Salah Kaprah dalam Membangun Keamanan Website

1 tahun yang lalu

Banyak nan merasa sudah melakukan langkah tepat untuk mengamankan website mereka, padahal tanpa sadar melakukan praktik nan keliru.

Salah kaprah dalam membangun keamanan website ini bisa berakibat fatal, lho!

Kira-kira apa saja kesalahan-kesalahan tersebut? Simak penjelasannya di tulisan ini, yuk, GudPeople!

Salah Kaprah dalam Membangun Keamanan Website

1. Menganggap SSL/HTTPS Sudah Cukup

Salah Kaprah: Banyak nan berpikir bahwa dengan memasang sertifikat SSL (sehingga alamat web menjadi HTTPS), website mereka sudah sepenuhnya aman.

Kenyataannya: SSL/HTTPS hanya mengenkripsi info nan dikirim antara browser visitor dan server website. Ini melindungi dari penyadapan info saat transit (man-in-the-middle attack), tapi tidak melindungi server dari serangan langsung seperti SQL injection, cross-site scripting (XSS), malware, alias celah keamanan pada aplikasi/plugin/tema website itu sendiri. Keamanan website jauh lebih kompleks dari sekadar enkripsi transit data.

2. Bergantung Sepenuhnya pada Penyedia Hosting

Salah Kaprah: Ada dugaan bahwa penyedia hosting bertanggung jawab penuh atas seluruh aspek keamanan website nan di-hosting di server mereka.

Kenyataannya: Penyedia hosting umumnya bertanggung jawab atas keamanan infrastruktur server (jaringan, sistem operasi server, pencegahan DDoS tingkat dasar). Namun, keamanan aplikasi website Anda (kode, CMS, plugin, tema, konfigurasi) biasanya tetap menjadi tanggung jawab Anda sebagai pemilik website. Anda perlu memastikan aplikasi Anda kondusif dan diperbarui.

3. Merasa Situs Terlalu Kecil/Tidak Penting untuk Diretas

Salah Kaprah: Pemilik website mini alias blog pribadi sering merasa situs mereka tidak menarik bagi peretas lantaran tidak menyimpan info sensitif alias tidak mempunyai trafik tinggi.

Kenyataannya: Peretas sering menggunakan bot otomatis untuk memindai ribuan website secara random mencari celah keamanan nan umum. Tujuannya bisa beragam: menyisipkan malware, menggunakan server Anda untuk mengirim spam, menjadikannya bagian dari botnet untuk serangan DDoS, alias sekadar untuk “latihan” alias merusak reputasi. Ukuran alias ketenaran situs bukan agunan bebas dari target.

4. Memasang Plugin/Firewall Keamanan Saja Sudah Cukup

Salah Kaprah: Menginstal sebuah plugin keamanan terkenal alias Web Application Firewall (WAF) dianggap sebagai solusi pamungkas.

Kenyataannya: Plugin dan WAF adalah perangkat bantu nan sangat penting, tetapi mereka bukan agunan 100%. Efektivitasnya tergantung pada konfigurasi nan benar, pembaruan rutin, dan keahlian mereka mendeteksi ancaman terbaru. Selain itu, mereka mungkin tidak melindungi dari semua jenis serangan alias celah keamanan zero-day (yang belum diketahui umum). Keamanan memerlukan pendekatan berlapis.

Salah Kaprah: Khawatir pembaruan (update) CMS, plugin, alias tema bakal merusak tampilan alias fungsionalitas website, sehingga memilih untuk menundanya alias tidak melakukannya sama sekali.

Kenyataannya: Pembaruan seringkali berisi perbaikan keamanan penting untuk menutup celah nan baru ditemukan. Menunda pembaruan berfaedah membiarkan website Anda rentan terhadap pemanfaatan celah keamanan nan sudah diketahui publik. Risiko diretas lantaran tidak pembaruan biasanya jauh lebih besar daripada akibat website rusak akibat pembaruan (yang bisa diminimalisir dengan backup dan pengujian).

6. Mengabaikan Pentingnya Backup sebagai Bagian Keamanan

Salah Kaprah: Backup hanya dianggap krusial untuk pemulihan info jika terjadi kerusakan hardware alias kesalahan pengguna, bukan sebagai bagian dari strategi keamanan.

