uji dari jendela penyamaran: alamat lama harus ditolak, alamat baru harus menampilkan formulir login, dan fitur lupa password harus tetap mengirim email. Kalau situs memakai cache halaman atau CDN, kecualikan alamat login baru dari cache. Terakhir, beri tahu semua orang yang berhak login, dan perbarui dokumentasi internal.

Mengganti URL login WordPress bukan langkah yang salah, hanya sering ditempatkan di urutan yang keliru. Anggap sebagai penyaring bot, bukan kunci pintu. Kunci yang sebenarnya adalah password kuat, 2FA, update rutin, dan backup yang bisa dipulihkan.

---

Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/mengganti-url-login-wordpress
Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com