Cara Mengamankan Website WordPress dari Serangan Hacker, Panduan Lengkap

Website WordPress tidak hanya perlu diamankan ketika sudah terkena serangan. Perubahan kecil seperti menunda pembaruan, menggunakan password yang mudah ditebak, atau membiarkan plugin lama tetap terpasang dapat membuka peluang bagi penyerang untuk mengeksploitasi celah keamanan. Karena itu, keamanan WordPress sebaiknya diperlakukan sebagai proses yang dilakukan secara rutin, bukan tindakan sekali saja ketika muncul masalah.

Pentingnya langkah tersebut kembali terlihat pada Juli 2026 ketika WordPress merilis pembaruan keamanan untuk memperbaiki dua kerentanan pada cabang versi yang terdampak. Salah satunya berkaitan dengan REST API batch route dan dapat dikombinasikan dengan kerentanan SQL injection untuk menghasilkan Remote Code Execution, sedangkan kerentanan lainnya juga berkaitan dengan SQL injection. WordPress bahkan mengaktifkan forced updates melalui sistem auto-update untuk instalasi yang menjalankan versi terdampak karena tingkat risikonya.

Kasus tersebut menunjukkan bahwa website yang terlihat normal dari sisi pengunjung tetap dapat memiliki risiko keamanan di balik layar. Namun, menjaga keamanan WordPress tidak berarti harus memahami seluruh teknik peretasan atau melakukan konfigurasi server yang rumit. Ada sejumlah langkah dasar yang dapat dilakukan pemilik website untuk mengurangi permukaan serangan, mulai dari memperbarui komponen hingga memperkuat akun administrator.

Mengapa Keamanan WordPress Perlu Diperhatikan?

WordPress merupakan salah satu sistem manajemen konten yang banyak digunakan untuk membangun website, sehingga ekosistemnya juga menjadi target yang menarik bagi penyerang. Risiko tersebut tidak hanya berasal dari WordPress Core, tetapi juga dari plugin, tema, konfigurasi website, kredensial pengguna, serta komponen lain yang terhubung dengan situs. Semakin banyak komponen yang digunakan tanpa pemeliharaan yang baik, semakin banyak pula bagian yang perlu diperhatikan dari sisi keamanan.

Kerentanan WordPress yang Dieksploitasi pada Juli 2026

Pada 17 Juli 2026, WordPress merilis versi 7.0.2 sebagai pembaruan keamanan yang menangani satu kerentanan critical dan satu kerentanan high severity. Dua isu tersebut tercatat sebagai CVE-2026-63030 dan CVE-2026-60137, dengan perbaikan juga diberikan melalui WordPress 6.9.5 untuk cabang 6.9 dan WordPress 6.8.6 untuk cabang 6.8 yang terdampak. WordPress menyarankan pengguna memperbarui situs sesegera mungkin dan mengaktifkan mekanisme pembaruan otomatis jika tersedia.

CVE-2026-63030 berkaitan dengan masalah pada pemrosesan batch route REST API, sedangkan CVE-2026-60137 berkaitan dengan SQL injection pada pemrosesan query WordPress. Dalam kondisi tertentu, kedua masalah tersebut dapat dikombinasikan sehingga dampaknya menjadi jauh lebih serius, termasuk kemungkinan eksekusi kode dari jarak jauh. Karena itu, pembaruan keamanan seperti ini tidak seharusnya dianggap sebagai pembaruan biasa yang dapat ditunda sampai waktu luang.

Kasus tersebut juga memberikan pelajaran penting bagi pemilik website: keamanan tidak cukup hanya dengan memasang WordPress sekali lalu membiarkannya berjalan. Celah baru dapat ditemukan setelah sebuah versi dirilis dan penyerang dapat bergerak cepat ketika informasi mengenai kerentanan sudah tersedia. Dengan menjaga komponen tetap diperbarui dan memantau pemberitahuan keamanan, pemilik situs memiliki peluang lebih besar untuk menutup celah sebelum dimanfaatkan.

