10 cara mengamankan blog WordPress

1.- Terus Perbarui WordPress dan Plugin

Memperbarui WordPress dan pluginnya secara rutin akan memperbaiki kerentanan keamanan dan mengurangi risiko peretasan.

Untuk memperbarui WordPress dan pluginnya, Anda dapat mengikuti langkah-langkah berikut:

- Masuk ke dasbor WordPress Anda dan buka halaman Pembaruan .
- Jika ada pembaruan yang tersedia untuk plugin inti (atau tema) WordPress, klik "Perbarui Sekarang" .
- Tunggu hingga proses pembaruan selesai.

Agar template situs web Anda tidak rusak, Anda dapat mengikuti tips berikut:

- Cadangkan situs web Anda sebelum memperbarui. Ini akan memungkinkan Anda memulihkan situs web jika terjadi kesalahan.
- Periksa kompatibilitas tema dan plugin Anda saat ini dengan versi terbaru WordPress sebelum memperbarui. Anda dapat memeriksa kompatibilitasnya dengan mengunjungi halaman plugin atau tema di repositori WordPress atau dengan menghubungi pengembang.
- Perbarui tema dan plugin Anda sebelum memperbarui inti WordPress. Ini akan memastikan bahwa versi terbaru tema dan plugin Anda kompatibel dengan versi terbaru WordPress.
- Uji situs web Anda setelah memperbarui. Periksa apakah semua menu halaman dan plugin berfungsi seperti yang diharapkan.
- Jika terjadi kesalahan, Anda dapat mengembalikan tema WordPress Anda ke versi sebelumnya, atau plugin Anda dengan memulihkan cadangan Anda.

2 - Gunakan Kata Sandi Kuat

- Gunakan sandi yang kuat dan unik untuk semua akun pengguna termasuk akun administrator. Kata sandi yang kuat adalah kombinasi huruf besar dan kecil, angka, dan simbol. Akun administrator memiliki tingkat akses tertinggi ke situs WordPress Anda, jadi penting untuk menggunakan sandi yang kuat dan unik untuk akun ini.

- Gunakan Kata Sandi yang Berbeda untuk Peran Pengguna yang Berbeda: Jika Anda memiliki beberapa peran pengguna di situs WordPress Anda (misalnya, penulis editor, kontributor), gunakan kata sandi yang berbeda untuk setiap peran.

- Hindari Penggunaan Kata Umum: Hindari penggunaan kata, frasa, atau informasi pribadi yang umum dalam sandi Anda. Peretas dapat menggunakan informasi ini untuk menebak sandi Anda.

- Mari kita ulangi, ini sangat penting: Gunakan Kombinasi Huruf Besar dan Kecil, Angka, dan Simbol: Kata sandi yang kuat adalah kombinasi huruf besar dan kecil, angka, dan simbol. Hindari menggunakan kata-kata kamus atau pola yang dapat diprediksi.

- Ubah Kata Sandi Anda Secara Teratur: Mengubah kata sandi Anda secara teratur dapat membantu mencegah akses tidak sah ke situs WordPress Anda. Pertimbangkan untuk mengubah kata sandi Anda setiap 3-6 bulan. Mengingat kata sandi yang kuat bisa menjadi tantangan, tetapi menggunakan pengelola kata sandi atau mnemonik dapat membuatnya lebih mudah. Pastikan juga untuk mengomunikasikan praktik terbaik ini kepada semua pengguna yang memiliki akses ke situs WordPress Anda.

Jika Anda membutuhkan bantuan dalam membuat kata sandi yang aman, kami sarankan Anda membaca artikel berikut: 10 Tips Membuat Kata Sandi yang Kuat Namun Mudah Diingat

3.- Batasi Upaya Login

Membatasi jumlah upaya masuk akan mencegah peretas menebak kata sandi dengan kekerasan. Plugin seperti Login Lockdown dapat membantu dalam hal ini.

Salah satu cara termudah bagi peretas untuk mendapatkan akses ke situs WordPress Anda adalah dengan mencoba menebak nama pengguna dan sandi Anda melalui kekerasan menyerang. Untuk mencegahnya, Anda dapat menggunakan plugin atau layanan yang membatasi jumlah upaya masuk dari satu alamat IP. Ini dapat membantu menghentikan serangan brute force di jalurnya karena penyerang akan dikunci setelah sejumlah upaya gagal. Beberapa plugin populer untuk tujuan ini termasuk Login Lockdown dan Limit Login Attempts Reloaded. Perhatikan bahwa beberapa penyedia hosting web menawarkan layanan ini secara bawaan, jadi sebaiknya hubungi penyedia Anda untuk mengetahui apakah mereka menawarkannya.

