Pengertian WPScan dan Cara Kerjanya

WPScan adalah pemindai keamanan WordPress yang memeriksa inti WordPress, plugin, dan tema terhadap basis data kerentanan yang diketahui. Pemilik situs dan penguji keamanan memakainya untuk menemukan komponen usang atau rentan sebelum dimanfaatkan penyerang, dan untuk memahami apa saja yang terlihat dari luar pada sebuah situs WordPress. Artikel ini menjelaskan cara kerja, lisensi, dan langkah perbaikan setelah pemindaian.

Apa Itu WPScan?

Menurut situs wpscan.com, WPScan adalah upaya di bawah Automattic yang dijalankan bersama Jetpack, dengan basis data kerentanan inti WordPress, plugin, dan tema yang per Oktober 2026 dinyatakan memuat 89.622 entri. Alat baris perintahnya (CLI) dipasang sebagai gem Ruby, dan README-nya menyebut kebutuhan Ruby 3.3 atau lebih baru. Tersedia juga lewat Docker dan Homebrew.

Alat ini dirancang untuk profesional keamanan dan pengelola situs yang menguji situs WordPress mereka sendiri. Karena ekosistem plugin dan tema pihak ketiganya sangat luas, komponen yang usang menjadi salah satu sumber risiko utama pada situs WordPress.

Bagaimana WPScan Bekerja?

Secara bawaan, WPScan mendeteksi versi WordPress, tema yang aktif, dan temuan menarik pada situs target. Dengan opsi enumerasi, ia dapat mengidentifikasi plugin, nama pengguna, dan folder cadangan yang terlihat dari luar. Hasil identifikasi itu kemudian dicocokkan dengan basis data kerentanan WPScan untuk mengetahui apakah versi yang terpasang memiliki masalah yang sudah diketahui, sering kali dengan nomor CVE sebagai rujukan. Pengantar CVE ada di artikel apa itu CVE.

Token API dan batas penggunaan gratis

Data kerentanan diambil dari API WPScan yang memerlukan token. Per Oktober 2026, paket Researcher gratis dibatasi 25 permintaan API per hari. Tanpa token, pemindaian tetap berjalan tetapi tanpa data kerentanan. Paket Enterprise menyediakan fitur tambahan seperti peringatan email, webhook, dan skor CVSS. Ketentuan dan batas bisa berubah, jadi periksa halaman resminya.

Lisensi WPScan: Kapan Gratis dan Kapan Berbayar?

README WPScan menjelaskan bahwa alat ini berlisensi ganda di bawah WPScan Public Source License. Penggunaan non-komersial, termasuk menguji sistem milik sendiri dan pekerjaan penguji penetrasi, tercakup dalam ketentuan gratis. Penggunaan komersial, misalnya menawarkannya sebagai layanan terkelola atau mendistribusikannya sebagai produk, memerlukan lisensi komersial. Merek dagang wpscan tidak ikut dilisensikan. Bila Anda berencana memakainya dalam layanan berbayar kepada klien, baca ketentuan lengkapnya terlebih dahulu.

Manfaat WPScan untuk Mengamankan Situs WordPress

• Menemukan plugin dan tema yang punya kerentanan diketahui, sehingga Anda bisa memperbarui atau menggantinya.
• Mengetahui versi WordPress yang terlihat dari luar, dan apakah sudah tertinggal.
• Melihat apakah nama pengguna dapat ditebak dari luar, sebuah informasi yang memudahkan serangan terhadap login.
• Menemukan folder cadangan atau file sensitif yang tidak sengaja terpapar.
• Mendapat laporan yang dapat ditindaklanjuti oleh pengembang dan administrator.

Hasil pemindaian bukan vonis. Beberapa temuan hanyalah informasi yang terlihat, dan sebagian peringatan kerentanan tidak berlaku bila versi yang terpasang sudah ditambal. Verifikasi setiap temuan sebelum bertindak.

