WordPress menggerakkan sebagian besar situs di dunia, dan popularitas ini menjadikannya sasaran yang menarik bagi penyerang. Kabar baiknya, sebagian besar serangan yang berhasil bukan berasal dari kelemahan teknis yang canggih, melainkan dari plugin yang usang, kata sandi yang lemah, dan situs tanpa cadangan. Dengan kata lain, situs yang secara rutin menerapkan langkah dasar sudah terlindungi dari sebagian besar serangan.
Dalam artikel ini, pertama-tama kami menjelaskan langkah dasar yang tidak memerlukan plugin sama sekali, lalu menjelaskan apa yang dilakukan plugin keamanan dan cara memilihnya. Karena fitur plugin berubah dari versi ke versi, lihat dokumentasi terkini dari setiap produk untuk rinciannya.
Langkah dasar terlebih dahulu
Plugin keamanan tidak menggantikan fondasi yang belum ada. Selesaikan dulu langkah-langkah berikut:
- Jangan tunda pembaruan. Celah keamanan pada inti WordPress, tema, dan plugin ditutup dengan pembaruan. Hapus plugin dan tema yang tidak Anda gunakan.
- Gunakan kata sandi yang kuat dan unik. Gunakan pengelola kata sandi; jangan biarkan nama pengguna administrator sebagai “admin.”
- Aktifkan verifikasi dua langkah. Setidaknya untuk akun administrator dan editor.
- Buat cadangan dan coba pulihkan. Cadangan adalah pilihan terakhir yang akan menyelamatkan Anda setelah serangan.
- Gunakan HTTPS. Di situs tanpa sertifikat SSL, detail login berpindah secara terbuka.
- Batasi izin pengguna. Jangan berikan peran administrator kepada semua orang; ikuti prinsip hak akses minimum.
- Pasang plugin dan tema dari sumber tepercaya. Paket tanpa lisensi atau dengan sumber yang tidak jelas membawa risiko pintu belakang yang tinggi.
Apa yang dilakukan plugin keamanan?
Plugin keamanan umumnya menawarkan sebagian dari empat fungsi: firewall (WAF), pemindaian malware, perlindungan login, dan pemantauan perubahan. Tidak setiap plugin sama kuatnya di semua area ini, jadi Anda perlu terlebih dahulu memperjelas apa yang Anda butuhkan.
- Firewall: Memblokir permintaan berbahaya sebelum mencapai situs atau sebelum kode WordPress dijalankan.
- Pemindaian: Mencari file untuk kode yang mencurigakan dan file inti yang dimodifikasi.
- Perlindungan login: Membatasi serangan brute-force dan menambahkan verifikasi dua langkah.
- Pemantauan: Mencatat siapa yang mengubah pengaturan apa dan kapan.
Perbandingan plugin keamanan populer
| Solusi | Pendekatan | Kekuatan | Hal yang perlu diperhatikan |
|---|---|---|---|
| Wordfence | Firewall dan pemindai yang berjalan di dalam situs | Versi gratis yang luas, pemindaian malware | Menggunakan sumber daya server; bisa melambat di hosting yang lemah |
| Sucuri | Firewall dan layanan pembersihan berbasis cloud | Menyaring lalu lintas sebelum mencapai situs, dukungan pembersihan pascaserangan | Fitur lanjutan bergantung pada paket berbayar |
| Solid Security (sebelumnya iThemes Security) | Berfokus pada pengerasan dan perlindungan login | Verifikasi dua langkah, pengerasan pengaturan, batas login | Pemindaiannya mungkin tidak seluas yang lain |
| CleanTalk | Perlindungan spam berbasis cloud | Memblokir pendaftaran palsu di formulir dan komentar, tanpa perlu captcha | Berfokus pada spam, bukan keamanan umum; melengkapi lapisan lain |
Alih-alih mencari “satu plugin yang tepat” dalam tabel ini, pikirkan dalam bentuk kombinasi: satu untuk firewall dan pemindaian, yang lain untuk perlindungan spam. Jangan jalankan lebih dari satu plugin firewall di situs yang sama; ini menimbulkan konflik.
