Sebagian besar website yang diretas bukan karena serangan canggih, melainkan karena tidak dirawat: software lama, password lemah, dan tidak ada backup. Tujuh kebiasaan berikut menutup celah yang paling sering dipakai penyerang.
1. Perbarui software secara rutin
Framework, plugin, dan versi PHP punya jadwal pembaruan keamanan. Jadwalkan pengecekan minimal sebulan sekali dan pasang pembaruan keamanan secepatnya. Uji dulu di server staging bila perubahannya besar.
2. Backup otomatis, dan uji pemulihannya
Backup harian database dan file unggahan, disimpan di lokasi yang berbeda dari server utama. Backup yang tidak pernah dicoba dipulihkan belum tentu bisa dipakai. Coba pulihkan ke server terpisah setidaknya sekali setiap tiga bulan.
3. HTTPS di semua halaman
Sertifikat SSL gratis dari Let's Encrypt sudah cukup untuk kebanyakan website. Pastikan semua alamat http:// dialihkan ke https://, dan sertifikat diperpanjang otomatis.
4. Rapikan akun admin
- Satu akun untuk satu orang. Jangan berbagi akun admin.
- Hapus akun karyawan yang sudah keluar pada hari terakhirnya.
- Berikan hak akses sesuai pekerjaan: penulis tidak perlu bisa mengubah pengaturan.
- Pakai password panjang dari password manager.
5. Batasi percobaan login
Batasi jumlah percobaan login per menit dari alamat IP yang sama. Ini menghentikan serangan tebak password otomatis tanpa mengganggu pengguna asli.
6. Pantau yang tidak biasa
Aktifkan notifikasi bila website tidak bisa diakses, dan periksa log error setiap minggu. Lonjakan error 500 atau login gagal sering menjadi tanda awal masalah.
7. Simpan kredensial di tempat yang benar
Password database dan kunci API disimpan di file konfigurasi server, bukan di kode yang masuk repositori. Bila kredensial pernah bocor, ganti saat itu juga.
Tanda website sudah disusupi
- Muncul halaman atau tautan asing di hasil pencarian Google untuk domainmu.
- Pengunjung dialihkan ke situs lain, terutama saat membuka dari ponsel.
- Ada akun admin baru yang tidak dikenal.
- Penyedia hosting mengirim peringatan pemakaian server yang melonjak.
Bila salah satu terjadi, ganti semua password, pulihkan dari backup bersih, lalu cari celah yang dipakai sebelum website dibuka lagi.
Siapa yang mengerjakan?
Kalau tim internal belum punya waktu atau keahlian untuk tujuh hal di atas, gunakan layanan pemeliharaan. Biayanya jauh lebih kecil daripada memulihkan website yang sudah diretas dan kepercayaan pelanggan yang hilang.