4.- Gunakan Autentikasi Dua Faktor

Autentikasi dua faktor menambah lapisan keamanan ekstra dengan mewajibkan kode untuk dimasukkan selain nama pengguna dan sandi. Plugin seperti Two-Factor atau Google Authenticator dapat digunakan untuk mengaktifkan fitur ini.

Autentikasi dua faktor (2FA) adalah fitur keamanan yang menambahkan lapisan perlindungan ekstra ke login WordPress Anda. Secara tradisional masuk ke situs web hanya membutuhkan nama pengguna dan kata sandi. Namun, jika penyerang mendapatkan akses ke sandi Anda (mis. melalui pelanggaran data atau dengan menebak sandi Anda), mereka dapat dengan mudah mendapatkan akses ke akun Anda.

Dengan 2FA, kode diperlukan selain nama pengguna dan kata sandi Anda. Kode biasanya dibuat di perangkat seluler atau dikirim melalui SMS, dan sering berubah. Artinya, meskipun penyerang memiliki sandi Anda, mereka tetap tidak dapat memperoleh akses ke akun Anda tanpa memiliki kode tersebut.

Ada beberapa plugin yang tersedia untuk WordPress yang mengaktifkan 2FA. Two-Factor dan Google Authenticator adalah dua opsi populer. Plugin ini bekerja dengan meminta kode setelah Anda memasukkan nama pengguna dan kata sandi. Kode dibuat di perangkat seluler Anda (menggunakan aplikasi seperti Google Authenticator) dan harus dimasukkan dalam jangka waktu tertentu.

Menyiapkan 2FA dengan plugin ini melibatkan penginstalan dan konfigurasi plugin, serta penyiapan aplikasi seluler di ponsel Anda. Setelah dikonfigurasi, Anda akan dimintai kode setiap kali Anda masuk ke situs WordPress Anda. Hal ini menambahkan lapisan keamanan ekstra dan dapat membantu melindungi situs Anda dari serangan brute force dan ancaman keamanan lainnya.

5.- Nonaktifkan Pengeditan File

Menonaktifkan kemampuan untuk mengedit file di dalam dasbor WordPress dapat mencegah peretas menyuntikkan kode berbahaya ke situs Anda. Ini dapat dilakukan dengan menambahkan baris kode berikut ke file wp-config.php Anda:

define('DISALLOW_FILE_EDIT', true);

Anda dapat mengakses file wp-config.php melalui manajer file akun hosting Anda atau klien FTP seperti FileZilla. Pastikan untuk menambahkan baris kode ini di atas baris yang bertuliskan bahasa Inggris "/* That's all, stop editing! Happy publishing. */".

- Mengapa Nonaktifkan Pengeditan File? Secara default, WordPress memungkinkan pengguna untuk mengedit file tema dan plugin langsung dari dasbor WordPress. Ini bisa menjadi fitur yang nyaman tetapi juga menghadirkan risiko keamanan. Jika peretas mendapatkan akses ke akun pengguna dengan hak mengedit, mereka dapat menyuntikkan kode berbahaya ke file tema atau plugin, yang berpotensi membahayakan seluruh situs. Dengan menonaktifkan pengeditan file, Anda dapat mencegah jenis serangan ini.

- Manfaat Menonaktifkan Pengeditan File: Menonaktifkan pengeditan file tidak hanya mencegah penyerang menyuntikkan kode berbahaya ke situs Anda, tetapi juga mengurangi risiko perubahan file yang tidak disengaja oleh pengguna dengan hak pengeditan. Ini juga merupakan praktik terbaik untuk kepatuhan keamanan.

- Solusi untuk Mengedit File Tema dan Plugin: Jika Anda perlu mengedit file tema atau plugin, Anda dapat melakukannya melalui editor teks, lalu mengunggah file yang telah diedit ke situs WordPress Anda. Ini adalah cara yang lebih aman untuk mengedit file, karena memerlukan akses langsung ke sistem file situs Anda daripada mengandalkan dasbor WordPress.

