Bagaimana Anda Dapat Melindungi Halaman Login di WordPress

Keamanan Web harus menjadi perhatian yang tetap dan berkelanjutan untuk semua situs web. Apa pun tindakan pencegahan yang Anda lakukan, selalu ada ruang untuk perbaikan. Hal ini karena tidak ada keamanan yang sangat mudah. Selain itu, peretas terus mencari mangsa selama 24×7, jadi Anda harus selalu waspada. Hosting, kata sandi yang lemah, WordPress versi lama, atau tema/plugin yang meragukan adalah kemungkinan titik masuk bot untuk masuk ke situs Anda.

Salah satu cara untuk mempersulit peretas adalah dengan meningkatkan perlindungan Admin WordPress atau Halaman Login Anda. Ini adalah pintu gerbang ke situs web Anda, dan Anda dapat menghentikan sebagian besar kejahatan tepat di depan pintu Anda, dengan memperketat keamanan di halaman ini.

Beberapa cara yang dapat Anda lakukan untuk melindungi halaman Admin Anda,

Ubah Nama Pengguna

Nama pengguna default di WordPress adalah “Admin” dan bot mengetahui hal ini. Sekarang, jika mereka dapat menebak kata sandi Anda, Anda benar-benar telah memberikan mereka undangan untuk masuk. Jadi ubah nama pengguna Anda menjadi sesuatu yang unik dan tidak dapat ditebak. Misalnya, untuk New York Soccer Club, ‘NY Soccer’ bukanlah nama pengguna yang cocok.

Anda dapat mengubah nama pengguna dengan mengikuti langkah-langkah sederhana ini,

Masuk ke WordPress menggunakan akun pengguna Admin Anda yang ada.
Tambahkan pengguna baru dengan mengeklik Pengguna > Tambah Baru.
Pilih “Administrator” sebagai peran untuk pengguna baru ini. Gunakan nama pengguna unik di sini, karena pengguna yang baru ditambahkan ini akan menjadi pengguna admin baru.
Keluar dari akun pengguna “Admin” yang lama.
Masuk kembali menggunakan nama pengguna unik baru yang Anda buat.
Hapus pengguna “Admin” asli. Anda harus menetapkan ulang semua postingan lama Anda dari pengguna “Admin” lama ke pengguna baru.

Anda juga dapat mengubah nama pengguna dengan mengakses phpMyAdmin. Baca ini di SiteGround.

Kata Sandi yang Kuat

Mengubah nama pengguna hanya setengah jalan. Perkuat kata sandi Anda agar bot tidak dapat menebaknya. Ulang tahun, nama hewan peliharaan, olahragawan favorit semuanya bisa ditebak dengan benar. Serangan brute force hanyalah upaya yang sering dan berulang-ulang untuk menebak kata sandi dengan cara coba-coba. Dan mereka pasti berhasil jika kata sandinya lemah. Oleh karena itu, kata sandi yang kuat itu penting.

Kata sandi yang kuat idealnya menggunakan kombinasi angka dan huruf, baik huruf besar maupun huruf kecil. Masukkan satu atau dua simbol seperti '!' atau '@'. WordPress menyediakan opsi untuk membuat kata sandi yang kuat, dan Anda juga dapat menggunakannya. Atau ambil bantuan Pembuat Kata Sandi. Periksa apakah kata sandi Anda kuat di Seberapa Aman Kata Sandi Saya. Dan ganti password secara berkala.

Sulit mengingat kata sandinya? Lihat pengelola kata sandi seperti LastPass, DashLane, KeePass, 1Password, dan RoboForm. Pengelola kata sandi menyimpan semua kata sandi Anda dalam bentuk terenkripsi dan Anda dapat mengaksesnya dari perangkat apa pun.

Jika saya belum mengajukan alasan untuk menggunakan sandi yang kuat, laporan dari SplashData yang berisi daftar sandi terburuk tahun 2015 mungkin dapat meyakinkan Anda.