Plugin Menjadi Salah Satu Permukaan Serangan Terbesar

Perhatian terhadap keamanan WordPress juga perlu diarahkan pada plugin dan tema yang dipasang di dalam website. Berdasarkan laporan Patchstack tentang keamanan WordPress 2026, sebanyak 91 persen kerentanan baru yang tercatat dalam ekosistem WordPress pada 2025 ditemukan pada plugin, sedangkan 9 persen ditemukan pada tema. Pada periode yang sama, hanya enam kerentanan yang dilaporkan pada WordPress Core dan dikategorikan sebagai isu dengan prioritas rendah oleh laporan tersebut.

Angka tersebut tidak berarti WordPress Core boleh diabaikan, terutama ketika muncul pembaruan keamanan seperti kasus Juli 2026. Poin pentingnya adalah bahwa keamanan sebuah website WordPress ditentukan oleh keseluruhan ekosistem yang digunakan, bukan hanya oleh versi WordPress Core. Plugin yang tidak diperbarui, sudah ditinggalkan pengembangnya, atau memiliki kerentanan yang belum ditangani dapat menjadi titik masuk yang sama seriusnya.

Karena itu, jumlah plugin bukan satu-satunya hal yang perlu diperhatikan. Pemilik website juga perlu mengetahui plugin apa saja yang digunakan, apakah masih mendapatkan pembaruan, dari mana plugin tersebut diperoleh, dan apakah semuanya benar-benar masih diperlukan. Pengelolaan komponen secara rutin menjadi bagian penting dari strategi keamanan WordPress.

Apa Arti Kerentanan bagi Pemilik Website?

Kerentanan keamanan pada dasarnya merupakan kelemahan yang dapat dimanfaatkan untuk melakukan tindakan yang seharusnya tidak diizinkan oleh sistem. Dampaknya sangat bergantung pada jenis celah dan kondisi website, mulai dari akses tidak sah hingga perubahan konten, pencurian data, penyisipan kode berbahaya, atau pengambilalihan fungsi tertentu pada situs. Tidak semua kerentanan memiliki dampak yang sama, sehingga tingkat risiko perlu dilihat berdasarkan konteks dan bukti eksploitasi yang tersedia.

Masalahnya, pemilik website sering kali baru menyadari adanya serangan setelah muncul tanda-tanda yang terlihat. Misalnya, terdapat akun administrator asing, halaman website berubah tanpa izin, muncul redirect ke situs lain, atau website tiba-tiba menampilkan peringatan keamanan. Padahal, pada tahap tersebut penyerang mungkin sudah lebih dahulu memperoleh akses atau meninggalkan mekanisme untuk kembali masuk ke sistem.

Itulah sebabnya keamanan WordPress perlu dibangun secara berlapis. Pembaruan menutup celah yang sudah diketahui, perlindungan login mengurangi risiko pengambilalihan akun, backup membantu proses pemulihan, sedangkan pengelolaan plugin dan tema membantu mengurangi jumlah titik yang dapat diserang. Langkah-langkah tersebut saling melengkapi dan sebaiknya diterapkan sebagai bagian dari rutinitas pengelolaan website.

Langkah-Langkah Mengamankan Website WordPress

Setelah memahami mengapa keamanan WordPress perlu diperhatikan, langkah berikutnya adalah menerapkan perlindungan secara bertahap. Tidak semua tindakan membutuhkan kemampuan teknis yang tinggi, karena sebagian besar perlindungan dasar dapat dilakukan langsung dari dashboard WordPress atau melalui pengaturan layanan hosting. Prinsipnya adalah mengurangi sebanyak mungkin celah yang dapat dimanfaatkan penyerang sekaligus memastikan website tetap dapat dipulihkan jika terjadi masalah.

1. Selalu Perbarui WordPress, Plugin, dan Tema

Pembaruan merupakan salah satu langkah paling penting untuk menjaga keamanan website WordPress. Pengembang WordPress, plugin, dan tema secara berkala merilis patch untuk memperbaiki bug serta kerentanan yang ditemukan setelah sebuah komponen digunakan oleh banyak orang. Menunda pembaruan berarti membiarkan celah yang sudah diketahui tetap terbuka lebih lama dari yang diperlukan.