- Gunakan Plugin Keamanan: Jika Anda tidak nyaman mengedit file wp-config.php atau menginginkan cara yang lebih mudah untuk menonaktifkan pengeditan file, Anda dapat menggunakan plugin keamanan seperti Wordfence, Sucuri atau iThemes Security. Plugin ini menyediakan antarmuka yang ramah pengguna untuk mengelola setelan keamanan WordPress, termasuk pengeditan file.

Cara Menghapus Malware & Membersihkan Situs WordPress yang Diretas

Jika situs WordPress Anda telah terinfeksi, berikut beberapa langkah yang dapat dilakukan untuk membersihkannya:

- Cadangkan Situs Anda: Sebelum Anda mulai membersihkan situs Anda, pastikan untuk membuat cadangan file dan basis data situs Anda. Hal ini memastikan bahwa Anda memiliki salinan situs jika terjadi kesalahan selama proses pembersihan.

- Identifikasi Malware: Gunakan plugin keamanan seperti Wordfence, Sucuri atau MalCare untuk memindai situs Anda dari malware. Plugin ini dapat mendeteksi kode dan file berbahaya, serta memberikan informasi tentang jenis malware dan caranya masuk ke situs Anda.

- Hapus Malware: Setelah Anda mengidentifikasi malware, Anda harus menghapusnya. Anda dapat melakukannya secara manual dengan menghapus file yang terinfeksi, atau Anda dapat menggunakan plugin penghapus malware seperti MalCare atau Sucuri untuk mengotomatiskan proses. Pastikan untuk mengikuti petunjuk yang diberikan oleh plugin untuk memastikan bahwa semua file yang terinfeksi dihapus.

- Perbarui WordPress, Plugin, dan Tema: Perangkat lunak yang kedaluwarsa dapat membuat situs Anda rentan terhadap serangan. Pastikan untuk mengupdate WordPress, plugin, dan tema ke versi terbarunya untuk memastikan bahwa situs Anda terlindung dari kerentanan umum.

- Ubah Kata Sandi Anda: Jika situs Anda terinfeksi, kemungkinan penyerang memperoleh akses melalui kata sandi yang lemah. Ubah semua kata sandi yang terkait dengan situs Anda, termasuk kata sandi admin WordPress, kata sandi FTP, dan kata sandi basis data. Gunakan sandi kuat yang unik dan tidak mudah ditebak.

- Perkuat Situs Anda: Setelah Anda membersihkan situs, lakukan langkah-langkah untuk memperkuat keamanan situs Anda. Ini termasuk menerapkan kiat keamanan yang telah kita bahas dalam artikel ini seperti menggunakan sandi yang kuat untuk membatasi upaya masuk dan menonaktifkan pengeditan file.

- Pantau Situs Anda: Awasi situs Anda untuk aktivitas yang tidak biasa atau tanda-tanda infeksi baru. Gunakan plugin keamanan untuk memindai situs Anda secara rutin dari malware dan kerentanan.

Membersihkan situs WordPress setelah infeksi malware bisa menjadi tugas yang menakutkan, tetapi dengan mengikuti langkah-langkah ini Anda dapat memastikan bahwa situs Anda aman dan terlindung dari serangan di masa mendatang. Jika Anda merasa tidak nyaman melakukannya sendiri, pertimbangkan untuk mempekerjakan seorang profesional untuk membantu membersihkan situs Anda.

6.- Menerapkan SSL

Menerapkan SSL akan mengenkripsi data yang dikirim antara browser pengguna dan server Anda untuk mencegah penyadapan informasi sensitif.

WordPress adalah Sistem Pengelolaan Konten (CMS) populer yang digunakan untuk membuat dan mengelola situs web. Saat pengguna berinteraksi dengan situs WordPress, browser mereka mengirimkan permintaan ke server yang menghosting situs tersebut dan server merespons dengan data yang diminta, seperti halaman web, gambar, atau video.

SSL (Secure Sockets Layer) adalah protokol keamanan yang mengenkripsi data yang dikirimkan antara browser pengguna dan server yang menghosting situs WordPress. SSL memastikan bahwa data yang dipertukarkan antara kedua pihak dilindungi dari intersepsi dan manipulasi oleh peretas atau pihak ketiga.

