Apa yang Sebenarnya Terjadi
Sebagian besar situs WordPress yang diretas bukan sasaran yang dipilih, melainkan ditemukan pemindai otomatis yang menyisir internet mencari versi lama dengan celah yang sudah diketahui publik.
Ini mengubah cara menanganinya. Yang paling menentukan bukan seberapa canggih pertahanannya, melainkan seberapa cepat Anda memperbarui — karena celah yang dimanfaatkan hampir selalu celah yang tambalannya sudah tersedia berbulan-bulan.
Artikel ini soal praktik dan pengetatan. Pilihan plugin keamanan dibahas terpisah.
Delapan Langkah Pengetatan
1. Perbarui rutin
Inti WordPress, tema, dan plugin. Perbaruan keamanan sebaiknya dipasang segera; sisanya bulanan. Selalu buat cadangan sebelum memperbarui.
2. Buang nama pengguna admin
Itu nama pertama yang dicoba pemindai. Kalau situs Anda memakainya, buat akun administrator baru dengan nama lain, lalu hapus yang lama dan alihkan tulisannya.
3. Kata sandi yang kuat dan tidak dipakai ulang
Akun administrator bisa mengubah seluruh situs. Kata sandi yang sama dengan yang Anda pakai di layanan lain adalah risiko yang tidak sepadan.
4. Aktifkan verifikasi dua langkah
Untuk semua akun yang punya hak administrator. Ini yang menghentikan serangan meski kata sandi bocor.
5. Batasi percobaan masuk
Tanpa batas, penyerang bisa mencoba ribuan kata sandi. Dengan batas, percobaan berhenti setelah beberapa kali gagal.
6. Beri hak sesuai peran
Penulis tidak butuh hak administrator. Semakin sedikit akun yang bisa mengubah segalanya, semakin kecil permukaan risikonya.
Periksa daftar pengguna secara berkala dan cabut akses orang yang sudah tidak bekerja dengan Anda.
7. Pastikan HTTPS aktif dan sertifikatnya diperpanjang otomatis
Sertifikat yang kedaluwarsa membuat pengunjung melihat halaman peringatan sebelum sempat masuk.
8. Jangan pakai tema atau plugin dari sumber tidak resmi
Ini jalur masuk paling umum untuk kode berbahaya, dan tidak ada plugin keamanan yang bisa membatalkannya. Versi berbayar yang dibagikan gratis hampir selalu sudah disisipi sesuatu.
Yang Sering Dianggap Cukup tapi Tidak
- Memasang plugin keamanan lalu berhenti di situ. Plugin adalah lapisan tambahan, bukan pengganti pembaruan.
- Menyembunyikan alamat halaman masuk. Sedikit membantu terhadap pemindai sederhana, tapi bukan pertahanan.
- Mengandalkan hosting. Penyedia mengamankan servernya, bukan isi situs Anda.
Cadangan Adalah Jaring Terakhir
Pengetatan mengurangi peluang bermasalah. Cadangan yang benar-benar bisa dipulihkan adalah satu-satunya yang menyelamatkan kalau tetap terjadi — dan itu punya pembahasannya sendiri.
Yang perlu dipastikan minimal: tersimpan di luar server situs, berjalan otomatis, dan pernah diuji dipulihkan.
Kalau Sudah Terlanjur Diretas
Urutannya penting, dan langkah pertama paling sering dilewati:
- Jangan langsung menghapus apa pun. Buat salinan keadaan sekarang — itu bukti untuk tahu apa yang terjadi dan lewat mana masuknya.
- Ganti semua kata sandi — WordPress, hosting, basis data, dan surel terkait.
- Periksa daftar pengguna, hapus akun yang tidak Anda buat.
- Pulihkan dari cadangan bersih yang tanggalnya sebelum kejadian.
- Perbarui semuanya setelah pulih.
- Periksa laporan keamanan di Search Console untuk melihat apakah situs ditandai.
- Cari tahu jalur masuknya. Memulihkan tanpa menutup jalurnya berarti kejadian yang sama terulang dalam hitungan hari.
Tanda Situs Mungkin Sudah Bermasalah
- Halaman atau pengalihan yang tidak Anda buat.
- Akun pengguna baru yang tidak Anda daftarkan.
- Peringatan di peramban saat membuka situs.
- Situs mendadak jauh lebih lambat tanpa perubahan apa pun.
- Hasil pencarian menampilkan judul yang tidak sesuai dengan isi halaman Anda.
FAQ
Apakah situs kecil juga jadi sasaran?
Ya, dan justru lebih sering. Pemindai otomatis tidak memilih berdasarkan ukuran — mereka mencari versi yang celahnya diketahui.
Seberapa sering perlu memperbarui?
Perbaruan keamanan segera, sisanya bulanan — dengan cadangan sebelum memperbarui.
Apakah cukup memasang satu plugin keamanan?
Cukup satu, dan dua yang aktif bersamaan sering saling memblokir. Tapi plugin apa pun tidak menggantikan delapan langkah di atas.
Keamanan tetap perlu dipasangkan dengan backup WordPress, karena pencegahan yang baik harus punya jalur pemulihan saat sesuatu tetap terjadi.