Jangan abaikan perlindungan spam dan pendaftaran palsu
Lalu lintas bot tidak hanya menghasilkan spam; ia membengkakkan database melalui formulir pendaftaran, kolom komentar, dan formulir kontak, membebani server, dan kadang menyebarkan tautan berbahaya. Solusi berbasis cloud seperti CleanTalk menyaring lalu lintas ini tanpa mengganggu pengunjung. Lapisan ini sangat berharga di situs WooCommerce dan situs keanggotaan, karena percobaan pembuatan akun palsu sering terjadi di sana.
Cadangan: mata rantai terakhir dalam keamanan
Bahkan situs yang paling terlindungi pun suatu hari bisa rusak. Kesalahan pembaruan, kegagalan server, plugin yang bermasalah, atau serangan: dalam semua kasus, obatnya adalah kembali ke cadangan yang bersih. Cadangan tidak boleh disimpan di server tempat situs berada, tetapi di tempat terpisah (penyimpanan cloud, server lain). Plugin seperti WPvivid Backup Bundle menawarkan cadangan terjadwal, pengiriman ke penyimpanan eksternal, dan pemulihan dengan satu klik. Sama pentingnya dengan membuat cadangan adalah menguji sebulan sekali bahwa cadangan itu berfungsi dengan memulihkannya ke situs uji.
Plugin mana yang harus dipilih? Panduan singkat
Jika Anda mengelola satu blog dan anggaran Anda terbatas, plugin keamanan gratis di dalam situs, solusi cadangan yang andal, dan perlindungan spam biasanya sudah menjadi trio yang memadai. Jika Anda menjalankan situs e-commerce yang terus-menerus menjadi sasaran, masuk akal untuk menambahkan firewall berbasis cloud juga, karena lalu lintas buruk disaring sebelum mencapai server Anda. Jika Anda adalah agensi yang meng-hosting situs klien, pengelolaan terpusat dan laporan keamanan rutin menjadi lebih penting bagi Anda daripada fitur plugin.
Dalam setiap kasus, setelah memasang plugin, pantau log selama seminggu. Melonggarkan aturan yang memicu alarm palsu lebih baik daripada melewatkan ancaman nyata; namun, Anda juga perlu menguji apakah sistem yang tidak pernah memunculkan peringatan benar-benar bekerja. Untuk ini, Anda dapat melakukan percobaan login yang terkendali dan memeriksa apakah ia tercatat.
Mengelola banyak situs
Jika Anda adalah agensi yang mengelola situs klien, atau seseorang dengan beberapa proyek, masuk ke setiap situs secara terpisah untuk memperbarui memakan waktu dan meningkatkan risiko kesalahan. Alat pengelolaan terpusat seperti MainWP Pro memungkinkan Anda memantau pembaruan, cadangan, dan status semua situs dari satu panel. Dari sisi keamanan, ini mengurangi keterlambatan pembaruan.
Membersihkan database dan data yang tidak perlu
Tabel yang ditinggalkan plugin yang sudah tidak dipakai, draf lama, dan komentar spam tidak hanya memengaruhi performa; mereka juga memperbesar permukaan serangan. Alat seperti Advanced Database Cleaner Pro membantu membersihkan sisa-sisa ini dengan aman. Selalu buat cadangan sebelum membersihkan.
Jangan lupakan komputer Anda sendiri
Jika komputer yang Anda gunakan untuk mengelola situs terinfeksi, detail login Anda bisa dicuri. Jalankan perangkat lunak perlindungan yang mutakhir di perangkat yang Anda gunakan sebagai administrator; solusi komprehensif seperti Kaspersky Premium Total Security menambahkan lapisan perlindungan terhadap phishing dan malware. Jangan masuk ke panel admin di jaringan Wi-Fi publik.
Pengerasan server dan tingkat file
Selain plugin, beberapa pengaturan memperkuat situs Anda secara signifikan. Anda dapat melakukannya dari panel hosting Anda atau bersama administrator server Anda:
- Versi PHP terkini: Versi PHP yang sudah habis masa dukungannya tidak lagi menerima tambalan keamanan. Pindah ke versi terbaru yang didukung dari panel hosting Anda, sambil menguji kompatibilitasnya dengan plugin Anda.