Untuk memeriksa pembaruan, buka dashboard WordPress kemudian masuk ke menu Dashboard > Updates. Dari halaman tersebut, pemilik website dapat melihat apakah tersedia pembaruan untuk WordPress Core, plugin, atau tema yang terpasang. Sebelum melakukan pembaruan besar, terutama pada website yang aktif digunakan, pastikan tersedia backup yang masih dapat dipulihkan jika terjadi masalah kompatibilitas.

Untuk komponen yang mendukungnya, pembaruan otomatis dapat membantu mengurangi risiko karena patch keamanan tidak harus menunggu pemilik website melakukan pemeriksaan secara manual. Namun, auto-update bukan berarti website dapat ditinggalkan tanpa pengawasan, karena pembaruan tetap perlu dipantau untuk memastikan tidak terjadi konflik dengan plugin, tema, atau konfigurasi lain. Pemilik website juga sebaiknya tetap mengetahui versi komponen yang digunakan agar dapat merespons ketika muncul peringatan keamanan penting.

Selain WordPress Core, perhatian yang sama perlu diberikan kepada plugin dan tema. Plugin yang tidak pernah diperbarui atau sudah tidak dipelihara pengembangnya dapat menjadi risiko meskipun website menggunakan WordPress versi terbaru. Jika sebuah plugin sudah tidak diperlukan, lebih baik menghapusnya daripada sekadar membiarkannya tidak aktif.

2. Perkuat Keamanan Login WordPress

Akun administrator merupakan salah satu aset paling penting dalam sebuah website WordPress. Jika penyerang berhasil mengambil alih akun dengan hak akses tinggi, mereka dapat melakukan perubahan besar terhadap website, termasuk mengubah konten, memasang komponen tertentu, membuat akun baru, atau mengubah konfigurasi. Karena itu, keamanan login harus menjadi salah satu prioritas utama setelah memastikan seluruh komponen website diperbarui.

Mulailah dengan menggunakan password yang panjang, unik, dan tidak digunakan pada layanan lain. Hindari penggunaan nama, tanggal lahir, nomor telepon, nama website, atau kombinasi sederhana yang mudah ditebak karena informasi tersebut dapat digunakan dalam percobaan serangan otomatis. Untuk panduan tambahan mengenai prinsip membuat password yang lebih sulit ditebak, pembaca juga dapat melihat artikel membuat password yang sulit ditebak di BERITANDA.ID.

Password yang kuat tetap sebaiknya dilengkapi dengan lapisan keamanan tambahan melalui Two-Factor Authentication (2FA). Dengan 2FA, proses login membutuhkan faktor kedua setelah password, sehingga password yang diketahui pihak lain tidak selalu cukup untuk mengambil alih akun. Untuk akun administrator, penggunaan 2FA sangat dianjurkan karena akun tersebut memiliki kewenangan paling besar terhadap website.

WordPress juga dapat diperkuat dengan membatasi percobaan login yang gagal. Mekanisme ini membantu mengurangi serangan brute force, yaitu percobaan login berulang menggunakan kombinasi username dan password secara otomatis. Fitur pembatasan login biasanya tersedia melalui plugin keamanan atau layanan keamanan tertentu, tetapi pengaturannya tetap perlu disesuaikan agar tidak mengganggu pengguna sah yang mengalami kesalahan login.

Perhatikan pula username administrator yang digunakan pada website. Username admin atau nama pengguna yang terlalu mudah ditebak memberikan satu informasi penting kepada penyerang sebelum mereka mencoba menebak password. Jika website masih menggunakan akun administrator dengan username yang mudah ditebak, buat akun administrator baru dengan username yang lebih unik, pindahkan kepemilikan konten bila diperlukan, kemudian hapus akun lama setelah memastikan tidak ada kebutuhan administratif yang tertinggal.

Untuk 2FA, simpan juga backup codes di tempat yang aman dan tidak bergantung pada perangkat utama yang digunakan untuk login. Kode tersebut dapat menjadi jalur pemulihan ketika perangkat autentikasi hilang atau tidak dapat digunakan. Namun, backup codes harus diperlakukan seperti kredensial sensitif karena siapa pun yang memperoleh akses terhadap kode tersebut dapat berpotensi melewati lapisan autentikasi tambahan.

