Cara Mengamankan Blog WordPress Dari Serangan Hacker

Saya pernah punya pengalaman buruk pada salah satu blog WordPress yang saya bangun untuk affiliasi Amazon. Blog tersebut punya pengunjung yang cukup stabil dan sudah menghasilkan. Tapi tiba-tiba suatu hari blog tersebut kena hack. Parahnya, saat itu saya sedang keluar kota selama seminggu lebih dan tidak menghetahui bahwa website saya tersebut berhasil diserang oleh hacker. Akibatnya, blog tersebut mengalami penurunan SERP yang sangat signifikan dan kehilangan trafik. Anda pernah mengalami hal yang sama? Tahu kan rasanya gimana? DONGKOL!

Menurut data yang saya dapat per bulan Januari 2014, ada 100 – 200 upaya login tanpa authorisasi ke website Maxmanroe.com setiap harinya. Rata-rata upaya yang dilakukan oleh para hackers untuk masuk ke website ini adalah dengan tehnik brute force. Pada saat ini, mungkin saja website Anda juga menjadi salah satu target para hacker tersebut…hayoo! Lalu bagaimana cara mengamankan blog WordPress?

Image dari copyblogger.com

Menjaga keamanan sebuah blog WordPress itu dilihat dari dua sisi, yaitu keamanan dari servernya dan juga dari script WordPressnya. Blog Maxmanroe.com saat ini menggunakan Virtual Private Server (VPS) sehingga saya harus mengoptimalkan sendiri keamanan server saya. Berbeda dengan blog WordPress pada shared hosting, cukup hanya mengoptimalkan pada sisi script WordPress-nya saja. Oh ya, waktu itu saya khusus menyewa orang untuk mengoptimalkan keamanan VPS saya, soalnya untuk pekerjaan yang satu ini sangat vital dan harus dilakukan oleh orang yang kompeten. Nah, di artikel ini saya khusus membahas optimasi keamanan blog WP dari sisi script WordPress-nya.

Artikel lain: Mengapa blog saya menggunakan WordPress

Berikut ini adalah beberapa langkah untuk mengamankan blog WordPress dari serangan hacker:

1. Full Back Up File Blog WordPress

Langkah pertama yang wajib kita lakukan sebelum melakukan hal lain adalah melakukan full back up terhadap seluruh file blog anda. Hal ini sangat di perlukan jika terjadi suatu hal error sewaktu anda melakukan setting keamanan blog, anda bisa melakukan full back up file melalui cPanel.

2. Gunakan Password yang Kuat 

Langkah ini sebenarnya yang paling mudah, dan saking mudahnya orang sering lupa melakukannya. Buatlah password yang kuat untuk login ke WP admin dan cPanel anda. Sebagian orang mungkin tidak ingin ambil pusing membuat password yang kuat untuk blog mereka, tapi akan sangat pusing bahkan pusing tujuh keliling jika blog anda di hack orang lain karna password blog anda kurang kuat.

Jika anda bingung bagaimana membuat password yang kuat, silahkan kunjungi artikel mengenai Tips membuat kata sandi (Password) yang lebih kuat. Tapi mohon jangan pakai password yang ada pada artikel tersebut, mungkin akan banyak orang yang melihatnya. hehe :-D 

3 Gunakan Admin User dengan Nama yang Unik 

Ketika kita menginstal WordPress ke hosting, secara default nama admin nya adalah "Admin". Ini bukan nama pilihan Admin yang unik karena sangat mudah di tebak hecker. Jika anda terlanjur menggunakan user name "Admin" saat menginstal WordPress, saya sarankan untuk mengganti user name nya dengan nama yang lebih unik. Ini bisa dilakukan dengan cara menambahkan user Admin baru yang lebih aman :

a  Pada dashboard anda klik "Users" - "Add New". Gunakan kombinasi huruf besar, huruf kecil, dan angka pada user name dan password nya, masing - masing minimal 8 karakter.

b. Setelah anda buat admin users baru, silahkan logout dari dashboard anda. Lalu login ke dashboard dengan user tersebut yang sudah di buat baru.

c. Klik "Users" - "All Users", pada user lama silahkan klik "Edit" lalu ubah Rule nya menjadi "No Rule For this Site". Lalu Klik"Save".