Menerapkan SSL di situs WordPress melibatkan perolehan sertifikat SSL digital dari otoritas sertifikat (CA) tepercaya, yang akan memverifikasi keaslian situs dan membuat koneksi terenkripsi yang aman antara browser pengguna dan server. Setelah dipasang, SSL akan melindungi informasi sensitif seperti kredensial masuk, detail kartu kredit, dan informasi pribadi yang dimasukkan di situs web.

Tanpa SSL, data apa pun yang dikirimkan antara browser pengguna dan server dikirim dalam bentuk teks biasa, yang berarti siapa pun yang memiliki akses ke jaringan dapat mencegat dan membaca data tersebut. Hal ini membuat pengguna rentan terhadap pelanggaran data dan pencurian identitas.

Menerapkan SSL di situs WordPress Anda sangat penting untuk memastikan keamanan dan privasi data pengguna Anda. Banyak host web menawarkan sertifikat SSL secara gratis dan beberapa bahkan menawarkan penginstalan mudah melalui penginstal sekali klik.

Apakah SSL sebuah plugin untuk WordPress?
Tidak, SSL (Secure Sockets Layer) bukanlah sebuah plugin melainkan sebuah protokol keamanan yang diimplementasikan pada tingkat server. Namun, ada plugin WordPress yang dapat membantu Anda menyiapkan SSL di situs Anda.

Salah satu plugin tersebut adalah Really Simple SSL, yang secara otomatis mendeteksi sertifikat SSL Anda dan mengonfigurasi situs WordPress Anda untuk menggunakan SSL. Plugin ini juga memperbaiki kesalahan konten campuran apa pun yang mungkin terjadi saat bermigrasi dari HTTP ke HTTPS.

Plugin lainnya adalah WP Force SSL, yang memaksa situs WordPress Anda untuk menggunakan HTTPS dengan mengalihkan semua permintaan HTTP ke HTTPS. Plugin ini berguna jika Anda telah memasang sertifikat SSL di server dan ingin memastikan bahwa semua lalu lintas ke situs Anda dienkripsi.

Perlu diingat bahwa meskipun plugin dapat membantu menyederhanakan proses penerapan SSL di situs WordPress Anda, sertifikat dan konfigurasi SSL yang sebenarnya harus disiapkan di tingkat server. Banyak host web menawarkan sertifikat SSL gratis dan beberapa bahkan menawarkan penginstalan sekali klik melalui panel kontrol mereka.

7.- Gunakan Firewall

Firewall dapat membantu melindungi situs Anda dari lalu lintas berbahaya dengan memblokir permintaan atau alamat IP yang mencurigakan. Plugin seperti Wordfence atau iThemes Security dapat digunakan untuk mengaktifkan fitur ini.

Apa itu firewall?

Firewall adalah ukuran keamanan yang mengontrol lalu lintas yang datang ke dan dari server. Dalam konteks situs WordPress, firewall dapat membantu melindungi situs dari berbagai jenis serangan, termasuk serangan brute force, serangan DDoS, dan bot berbahaya.

Ada dua jenis firewall yang dapat diterapkan di situs WordPress: firewall tingkat jaringan dan firewall tingkat aplikasi.

- Firewall tingkat jaringan diimplementasikan pada tingkat server dan dirancang untuk memfilter lalu lintas sebelum mencapai aplikasi WordPress. Jenis firewall ini dapat dikonfigurasi untuk memblokir lalu lintas berdasarkan berbagai kriteria termasuk alamat IP, port, dan protokol.

- Firewall tingkat aplikasi di sisi lain, diimplementasikan dalam aplikasi WordPress itu sendiri dan dirancang untuk memfilter lalu lintas di tingkat aplikasi. Jenis firewall ini dapat dikonfigurasi untuk memblokir permintaan mencurigakan berdasarkan berbagai kriteria, termasuk agen pengguna, parameter URL, dan frekuensi permintaan.

Plugin seperti Wordfence atau iThemes Security dapat digunakan untuk menerapkan firewall tingkat aplikasi di situs WordPress. Plugin ini menawarkan berbagai fitur keamanan termasuk pemindaian malware, autentikasi dua faktor, dan perlindungan brute-force. Mereka juga menawarkan kemampuan untuk memblokir alamat atau permintaan IP yang mencurigakan, yang dapat membantu melindungi situs Anda dari lalu lintas berbahaya.

