Meskipun perangkat lunak inti WordPress sangat aman, dan dia telah diaudit secara teratur oleh ratusan pengembang, ada banyak hal yang dapat dilakukan untuk mengeraskan situs WordPress Anda.
Bagi kami, keamanan bukan hanya tentang penghapusan resiko. Ini juga tentang pengurangan risiko. Sebagai pemilik situs web, ada banyak hal yang dapat Anda lakukan untuk meningkatkan keamanan WordPress Anda (meskipun Anda tidak paham teknologi).
Kami memiliki sejumlah langkah yang dapat ditindaklanjuti yang dapat Anda lakukan untuk meningkatkan keamanan WordPress Anda.
Untuk membuatnya mudah, kami telah membuat daftar isi untuk membantu Anda dengan mudah menavigasi melalui panduan keamanan utama WordPress kami.
Daftar Isi Panduan Keamanan Wordpress
Dasar-dasar Keamanan WordPress
- Mengapa Keamanan WordPress Penting?
- Menjaga WordPress Diperbarui
- Sandi dan Izin Pengguna
- Peran Web Hosting
Langkah Mudah Keamanan WordPress (Tanpa Pengodean)
- Pasang Solusi Backup WordPress
- Plugin Keamanan WordPress Terbaik
- Aktifkan Firewall Aplikasi Web (WAF)
Keamanan WordPress untuk Pengguna DIY
- Ubah nama pengguna "admin" Default
- Nonaktifkan Pengeditan File
- Nonaktifkan PHP File Execution
- Batasi Upaya Login
- Ubah Awalan Database WordPress
- Kata Sandi Lindungi WP-Admin dan Login
- Nonaktifkan Pengindeksan Direktori dan Perambanan
- Nonaktifkan XML-RPC di WordPress
- Secara otomatis keluar Pengguna Menganggur
- Tambahkan Pertanyaan Keamanan ke WordPress Login
- Memperbaiki Situs WordPress yang Diretas
Siap? Mari mulai.
#1 Dasar-dasar Keamanan WordPress
#1.1 Mengapa Keamanan Situs Web itu Penting?
Situs WordPress yang diretas dapat menyebabkan kerusakan serius pada pendapatan dan reputasi bisnis Anda. Peretas dapat mencuri informasi pengguna, kata sandi, menginstal perangkat lunak berbahaya, dan bahkan dapat mendistribusikan malware ke pengguna Anda.
Yang terburuk, Anda mungkin menemukan diri Anda membayar ransomware kepada peretas hanya untuk mendapatkan kembali akses ke situs web Anda.
Pada Maret 2016, Google melaporkan bahwa lebih dari 50 juta pengguna situs web telah diperingatkan tentang situs web yang mereka kunjungi mungkin berisi malware atau mencuri informasi.
Selain itu, Google blacklist sekitar 20.000 situs web untuk malware dan sekitar 50.000 untuk phishing setiap minggu.
Jika situs web Anda adalah bisnis, maka Anda perlu memberi perhatian ekstra pada keamanan WordPress Anda.
Mirip dengan bagaimana pemilik bisnis bertanggung jawab untuk melindungi bangunan toko fisik mereka, sebagai pemilik bisnis online, itu adalah tanggung jawab Anda untuk melindungi situs web bisnis Anda.
#1.2 Selalu Perbarui Wordprees (Bagi Pengguna Aplikasi Wordpress)
WordPress adalah perangkat lunak open source yang secara teratur dipelihara dan diperbarui. Secara default, WordPress secara otomatis menginstal pembaruan kecil. Untuk rilis utama, Anda perlu secara manual memulai pembaruan.
WordPress juga dilengkapi dengan ribuan plugin dan tema yang dapat Anda pasang di situs web Anda. Plugin dan tema ini dikelola oleh pengembang pihak ketiga yang secara teratur merilis pembaruan juga.
Pembaruan WordPress ini sangat penting untuk keamanan dan stabilitas situs WordPress Anda. Anda perlu memastikan bahwa inti WordPress, plugin, dan tema Anda sudah diperbarui.
#1.3 Sandi yang Kuat dan Izin Pengguna
Upaya peretasan WordPress yang paling umum menggunakan kata sandi yang dicuri. Anda dapat mempersulitnya dengan menggunakan kata sandi yang lebih kuat yang unik untuk situs web Anda. Tidak hanya untuk area admin WordPress, tetapi juga untuk akun FTP, database, akun hosting WordPress, dan alamat email profesional Anda.
