Mengamankan website WordPress dari serangan siber adalah hal yang mutlak. Karena popularitasnya, WordPress sering menjadi target empuk bagi hacker. Namun, jangan khawatir! Dengan menerapkan langkah-langkah keamanan yang tepat, Anda bisa secara signifikan mengurangi risiko peretasan.

Berikut adalah tips-tips penting untuk mengamankan website WordPress Anda:

1. Perbarui WordPress, Tema, dan Plugin Secara Rutin

Ini adalah lini pertahanan pertama dan terpenting. Pembaruan seringkali mencakup perbaikan bug dan, yang paling penting, tambalan keamanan untuk kerentanan yang ditemukan.

• WordPress Core: Selalu perbarui ke versi WordPress terbaru segera setelah tersedia.

• Tema dan Plugin: Pastikan semua tema dan plugin yang Anda gunakan juga diperbarui ke versi terbaru. Tema dan plugin yang kedaluwarsa adalah pintu gerbang utama bagi hacker.

• Hapus yang Tidak Digunakan: Hapus tema dan plugin yang tidak aktif atau tidak lagi Anda gunakan. Semakin sedikit kode di website Anda, semakin sedikit celah keamanan.

2. Gunakan Kata Sandi yang Kuat dan Unik

Kata sandi yang lemah adalah undangan terbuka bagi hacker.

• Kombinasi Kompleks: Gunakan kombinasi huruf besar dan kecil, angka, dan simbol.

• Panjang Minimal: Buat kata sandi minimal 12-16 karakter.

• Unik: Jangan gunakan kata sandi yang sama untuk website WordPress Anda dengan akun online lainnya.

• Password Manager: Gunakan password manager (seperti LastPass, 1Password, Bitwarden) untuk membuat, menyimpan, dan mengelola kata sandi yang kuat.

• Ubah Nama Pengguna Default: Jangan pernah menggunakan nama pengguna admin. Buat nama pengguna yang unik dan tidak mudah ditebak.

3. Implementasikan Otentikasi Dua Faktor (2FA)

2FA menambahkan lapisan keamanan ekstra pada proses login. Bahkan jika hacker berhasil mendapatkan kata sandi Anda, mereka masih memerlukan kode kedua (biasanya dari smartphone Anda) untuk masuk.

• Gunakan Plugin: Instal plugin seperti Two-Factor Authentication (oleh WP White Security) atau Google Authenticator (oleh WPBeginner).

• Aktifkan untuk Semua Pengguna: Pastikan 2FA diaktifkan untuk semua akun pengguna, terutama yang memiliki peran administrator.

4. Instal Plugin Keamanan WordPress

Plugin keamanan berfungsi sebagai perisai tambahan untuk website Anda, memindai kerentanan, memblokir serangan, dan memberikan peringatan.

• Rekomendasi Plugin:

  • Wordfence Security: Sangat populer, menawarkan firewall, pemindai malware, login security, dan pemantauan traffic berbahaya.

  • Sucuri Security: Menyediakan firewall berbasis cloud (WAF), pemindai integritas file, pemantauan blacklist, dan post-hack cleanup.

  • iThemes Security: Menawarkan lebih dari 30 cara untuk mengamankan WordPress, termasuk deteksi brute force, pemantauan perubahan file, dan pengaturan strong password.

• Fitur Penting: Pastikan plugin keamanan pilihan Anda memiliki fitur-fitur seperti Web Application Firewall (WAF), malware scanner, brute force protection, dan login lockdown.

5. Konfigurasi Firewall Aplikasi Web (WAF)

WAF adalah lapisan pertahanan di antara website Anda dan traffic berbahaya. WAF memfilter dan memblokir lalu lintas jahat sebelum mencapai website Anda.

• Plugin WAF: Beberapa plugin keamanan seperti Wordfence dan Sucuri menawarkan WAF.

• WAF Berbasis Cloud: Untuk perlindungan yang lebih kuat, pertimbangkan WAF berbasis cloud seperti Cloudflare atau Sucuri Firewall. Ini mengarahkan lalu lintas melalui server mereka, memblokir ancaman dan sekaligus mempercepat website Anda dengan CDN.

