Tuduhan bahwa WordPress adalah platform yang tidak aman sudah sering terdengar. Faktanya, memang banyak website yang dibangun di atas WordPress berhasil diretas dan dialihkan menjadi situs ilegal. Di Indonesia, kasus yang paling umum adalah website yang tiba-tiba berubah menjadi situs judi online. Karena mayoritas korbannya menggunakan WordPress, banyak orang langsung mengambil kesimpulan bahwa WordPress-lah penyebabnya.
Tapi apakah kesimpulan itu benar?
Bukan Salah Alatnya
Sebelum menyalahkan teknologinya, ada baiknya kita telusuri terlebih dahulu bagaimana website tersebut dibangun dan dikelola. Beberapa pertanyaan yang perlu dijawab:
- Apakah plugin dan tema yang digunakan berasal dari sumber resmi dan terpercaya?
- Apakah update WordPress, tema, dan plugin dilakukan secara rutin?
- Apakah server yang digunakan memiliki reputasi dan standar keamanan yang baik?
- Apakah password yang digunakan kuat dan tidak digunakan ulang di tempat lain?
Jika salah satu dari pertanyaan di atas jawabannya “tidak”, maka celah keamanan sudah terbuka bahkan sebelum serangan terjadi.
WordPress memang dirancang untuk mudah digunakan, namun kemudahan itu tidak berarti bebas dari tanggung jawab teknis. Sifatnya yang open-source dan self-hosted mengharuskan pengguna untuk mengelola keamanan situsnya sendiri. Tidak ada tim support resmi yang siap membantu sewaktu-waktu, kecuali bagi pengguna layanan WordPress.com. Artinya, semua keputusan teknis ada di tangan pemilik situs, dan itulah yang sering diabaikan.
Keamanan Berlapis: Pendekatan yang Tepat
Keamanan website yang baik tidak cukup hanya dengan satu langkah. Dibutuhkan pendekatan berlapis (defense in depth) yang mencakup setiap komponen dari infrastruktur hingga tampilan depan. Berikut adalah lapisan-lapisan keamanan yang wajib diterapkan:
1. Lapisan Sistem Operasi (OS)
Bagi pengguna VPS (Virtual Private Server), keamanan di level OS sepenuhnya menjadi tanggung jawab pengguna. Beberapa langkah dasar yang harus dilakukan:
- Pasang Fail2ban untuk memblokir IP yang mencoba login secara brute force.
- Gunakan SSH Key sebagai pengganti password saat mengakses server, karena jauh lebih aman.
- Pindahkan port SSH dari port default (22) ke port lain untuk mengurangi eksposur terhadap serangan otomatis.
- Selalu lakukan pembaruan paket OS secara rutin untuk menutup celah keamanan yang baru ditemukan.
2. Lapisan Web Server
Di lapisan ini, ada dua hal utama yang tidak boleh dilewatkan:
- SSL/TLS: Selalu gunakan SSL untuk mengenkripsi semua data yang berpindah antara server dan pengguna. Selain melindungi data, SSL juga berdampak positif pada peringkat SEO karena mesin pencari lebih mempercayai situs yang menggunakan HTTPS.
- Cloudflare sebagai Proxy: Cloudflare menyembunyikan IP asli server sehingga serangan langsung ke server menjadi jauh lebih sulit dilakukan. Cloudflare juga membantu menyaring lalu lintas bot berbahaya sebelum mencapai server.
3. Lapisan Database
Database adalah aset paling berharga di sebuah website. Untuk melindunginya:
- Gunakan prefix tabel yang unik saat instalasi WordPress. Prefix default
wp_sudah diketahui oleh banyak skrip peretas otomatis, sehingga menggantinya akan menyulitkan proses eksploitasi. - Batasi akses database hanya dari localhost. Database tidak boleh bisa diakses dari IP luar server, sehingga meskipun ada kebocoran kredensial, eksploitasi dari luar tetap tidak bisa dilakukan.
- Buat pengguna database dengan hak akses (privileges) seminimal mungkin sesuai kebutuhan aplikasi.
4. Lapisan Aplikasi
Ini adalah lapisan yang paling dekat dengan WordPress itu sendiri:
- Web Application Firewall (WAF): Gunakan fitur WAF dari Cloudflare atau plugin keamanan seperti Wordfence. WAF bertugas memfilter dan memblokir permintaan berbahaya sebelum mencapai aplikasi, termasuk serangan SQL injection, XSS, dan eksploitasi plugin.
- Two-Factor Authentication (2FA): Aktifkan 2FA untuk semua akun yang memiliki akses ke halaman admin. Plugin seperti WP 2FA atau Google Authenticator bisa digunakan untuk tujuan ini.
- Batasi percobaan login: Gunakan plugin atau konfigurasi server untuk membatasi jumlah percobaan login yang gagal dari satu IP.
- Sembunyikan URL login: Ubah URL
/wp-adminatau/wp-login.phpke URL yang tidak umum diketahui untuk mengurangi target serangan otomatis.
5. Lapisan Frontend
Tampilan depan website bukan hanya soal estetika, tapi juga gerbang interaksi langsung dengan pengguna, termasuk pengguna jahat:
- Captcha pada semua formulir: Pasang Google reCAPTCHA atau Cloudflare Turnstile pada form kontak, pendaftaran, dan komentar untuk mencegah spam dan serangan bot.
- Batasi unggahan file: Jika website menerima unggahan dari pengguna, batasi format file yang diizinkan dan tetapkan batas ukuran yang wajar. Ini mencegah penyerang mengunggah file berbahaya melalui form.
- Nonaktifkan fitur yang tidak digunakan: Fitur seperti XML-RPC yang tidak dipakai sebaiknya dinonaktifkan, karena sering menjadi celah yang dieksploitasi.
Keamanan Bukan Biaya, Tapi Investasi
Mengelola keamanan website mungkin terasa merepotkan, terutama bagi pemilik bisnis yang tidak berlatar belakang teknis. Jika memang tidak memiliki waktu atau keahlian untuk melakukannya sendiri, pilihan terbaik adalah menyewa profesional yang berpengalaman di bidang keamanan WordPress.
Perlu diingat bahwa saat ini ada jutaan bot yang setiap harinya secara otomatis mencoba meretas website di seluruh dunia. Bukan untuk menakut-nakuti, tapi itulah kenyataan yang ada. Dengan menerapkan lapisan keamanan yang tepat sejak awal, risiko serangan bisa diminimalisir secara signifikan dan bisnis tetap bisa berjalan tanpa gangguan.
WordPress bukan tidak aman. WordPress yang tidak dikelola dengan benar, itulah yang tidak aman.
