Popularitas WordPress membuatnya menjadi target favorit penyerang. Namun, sebagian besar kasus peretasan tidak berasal dari inti WordPress, melainkan dari plugin dan tema yang usang, password lemah, atau konfigurasi server yang longgar. Berikut tips praktis untuk memperkuat keamanan situs WordPress Anda.
1. Rutin memperbarui core, plugin, dan tema
Laporan para peneliti keamanan WordPress secara konsisten menunjukkan bahwa mayoritas kerentanan baru ditemukan di plugin. Begitu celah diumumkan, bot otomatis mulai memindai situs yang belum diperbarui, kadang dalam hitungan jam. Aktifkan pembaruan otomatis untuk rilis minor WordPress dan plugin yang Anda percaya, serta periksa dasbor secara rutin untuk pembaruan lainnya.
2. Kurangi plugin dan tema
Setiap plugin menambah kode yang bisa saja rentan. Hapus (bukan hanya menonaktifkan) plugin dan tema yang tidak dipakai. Pilih plugin yang aktif dikembangkan, punya banyak pengguna, dan diunduh dari sumber resmi. Jangan pernah memakai plugin atau tema “nulled”, karena sering disisipi backdoor.
3. Akun yang kuat
- Hindari username yang mudah ditebak seperti “admin”.
- Gunakan password panjang dan unik dari password manager.
- Aktifkan autentikasi dua faktor (2FA) untuk semua akun administrator.
- Terapkan prinsip hak akses minimum: penulis cukup diberi peran Author atau Editor, bukan Administrator.
- Tinjau daftar pengguna secara berkala dan hapus akun yang tidak lagi diperlukan.
4. Batasi percobaan login
Serangan brute force mencoba ribuan kombinasi password ke halaman login. Plugin pembatas login (misalnya Limit Login Attempts Reloaded) atau proteksi di level server seperti cPHulk di cPanel dan Fail2Ban di Plesk akan memblokir alamat IP yang terlalu banyak gagal.
5. Matikan fitur yang tidak dibutuhkan
- Editor file di dasbor: tambahkan
define('DISALLOW_FILE_EDIT', true);diwp-config.php. Jika akun admin dibobol, penyerang tidak bisa langsung menyisipkan kode lewat editor tema atau plugin. - XML-RPC: jika tidak memakai aplikasi atau layanan yang membutuhkannya, blokir
xmlrpc.phpkarena sering disalahgunakan untuk brute force dan serangan amplifikasi. - Registrasi pengguna: matikan “Anyone can register” jika situs tidak membutuhkan anggota.
6. Amankan file dan izin akses
Panduan hardening WordPress menyarankan izin direktori 755 dan file 644, dengan wp-config.php dibuat lebih ketat (misalnya 400 atau 440) sesuai konfigurasi server. Blokir akses publik ke file sensitif seperti wp-config.php, file log, dan dump database. Cegah eksekusi PHP di folder wp-content/uploads, karena folder ini sering dipakai penyerang untuk menaruh web shell.
7. Pakai HTTPS dan header keamanan
Pastikan seluruh situs, termasuk halaman login, berjalan lewat HTTPS. Aktifkan FORCE_SSL_ADMIN. Tambahkan header keamanan seperti Strict-Transport-Security, X-Content-Type-Options: nosniff, X-Frame-Options, dan Referrer-Policy untuk mengurangi risiko serangan di sisi browser.
8. Ganti salts dan kunci keamanan
Kunci dan salts di wp-config.php dipakai untuk mengamankan cookie login. Ganti dengan nilai baru dari generator resmi WordPress, terutama setelah insiden keamanan. Mengganti salts akan memaksa semua pengguna login ulang.
9. Backup dan pemantauan
Keamanan bukan hanya soal mencegah, tetapi juga memulihkan. Simpan backup terjadwal di lokasi terpisah. Pantau perubahan file, pengguna admin baru yang mencurigakan, dan plugin yang tiba-tiba muncul. Banyak kampanye serangan terkini membuat akun admin tersembunyi atau memasang plugin palsu sebagai jalan masuk cadangan.
10. Pilih hosting yang peduli keamanan
Lingkungan server ikut menentukan. Pilih hosting yang memakai versi PHP yang masih didukung, cepat menerapkan patch keamanan, mengisolasi akun antarpengguna, dan menyediakan firewall serta proteksi brute force.
Jika situs sudah diretas
- Ganti semua password (WordPress, hosting, database, FTP) dan salts.
- Periksa akun admin dan plugin yang tidak dikenal.
- Bandingkan file inti dengan versi resmi, misalnya memakai
wp core verify-checksums. - Pulihkan dari backup bersih jika perlu, lalu perbarui semua komponen sebelum situs dibuka kembali.
Keamanan WordPress adalah proses berkelanjutan. Dengan kebiasaan sederhana di atas, situs Anda jauh lebih sulit menjadi korban serangan otomatis. Situs ini sendiri dikelola dengan sebagian besar praktik tersebut di server Kudo.