Checklist Keamanan Website: 12 Hal yang Dicek Sebelum Diretas
Sebagian besar website yang diretas bukan karena serangan canggih, tetapi karena pembaruan tertunda, kata sandi lemah, atau akun lama yang lupa dimatikan.
Gunakan daftar ini sebagai pemeriksaan berkala, misalnya tiap tiga bulan. Hampir semuanya bisa dikerjakan tanpa alat mahal. Bila ada yang tidak Anda pahami, minta pengelola website atau vendor menjelaskan jawabannya secara tertulis.
Apa saja 12 pemeriksaannya?
- HTTPS aktif di semua halaman, dengan sertifikat yang tidak kedaluwarsa dan pengalihan dari http.
- Pembaruan terpasang untuk CMS (misalnya WordPress), tema, dan plugin. Pembaruan keamanan yang tertunda adalah pintu masuk paling umum.
- Hapus plugin dan tema yang tidak dipakai. Yang dinonaktifkan pun bisa memuat celah.
- Kata sandi admin kuat dan unik, tidak dipakai di layanan lain, disimpan di pengelola kata sandi.
- Verifikasi dua langkah untuk login admin, hosting, dan email domain.
- Daftar akun dibersihkan. Matikan akun mantan karyawan dan vendor lama; beri hak akses seperlunya saja.
- Cadangan otomatis yang disimpan di luar server website, dan pernah diuji dipulihkan.
- Hak akses berkas yang wajar: berkas tidak perlu dapat ditulis oleh semua pihak, dan folder unggahan tidak boleh mengeksekusi skrip.
- Batasi percobaan login dan sembunyikan atau amankan halaman login admin.
- Pemantauan perubahan berkas atau pemberitahuan bila ada berkas baru yang tidak dikenal.
- Akun registrar dan DNS dilindungi kata sandi kuat dan verifikasi dua langkah; domain dikunci dan email kontak aktif.
- Log tersimpan cukup lama untuk menelusuri kejadian bila terjadi insiden.
Apa tanda website terkena injeksi judi online?
- Hasil pencarian Google untuk nama website Anda menampilkan judul atau deskripsi berisi kata judi atau slot.
- Halaman terlihat normal bagi Anda, tetapi berbeda bagi pengunjung dari Google (disebut cloaking).
- Ada berkas atau halaman baru yang tidak pernah Anda buat, atau tautan tersembunyi di footer.
- Pencarian
site:domainanda.go.iddi Google menampilkan halaman yang tidak dikenal.
Apa yang dilakukan jika sudah terkena?
- Jangan hanya menghapus halaman yang terlihat. Penyusup biasanya meninggalkan pintu belakang untuk masuk lagi.
- Ganti semua kata sandi (admin, hosting, basis data, FTP) dan matikan akun yang tidak dikenal.
- Pulihkan dari cadangan bersih bila ada, lalu pasang semua pembaruan.
- Cari dan hapus berkas yang tidak dikenal, lalu periksa ulang sesudahnya.
- Ajukan peninjauan ulang di Google Search Console setelah bersih.
- Catat kronologi untuk pelaporan internal, dan laporkan sesuai prosedur instansi bila perlu.
Siapa yang seharusnya bertanggung jawab?
Tetapkan satu nama penanggung jawab, bukan "tim IT" secara umum, dan masukkan perawatan keamanan dalam kontrak vendor, termasuk siapa yang memperbarui dan seberapa cepat. Website yang dibuat sekali lalu dibiarkan adalah penyebab utama masalah ini.
Sentra membantu pemeriksaan, perbaikan, dan perawatan website. Lihat konsultasi teknologi, custom software, dan layanan website.
Pertanyaan yang sering diajukan
Seberapa sering website perlu diperiksa?
Pemeriksaan keamanan ringan tiap tiga bulan, dan pembaruan keamanan segera setelah dirilis. Website instansi atau yang menyimpan data pengguna perlu lebih sering.
Apakah cadangan saja cukup?
Tidak. Cadangan membantu pulih, tetapi tidak mencegah. Pastikan juga pembaruan, kata sandi, dan verifikasi dua langkah beres, dan uji pemulihannya.
Bagaimana tahu website saya sudah bersih setelah dibersihkan?
Periksa ulang beberapa hari kemudian: cari berkas baru yang tidak dikenal, cek hasil pencarian Google, dan pantau log login. Peretas sering kembali lewat pintu belakang.
Apakah website statis lebih aman?
Umumnya permukaan seranganya jauh lebih kecil karena tidak ada basis data atau panel admin yang terbuka, tetapi akun hosting dan domain tetap perlu diamankan.
Ceritakan prosesnya. Kami bantu memetakan pendekatan yang paling proporsional.