Cara Mencoba WPScan dengan Aman

Untuk memastikan alat terpasang dan melihat opsi yang tersedia, cukup jalankan perintah versi dan bantuan:

wpscan --version
wpscan --help

Pemindaian pertama sebaiknya dilakukan pada situs WordPress milik sendiri, misalnya instalasi di laboratorium atau situs staging, bukan situs pelanggan atau pihak lain. README WPScan sendiri memperingatkan bahwa menjalankan WPScan terhadap situs tanpa persetujuan bersama dapat melanggar hukum di negara Anda, dan tim pengembangnya tidak bertanggung jawab atas penyalahgunaan. Di Indonesia, akses tanpa hak ke sistem elektronik orang lain berpotensi melanggar Pasal 332 KUHP. Penjelasannya ada di artikel apakah hacking melanggar hukum.

Langkah Memperkuat WordPress Setelah Pemindaian

Panduan hardening resmi dari dokumentasi pengembang WordPress memuat langkah yang langsung relevan dengan temuan WPScan:

• Jalankan versi WordPress terbaru dan aktifkan pembaruan otomatis, karena versi lama tidak lagi mendapat pembaruan keamanan.
• Perbarui plugin dan tema, hapus yang tidak dipakai, dan unduh hanya dari sumber tepercaya.
• Batasi izin file: file hanya dapat ditulis oleh akun pengguna Anda, kecuali folder wp-content yang memerlukan akses tulis untuk unggahan.
• Hindari nama pengguna yang mudah ditebak seperti admin, gunakan kata sandi yang kuat, dan aktifkan autentikasi dua langkah.
• Lakukan pencadangan rutin, termasuk basis data, dan simpan beberapa salinan.
• Nonaktifkan editor kode dari dasbor dengan konstanta DISALLOW_FILE_EDIT, dan lindungi wp-config.php.

Langkah lebih lengkap ada di artikel cara mengamankan website WordPress. Situs yang sudah terlanjur disusupi biasanya menunjukkan tanda seperti tampilan yang diubah atau tautan judi yang disisipkan, seperti tautan judi online yang disisipkan. Jika organisasi Anda memerlukan penilaian keamanan situs yang menyeluruh, pertimbangkan layanan keamanan dan penetration testing.

Batasan WPScan yang Perlu Diketahui

WPScan menilai apa yang terlihat dari luar. Plugin yang disembunyikan atau dimodifikasi bisa lolos dari identifikasi, dan kerentanan baru yang belum masuk basis data tentu belum terdeteksi. Pemindai ini juga tidak memeriksa logika bisnis situs Anda, konfigurasi server di luar WordPress, atau keamanan akun pengguna di sisi lain. Karena itu, anggap WPScan sebagai satu lapisan dalam program keamanan yang lebih luas, bersama pembaruan rutin, pencadangan, pemantauan, dan pengujian oleh ahli bila diperlukan.

Pertanyaan yang Sering Diajukan

Apakah WPScan gratis?

Penggunaan non-komersial gratis, dengan token API gratis yang dibatasi 25 permintaan per hari per Oktober 2026. Penggunaan komersial memerlukan lisensi komersial.

Apakah WPScan bisa memindai situs non-WordPress?

Tidak. WPScan khusus untuk WordPress. Untuk server web secara umum, lihat artikel apa itu Nikto.

Apakah legal memindai situs WordPress orang lain dengan WPScan?

Tidak tanpa persetujuan. Pindai hanya situs milik sendiri atau yang pemiliknya telah memberi izin tertulis.

Seberapa sering sebaiknya situs WordPress dipindai?

Idealnya setiap kali ada perubahan besar seperti pemasangan plugin baru, dan secara berkala, misalnya bulanan, ditambah pemantauan pembaruan keamanan.

Kesimpulan

WPScan membantu pemilik situs melihat WordPress mereka seperti dilihat orang luar, dan menunjuk komponen mana yang perlu segera ditambal. Gunakan dengan izin, pahami batas lisensinya, dan jadikan pembaruan serta hardening sebagai kebiasaan, bukan reaksi atas insiden. Linuxhackingid menyediakan materi keamanan web dan WordPress untuk Anda pelajari lebih jauh.