6. Lakukan Backup Website Secara Rutin

Ini adalah jaring pengaman terakhir Anda. Jika website Anda diretas atau terjadi kesalahan fatal, backup akan memungkinkan Anda mengembalikan situs ke kondisi normal.

• Gunakan Plugin Backup: Instal plugin seperti UpdraftPlus, Duplicator, atau BackWPup.

• Penyimpanan Offsite: Simpan backup Anda di lokasi terpisah dari server hosting Anda (misalnya, Google Drive, Dropbox, Amazon S3) untuk mencegah kehilangan data total jika server utama bermasalah.

• Jadwalkan Otomatis: Atur backup otomatis secara harian atau mingguan tergantung seberapa sering Anda memperbarui konten.

7. Lindungi Halaman Login WordPress

Halaman login adalah target utama serangan brute force.

• Batasi Upaya Login: Gunakan plugin keamanan untuk membatasi jumlah upaya login yang gagal sebelum memblokir alamat IP.

• Captcha/reCAPTCHA: Tambahkan Captcha atau reCAPTCHA ke halaman login untuk mencegah bot.

• Ubah URL Login (Opsional): Ubah URL login default (wp-admin atau wp-login.php) ke URL kustom menggunakan plugin seperti WPS Hide Login. Ini tidak meningkatkan keamanan secara drastis, tetapi mempersulit bot standar untuk menemukan halaman login Anda.

8. Gunakan SSL Certificate (HTTPS)

Sertifikat SSL mengenkripsi koneksi antara browser pengguna dan server website Anda. Ini penting untuk keamanan data (terutama transaksi e-commerce) dan juga faktor peringkat SEO.

• Wajib untuk E-commerce: Mutlak diperlukan jika Anda mengumpulkan informasi sensitif seperti detail kartu kredit.

• Dapatkan SSL Gratis: Banyak penyedia hosting sekarang menawarkan SSL gratis melalui Let's Encrypt. Pastikan Anda mengaktifkannya.

9. Nonaktifkan File Editing dari Dashboard WordPress

Secara default, WordPress memungkinkan Anda mengedit file tema dan plugin langsung dari dashboard. Ini adalah kerentanan jika hacker mendapatkan akses ke dashboard Anda.

• Nonaktifkan Lewat wp-config.php: Tambahkan baris berikut di akhir file wp-config.php Anda:

  PHP

  define('DISALLOW_FILE_EDIT', true);
  

10. Perbarui PHP ke Versi Terbaru

PHP adalah bahasa pemrograman yang digunakan WordPress. Versi PHP yang lebih baru tidak hanya lebih cepat, tetapi juga lebih aman karena berisi perbaikan keamanan dan kinerja.

• Pembaruan Melalui Hosting: Anda bisa memperbarui versi PHP melalui control panel hosting Anda (cPanel, Plesk, atau dashboard kustom penyedia hosting). Targetkan PHP 7.4 atau PHP 8.x.

11. Lindungi File wp-config.php dan .htaccess

Kedua file ini sangat penting dan berisi informasi sensitif.

• Batasi Akses File (Permissions): Pastikan izin file untuk wp-config.php diatur ke 600 atau 644. Untuk folder, atur ke 755.

• Pindahkan wp-config.php (Opsional): Secara teknis, Anda bisa memindahkan file wp-config.php satu tingkat di atas direktori instalasi WordPress Anda. WordPress akan tetap menemukannya, tetapi hacker tidak bisa mengaksesnya jika mereka meretas public_html. (Langkah ini lebih teknis, hati-hati jika Anda tidak terbiasa).

12. Gunakan Hosting yang Aman

Penyedia hosting yang baik akan memiliki lapisan keamanan di tingkat server yang melindungi website Anda.

• Keamanan Server: Cari hosting yang menawarkan firewall server, deteksi malware di tingkat server, dan pemantauan keamanan proaktif.

• Isolasi Akun: Pastikan akun Anda terisolasi dari akun lain di server bersama untuk mencegah cross-contamination jika situs lain diretas.

Mengamankan website WordPress adalah proses berkelanjutan. Lakukan audit keamanan secara berkala, pantau log aktivitas, dan selalu waspada terhadap peringatan dari plugin keamanan Anda. Dengan menjaga praktik-praktik terbaik ini, Anda bisa tidur lebih nyenyak mengetahui website Anda terlindungi dari ancaman siber.