Alasan utama mengapa pemula tidak suka menggunakan kata sandi yang kuat karena mereka sulit diingat. Hal yang baik adalah Anda tidak perlu mengingat kata sandi lagi. Anda dapat menggunakan pengelola kata sandi. Lihat panduan kami tentang cara mengelola kata sandi WordPress.
Cara lain untuk mengurangi risiko adalah dengan tidak memberikan akses apa pun ke akun admin WordPress Anda kecuali Anda benar-benar harus melakukannya. Jika Anda memiliki tim besar atau penulis tamu, pastikan Anda memahami peran dan kemampuan pengguna di WordPress sebelum menambahkan pengguna dan penulis baru ke situs WordPress Anda.
#1.4 Peran Web Hosting
Layanan hosting WordPress Anda memainkan peran paling penting dalam keamanan situs WordPress Anda. Penyedia hosting bersama yang baik seperti BlueHost atau Siteground mengambil tindakan ekstra untuk melindungi server mereka dari ancaman umum.
Namun, pada shared hosting Anda berbagi sumber daya server dengan banyak pelanggan lain. Ini membuka risiko kontaminasi lintas situs tempat peretas dapat menggunakan situs tetangga untuk menyerang situs web Anda.
Menggunakan layanan hosting WordPress yang dikelola menyediakan platform yang lebih aman untuk situs web Anda. Perusahaan hosting WordPress yang dikelola menawarkan pencadangan otomatis, pembaruan WordPress otomatis, dan konfigurasi keamanan yang lebih canggih untuk melindungi situs web Anda
Kami merekomendasikan WPEngine sebagai penyedia hosting WordPress pilihan kami. Mereka juga yang paling populer di industri.
#2 Keamanan WordPress dalam Langkah Mudah (Tanpa Pengodean)
Kami tahu bahwa meningkatkan keamanan WordPress dapat menjadi pemikiran yang menakutkan bagi para pemula. Khususnya jika Anda tidak mahir. Coba tebak - Anda tidak sendirian.
Kami telah membantu ribuan pengguna WordPress dalam pengerasan keamanan WordPress mereka.
Kami akan menunjukkan kepada Anda bagaimana Anda dapat meningkatkan keamanan WordPress Anda hanya dengan beberapa klik (tidak perlu coding).
Jika Anda bisa point-and-click, Anda bisa melakukan ini!
#2.1 Instal Backup WordPress Solution
Backup adalah pertahanan pertama Anda terhadap serangan WordPress apa pun. Ingat, tidak ada yang 100% aman. Jika situs web pemerintah dapat diretas, begitu juga milik Anda.
Backup memungkinkan Anda untuk segera memulihkan situs WordPress Anda seandainya terjadi sesuatu yang buruk.
Ada banyak plugin cadangan WordPress gratis dan berbayar yang dapat Anda gunakan. Yang paling penting yang perlu Anda ketahui ketika datang ke backup adalah bahwa Anda harus secara teratur menyimpan cadangan situs-penuh ke lokasi terpencil (bukan akun hosting Anda).
Kami sarankan untuk menyimpannya di layanan cloud seperti Amazon, Dropbox, atau awan pribadi seperti Stash.
Berdasarkan seberapa sering Anda memperbarui situs web Anda, pengaturan yang ideal mungkin berupa cadangan sekali sehari atau waktu nyata.
Untungnya ini dapat dengan mudah dilakukan dengan menggunakan plugin seperti VaultPress atau BackupBuddy. Mereka berdua dapat diandalkan dan yang paling penting mudah digunakan (tidak perlu coding).
#2.2 Plugin Keamanan WordPress Terbaik
Ini termasuk pemantauan integritas file, upaya masuk gagal, pemindaian malware, dll.
Untungnya, ini semua bisa ditangani oleh plugin keamanan WordPress gratis terbaik, Sucuri Scanner.
Anda perlu menginstal dan mengaktifkan plugin Sucuri Security gratis.
Setelah aktivasi, Anda harus membuka menu Sucuri di admin WordPress Anda.
Hal pertama yang akan diminta adalah Menghasilkan kunci API gratis. Ini memungkinkan audit logging, pengecekan integritas, pemberitahuan email, dan fitur penting lainnya.
Hal berikutnya, yang perlu Anda lakukan adalah klik pada tab Pengerasan dari Menu Sucuri. Pergi melalui setiap opsi dan klik pada tombol "Harden".