4. Instal Plugin Untuk keamanan 

Sebenarnya WordPress itu sendiri sudah memiliki keamanan yang kuat. Nmaun, tentu saja tiap Website yang menggunakan script wordpress membutuhkan keamanan sendiri. Nah, untuk itu kita harus menginstal beberapa plugins berikut ini :

A. Better WP Security

Plugin ini membantu melindungi WordPress anda dari serangan. Memperkuat standard keamanan WordPress dengan menyembuyikan bagian vital situs anda, melindungi akses ke file penting melalui ht access, mencegah usaha login brute-force, mendeteksi upaya serangan, dan banyak lagi.

Update: Saya sudah tidak menggunakan Plugin Better WP Security karena update terbaru (berganti nama menjadi iTheme Security) yang dirilis oleh developernya ternyata membuat server saya bermasalah.

B. BulletProof Security

BulletProof Security melindungi situs Anda dari XSS, RFI, CRLF, CSRF, Base64, Kode Injection dan SQL Injection, upaya hacking. Melindungi wp-config.php, bb-config.php, php.ini, php5.ini, install.php dan README.html dengan melindungi keamanan htaccess, dan lain-lain.

C. Login LockDown

Menambahkan beberapa keamanan ekstra untuk WordPress dengan membatasi jumlah gagal login dan kapan dapat kembali mencoba lagi dari berbagai IP yang diberikan.

Cara seting ketiga plugins ini bisa dilihat di sini

D. Wordpress Firewall

Plugin ini akan mem-blok permintaan yang tampak mencurigakan ke WordPress. Cara setting plugin ini sangat mudah, sebenarnya plugin ini dibiarkan default saja sudah bekerja dengan baik.

5. Ubah File Permision di cPanel

Langkah selanjutnya adalah dengan mengubah permision untuk beberapa file di dalam cPanel blog WordPress Anda. Diantaranya:

• .htacces > ubah permisionnya menjadi 0404
• wp-config.php > ubah permisionnya menjadi 0400
• index.php > ubah permisionnya menjadi 0400
• wp-blog-header.php > ubah permisionnya menjadi 0400
• wp-admin > ubah permisionnya menjadi 0705
• wp-includes > ubah permisionnya menjadi 0705
• wp-content > ubah permisionnya menjadi 0705
• wp-content/bps-backup > ubah permisionnya menjadi 0755

6. Lakukan Update Pada WordPress dan Plugins

WordPress selalu melakukan update setiap kali ada bug pada script mereka. Informasi update ini bisa kita lihat melalui dashboard WordPress blog kita masing-masing. Bagitu juga dengan plugins, kebanyakan plugins WordPress melakukan update untuk mengoptimalkan plugins tersebut. Anda harus hati-hati pada sebuah plugin yang tidak pernah ada update, kemungkinan developernya sudah tidak memberikan support atau sudah melupakan plugins mereka.

Beberapa orang mungkin tidak mau meng-update script WordPress dan plugins mereka karena khawatir akan terjadi crash saat pada saat melakukan update. Tapi akan lebih menyakitkan lagi kalau blog Anda dihack orang karena tidak mengupdate script WordPress blog Anda. Ayo pilih mana?

Baca juga: Membuat website versi mobile dengan WP Touch Pro

7. Menyewa Hosting Yang Handal

Seperti yang saya sebutkan di awal, keamanan blog WordPress kita juga tergantung dari sisi servernya. Karena blog saya menggunakan VPS, saya juga harus memperhatikan keamanan servernya. Saat ini saya menggunakan VPS dari Hawkhost (Maxmanroe.com sudah pindah hosting ke VPS Gignode) dimana salah satu fitur paket yang saya beli dilengkapi dengan fitur keamanan.

Berbeda jika Anda menggunakan shared hosting, Anda hanya fokus pada keamana dari sisi script WordPress-nya. Kalau Anda ingin menggunakan shared hosting, sebaiknya pilihlah hosting yang berkualitas dengan tingkat keamanan yang baik.

Ok, di atas tadi adalah beberapa langkah yang saya lakukan untuk meningkatkan keamanan blog WordPress saya. Saya tidak mengatakan bahwa dengan melakukan langkah di atas maka blog WordPress Anda akan aman 100%. Tapi setidaknya, cara tersebut dapat membuat blog WordPress Anda jauh lebih aman dari sebelumnya.