- Mematikan editor file: Menonaktifkan editor file tema dan plugin di panel admin membuat akun administrator yang disusupi lebih sulit menulis kode secara langsung.
- Izin file: Jangan berikan izin tulis yang lebih luas daripada yang diperlukan untuk file dan folder; jaga file konfigurasi (wp-config) tetap tertutup dari akses.
- Folder unggahan: Blokir eksekusi file PHP di folder tempat unggahan pengguna disimpan.
- XML-RPC: Jika Anda tidak menggunakannya, matikan; fitur ini sering dieksploitasi dalam serangan brute-force.
- Awalan database dan enumerasi pengguna: Aktifkan pengaturan yang mencegah nama pengguna dapat didaftar dari luar.
Beberapa pengaturan ini dapat dibuat dengan satu klik oleh plugin keamanan; namun, pastikan alat keamanan bawaan penyedia hosting Anda tidak bertentangan dengannya.
Rutinitas keamanan bulanan
Keamanan bukan pekerjaan sekali selesai; ini adalah kebiasaan kecil tetapi rutin. Sisihkan satu jam setiap bulan untuk memeriksa daftar ini: Apakah daftar akun administrator dan editor sudah mutakhir? Apakah plugin yang tidak dipakai sudah dihapus? Apakah cadangan benar-benar dibuat? Apakah ada peningkatan tidak biasa dalam laporan percobaan login? Apakah tanggal kedaluwarsa sertifikat SSL sudah dekat? Apakah ada peringatan keamanan di Search Console? Ketika pemeriksaan ini diikat pada rutinitas dengan pengingat kalender kecil, masalah akan terlihat sebelum membesar.
Bagaimana Anda tahu bahwa situs Anda diserang?
- Halaman atau judul yang tidak Anda kenali muncul di hasil pencarian.
- Pengalihan atau pop-up yang tidak terduga muncul di situs Anda.
- Akun administrator yang tidak Anda kenali muncul.
- Penyedia hosting Anda mengirim peringatan tentang penggunaan sumber daya yang berlebihan atau malware.
- Situs melambat saat dibuka, dan browser menampilkan peringatan keamanan.
Dalam kasus seperti itu, pertama-tama aktifkan mode pemeliharaan pada situs, ganti kata sandi, kembali ke cadangan yang bersih, dan jangan buka kembali situs sebelum celahnya ditutup. Jika Anda tidak dapat mengatasinya sendiri, konsultasikan dengan pakar keamanan.
Untuk kebutuhan plugin dan tema, Anda dapat melihat kategori Plugin dan Tema WordPress; di LisansX, pengiriman dilakukan secara digital dan versi berlisensi menerima pembaruan.
Pertanyaan yang Sering Diajukan
Apakah plugin keamanan gratis sudah cukup?
Untuk blog kecil, sering kali sudah cukup. Untuk situs yang menyelenggarakan e-commerce, keanggotaan, atau data pelanggan, paket berbayar sebaiknya dipertimbangkan untuk fitur premium, dukungan, dan aturan firewall.
Apakah plugin keamanan memperlambat situs?
Plugin yang berjalan di dalam situs menggunakan sumber daya server dan bisa terasa di hosting yang lemah. Solusi berbasis cloud mengambil beban ini dari server. Ulangi pengukuran kecepatan setelah pemasangan.
Apakah mengubah alamat login WordPress berguna?
Ini mengurangi bot sederhana, tetapi bukan langkah keamanan yang berdiri sendiri. Kata sandi yang kuat, verifikasi dua langkah, dan batas login jauh lebih efektif.
Seberapa sering saya harus membuat cadangan?
Untuk situs dengan entri konten harian, cadangan harian, dan untuk situs yang jarang berubah, cadangan mingguan, adalah titik awal yang wajar. Toko yang menerima pesanan perlu mencadangkan database lebih sering.
