5 Ancaman Keamanan Default di WordPress (Plus Perbaikan)

WordPress adalah perangkat lunak sumber terbuka yang sangat populer. Hal hebat tentang hal ini dari segi keamanan adalah adanya komunitas besar yang bekerja dengannya, yang mampu menemukan bug serta risiko keamanan lebih cepat dibandingkan dengan solusi CMS internal. (Sulit untuk mengetahui kelemahannya ketika salah satu cara untuk mengetahuinya adalah dengan mengeksploitasi kelemahan tersebut, dan memiliki basis pengguna yang besar membuat penemuan lebih mungkin terjadi.)

Kelemahannya adalah peretas dengan niat buruk tahu persis bagaimana situs web Anda dibangun. Mereka sudah memiliki 'cetak biru' situs Anda. Dan jika ada kelemahan pada inti, tema, atau plugin yang Anda gunakan, itu adalah sesuatu yang dapat mereka ketahui tanpa harus mendapatkan akses ke backend situs Anda.

Jadi dalam postingan ini, saya akan menunjukkan cara memperbaiki 5 ancaman keamanan yang ada di instalasi default WordPress. (Jika Anda telah melakukan beberapa tindakan pencegahan, Anda mungkin menemukan bahwa Anda telah memperbaiki satu atau dua hal, namun penting untuk memperbaiki kelima hal tersebut untuk meminimalkan risiko diretas.)

Situs Anda Menunjukkan Anda Menggunakan WordPress, Ditambah Versinya

Versi default WordPress akan memiliki baris kode yang menunjukkan bahwa situs Anda dibuat menggunakan WordPress, bahkan hingga versinya bagi orang yang tahu di mana mencarinya. Tergantung pada temanya, itu bahkan mungkin ditampilkan secara visual di setiap halaman situs web Anda.

Alasan mengapa hal ini bisa menjadi risiko keamanan adalah karena orang mungkin menargetkan situs Anda hanya karena alasan situs tersebut dibuat di WordPress. Jika seseorang menemukan kelemahan keamanan pada inti, tema, atau plugin WordPress, mereka mungkin akan membuka situs Anda untuk mengeksploitasinya. Sedangkan jika Anda berhasil menyembunyikan bahwa situs Anda dibuat dengan WordPress, orang yang menelusuri situs WordPress menggunakan bot atau crawler akan tertipu dan berpikir bahwa situs Anda bukanlah target yang layak.

Cara memperbaikinya:
Untuk memperbaikinya, Anda dapat menggunakan Plugin Sembunyikan WP Saya. Dengan plugin kecil yang bermanfaat ini, Anda dapat menghindari lalu lintas yang tidak perlu di server Anda, dan pada saat yang sama, tetap aman dari serangan yang secara khusus menargetkan situs WordPress.

Semua Orang Tahu Di Mana Halaman Login/Area Admin Anda Berada

Jika Anda masih menunjukkan bahwa Anda menggunakan WordPress (alias, tidak secara aktif menyembunyikannya dengan misalnya menggunakan plugin seperti Hide My WP), orang-orang dengan niat buruk sudah tahu di mana harus mencoba serangan brute force di situs Anda.

Cara memperbaikinya:
Untuk mengatasi ancaman ini, dan secara drastis menurunkan kemungkinan diretas, dan untuk mengurangi tekanan pada server, kita perlu menghentikan orang-orang jahat dan bot memasuki halaman login kita.

Ada dua cara utama untuk melakukan ini. Anda dapat mengubah lokasi fisik halaman login Anda ke lokasi lain dengan menggunakan plugin (atau beberapa baris kode), atau Anda dapat membatasi akses ke halaman login dan area admin berdasarkan alamat IP. Anda dapat melakukan ini dengan plugin yang didedikasikan untuk hal khusus ini, atau dengan plugin keamanan seperti Sucuri, Wordfence, iThemes Security Pro, atau All In One WP Security & Firewall.

WordPress Memiliki Awalan Tabel Default yang Digunakan Semua Orang

Awalan tabel adalah yang muncul sebelum nama tabel di database Anda. Alih-alih pengguna, dengan awalan WordPress standar, itu adalah wp_users. Jika Anda menggunakan awalan tabel default, ini akan memudahkan orang mendapatkan akses ke situs Anda dengan memanfaatkan kemungkinan kelemahan injeksi sql. Karena mereka tahu persis di mana harus memasukkan informasi ke dalam database Anda untuk kemudian mendapatkan akses ke situs Anda.

Sebenarnya salah satu situs web saya diretas karena injeksi sql, jadi ini adalah ancaman yang sangat nyata yang perlu Anda ambil tindakan pencegahannya.

Cara memperbaikinya:
Untungnya sangat mudah untuk menghilangkan ancaman ini. Jika Anda sudah menginstal WordPress menggunakan awalan wp_ default, Anda dapat dengan mudah mengubahnya menggunakan plugin seperti Sucuri. Pertama, Anda perlu membuat cadangan database Anda sebelum menggunakan opsi itu karena ada kemungkinan kecil terjadi kesalahan. Anda dapat melakukan ini dengan mengklik sebuah tombol. Kemudian Anda dapat memilih awalan baru, atau biarkan Sucuri membuatkan awalan baru secara acak untuk Anda.