Untuk mengimplementasikan firewall di situs WordPress Anda, Anda dapat menginstal plugin keamanan untuk mengonfigurasi pengaturan firewall dan mengaktifkan fitur firewall. Penting untuk diperhatikan bahwa meskipun firewall dapat membantu melindungi situs Anda, firewall bukanlah pengganti praktik keamanan yang baik seperti memperbarui situs WordPress dan plugin menggunakan sandi yang kuat, dan mencadangkan situs Anda secara rutin.

8.- Sembunyikan Versi WordPress

Menyembunyikan nomor versi WordPress dapat mencegah peretas menargetkan kerentanan yang diketahui. Ini dapat dilakukan dengan menambahkan baris kode berikut ke file functions.php Anda:

remove_action('wp_head', 'wp_generator');

Menyembunyikan nomor versi WordPress dapat menjadi langkah keamanan yang efektif karena dapat mencegah peretas menargetkan kerentanan yang diketahui di versi WordPress tertentu. Saat peretas mengetahui nomor versi WordPress yang digunakan, mereka dapat mencari kerentanan khusus untuk versi tersebut dan mengeksploitasinya untuk mendapatkan akses ke situs.

9.- Batasi Akses ke wp-admin

Membatasi akses ke wp-admin dengan membatasi alamat IP yang dapat mengakses direktori dapat mencegah akses tidak sah ke backend situs Anda.

Ini adalah tindakan keamanan umum yang dapat membantu mencegah akses tidak sah ke backend situs Anda. Namun, jika alamat IP Anda dinamis, artinya berubah setiap kali Anda terhubung ke internet, mungkin sulit untuk membatasi akses berdasarkan alamat IP Anda.

Ada beberapa cara untuk mengatasi masalah ini:

- Gunakan VPN: VPN (Virtual Private Network) dapat memberi Anda alamat IP statis yang dapat Anda gunakan untuk mengakses direktori wp-admin. Dengan cara ini, Anda dapat membatasi akses ke direktori wp-admin berdasarkan alamat IP VPN Anda.

- Gunakan layanan DNS dinamis: Layanan DNS dinamis dapat memberi Anda nama domain yang selalu dikaitkan dengan alamat IP Anda saat ini. Dengan cara ini, Anda dapat membatasi akses ke direktori wp-admin berdasarkan nama domain Anda.

Jika tak satu pun dari opsi ini memungkinkan, Anda masih dapat menggunakan file .htaccess untuk membatasi akses ke direktori wp-admin.

Begini caranya:

- Buat file .htaccess di direktori wp-admin jika belum ada.

- Tambahkan kode berikut ke file .htaccess:

<Files wp-login.php>
order deny, allow
deny from all
allow from xx.xx.xx.xx
</Files>

Ganti "xx.xx.xx.xx" dengan alamat IP Anda atau rentang alamat IP yang ingin Anda izinkan untuk mengakses direktori wp-admin. Anda juga dapat menambahkan beberapa baris "izinkan dari" untuk mengizinkan akses dari beberapa alamat IP atau rentang alamat IP.

Perlu diingat bahwa meskipun membatasi akses ke direktori wp-admin dapat membantu mencegah akses tidak sah, ini bukan pengganti tindakan keamanan lainnya seperti menggunakan kata sandi yang kuat, memperbarui situs dan plugin WordPress Anda, dan menggunakan plugin keamanan.

Opsi lain, login ekstra
Untuk membuat login prompt menggunakan file .htaccess dan .htpasswd untuk mengamankan situs WordPress, Anda dapat mengikuti langkah-langkah berikut:

- Buat file .htpasswd: Gunakan alat seperti htpasswd untuk membuat file .htpasswd dengan nama pengguna dan sandi yang ingin Anda gunakan untuk prompt masuk. Misalnya, jika Anda ingin menggunakan nama pengguna "admin" dan kata sandi "password123" (tentu saja, kata sandi ini hanya contoh, gunakan yang kuat!), Anda akan menjalankan perintah berikut di terminal:

htpasswd -c /path/to/.htpasswd admin password123

Ini membuat file .htpasswd baru dengan nama pengguna "admin" dan sandi terenkripsi "password123".

