Keamanan WordPress menjadi perhatian utama karena platform ini sangat luas dipakai dan karenanya terus diincar penyerang. Kabar baiknya, inti WordPress relatif jarang bermasalah; sumber risiko terbesar justru plugin, akun pengguna, dan konfigurasi hosting yang bisa Anda kendalikan sendiri. Panduan ini merangkum langkah pengamanan yang praktis, dari dasar sampai pemantauan.
Mengapa Keamanan WordPress Perlu Perhatian Khusus?
Karena populer, WordPress menjadi sasaran pemindaian otomatis. Laporan State of WordPress Security in 2026 dari Patchstack mencatat 11.334 kerentanan baru pada 2025. Sebanyak 91 persen ada di plugin dan 9 persen di tema, sedangkan inti WordPress hanya enam kasus berprioritas rendah. Laporan yang sama menyebut 46 persen kerentanan belum punya perbaikan saat diumumkan, dan waktu median sampai eksploitasi pertama untuk kerentanan yang paling banyak diserang sekitar lima jam.
Kesimpulannya jelas: keamanan situs WordPress ditentukan oleh ekosistem di sekelilingnya, bukan hanya oleh versi inti. Semakin sedikit komponen, semakin kecil permukaan serangan, dan semakin cepat Anda memperbarui, semakin kecil jendela peluang bagi penyerang.
Langkah Dasar Mengamankan Website WordPress
1. Selalu perbarui inti, plugin, dan tema
Dokumentasi resmi WordPress menegaskan agar situs selalu memakai versi terbaru, karena versi lama tidak lagi menerima tambalan keamanan. Sejak WordPress 3.7, pembaruan minor dan keamanan inti dapat diterapkan otomatis. Atur juga pembaruan otomatis untuk komponen yang aman diperbarui, dan jadwalkan pembaruan besar setelah diuji di lingkungan staging. Cadangkan sebelum memperbarui.
2. Kurangi plugin dan tema
Hapus, bukan sekadar nonaktifkan, plugin dan tema yang tidak dipakai. Pasang hanya dari sumber tepercaya, periksa kapan terakhir diperbarui dan seberapa aktif pengembangnya. Jangan pernah memakai plugin atau tema berbayar versi bajakan, karena sering membawa kode tersembunyi.
3. Kuatkan akun pengguna
- Gunakan kata sandi panjang dan unik, idealnya dibuat dan disimpan di password manager.
- Aktifkan autentikasi dua langkah untuk setiap akun admin dan editor. Panduan WordPress menyarankan aplikasi autentikator atau plugin khusus, dan mencatat bahwa kode lewat SMS kurang aman. Dasar konsepnya ada di artikel autentikasi dua faktor (2FA).
- Hindari nama pengguna yang mudah ditebak seperti admin atau webmaster, karena menurut panduan hardening WordPress, penyerang biasanya mencobanya lebih dulu.
- Beri peran seperlunya. Penulis konten tidak perlu menjadi administrator.
4. Pakai HTTPS dan amankan akses file
Pastikan login dan area admin hanya lewat HTTPS agar kredensial terenkripsi. Gunakan SFTP, bukan FTP biasa, untuk mengunggah file. Panduan hardening juga menyarankan izin direktori 755 dan file 644, serta membatasi hak tulis server hanya pada direktori yang memang memerlukannya, seperti wp-content.
Konfigurasi Lanjutan untuk Keamanan WordPress
Nonaktifkan editor file di dashboard
Dengan menambahkan konstanta DISALLOW_FILE_EDIT bernilai true di wp-config.php, penyunting tema dan plugin di dashboard dimatikan. Dokumentasi WordPress menjelaskan bahwa ini tidak menghentikan penyerang yang mengunggah file berbahaya, tetapi dapat memblokir sebagian serangan, misalnya ketika satu akun admin diambil alih.