3. Gunakan Plugin Keamanan dan Firewall Secukupnya

Plugin keamanan dapat membantu menambahkan lapisan perlindungan yang tidak tersedia secara default pada instalasi WordPress. Fungsinya dapat mencakup firewall, pemindaian file untuk mendeteksi perubahan mencurigakan, pemantauan aktivitas login, serta pemberitahuan ketika ditemukan indikasi masalah keamanan. Namun, plugin keamanan bukan pengganti pembaruan, password yang kuat, 2FA, dan praktik keamanan dasar lainnya.

Salah satu fitur yang perlu diperhatikan adalah Web Application Firewall (WAF). WAF bekerja dengan memeriksa lalu lintas yang menuju website dan dapat memblokir pola permintaan yang dianggap berbahaya berdasarkan aturan keamanan yang tersedia. Pada beberapa layanan, perlindungan tersebut dapat bekerja sebelum permintaan mencapai aplikasi WordPress, sedangkan plugin security tertentu menyediakan firewall dari dalam lingkungan WordPress.

Fitur lain yang berguna adalah malware scanner dan pemantauan perubahan file. Pemindaian dapat membantu menemukan file atau pola kode yang mencurigakan, sementara pemantauan perubahan dapat memberikan peringatan ketika file penting berubah tanpa alasan yang jelas. Hasil pemindaian tetap perlu diperiksa dengan hati-hati karena tidak setiap perubahan file merupakan tanda serangan, terutama pada website yang rutin menerima pembaruan.

Gunakan satu solusi keamanan yang sesuai dengan kebutuhan website dan pahami fitur yang ditawarkan sebelum mengaktifkannya. Memasang banyak plugin security dengan fungsi yang tumpang tindih bukan berarti perlindungan otomatis menjadi lebih kuat, karena beberapa fitur firewall, pemindaian, atau pembatasan login dapat saling berbenturan. Semakin banyak komponen yang tidak diperlukan juga berarti semakin banyak perangkat lunak yang harus dipelihara dan diperbarui.

4. Lindungi Website dengan HTTPS dan Backup

HTTPS merupakan bagian penting dari keamanan website karena mengenkripsi komunikasi antara browser pengunjung dan server. Dengan HTTPS, data yang dikirim melalui koneksi tersebut lebih terlindungi dari penyadapan atau manipulasi selama perjalanan antara pengguna dan server. Sertifikat TLS yang digunakan untuk HTTPS juga membantu browser memastikan bahwa koneksi menuju domain tersebut menggunakan identitas digital yang sesuai.

Pemilik website dapat memeriksa apakah situs sudah menggunakan HTTPS dengan melihat alamat website di browser dan memastikan koneksi menggunakan https://. Banyak penyedia hosting menyediakan sertifikat TLS tanpa biaya tambahan melalui layanan seperti Let’s Encrypt, meskipun cara pemasangan dan pengelolaannya dapat berbeda pada setiap penyedia hosting. Setelah HTTPS aktif, pastikan seluruh halaman dan resource website juga dapat dimuat melalui koneksi HTTPS agar tidak menimbulkan masalah mixed content.

Namun, HTTPS tidak dapat mencegah semua jenis serangan terhadap WordPress. HTTPS terutama melindungi komunikasi dalam perjalanan, sedangkan kerentanan plugin, password yang bocor, malware, atau akun administrator yang diambil alih membutuhkan lapisan perlindungan lain. Karena itu, HTTPS harus dipandang sebagai salah satu komponen keamanan, bukan sebagai solusi tunggal.

Lapisan berikutnya adalah backup rutin. Backup memungkinkan pemilik website memiliki salinan data yang dapat digunakan untuk memulihkan situs ketika terjadi peretasan, kerusakan akibat pembaruan, kesalahan konfigurasi, atau masalah pada server. Untuk WordPress, backup yang lengkap setidaknya perlu mempertimbangkan database serta file website yang diperlukan untuk menjalankan situs.

Jangan hanya menyimpan seluruh backup pada server yang sama dengan website utama. Jika server berhasil dikompromikan atau mengalami kerusakan, backup yang berada di lokasi yang sama dapat ikut terhapus atau rusak. Menyimpan salinan di lokasi terpisah atau penyimpanan off-site memberikan lapisan perlindungan tambahan dan membuat proses pemulihan lebih dapat diandalkan.