Opsi ini membantu Anda mengunci area utama yang sering digunakan peretas dalam serangannya. Satu-satunya opsi pengerasan yang merupakan peningkatan berbayar adalah Firewall Aplikasi Web yang akan kami jelaskan pada langkah berikutnya, jadi lewati saja untuk saat ini.
Kami juga telah membahas banyak opsi "Pengerasan" ini di artikel ini bagi mereka yang ingin melakukannya tanpa menggunakan plugin atau yang membutuhkan langkah tambahan seperti "Perubahan Prefix Database" atau "Mengubah Nama Pengguna Admin".
Setelah bagian yang mengeras, sebagian besar pengaturan default plugin ini bagus dan tidak perlu diubah. Satu-satunya hal yang kami sarankan untuk menyesuaikan adalah Email Alerts.
Pengaturan lansiran default dapat mengacaukan kotak masuk Anda dengan email. Kami merekomendasikan menerima pemberitahuan untuk tindakan utama seperti perubahan pada plugin, pendaftaran pengguna baru, dll. Anda dapat mengkonfigurasi peringatan dengan masuk ke Pengaturan Sucuri »Peringatan.
Plugin keamanan WordPress ini sangat kuat, jadi telusuri semua tab dan pengaturan untuk melihat semua yang dilakukannya seperti pemindaian Malware, log Audit, Pelacakan Mencoba Masuk yang Gagal, dll.
#2.3 Aktifkan Firewall Aplikasi Web (WAF)
Cara termudah untuk melindungi situs web Anda dan yakin akan keamanan WordPress Anda adalah dengan menggunakan firewall aplikasi web (WAF). Firewall memblokir semua lalu lintas jahat bahkan sebelum mencapai situs web Anda.
Kami menggunakan dan merekomendasikan Sucuri sebagai firewall web-aplikasi terbaik untuk WordPress.
Bagian terbaik tentang firewall Sucuri adalah bahwa ia juga dilengkapi dengan pembersihan malware dan jaminan penghapusan daftar hitam. Pada dasarnya jika Anda diretas di bawah pengawasan mereka, mereka menjamin bahwa mereka akan memperbaiki situs web Anda (tidak peduli berapa banyak halaman yang Anda miliki).
Ini adalah jaminan yang cukup kuat karena memperbaiki situs web yang diretas mahal. Pakar keamanan biasanya mengenakan biaya $ 250 per jam. Sedangkan Anda bisa mendapatkan seluruh tumpukan keamanan Sucuri seharga $ 199 per tahun.
Sucuri bukan satu-satunya penyedia firewall di luar sana. Pesaing populer lainnya adalah Cloudflare. Lihat perbandingan kami antara Sucuri vs Cloudflare (Pro dan Kontra).
#3 Keamanan WordPress untuk Pengguna DIY
Jika Anda melakukan semua yang telah kami sebutkan sejauh ini, maka Anda dalam kondisi yang sangat baik.
Namun seperti biasa, ada lebih banyak hal yang dapat Anda lakukan untuk memperkeras keamanan WordPress Anda.
Beberapa langkah ini mungkin memerlukan pengetahuan pengkodean.
#3.1 Ubah nama pengguna "admin" Default
Di masa lalu, nama pengguna admin WordPress default adalah "admin". Karena nama pengguna merupakan setengah dari kredensial masuk, ini mempermudah hacker untuk melakukan serangan brute-force.
Untungnya, WordPress telah mengubah ini dan sekarang mengharuskan Anda untuk memilih nama pengguna khusus pada saat menginstal WordPress.
Namun, beberapa penginstal WordPress 1-klik, masih mengatur nama pengguna admin default menjadi "admin". Jika Anda melihat itu sebagai masalahnya, mungkin itu adalah ide yang baik untuk mengalihkan hosting web Anda.
Karena WordPress tidak mengizinkan Anda untuk mengubah nama pengguna secara default, ada tiga metode yang dapat Anda gunakan untuk mengubah nama pengguna.
- Buat nama pengguna admin baru dan hapus yang lama.
- Gunakan plugin Username Changer
- Perbarui nama pengguna dari phpMyAdmin
Catatan: Kami berbicara tentang nama pengguna yang disebut "admin", bukan peran administrator.
#3.2 Nonaktifkan Pengeditan File
WordPress hadir dengan editor kode built-in yang memungkinkan Anda untuk mengedit tema dan file plugin langsung dari area admin WordPress Anda. Di tangan yang salah, fitur ini dapat menjadi risiko keamanan, itulah sebabnya kami menyarankan untuk menonaktifkannya.