Buat file .htaccess: Buat file .htaccess baru di direktori akar situs WordPress Anda. Tambahkan kode berikut ke file .htaccess:

AuthType Basic
AuthName "Restricted Area"
AuthUserFile /path/to/.htpasswd
Require valid-user
Replace "/path/to/.htpasswd" with the actual path to your .htpasswd file.

- Unggah file ke server Anda: Unggah file .htaccess dan .htpasswd ke direktori akar situs WordPress Anda.

- Uji prompt login: Arahkan ke situs WordPress Anda di browser web Anda. Anda akan melihat permintaan masuk yang meminta nama pengguna dan sandi yang Anda buat di langkah 1.

- Kecualikan wp-admin dan wp-login.php: Untuk memastikan bahwa Anda masih dapat masuk ke dasbor admin WordPress, Anda perlu mengecualikan direktori wp-admin dan wp-login. php dari prompt login. Tambahkan kode berikut ke file .htaccess Anda:

<Files wp-login.php>
Satisfy Any
Allow from all
</Files>

<FilesMatch "^wp-admin">
Satisfy Any
Allow from all
</FilesMatch>

Ini akan mengecualikan direktori wp-admin dan file wp-login.php dari prompt login sehingga Anda tetap dapat masuk ke dasbor WordPress seperti biasa. Dengan mengikuti langkah-langkah ini, Anda dapat membuat login cepat menggunakan file .htaccess dan .htpasswd untuk mengamankan situs WordPress Anda. Ini bisa menjadi ukuran keamanan yang berguna untuk melindungi area sensitif situs Anda, seperti file wp-config.php atau direktori konten-wp.

10.- Cadangkan Secara Rutin

Kiat terakhir tetapi mungkin yang paling penting: Mencadangkan situs secara teratur akan memastikan bahwa Anda dapat memulihkan data jika terjadi peretasan atau bencana lainnya. Plugin seperti UpdraftPlus atau BackupBuddy dapat digunakan untuk mengaktifkan fitur ini.

Mencadangkan situs WordPress Anda secara teratur adalah tugas penting bagi setiap pemilik situs web karena dapat membantu Anda memulihkan data jika terjadi peretasan atau bencana lainnya. Untungnya ada banyak plugin yang tersedia yang dapat membantu Anda mengotomatiskan proses ini. Berikut cara mencadangkan situs WordPress Anda menggunakan plugin:

- Pasang plugin cadangan: Ada banyak plugin cadangan yang tersedia untuk WordPress, tetapi dua opsi populer adalah UpdraftPlus dan BackupBuddy. Untuk memasang plugin, buka bagian "Plugins" di dasbor WordPress Anda dan klik "Tambah Baru". Cari plugin yang ingin Anda gunakan, instal, dan aktifkan.

- Konfigurasi plugin: Setelah menginstal plugin cadangan, Anda harus mengonfigurasinya. Ini biasanya melibatkan pengaturan jadwal pencadangan (seperti pencadangan harian atau mingguan) memilih apa yang akan dicadangkan (seperti database atau seluruh situs Anda) dan memutuskan di mana akan menyimpan cadangan Anda (seperti di server Anda, di cloud, atau di layanan eksternal).

- Jalankan cadangan pertama Anda: Setelah Anda mengonfigurasi plugin cadangan, jalankan cadangan pertama Anda. Ini mungkin membutuhkan waktu, bergantung pada ukuran situs Anda dan setelan yang Anda pilih.

- Verifikasi cadangan Anda: Setelah pencadangan Anda selesai, verifikasi bahwa pencadangan berhasil. Periksa apakah file cadangan ada dan berisi semua data yang Anda perlukan.

- Otomatiskan cadangan Anda: Untuk memastikan cadangan Anda selalu diperbarui, otomatiskan proses pencadangan menggunakan fitur penjadwalan plugin. Ini akan memastikan bahwa situs Anda dicadangkan secara teratur tanpa Anda harus ingat untuk melakukannya secara manual.

Dengan mengikuti langkah-langkah ini, Anda dapat mencadangkan situs WordPress secara rutin menggunakan plugin. Ini dapat membantu Anda memulihkan data jika terjadi peretasan atau bencana lainnya dan memberi Anda ketenangan pikiran karena mengetahui bahwa situs Anda dilindungi.