Jadwal backup juga perlu disesuaikan dengan seberapa sering website mengalami perubahan. Website berita atau situs yang sering menerbitkan konten membutuhkan frekuensi backup yang berbeda dari website statis yang jarang berubah. Yang tidak kalah penting, backup sebaiknya diuji secara berkala dengan melakukan proses pemulihan pada lingkungan yang sesuai, karena backup yang tidak pernah diuji belum tentu dapat digunakan ketika keadaan darurat benar-benar terjadi.

5. Kurangi Risiko dari Plugin dan Tema

Plugin dan tema memberikan kemampuan tambahan pada WordPress, tetapi setiap komponen baru juga menambah bagian lain yang harus dipelihara. Kerentanan pada salah satu komponen dapat membuka peluang bagi penyerang untuk menyerang website, terutama jika celah tersebut sudah diketahui tetapi belum ditangani oleh pemilik situs. Karena itu, pengelolaan plugin dan tema sebaiknya menjadi bagian rutin dari pemeliharaan keamanan WordPress.

Mulailah dengan memilih plugin dan tema dari sumber yang dapat dipercaya. Untuk plugin gratis, repository resmi WordPress.org dapat menjadi salah satu pilihan utama, sementara plugin atau tema berbayar sebaiknya diperoleh langsung dari pengembang atau marketplace yang memiliki reputasi baik. Hindari penggunaan software bajakan atau versi yang telah dimodifikasi karena pemilik website tidak dapat memastikan bahwa kode di dalamnya masih sama dengan versi resmi.

Sebelum memasang plugin baru, periksa kapan terakhir kali plugin tersebut diperbarui dan apakah pengembangnya masih aktif memelihara proyek tersebut. Perhatikan pula kompatibilitas dengan versi WordPress yang digunakan, jumlah instalasi, ulasan pengguna, serta riwayat perbaikan masalah keamanan jika informasi tersebut tersedia. Tidak ada satu indikator yang dapat menjamin plugin sepenuhnya aman, tetapi kombinasi beberapa indikator tersebut dapat membantu mengurangi risiko memilih komponen yang sudah ditinggalkan.

Plugin atau tema yang sudah tidak digunakan sebaiknya dihapus dari website. Menonaktifkan komponen memang menghentikan penggunaannya oleh WordPress dalam kondisi normal, tetapi file komponen tersebut masih berada di server dan tetap perlu dipelihara atau diperbarui. Dengan menghapus komponen yang tidak diperlukan, pemilik website dapat mengurangi jumlah kode yang harus dipantau sekaligus memperkecil permukaan serangan.

Pengelolaan plugin juga perlu disertai pembatasan hak akses pengguna. Tidak semua orang yang bekerja pada website membutuhkan role administrator, karena administrator memiliki kewenangan yang jauh lebih luas daripada editor atau role lainnya. Terapkan prinsip least privilege, yaitu memberikan akses secukupnya sesuai pekerjaan dan menghindari penggunaan akun administrator untuk aktivitas yang sebenarnya tidak membutuhkan hak istimewa tersebut.

Prinsip ini juga berlaku ketika menambahkan pengguna baru. Tinjau akun yang sudah tidak digunakan, hapus akun asing yang tidak dikenal, dan pastikan setiap akun memiliki pemilik yang jelas. Semakin sedikit akun dengan hak akses tinggi, semakin kecil pula jumlah kredensial yang harus dilindungi dari pencurian atau penyalahgunaan.

6. Tambahkan Hardening untuk Perlindungan Lebih Lanjut

Jika perlindungan dasar sudah diterapkan, pemilik website dapat menambahkan beberapa langkah hardening untuk mempersempit kemungkinan penyalahgunaan. Hardening berarti memperkuat konfigurasi sistem dengan mengurangi fungsi atau akses yang tidak diperlukan tanpa mengganggu operasi website. Langkah ini lebih relevan bagi administrator website yang sudah memahami struktur WordPress dan memiliki akses ke konfigurasi hosting atau server.