Catatan: Jika Anda baru menginstal WordPress untuk pertama kalinya, Anda dapat mengubahnya di antarmuka instalasi.

Tema WordPress & File Plugin Dapat Diedit Melalui Dasbor

Masalahnya adalah jika peretas mendapatkan akses ke situs web Anda, mereka dapat melakukan banyak kerusakan. Mereka dapat membuat situs web Anda menginfeksi orang lain dengan malware (yang dapat mengakibatkan situs Anda dimasukkan ke dalam daftar hitam Google dan dihapus indeksnya dari mesin telusur), merusak situs web Anda, atau dengan mudah membuka pintu belakang.

Cara memperbaikinya:
Anda dapat menambahkan baris kode ini ke file wp-config.php Anda:

define( 'DISALLOW_FILE_EDIT', true );

Atau gunakan plugin keamanan untuk melakukannya untuk Anda (yang pada dasarnya hanya akan memasukkan baris kode tersebut untuk Anda). Satu-satunya masalah adalah adanya plugin yang memungkinkan orang untuk mengaktifkan dan menonaktifkan kemampuan ini, sehingga peretas yang sangat berdedikasi mungkin dapat menginstal plugin, mengaktifkan plugin, dan kemudian mendapatkan akses untuk mengedit kode tanpa akses FTP.

Jika Anda ingin sangat teliti dan melindungi terhadap hal ini, Anda dapat menonaktifkan semua pembaruan/instalasi plugin dan tema dengan menambahkan baris kode ini ke wp-config.php:

define( 'DISALLOW_FILE_MODS', true );

Namun jelas ini berarti Anda harus mengubah nilainya menjadi false setiap kali Anda ingin mengupdate atau menginstal plugin atau tema (kami tidak terlalu merekomendasikan opsi ini, karena selalu memperbarui tema dan plugin adalah salah satu cara terbaik untuk memastikan situs Anda tidak terlalu rentan).

WordPress memiliki pengaturan firewall yang sangat terbuka sehingga memungkinkan bot berbahaya sekalipun untuk mencoba melakukan serangan

Pengaturan firewall default WordPress sebenarnya berada pada sisi liberal. Artinya, beberapa bot yang tidak diinginkan dan pengunjung tidak diinginkan lainnya mendapat lampu hijau.

Cara memperbaikinya:
Anda dapat menjadikannya lebih baik dengan menginstal aturan dasar firewall daftar hitam 5G, dengan menyalinnya secara manual ke file .htaccess Anda, (Anda dapat menemukannya di sini) atau dengan menginstal plugin ini, atau menggunakan plugin keamanan untuk mengoptimalkan lebih baik aturan di .htaccess Anda.

Upaya Masuk WordPress Tanpa Batas

Meskipun pengaturan defaultnya adalah upaya login tanpa batas, Anda mungkin memilih untuk membatasi upaya login saat menginstal WordPress di situs Anda. Namun, jika Anda tidak melakukannya, ini adalah perbaikan yang sangat mudah.

Cara memperbaikinya:
Cukup instal plugin Batasi Upaya Masuk. Atau, jika Anda menggunakan hosting WPEngine, ini adalah fitur yang sudah ada di dalamnya untuk Anda – tidak perlu plugin! Jika Anda sudah melindungi area login Anda dengan hanya mengizinkan alamat IP Anda sendiri untuk mengakses dasbhboard, Anda tidak perlu melakukan ini. Namun jika Anda hanya menyembunyikan alamat halaman login Anda, ini merupakan perlindungan ganda yang bagus dari potensi serangan brute force.

Kesimpulan

Kejahatan dunia maya berkembang pesat dan internet kini menjadi rumah bagi lebih banyak penjahat dibandingkan ‘dunia nyata’. Di beberapa negara, hal ini sudah terjadi. Meskipun sebagian besar penipuan ini adalah penipuan kartu kredit dan bank, jumlah peretas di luar sana semakin meningkat, dan sebagai pemilik situs web, kita harus melindungi diri dan situs kita sebaik mungkin.

Meskipun instalasi default WordPress memiliki beberapa kelemahan, keindahan WordPress sebenarnya terletak pada kemudahannya sehingga Anda dapat menyelesaikan hampir semua masalah dengan situs Anda, termasuk ancaman keamanan yang disebutkan dalam posting ini. Selain memiliki nama pengguna yang unik dan kata sandi yang kuat, dengan memasang plugin keamanan, mengedit beberapa pengaturan, dan mungkin memasukkan satu atau dua baris kode, Anda sudah dapat mengurangi risiko situs Anda diretas atau dipenuhi malware secara signifikan.

Sudahkah Anda mengambil tindakan untuk meningkatkan keamanan situs WordPress Anda? Jenis apa? Kami ingin mendengar beberapa tips & trik Anda! Silakan beri tahu kami di komentar.