Keamanan Maksimal WordPress

Saya telah menerjemahkan saran keamanan WordPress yang disampaikan oleh Matt Mullenweg pada artikel sebelumnya. Tapi itu saja, kadang tidak cukup bila blog anda tergolong penting. Anda butuh pengamanan ekstra. Apa saja itu?

Metode Sederhana

Jangan gunakan username ‘admin’

Silahkan memakai username apa saja, bahkan kalau bisa kombinasikan dengan angka. Misalnya gue86 sebagai username. Ini akan menyulitkan perentas karena mereka harus mencari dua kata.

Selalu gunakan versi terbaru

Ini sudah saya sampaikan di artikel yang lalu. Tiap ada informasi update, pastikan anda melakukannya sesegera mungkin. Jangan menunggu besok apalagi lusa.

Hapus Readme.html

Berkas readme.html mengandung versi WordPress anda. Hapus saja berkas ini sesaat setelah anda melakukan upgrade WordPress.

Hapus file Install.php

Berkas wp-admin/install.php hanya dipakai saat menginstall WordPress saja. Anda sudah tidak memerlukannya lagi bila WordPress sudah berjalan. So, hapus juga berkas ini dari system WordPress anda.

Gunakan Password yang Kuat

Buatlah sebuah password yang kuat. Anda bisa menggunakan http://strongpasswordgenerator.com/ untuk mendapatkan password yang kuat.

Hacking WordPress

Lindungi wp-config.php

Kita harus membuat file ini tidak bisa diakses oleh siapapun juga. Mudah saja, tinggal masukkan kode ini di file .htaccess anda:

order allow,deny
deny from all

Blockir folder wp-xxxxxx

Kita tidak ingin folder-folder dalam system WordPress dijelajahi oleh siapapun. Jadi, masukkan kode ini di file robot.txt

Disallow: /wp-

Hilangkan versi WordPress

Caranya juga mudah, cukup masukkan kode ini di file functions.php pada themes anda:

function no_generator() { return ''; }
add_filter( 'the_generator', 'no_generator' );

Rubah Table Prefix

Cara ini sangat efektif, tapi agak susah terutama bila blog anda sudah berjalan. Dulu ketika saya mengubah table prefix blog ini, saya membackup dulu database yang lama. Dengan bantuan Notepad++, saya lakukan find and replace. Jika awalnya wp_, maka saya coba ubah ke prefix lain misalnya newp_.

Setelah selesai, saya impor deh SQL-nya ke phpmyadmin sehingga disana akan ada 2 macam tabel. Yang satu diawali wp_ dan yang lain newp_ Yang lama tidak saya hapus agar saya bisa mengujicoba dulu.

Jika proses pengubahan selesai, kini tinggal mengganti table prefix yang ada di wp-config.php. Cari kode ini:

$table_prefix  = 'wp_';

Lalu ganti dengan table prefix anda sendiri. Misalnya kita memilih newp_, maka kodenya menjadi seperti ini:

$table_prefix  = 'newp_';

Sekarang ujicoba blog anda. Coba kirim komentar, buka beberapa halaman dan coba buat artikel baru. Jika sudah sip, anda boleh hapus table dengan prefix lama. Tapi membiarkannya disana juga tidak masalah biar peretas makin bingung.

Nah, langkah-langkah diatas mungkin tidak menjamin 100% blog anda aman. Tapi setidaknya bisa membuat peretas mengalami kesulitan untuk menyerang blog anda. Dan untuk lebih mengamankan blog anda, pastikan password CPanel juga anda rubah menjadi strong password juga. Usahakan berbeda antara password blog dan password cpanel.

Oh iya, kadang peretas terlebih dahulu menyerang akun email anda. Dari email, dia kemudian baru menyerang blog anda. Maka pastikan juga email anda cukup aman ya? Jika anda menggunakan gmail, maka gunakan verifikasi via HP untuk fasilitas lost passwordnya.