Salah satu pengaturan yang dapat dipertimbangkan adalah menonaktifkan editor file bawaan WordPress melalui konfigurasi DISALLOW_FILE_EDIT. Pengaturan ini mencegah pengguna dengan hak akses yang sesuai untuk mengedit file plugin dan tema langsung melalui dashboard WordPress, sehingga dapat mengurangi salah satu jalur perubahan kode dari dalam panel administrasi. Namun, pengaturan tersebut bukan perlindungan menyeluruh karena tidak mencegah semua metode untuk mengunggah atau mengubah file pada server.

Hardening juga dapat dilakukan dengan menerapkan prinsip least privilege pada seluruh lapisan yang memungkinkan. Administrator website sebaiknya hanya diberikan kepada orang yang benar-benar membutuhkannya, sementara akses hosting, database, SFTP, atau SSH juga perlu dibatasi berdasarkan kebutuhan. Membatasi hak akses dapat mengurangi dampak jika salah satu akun berhasil dikompromikan.

Untuk website yang membutuhkan pengelolaan lebih terarah, managed WordPress hosting juga dapat menjadi pilihan. Layanan semacam ini biasanya menawarkan sejumlah fitur yang membantu pemeliharaan WordPress, seperti pembaruan, backup, monitoring, atau lapisan keamanan tertentu, meskipun fitur yang tersedia berbeda-beda antarpenyedia. Pemilik website tetap perlu memahami apa saja yang sebenarnya dilindungi oleh penyedia hosting karena managed hosting tidak menghilangkan seluruh risiko keamanan aplikasi.

Bagaimana Jika Website WordPress Sudah Diretas?

Upaya pencegahan tidak selalu dapat menjamin sebuah website terbebas dari serangan. Jika WordPress menunjukkan tanda-tanda peretasan, seperti munculnya administrator asing, perubahan halaman tanpa izin, redirect mencurigakan, atau file yang tidak dikenal, jangan langsung menganggap masalah selesai hanya karena gejala tersebut dihapus. Penanganan harus dilakukan secara sistematis agar akses penyerang benar-benar ditutup dan website tidak kembali terinfeksi.

Jangan Langsung Menghapus Semua File

Ketika menemukan file atau perubahan yang mencurigakan, langkah pertama bukan langsung menghapus seluruh file website. Jika memungkinkan, simpan salinan kondisi situs saat insiden ditemukan karena data tersebut dapat membantu proses investigasi untuk mengetahui bagaimana penyerang memperoleh akses. Backup kondisi terinfeksi juga sebaiknya disimpan terpisah dari lingkungan produksi agar tidak digunakan secara tidak sengaja sebagai backup pemulihan.

Setelah kondisi awal didokumentasikan, lakukan pemeriksaan terhadap file WordPress, database, akun pengguna, plugin, tema, serta log aktivitas yang tersedia. Tujuannya adalah menemukan sumber kompromi dan memastikan tidak ada backdoor atau mekanisme akses lain yang ditinggalkan penyerang. Jika kemampuan teknis internal terbatas, pertimbangkan meminta bantuan administrator sistem atau profesional keamanan daripada melakukan pembersihan secara acak.

Ganti Seluruh Kredensial

Setelah website diduga berhasil dikompromikan, anggap kredensial yang berkaitan dengan situs berpotensi telah diketahui penyerang. Ganti password akun administrator WordPress, panel hosting, SFTP atau SSH, database, serta akun email yang digunakan untuk mengelola website. Jangan menggunakan kembali password lama atau password yang sama pada layanan lain.

Selain password, periksa kredensial non-password yang digunakan oleh website. API key, application password, token akses, atau kredensial layanan pihak ketiga yang mungkin tersimpan pada website perlu ditinjau dan dicabut jika berpotensi ikut terekspos. Setelah akses dipulihkan, buat kredensial baru dengan hak akses minimum yang diperlukan dan aktifkan 2FA pada akun yang mendukungnya.

Periksa User, File, dan Aktivitas Mencurigakan

Periksa daftar pengguna WordPress dan cari akun yang tidak dikenal atau memiliki role administrator tanpa alasan yang jelas. Jangan hanya memeriksa dashboard, karena perubahan dapat terjadi pada database atau file website tanpa langsung terlihat dari antarmuka WordPress. Periksa juga aktivitas login, perubahan file, log server, dan aktivitas lain yang tersedia untuk mencari pola yang dapat membantu menentukan waktu serta metode kompromi.