Batasi Akses Pengguna

Jika Anda satu-satunya yang mengakses Admin, ini bukan untuk Anda. Namun jika Anda mengizinkan banyak pengguna mengakses backend, Anda harus tetap mengontrol hak istimewa mereka. Mengizinkan akses dan hak istimewa hanya pada wilayah tersebut dan sejauh yang diperlukan bagi wilayah tersebut untuk melaksanakan tugasnya.

Tidak hanya itu, pengguna situs Anda juga harus diharuskan menggunakan kata sandi yang kuat. Untuk memastikannya, Anda dapat menginstal plugin Force Strong Passwords. Plugin ini memungkinkan pengguna untuk mengakses situs hanya jika mereka telah menyiapkan kata sandi yang kuat untuk diri mereka sendiri. Atau Anda dapat melihat Solusi Keamanan Masuk, yang juga memeriksa dan menerapkan kekuatan kata sandi, tanpa mengganggu pengguna asli.

Batasi Upaya Masuk

Bot mendapatkan akses ke situs Anda dengan mencoba berbagai kombinasi nama pengguna dan kata sandi. Mungkin diperlukan banyak upaya sebelum mereka dapat membobolnya. Jika kita membatasi jumlah upaya yang dapat dilakukan dari satu IP, kita dapat secara drastis mengurangi kemungkinan bot mendapatkan akses.

Ada plugin khusus yang dapat melakukan tugas ini –

Batasi Upaya Login – Membatasi tingkat upaya login untuk setiap IP. Ini adalah plugin yang umum digunakan, meskipun sudah lama tidak diperbarui.
Perlindungan Login Brute Force – Melindungi situs web Anda dari serangan brute force menggunakan .htaccess.
Jetpack Protect – Untuk melindungi situs WordPress dari serangan bot net.

Perlu diperhatikan juga bahwa beberapa hosting menawarkan fitur bawaan ini. WP Engine misalnya menambahkan ini ke platform hosting mereka pada awal tahun 2015 untuk membuat situs web yang mereka host lebih aman (selain SSL gratis, autentikasi dua faktor, pencadangan otomatis, beberapa firewall, pemindaian malware, dan banyak lagi).

Ubah URL Masuk Anda

URL untuk masuk ke semua situs WordPress, secara default, adalah URL utama situs Anda diikuti dengan wp-login.php atau wp-admin – misalnya, mywebsite.com/wp-login.php. Peretas mengetahui hal ini, dan jika Anda dapat mengubah URL ini, Anda akan mempersulit mereka untuk masuk ke situs web Anda.

Anda dapat menginstal Protect WP-Admin untuk mengubah URL panel admin Anda dan memblokir tautan default. Anda dapat mengubahnya sesuai keinginan Anda, misalnya mywebsite.com/allow_admin_access. Ketika kueri untuk mywebsite.com/wp-login.php atau mywebsite.com/wp-admin mencapai situs, maka akan diarahkan ke beranda. Dan hanya URL khusus yang diizinkan masuk ke panel admin.

Cara yang benar-benar dapat diandalkan untuk melindungi halaman admin Anda adalah dengan memblokir sepenuhnya akses ke halaman wp-admin dan wp-login.php Anda. Tapi ini hanya bisa digunakan jika Anda menggunakan satu alamat IP yang tidak berubah. Jika tidak, Anda berisiko terkunci dari situs web Anda. Jika Anda dapat melacak beberapa alamat IP, Anda masih dapat melanjutkan dan menerapkan opsi ini.

Anda juga dapat membatasi akses ke file wp-login.php menggunakan Otentikasi Dasar HTTP. Ini adalah lapisan keamanan eksternal yang harus dilewati pengguna untuk mencapai halaman login. Anda harus membuat file .htpasswd, untuk mencantumkan semua nama pengguna resmi dan kata sandi terenkripsi masing-masing. Serangan brute force juga dapat diluncurkan terhadap autentikasi dasar HTTP, namun akan menjadi upaya ganda bagi peretas untuk memecahkan kedua lapisan tersebut.

Tambahkan SSL ke Situs Web Anda

SSL adalah teknologi keamanan standar. HTTP adalah Hyper Text Transfer Protocol untuk transfer data antara server dan browser. Versi aman dari HTTP adalah HTTPS, “S” adalah singkatan dari Secure. Bersama-sama mereka memverifikasi identitas situs web kepada pengguna, dan meyakinkan pengguna tentang kerahasiaan antara situs web dan browser pengguna.