Anda dapat dengan mudah melakukan ini dengan menambahkan kode berikut di file wp-config.php Anda.
// Disallwo file edit
define ('DISALLOW_FILE_EDIT', true);
Sebagai alternatif, Anda dapat melakukan ini dengan 1-klik menggunakan fitur Hardening pada plugin Sucuri gratis yang kami sebutkan di atas.
#3.3 Nonaktifkan Eksekusi File PHP di Direktori WordPress Tertentu
Cara lain untuk mengeraskan keamanan WordPress Anda adalah dengan menonaktifkan eksekusi file PHP di direktori yang tidak diperlukan seperti / wp-content / uploads /.
Anda dapat melakukan ini dengan membuka editor teks seperti Notepad dan tempel kode ini:
<File * .php>
deny form all
</ File>
Selanjutnya, Anda perlu menyimpan file ini sebagai .htaccess dan mengunggahnya ke / wp-content / upload / folder di situs web Anda menggunakan klien FTP.
Untuk penjelasan lebih rinci, lihat panduan kami tentang cara menonaktifkan eksekusi PHP di direktori WordPress tertentu
Sebagai alternatif, Anda dapat melakukan ini dengan 1-klik menggunakan fitur Hardening pada plugin Sucuri gratis yang kami sebutkan di atas.
#3.4 Batasi Upaya Login
Secara default, WordPress memungkinkan pengguna untuk mencoba login sebanyak yang mereka inginkan. Ini membuat situs WordPress Anda rentan terhadap serangan brute force. Peretas mencoba memecahkan sandi dengan mencoba masuk dengan berbagai kombinasi.
Ini dapat dengan mudah diperbaiki dengan membatasi upaya login gagal yang dapat dilakukan pengguna. Jika Anda menggunakan firewall aplikasi web yang disebutkan sebelumnya, maka ini akan secara otomatis diurus.
Namun, jika Anda tidak memiliki pengaturan firewall, lanjutkan dengan langkah-langkah di bawah ini.
Pertama, Anda perlu menginstal dan mengaktifkan plugin Login LockDown. Untuk detail lebih lanjut, lihat panduan langkah demi langkah kami tentang cara memasang plugin WordPress.
Setelah aktivasi, kunjungi Pengaturan »Halaman Login LockDown untuk mengatur plugin.
#3.5 Ubah Awalan Database WordPress
Secara default, WordPress menggunakan wp_ sebagai awalan untuk semua tabel di basis data WordPress Anda. Jika situs WordPress Anda menggunakan prefiks database default, maka ini mempermudah hacker untuk menebak nama tabel Anda. Inilah mengapa kami menyarankan untuk mengubahnya.
Anda dapat mengubah awalan basis data Anda dengan mengikuti tutorial langkah demi langkah kami tentang cara mengubah awalan basis data WordPress untuk meningkatkan keamanan.
Catatan: Ini dapat merusak situs Anda jika tidak dilakukan dengan benar. Hanya melanjutkan, jika Anda merasa nyaman dengan keterampilan pengkodean Anda.
#3.6 Password Protect WordPress Admin dan Halaman Login
Biasanya, peretas dapat meminta folder wp-admin dan halaman masuk tanpa batasan apa pun. Ini memungkinkan peretas untuk mencoba trik peretasan atau menjalankan serangan DDoS.
Anda dapat menambahkan perlindungan kata sandi tambahan di sisi server yang secara efektif akan memblokir permintaan tersebut.
Ikuti petunjuk langkah demi langkah kami tentang cara melindungi kata sandi direktori admin WordPress (wp-admin) Anda.
#3.7 Nonaktifkan Pengindeksan Direktori dan Perambanan
Penjelajahan direktori dapat digunakan oleh peretas untuk mencari tahu apakah Anda memiliki file dengan kerentanan yang diketahui, sehingga mereka dapat memanfaatkan file ini untuk mendapatkan akses.
Penjelajahan direktori juga dapat digunakan oleh orang lain untuk melihat file Anda, menyalin gambar, mencari tahu struktur direktori Anda, dan informasi lainnya. Inilah mengapa sangat disarankan agar Anda mematikan pengindeksan dan penjelajahan direktori.
Anda perlu terhubung ke situs web Anda menggunakan FTP atau pengelola file cPanel. Selanjutnya, cari file .htaccess di direktori root situs web Anda. Jika Anda tidak dapat melihatnya di sana, lihat panduan kami tentang mengapa Anda tidak dapat melihat file .htaccess di WordPress.
