WordPress, ELrolumNews — Pernahkah Anda menerima email dari hosting bahwa website Anda “terindikasi malware”? Atau tiba-tiba website Anda menampilkan halaman aneh yang tidak Anda buat? Itu tanda website Anda sudah disusupi.
Artikel ini cocok untuk: Pemilik website WordPress yang ingin melindungi situsnya dari serangan hack, mulai dari pemula yang baru bikin website hingga expert yang ingin memperkuat keamanan.
Faktanya: WordPress adalah target utama hacker. Bukan karena WordPress-nya lemah, tapi karena ia paling populer — menguasai lebih dari 43% pangsa pasar CMS di dunia . Semakin banyak pengguna, semakin banyak target. Data menunjukkan bahwa 87% kerentanan keamanan WordPress berasal dari plugin, bukan dari core WordPress-nya .
Kabar baiknya: sebagian besar serangan bisa dicegah. Hanya dengan beberapa langkah dasar, Anda bisa menutup pintu yang paling sering digunakan hacker. Artikel ini akan memandu Anda dari langkah paling dasar hingga teknik expert.
Mengapa WordPress Jadi Target Utama?
Sebelum masuk ke solusi, mari pahami dulu mengapa WordPress begitu sering jadi korban.
| Alasan | Penjelasan |
|---|---|
| Populer | 43%+ website dunia pakai WordPress — target empuk |
| Plugin berkualitas beragam | 6 juta+ plugin, tidak semua terawat dengan baik |
| Banyak yang lalai update | Website tidak diperbarui = pintu terbuka |
| Otomatisasi serangan | Hacker pakai bot untuk scan jutaan website sekaligus |
Data Wordfence menunjukkan: website WordPress baru rata-rata menerima percobaan scan otomatis dalam 72 jam pertama setelah online . Jadi bukan masalah “kalau” — tapi “kapan”.
Langkah 1: Amankan Login (Pintu Utama)
Login adalah pintu masuk utama. Jika pintu ini lemah, semua usaha lain sia-sia.
1.1 Ganti Username “admin”
Jika username Anda masih admin, ganti sekarang. Hacker tinggal mencoba username admin dengan ribuan password. Ini target pertama mereka.
Cara:
Buat user baru dengan username unik
Beri role Administrator
Login dengan user baru
Hapus user lama (
admin)
1.2 Gunakan Password Kuat
| Lemah | Kuat |
|---|---|
admin123 | Kucing$Makan%Ikan2026! |
password | P@ssw0rd_Elrolum2026 |
12345678 | X9#mP2$vL5!qR8 |
Aturan: Minimal 12 karakter, kombinasi huruf besar-kecil, angka, dan simbol.
1.3 Aktifkan Two-Factor Authentication (2FA)
2FA menambah lapisan kedua. Setelah password benar, Anda masih perlu kode dari aplikasi authenticator (Google Authenticator, Authy).
Banyak plugin keamanan menyediakan 2FA gratis, termasuk:
Wordfence (gratis)
Solid Security (gratis)
Bearmor Security (gratis)
1.4 Batasi Percobaan Login
Hacker sering mencoba ribuan kombinasi password. Plugin keamanan bisa memblokir IP setelah beberapa kali gagal login .
Rekomendasi setting:
Maksimal 3-5 percobaan gagal
Blokir IP selama 15-30 menit
Kirim notifikasi email ke admin
Langkah 2: Kelola Plugin dengan Bijak
Ini penyebab utama hack WordPress. 87% kerentanan berasal dari plugin .
2.1 Hapus Plugin yang Tidak Digunakan
Plugin tidak aktif tetap berbahaya. Jika plugin itu memiliki celah keamanan yang belum ditambal, hacker tetap bisa mengeksploitasinya .
Cara:
Masuk ke Plugins > Installed Plugins
Lihat plugin yang Inactive
Hapus (bukan hanya deactivate) yang tidak digunakan
2.2 Hindari Plugin “Nulled” (Bajakan)
Plugin bajakan sering mengandung backdoor atau script berbahaya. Selain itu, plugin bajakan tidak mendapat update keamanan .
Aturan: Selalu download dari sumber resmi — WordPress.org atau developer resmi.
2.3 Update Rutin
Update plugin, tema, dan core WordPress segera setelah tersedia. Update biasanya berisi patch keamanan .
Aktifkan auto-update untuk plugin yang Anda percayai, atau lakukan update manual secara rutin setiap minggu.
Langkah 3: Pasang Plugin Keamanan
Tidak ada satu plugin yang sempurna. Pilih satu plugin keamanan utama, lalu lengkapi dengan layanan tambahan.
