Checklist Keamanan WordPress Anti Retas 2026 (Panduan Lengkap)
WordPress menggerakkan lebih dari 40% website di dunia — dan popularitas itu membuatnya target serangan nomor satu. Di Indonesia, dampaknya bukan cuma website rusak: website yang diretas sering disuntikkan konten judi online, yang kemudian membuat domain Anda diblokir Kominfo meskipun Anda tidak pernah melakukan pelanggaran apapun.
Kabar baiknya, sebagian besar peretasan WordPress bisa dicegah dengan langkah-langkah dasar yang konsisten. Berikut checklist keamanan lengkap yang bisa Anda kerjakan bertahap — sebagian besar tanpa biaya.
Bagian 1: Fondasi Wajib (Kerjakan Hari Ini)
- Update WordPress, plugin, dan theme. Mayoritas peretasan mengeksploitasi celah di versi lama yang sudah ada patch-nya. Aktifkan auto-update untuk minor release dan update plugin secara rutin.
- Hapus plugin dan theme yang tidak dipakai. Plugin nonaktif tetap bisa dieksploitasi. Yang tidak terpakai, hapus — bukan hanya dinonaktifkan.
- Jangan pernah pakai plugin/theme bajakan (nulled). Ini pintu masuk backdoor paling umum. Harga sebuah plugin premium jauh lebih murah daripada biaya pemulihan website yang diretas.
- Password kuat + username bukan "admin". Serangan brute-force masih sangat umum.
- Aktifkan Two-Factor Authentication (2FA) untuk semua akun admin.
Bagian 2: Lapisan Pertahanan Aktif
- Pasang plugin keamanan seperti Wordfence atau Sucuri: firewall aplikasi web, pemindaian malware berkala, dan pembatasan percobaan login.
- Batasi login (limit login attempts) dan sembunyikan atau lindungi halaman login dengan captcha.
- Pasang SSL dan paksa semua trafik ke HTTPS. Catatan: SSL melindungi data, bukan mencegah blokir — baca penjelasan lengkapnya di sini.
- Atur permission file dengan benar: umumnya 644 untuk file dan 755 untuk folder; jangan pernah 777.
- Nonaktifkan editor file di dashboard dengan menambahkan
define('DISALLOW_FILE_EDIT', true);di wp-config.php.
Bagian 3: Backup dan Hosting
- Backup otomatis berkala — harian untuk toko online, mingguan untuk blog. Simpan salinan backup di luar server (cloud storage), bukan hanya di hosting yang sama.
- Uji restore backup sesekali. Backup yang tidak pernah diuji belum tentu bisa dipakai saat dibutuhkan.
- Pilih hosting dengan isolasi akun dan scanning malware. Di shared hosting tanpa isolasi, website tetangga yang terinfeksi bisa menjangkiti Anda. Kriterianya ada di Cara Memilih Hosting yang Aman.
Bagian 4: Deteksi Dini (yang Sering Dilupakan)
Pencegahan tidak pernah 100%. Karena itu Anda butuh mata yang terus mengawasi: aktifkan notifikasi Google Search Console untuk isu keamanan, periksa hasil pencarian site:domainanda.com secara berkala untuk mendeteksi halaman asing, dan pantau status blokir domain Anda. Kenali gejalanya lebih awal lewat 12 Ciri Website Terkena Injeksi Malware Judi.
Kalau Sudah Telanjur Diretas?
Jangan panik dan jangan langsung menghapus semuanya. Urutannya: aktifkan mode maintenance, ganti semua password, restore dari backup bersih atau bersihkan dengan scanner, tutup celah masuknya, lalu minta review ke Google Search Console. Jika domain sudah telanjur diblokir karena konten injeksi, setelah bersih ajukan normalisasi ke Kominfo.
🔥 Lengkapi Checklist dengan Alarm 24 Jam
Jika retasan berujung pemblokiran, Bot Telegram CekNawala memberi tahu Anda detik itu juga — sebelum pelanggan menemukan halaman blokir. Rp 2 Juta/Bulan flat, tanpa limit domain.
Pesan Bot Sekarang (Telegram)Pertanyaan yang Sering Diajukan (FAQ)
Kenapa website WordPress saya bisa diretas padahal tidak terkenal?
Serangan dilakukan otomatis oleh bot yang memindai jutaan website mencari celah, bukan menargetkan Anda secara personal. Website kecil justru lebih sering menjadi korban karena keamanannya longgar.
Apa hubungan website diretas dengan blokir Kominfo?
Peretas sering menyuntikkan halaman judi online ke website yang mereka kuasai. Crawler Kominfo yang menemukan konten tersebut akan mengklasifikasikan domain Anda sebagai situs judi dan memasukkannya ke daftar blokir Trust Positif.
Apakah plugin keamanan gratis sudah cukup?
Untuk sebagian besar website, ya — asalkan dikombinasikan dengan update rutin, password kuat + 2FA, dan backup. Plugin keamanan hanyalah satu lapisan, bukan solusi tunggal.
Seberapa sering harus backup website?
Toko online: harian. Blog atau company profile: mingguan. Simpan salinan di luar server dan uji proses restore secara berkala agar backup benar-benar bisa diandalkan saat darurat.
Kesimpulannya: keamanan WordPress bukan proyek sekali jadi, melainkan kebiasaan. Kerjakan checklist ini bertahap, jadwalkan pengulangan setiap bulan, dan lengkapi dengan monitoring — maka risiko diretas dan diblokir turun drastis.