WordPress menjalankan 43% dari seluruh website di internet — yang juga berarti hacker otomatis menarget platform ini secara masif. Di Bali, kami menangani rata-rata 2–3 kasus website diretas setiap bulan: dari website yang tiba-tiba menampilkan konten tidak relevan (Japanese SEO spam), hingga data kontak tamu villa yang dicuri, hingga website yang dikunci oleh ransomware. Hampir semua kasus bisa dicegah dengan langkah-langkah keamanan dasar yang tidak membutuhkan keahlian teknis tinggi.
Tanda-tanda Website WordPress Anda Sudah Diretas
- Google menampilkan peringatan “This site may be hacked” di bawah judul di hasil pencarian
- Redirect otomatis ke website lain (biasanya situs judi atau farmasi) saat dikunjungi dari mobile
- Halaman baru muncul yang tidak pernah Anda buat — biasanya berisi teks Jepang atau Mandarin (Japanese SEO spam attack)
- Traffic tiba-tiba naik drastis tapi bounce rate juga naik — bukan trafik yang Anda inginkan
- Hosting mengirim email peringatan tentang penggunaan bandwidth atau CPU yang tidak normal
- Password admin tidak berfungsi padahal tidak pernah diubah
7 Langkah Keamanan WordPress yang Wajib Dilakukan Sekarang
- Update WordPress, theme, dan semua plugin secara rutin. 60% serangan WordPress masuk melalui plugin yang tidak diupdate. Aktifkan auto-update untuk update minor. Untuk update major, lakukan setelah backup penuh. Hapus plugin yang tidak digunakan — plugin tidak aktif tetap bisa menjadi celah masuk.
- Ganti username “admin”. Brute force attack hampir selalu mencoba username “admin” terlebih dahulu. Buat akun baru dengan username yang tidak mudah ditebak, berikan hak Administrator, lalu hapus akun “admin” yang lama.
- Password yang kuat + two-factor authentication (2FA). Password minimal 16 karakter dengan kombinasi huruf, angka, dan simbol. Aktifkan 2FA untuk semua akun Admin — plugin seperti WP 2FA atau Google Authenticator. Satu langkah ini mencegah hampir semua brute force attack.
- Pasang plugin keamanan. Wordfence (gratis dan efektif) memantau file website secara real-time, memblokir IP mencurigakan, dan mengirim notifikasi jika ada perubahan file yang tidak normal. Sucuri adalah alternatif yang juga solid.
- Backup otomatis harian ke lokasi terpisah. Backup di server yang sama dengan website tidak berguna jika server itu yang bermasalah. Backup ke Google Drive, Dropbox, atau S3 menggunakan plugin seperti UpdraftPlus. Pastikan backup restore pernah diuji — backup yang tidak pernah dicoba restore tidak bisa dipercaya.
- Gunakan hosting yang serius tentang keamanan. Shared hosting murah sering menempatkan ratusan website di satu server — jika satu website diretas, yang lain ikut terpengaruh. Hosting dengan isolasi akun, WAF (Web Application Firewall), dan monitoring aktif jauh lebih aman.
- SSL certificate yang aktif. Bukan hanya untuk SEO — HTTPS mengenkripsi data yang dikirimkan antara pengunjung dan website Anda, termasuk password yang diinput ke form. Website tanpa SSL di 2025 juga mendapat peringatan “Not Secure” di browser yang mengurangi kepercayaan tamu.
Jika Website Sudah Diretas: Langkah Pertama
Jangan panik dan jangan langsung hapus file — ini menghapus bukti dan bisa membuat pemulihan lebih sulit. Langkah pertama: dokumentasi (screenshot apa yang terlihat), hubungi hosting untuk isolasi akun, lalu restore dari backup terakhir yang bersih. Jika tidak ada backup, proses pembersihan manual lebih kompleks tapi masih bisa dilakukan.
Pelajari lebih lanjut tentang layanan keamanan dan migrasi website dari Bali Web Design — termasuk audit keamanan, pembersihan malware, dan setup sistem backup otomatis. Atau pertimbangkan upgrade ke hosting yang lebih aman sebagai fondasi.