Setelah Anda menyiapkan SSL/HTTPS, server mengenkripsi data dan hanya browser pengguna yang dapat menguraikannya. Bagi pihak ketiga yang tidak diinginkan, data tersebut tidak akan masuk akal dan hanya akan muncul sebagai rangkaian karakter. Sebagai bonus, Anda akan menemukan bahwa Google lebih menyukai HTTPS saat memberi peringkat situs web.

Mendapatkan sertifikat SSL mungkin bukan lagi suatu keharusan, terutama jika Anda menggunakan browser Chrome. Itu karena Google akan menandai semua situs non HTTPS sebagai “tidak aman”.

Saat ini, semua situs non HTTPS bersikap netral dalam hal indikasi status SSL, namun hal tersebut akan berubah pada bulan Januari 2017. Semua situs web yang memerlukan sandi atau mengumpulkan informasi kartu kredit harus aman atau berisiko diberi label tidak aman oleh Google.

Ada banyak perusahaan seperti Comodo, DigiCert, dan SSL.com yang menawarkan layanan sertifikasi. Sertifikat dapat diperoleh tanpa biaya terlalu banyak dari SSLMate dan gratis dari Lets Encrypt. Beberapa penyedia layanan hosting menawarkan SSL gratis dengan paket hosting mereka. Anda dapat membaca lebih lanjut tentang cara menginstal SSL di panduan HTTPS & SSL gratis kami.

Otentikasi Dua Faktor

Otentikasi Dua Faktor adalah salah satu cara paling aman untuk melindungi situs web Anda dari peretas. Ini berfungsi selain nama pengguna/kata sandi standar yang sudah Anda miliki. Setelah Anda memasukkan kredensial ini, sebuah kode dibuat pada perangkat yang Anda miliki, sering kali ponsel cerdas Anda. Hanya ketika kode ini dimasukkan, Anda mendapatkan akses ke situs tersebut.

Banyak plugin gratis dan premium tersedia untuk dipasang di situs web Anda. Metode keamanan ini sudah ada sejak lama, namun kini semakin banyak diterapkan pada akses website. Anda dapat membaca lebih lanjut tentang otentikasi dua faktor di posting kami sebelumnya.

Plugin keamanan

Banyak situs web memasang plugin yang menjaga keamanan WordPress secara komprehensif. Mereka mengemas perlindungan firewall, pemindaian malware, memasukkan IP ke dalam daftar hitam dan putih, memantau aktivitas pengguna, mengaudit pencatatan, dan secara umum memperketat keamanan menyeluruh. Tersedia opsi gratis dan premium.

Beberapa plugin yang menyertakan perlindungan login,

Wordfence – Menerapkan kata sandi yang kuat dan mencegah serangan brute force.
iThemes – Melawan serangan otomatis dan membatasi jumlah upaya login. Ini juga menerapkan kredensial pengguna yang lebih ketat.
Keamanan dan Firewall All in One – Mencegah serangan brute force dan memungkinkan pemblokiran tingkat IP, mengunci pengguna setelah jangka waktu tertentu. Fitur perlindungan login lainnya termasuk penguncian login dan memasukkan alamat IP ke daftar putih & daftar hitam.
Keamanan Antipeluru – Login dan perlindungan brute force.
McAfee Secure – Menawarkan perlindungan berlapis termasuk merek situs tepercaya, pemindaian malware, dan cakupan perlindungan identitas untuk toko e-commerce (aset yang sangat besar).

Pikiran Terakhir

Metode yang tercantum dalam postingan ini sebagian besar sederhana, namun merupakan cara yang sangat efektif untuk membatasi bot, malware, dan pembuat kerusakan agar tidak membobol situs web Anda. Anda juga dapat menambahkan captcha atau tes kecil lainnya untuk memverifikasi apakah upaya login dilakukan oleh manusia dan mencegah bot. Jika Anda memerlukan tips lebih lanjut tentang keamanan WordPress, baca apa yang dikatakan Freddy di postingan ini.