Lindungi wp-config.php dan database
File wp-config.php berisi kredensial database. Panduan hardening menyarankan membatasi izinnya ke 400 atau 440 dan, bila memungkinkan, memindahkannya satu tingkat di atas direktori instalasi. Batasi juga hak pengguna database pada operasi yang dibutuhkan, dan pertimbangkan mengganti prefiks tabel bawaan wp_.
Cadangan yang benar-benar bisa dipulihkan
Simpan beberapa salinan, termasuk database, di lokasi terpisah dari server utama. Panduan WordPress menekankan menyimpan beberapa titik waktu agar Anda dapat memulihkan ke kondisi sebelum situs disusupi, dan melindungi integritas cadangan itu sendiri. Uji pemulihannya secara berkala, karena cadangan yang tidak pernah dicoba belum bisa disebut cadangan.
Batasi percobaan login dan pasang lapisan filter
Pembatasan jumlah percobaan login, penyaringan lalu lintas oleh web application firewall (WAF), dan pemblokiran alamat yang berulang gagal login mengurangi serangan tebak kata sandi. Lapisan ini tambahan, bukan pengganti pembaruan.
Cara Memantau dan Menguji Keamanan WordPress
Pemantauan membuat peretasan cepat diketahui. Aktifkan pencatatan aktivitas admin, pantau perubahan pada file inti, dan tinjau log server. Periksa laporan Security Issues di Google Search Console untuk peringatan konten hasil peretasan.
Untuk menilai situs milik sendiri, pemindai khusus WordPress membantu mengenali versi dan komponen yang diketahui rentan. Cara kerjanya dibahas di artikel pengertian WPScan. Gunakan pemindai hanya pada situs yang Anda miliki atau yang pemiliknya telah memberi izin tertulis, karena akses tanpa hak ke sistem orang lain melanggar UU ITE. Gambaran penyebab umum peretasan ada di penyebab website mudah diretas.
Daftar Periksa Singkat Keamanan WordPress
- Inti, plugin, dan tema sudah versi terbaru.
- Plugin dan tema yang tidak dipakai sudah dihapus.
- Semua akun admin memakai kata sandi unik dan autentikasi dua langkah.
- Situs memakai HTTPS dan akses file lewat SFTP.
- Izin file dan wp-config.php sudah dibatasi.
- Editor file dashboard dinonaktifkan.
- Cadangan tersimpan terpisah dan pemulihannya pernah diuji.
- Ada pemantauan log dan perubahan file.
Pertanyaan yang Sering Diajukan
Apakah WordPress aman digunakan?
Ya, jika dirawat dengan benar. Inti WordPress jarang bermasalah; risiko utama datang dari plugin yang usang, akun yang lemah, dan konfigurasi hosting yang longgar.
Apakah plugin keamanan WordPress wajib dipasang?
Tidak wajib, tetapi sering membantu untuk pembatasan login, pemindaian, dan peringatan. Pilih satu plugin tepercaya dan terawat, lalu ingat bahwa plugin keamanan pun termasuk komponen yang harus diperbarui.
Seberapa sering sebaiknya memperbarui WordPress?
Terapkan tambalan keamanan secepat mungkin setelah dirilis. Mengingat serangan dapat dimulai dalam hitungan jam setelah sebuah celah diumumkan, jangan menumpuk pembaruan berbulan-bulan.
Bagaimana jika situs WordPress saya sudah diretas?
Amankan log dan salinan file, ganti semua kata sandi, cari jalur masuk dan backdoor, lalu pulihkan dari cadangan bersih setelah celah ditutup. Jangan hanya menghapus tampilan yang berubah.
Kesimpulan
Keamanan WordPress bukan satu pengaturan ajaib, melainkan kebiasaan: pembaruan cepat, komponen secukupnya, akun yang kuat, cadangan yang teruji, dan pemantauan. Jika Anda ingin memahami cara aplikasi web diuji dan diamankan secara sistematis, jelajahi kursus keamanan siber di Linuxhackingid. Panduan resmi yang dirujuk artikel ini, Hardening WordPress, juga layak dibaca langsung.
Setiap artikel ditinjau pimpinan praktik yang menangani pekerjaannya sebelum terbit.