Kenyataannya: Backup nan rutin dan disimpan di letak terpisah sangat krusial jika website Anda diretas, terinfeksi malware, alias dirusak. Tanpa backup nan baik, pemulihan bisa menjadi sangat sulit, menyantap waktu, alias apalagi mustahil. Backup adalah jaring pengaman terakhir Anda.

Cara Ampuh Meningkatkan Keamanan Website!

1. Selalu Perbarui Perangkat Lunak (Update Rutin)

Pembaruan seringkali berisi patch (tambalan) untuk celah keamanan nan baru ditemukan.

Apa saja nan diperbarui? CMS seperti WordPress, Joomla, Drupal, semua plugin, tema, serta perangkat lunak di level server (PHP, database, sistem operasi) jika Anda mengelolanya sendiri.

Aktifkan pembaruan otomatis jika memungkinkan (terutama untuk patch keamanan minor), tetapi selalu lakukan backup sebelum pembaruan besar.

2. Gunakan Kata Sandi Kuat & Manajemen Akses nan Baik

Gunakan kata sandi nan panjang, kompleks (kombinasi huruf besar-kecil, angka, simbol), dan unik untuk setiap akun (admin, database, FTP).

Gunakan pengelola kata sandi (password manager).

Hindari nama pengguna default seperti “admin”.

Aktifkan 2FA untuk lapisan keamanan tambahan saat login.

Berikan kewenangan akses kepada pengguna hanya sebatas nan mereka butuhkan untuk melakukan tugasnya. Jangan berikan akses admin kepada semua orang.

3. Terapkan HTTPS (SSL/TLS)

Mengenkripsi info antara browser visitor dan server Anda. Ini melindungi dari penyadapan (man-in-the-middle) dan meningkatkan kepercayaan visitor serta baik untuk SEO.

Instal sertifikat SSL/TLS di server Anda. Banyak penyedia hosting menawarkan SSL cuma-cuma (misalnya via Let’s Encrypt). Pastikan semua traffic diarahkan ke HTTPS.

4. Pasang dan Konfigurasi Plugin Keamanan/Web Application Firewall (WAF)

WAF dapat menyeleksi dan memblokir lampau lintas rawan sebelum mencapai website Anda.

Plugin keamanan (untuk CMS) dapat menambahkan fitur seperti pemindaian malware, penguatan keamanan, pemantauan integritas file, dan perlindungan login.

Contoh (untuk WordPress): Wordfence Security, Sucuri Security, iThemes Security.

PENTING! Jangan hanya menginstal, tapi konfigurasikan sesuai kebutuhan dan pedoman terbaik. WAF bisa berupa plugin, jasa cloud (Cloudflare, Sucuri, Akamai), alias hardware.

5. Lakukan Backup Secara Teratur

Jika terjadi peretasan, jangkitan malware, alias kegagalan sistem, backup adalah jaring pengaman Anda untuk memulihkan website.

Jadwalkan backup otomatis (harian alias lebih sering untuk situs dinamis). Simpan backup di lokasi terpisah (off-site), misalnya di cloud storage alias server lain. Uji proses pemulihan (restore) secara berkala untuk memastikan backup berfungsi.

6. Perkuat Keamanan Server (Server Hardening)

Jika Anda mengelola server sendiri (VPS/Dedicated):

Nonaktifkan layanan/port nan tidak perlu.
Konfigurasi firewall server (iptables, UFW).
Gunakan hubungan kondusif (SSH dengan key pair, bukan password).
Perbarui sistem operasi dan perangkat lunak server.

Sementara untuk semua jenis hosting, atur izin file (file permissions) dengan benar.

File tidak boleh bisa ditulis oleh siapa saja (writable by world). Direktori umumnya 755, file 644.

7. Batasi Upaya Login

Ini perlu dilakukan untuk mencegah serangan brute-force, ialah penyerang mencoba banyak kombinasi username/password.

Konfigurasikan fitur nan mengunci akun alias memblokir IP setelah beberapa kali kandas login. Banyak plugin keamanan menyediakan fitur ini. Pertimbangkan juga penggunaan CAPTCHA.

8. Pilih Penyedia Hosting nan Aman dan Terpercaya

Keamanan prasarana hosting adalah fondasi.

Pilih penyedia hosting nan proaktif tentang keamanan, menawarkan isolasi akun nan baik (khususnya pada shared hosting), menyediakan backup, dan mempunyai support nan responsif terhadap rumor keamanan.