Rekomendasi Plugin Keamanan 2026
| Plugin | Keunggulan | Cocok Untuk |
|---|---|---|
| Wordfence | Firewall, scanner, login security | Pemula & profesional |
| Solid Security | Login lockdown, database hardening | Pemula |
| Bearmor Security | Malware scanner, firewall, 2FA — gratis lengkap | Budget terbatas |
| MalCare | Scanner otomatis, malware removal | E-commerce |
| Patchstack | Vulnerability monitoring, virtual patching | Agensi, multi-site |
💡 Tips Pro: Jangan pasang dua plugin keamanan sekaligus. Mereka bisa konflik dan memperlambat website. Pilih satu, lalu tambahkan edge WAF (seperti Cloudflare) untuk perlindungan berlapis .
Langkah 4: Backup — Jaring Pengaman Terakhir
Jika semua pertahanan jebol, backup adalah penyelamat Anda.
Aturan Backup yang Baik
| Prinsip | Keterangan |
|---|---|
| Otomatis | Jangan andalkan backup manual |
| Rutin | Minimal harian untuk website bisnis |
| Off-site | Simpan di tempat terpisah dari hosting |
| Teruji | Coba restore minimal 3 bulan sekali |
Plugin backup rekomendasi:
UpdraftPlus — gratis, populer
BlogVault — backup + migrasi
Jetpack Backup — real-time, berbayar
Langkah 5: Hardening WordPress (Level Expert)
Langkah-langkah ini untuk Anda yang ingin keamanan maksimal.
5.1 Nonaktifkan XML-RPC
XML-RPC adalah fitur lama yang sering disalahgunakan untuk brute force attack. Jika Anda tidak menggunakannya, nonaktifkan.
Cara: Di plugin keamanan, biasanya ada opsi “Disable XML-RPC”.
5.2 Nonaktifkan File Editing
Secara default, admin WordPress bisa edit file tema dan plugin langsung dari dashboard. Jika akun admin Anda diretas, hacker bisa menyisipkan kode jahat. Nonaktifkan dengan menambahkan di wp-config.php:
define('DISALLOW_FILE_EDIT', true);5.3 Batasi Akses ke wp-admin
Jika website Anda hanya diakses dari lokasi tertentu, batasi akses wp-admin berdasarkan IP address. Ini mencegah hacker mencoba login dari mana saja.
5.4 Ganti Prefix Database
Default prefix WordPress adalah wp_. Hacker sering mencoba SQL injection dengan asumsi prefix ini. Ganti ke sesuatu yang unik saat instalasi, atau gunakan plugin migrasi.
5.5 Amankan File wp-config.php
File ini berisi kredensial database. Pastikan permission-nya ketat:
chmod 600 wp-config.php
Langkah 6: Monitoring dan Respons
Keamanan bukan proyek sekali jadi. Ini proses berkelanjutan.
Yang Perlu Dimonitor
| Aktivitas | Tujuan |
|---|---|
| Login attempt | Deteksi brute force |
| Perubahan file | Deteksi modifikasi tidak sah |
| Scan malware | Deteksi dini |
| Uptime | Deteksi website down |
Jika Terlanjur Kena Hack
Jangan panik. Segera ganti semua password (WordPress, hosting, FTP, database)
Aktifkan mode maintenance — agar pengunjung tidak melihat konten rusak
Scan malware dengan plugin keamanan
Restore dari backup jika perlu
Cari sumbernya — plugin apa yang jadi pintu masuk?
Laporkan ke hosting — mereka bisa bantu bersihkan
Kesalahan Umum yang Membuat Website Rentan
| Kesalahan | Akibat | Solusi |
|---|---|---|
Username masih admin | Brute force mudah | Ganti username unik |
| Password lemah | Mudah ditebak | Gunakan password manager |
| Tidak ada 2FA | Password bocor = akun jatuh | Aktifkan 2FA |
| Plugin tidak diupdate | Celah keamanan terbuka | Update rutin |
| Plugin bajakan | Backdoor tersembunyi | Pakai sumber resmi |
| Tidak ada backup | Tidak bisa restore | Backup otomatis off-site |
| Tidak hapus plugin tidak aktif | Celah tersembunyi | Audit & hapus rutin |
Mengamankan WordPress bukan tentang satu langkah ajaib. Ini tentang lapisan pertahanan yang saling melengkapi:
Amankan login — username unik, password kuat, 2FA, limit login
Kelola plugin — hapus yang tidak perlu, hindari bajakan, update rutin
Pasang plugin keamanan — pilih satu, jangan berlebihan
Backup otomatis — off-site, rutin, teruji
Hardening — nonaktifkan fitur yang tidak perlu
Monitor & respons — deteksi dini, siap bertindak
Dengan langkah-langkah ini, Anda sudah menutup 99% pintu yang paling sering digunakan hacker. Ingat: hacker biasanya mencari target yang paling mudah — jika website Anda lebih sulit dari rata-rata, mereka akan beralih ke target lain.
Sudah siap mengamankan website WordPress Anda?
📖 Baca juga: Kupas Tuntas LiteSpeed Cache: Cara Bikin WordPress Ngebut
🔧 Tutorial terkait: Cara Setup Redis Object Cache di WordPress
💬 Punya pengalaman dengan hack WordPress? Bagikan di kolom komentar!
(el)