Pemindaian malware dapat membantu mengidentifikasi file atau kode yang mencurigakan, tetapi hasil scanner tetap perlu diverifikasi. Tidak semua kode yang terlihat asing merupakan malware, dan malware yang dibuat dengan baik juga tidak selalu mudah dikenali oleh satu alat pemindaian. Karena itu, proses pembersihan sebaiknya mempertimbangkan integritas file WordPress Core, plugin, dan tema serta membandingkannya dengan versi resmi jika memungkinkan.

Pulihkan dari Backup yang Bersih

Jika tersedia backup yang dibuat sebelum website dikompromikan dan dapat dipastikan bersih, memulihkan website dari backup tersebut sering kali menjadi pilihan yang lebih dapat dikendalikan daripada mencoba membersihkan setiap bagian yang telah berubah. Namun, restore saja tidak cukup karena celah yang digunakan penyerang masih dapat terbuka setelah website kembali online. Sebelum atau segera setelah pemulihan, perbarui WordPress, plugin, dan tema serta tutup jalur akses yang menyebabkan kompromi.

Pastikan backup yang digunakan memang berasal dari periode sebelum serangan dan tidak mengandung perubahan mencurigakan. Setelah restore selesai, lakukan pemeriksaan ulang terhadap pengguna, file, database, kredensial, serta konfigurasi keamanan. Jika tidak ada backup yang dapat dipercaya, proses pembersihan perlu dilakukan lebih hati-hati karena menghapus satu file berbahaya tidak selalu berarti seluruh mekanisme akses penyerang sudah hilang.

Pastikan Celah Penyebab Serangan Sudah Ditutup

Tujuan akhir pemulihan bukan sekadar membuat halaman website kembali tampil normal. Pemilik website perlu mengetahui atau setidaknya mempersempit kemungkinan sumber serangan, misalnya plugin yang rentan, password yang dicuri, akun administrator yang disalahgunakan, konfigurasi hosting yang lemah, atau kredensial layanan lain yang terekspos. Tanpa menutup jalur tersebut, website berisiko mengalami kompromi ulang meskipun file yang terinfeksi sudah dibersihkan.

Setelah website kembali berjalan, lakukan pemeriksaan keamanan menyeluruh dan pantau aktivitasnya lebih ketat untuk beberapa waktu. Pastikan seluruh komponen menggunakan versi yang didukung, akun yang tidak diperlukan sudah dihapus, kredensial sudah diperbarui, serta backup baru yang bersih telah dibuat. Jika insiden melibatkan data pengguna atau informasi sensitif, pertimbangkan pula kewajiban pemberitahuan dan langkah penanganan sesuai aturan yang berlaku.

Checklist Keamanan WordPress yang Perlu Dilakukan

Keamanan WordPress akan lebih mudah dipelihara jika tidak hanya mengandalkan tindakan ketika muncul peringatan atau setelah website mengalami masalah. Pemeriksaan rutin membantu pemilik website menemukan komponen yang tertinggal, akun yang tidak diperlukan, atau perubahan yang mencurigakan sebelum masalah berkembang menjadi insiden yang lebih besar. Frekuensi pemeriksaan dapat disesuaikan dengan ukuran website, seberapa sering konten diperbarui, dan tingkat risiko masing-masing situs.

Saat Ada Peringatan Keamanan

Ketika WordPress, pengembang plugin, penyedia hosting, atau sumber keamanan tepercaya mengeluarkan peringatan tentang kerentanan yang memengaruhi komponen website, pemeriksaan sebaiknya dilakukan sesegera mungkin. Identifikasi apakah website menggunakan versi yang terdampak dan periksa apakah patch atau versi perbaikan sudah tersedia. Jika tersedia pembaruan keamanan, prioritaskan penerapannya setelah memastikan tersedia backup yang dapat digunakan untuk pemulihan.

• Periksa apakah WordPress Core menggunakan versi yang terdampak.
• Periksa plugin dan tema yang disebut dalam peringatan keamanan.
• Pasang pembaruan keamanan yang tersedia sesegera mungkin.
• Periksa log dan aktivitas login jika kerentanan diketahui telah dieksploitasi.
• Periksa file atau akun pengguna yang muncul tanpa penjelasan.