Setelah itu, Anda perlu menambahkan baris berikut di akhir file .htaccess:
Options -Indexes
Jangan lupa simpan dan unggah file .htaccess kembali ke situs Anda. Untuk lebih lanjut tentang topik ini, lihat artikel kami tentang cara menonaktifkan penjelajahan direktori di WordPress.
#3.8 Nonaktifkan XML-RPC di WordPress
XML-RPC diaktifkan secara default di WordPress 3.5 karena membantu menghubungkan situs WordPress Anda dengan aplikasi web dan seluler.
Namun karena sifatnya yang kuat, XML-RPC dapat secara signifikan memperkuat serangan brute-force.
Misalnya, secara tradisional jika peretas ingin mencoba 500 sandi berbeda di situs web Anda, mereka harus melakukan 500 upaya masuk yang terpisah yang akan ditangkap dan dicekal oleh plugin kunci-putar masuk.
Tetapi dengan XML-RPC, peretas dapat menggunakan fungsi system.multicall untuk mencoba ribuan kata sandi dengan mengatakan 20 atau 50 permintaan.
Inilah sebabnya mengapa jika Anda tidak menggunakan XML-RPC, sebaiknya Anda menonaktifkannya.
Kiat: Metode .htaccess adalah yang terbaik karena sumber dayanya paling sedikit intensif.
Jika Anda menggunakan firewall aplikasi web yang disebutkan sebelumnya, maka ini dapat dijaga oleh firewall.
#3.9 Secara otomatis logout Pengguna Idle di WordPress
Masuk ke pengguna terkadang dapat berpindah dari layar, dan ini menimbulkan risiko keamanan. Seseorang dapat membajak sesi mereka, mengubah kata sandi, atau membuat perubahan pada akun mereka.
Inilah sebabnya mengapa banyak situs perbankan dan keuangan secara otomatis keluar dari pengguna yang tidak aktif. Anda dapat mengimplementasikan fungsi serupa di situs WordPress Anda juga.
Anda perlu menginstal dan mengaktifkan plugin Logout Pengguna Tidak Aktif. Setelah aktivasi, kunjungi Pengaturan »Halaman Logout Pengguna Kosong untuk mengonfigurasi pengaturan plugin.
Keluar dari pengguna yang tidak aktif
Cukup mengatur durasi waktu dan hapus centang pada kotak di samping opsi ‘Nonaktifkan dalam admin’ admin untuk keamanan yang lebih baik. Jangan lupa klik tombol simpan perubahan untuk menyimpan pengaturan Anda.
Untuk petunjuk lebih rinci, lihat panduan kami tentang cara otomatis keluar dari pengguna yang tidak aktif di WordPress.
#3.10 Tambahkan Pertanyaan Keamanan ke Layar Masuk WordPress
Menambahkan pertanyaan keamanan ke layar masuk WordPress Anda membuat lebih sulit bagi seseorang untuk mendapatkan akses yang tidak sah.
Anda dapat menambahkan pertanyaan keamanan dengan menginstal plugin Pertanyaan Keamanan WP. Setelah aktivasi, Anda perlu mengunjungi Pengaturan »Pertanyaan Keamanan halaman untuk mengkonfigurasi pengaturan plugin.
Untuk petunjuk lebih rinci, lihat tutorial kami tentang cara menambahkan pertanyaan keamanan ke layar masuk WordPress.
#3.11 Memperbaiki Situs WordPress yang Diretas
Banyak pengguna WordPress tidak menyadari pentingnya cadangan dan keamanan situs web sampai situs web mereka diretas.
Membersihkan situs WordPress bisa sangat sulit dan memakan waktu. Saran pertama kami adalah membiarkan seorang profesional mengurusnya.
Peretas memasang backdoors di situs yang terpengaruh, dan jika backdoors ini tidak diperbaiki dengan benar, maka situs web Anda kemungkinan akan diretas lagi.
Mengizinkan perusahaan keamanan profesional seperti Sucuri untuk memperbaiki situs web Anda akan memastikan bahwa situs Anda aman untuk digunakan lagi. Ini juga akan melindungi Anda dari serangan apa pun di masa depan.
Untuk pengguna yang suka berpetualang dan DIY, kami telah menyusun panduan langkah demi langkah untuk memperbaiki situs WordPress yang diretas.
Itu saja, kami harap artikel ini membantu Anda mempelajari praktik terbaik keamanan WordPress terbaik serta menemukan plugin keamanan WordPress terbaik untuk situs web Anda.
){kind=link}