Pentingnya Keamanan Website Wordpress

Mau nanya mastah.

Jadi saya masih pemula di wordpress,untuk build atau costum desain web insyaallah sudah bisa,nah yang saya belum mengerti itu tentang keamanan sebuah website apalagi web wordpress yang sedang saya garap.

Biasanya web semacam wordpress dari segi keamanannya sering kena masalah di mana aja ?

Dan gimana cara ngatasinnya? Apa cuma bergantung ke plugin sudah cukup?

Soalnya saya belum terlalu ngerti untuk masalah code2 apalah itu hehehe.

Mohon sarannya ya mastah mastah.

Soal keamanan web2 WP, saya termasuk orang yang meyakini bahwa WP itu default-nya sudah relatif aman dari hal2 yang tidak diinginkan. WP relatif aman dalam pandangan saya tersebut maksudnya aman dari serangan acak, bukan aman dari serangan yang "diniatin". Serangan yang diniatin itu misal dari kompetitor atau orang yang tidak suka karena (misal) kita terlalu jumawa bahwa web-nya super aman, sehingga memancing "Jawara kampung sebelah" untuk menjajal seberapa tangguh keamanan web kita.

Kalau hanya untuk blog/portal (seperti tipe web2 saya), tidak perlu seabrek fungsi/fitur2 canggih nan ajaib, cukup pakai plugin seperlunya. Semakin web-nya mendekati versi kosongan, clean, vanilla, untouched (atau apa pun namannya), maka potensi akan adanya lubang2 keamanan pun makin minim. Sekali lagi, hanya meminimalisir ya ini, bukan berarti blog tanpa plugin satu pun seperti punya saya bakal aman 100%.

Ibaratnya WP itu sebuah mobil, setelah dibeli, pemilik mobil tidak diharuskan untuk mengeluarkan biaya tambahan lagi hanya untuk modif2 biar aman. Kecuali mobilnya dioprek2 sedemikian rupa sehingga riset2 fitur keamanan yang dilakukan para insinyur perancang mobil tersebut jadi tak berguna lagi. Atau juga pada kondisi lain, misal mobilnya mau dipakai untuk terjun ke medan perang. Pada kondisi seperti ini fitur keamanan tambahan baru diperlukan.

Selain itu, semakin sedikit plugin dan fungsi2 custom yang dipakai di sebuah web, maka ketika mau upgrade ya tinggal upgrade saja, tidak perlu ribet mikirin compatibility. Saya tidak pernah ngecek2 compatibility plugin, theme dll, mau upgrade ya upgrade saja. Meski tetap ada risiko di compatibility, namun sangat minim. Oiya, saya dari 2009 sampai sekarang seinget saya tidak pernah pakai plugin keamanan di WP.

Strategi keamanannya paling cuma buka akses back-end WP seperti wp-admin, login, xmlrpc, cron dan sematjamnya untuk IP tertentu. Misal di kasus saya hanya boleh diakses oleh ISP Tri, IP upstream/back-end server-nya, dan IP-nya Automattic/WP[.]com. Selebihnya dari sisi server pakai fitur bawaan Nginx, limit_req dan limit_conn untuk sedikit meredakan serangan DDoS kecil2an. Kok kecil2an? iya karena saya ngga yakin limit_req dan limit_conn Nginx itu kuat untuk serangan DDoS yang masif/niat.

Source: Facebook