Pemeriksaan Mingguan

Pemeriksaan mingguan dapat digunakan sebagai rutinitas dasar bagi sebagian besar website WordPress. Fokusnya bukan hanya mencari malware, tetapi memastikan seluruh komponen yang digunakan masih diperlukan, diperbarui, dan memiliki konfigurasi yang wajar. Rutinitas sederhana seperti ini dapat membantu mencegah masalah kecil berkembang karena terlalu lama tidak diperhatikan.

• Periksa pembaruan WordPress Core, plugin, dan tema.
• Hapus plugin atau tema yang sudah tidak digunakan.
• Periksa akun pengguna dengan hak administrator.
• Periksa aktivitas login yang tidak biasa jika log tersedia.
• Pastikan backup terbaru berhasil dibuat.
• Periksa hasil pemindaian keamanan jika menggunakan security plugin.

Pemeriksaan Berkala

Selain pemeriksaan mingguan, lakukan evaluasi keamanan yang lebih menyeluruh secara berkala. Evaluasi ini penting karena kebutuhan website dapat berubah setelah penambahan plugin, pergantian administrator, perubahan hosting, atau integrasi dengan layanan pihak ketiga. Dengan meninjau kembali seluruh lingkungan website, pemilik situs dapat menghapus akses dan komponen yang sudah tidak memiliki alasan untuk tetap aktif.

• Tinjau seluruh plugin dan tema yang terpasang.
• Tinjau pengguna dan role yang memiliki akses ke website.
• Uji proses restore dari backup secara berkala.
• Tinjau kredensial dan API key yang digunakan website.
• Pastikan HTTPS dan sertifikat TLS tetap berfungsi dengan benar.
• Tinjau konfigurasi keamanan hosting jika ada perubahan.
• Periksa apakah komponen yang digunakan masih mendapatkan dukungan dari pengembang.

Checklist tersebut bukan pengganti pemantauan keamanan, tetapi dapat membantu menjadikan keamanan sebagai bagian dari rutinitas pengelolaan website. Untuk website yang menangani data penting, memiliki banyak pengguna, atau menjadi bagian dari aktivitas bisnis, pemeriksaan dapat dilakukan lebih sering dan dilengkapi monitoring yang lebih komprehensif. Yang terpenting adalah memastikan setiap tindakan keamanan memiliki tujuan yang jelas dan benar-benar diterapkan, bukan sekadar mencentang daftar.

Kesimpulan

Mengamankan website WordPress bukan berarti memasang sebanyak mungkin plugin keamanan atau melakukan konfigurasi teknis yang rumit. Perlindungan yang efektif justru dimulai dari hal-hal mendasar, seperti menjaga WordPress, plugin, dan tema tetap diperbarui, menggunakan password yang kuat, mengaktifkan 2FA, membatasi hak akses, membuat backup, serta menghapus komponen yang sudah tidak diperlukan. Langkah-langkah tersebut membentuk beberapa lapisan pertahanan yang saling melengkapi.

Kasus kerentanan WordPress pada Juli 2026 menjadi pengingat bahwa ancaman keamanan dapat muncul bahkan pada WordPress Core yang digunakan secara luas. Pada saat yang sama, data Patchstack menunjukkan bahwa plugin tetap menjadi bagian terbesar dari kerentanan yang ditemukan dalam ekosistem WordPress, sehingga pengelolaan plugin dan tema tidak boleh dianggap sebagai pekerjaan administratif biasa. Pemilik website perlu memandang setiap pembaruan keamanan sebagai bagian dari pemeliharaan rutin, bukan sesuatu yang hanya dilakukan ketika website sudah bermasalah.

Pada akhirnya, keamanan WordPress adalah proses berkelanjutan. Tidak ada satu plugin, fitur, atau konfigurasi yang dapat menjamin sebuah website sepenuhnya bebas dari serangan, tetapi kombinasi pembaruan yang cepat, autentikasi yang kuat, backup yang dapat dipulihkan, pembatasan akses, dan pemantauan rutin dapat secara signifikan mengurangi risiko serta dampak ketika insiden terjadi.