Cara Simpel Melindungi Blog WordPress Anda dari Serangan Hacker

بِسْمِ اللهِ الرَّحْمنِ الرَّحِيمِ

Beberapa saat lalu ada ulasan di sebuah blog yang menyatakan bahwa seseorang tanpa ijin telah masuk ke dalam sistem manajemen web blog wordpressnya. Website tersebut mendapatkan serangan setelah di-deface oleh orang yang tidak dikenal. Menanggapi masalah tersebut, beberapa rekan dalam forum memberikan beberapa respon tentang cara penanganan keamanan web berbasis WordPress. Tulisan ini mungkin agak telat, tapi jika Anda berkutat dengan WordPress, saya rekomendasikan Anda membaca yang satu ini..
Dalam laporan serangan tersebut disebutkan bahwa WordPress 2.1 (waktu itu) punya kelemahan dalam folder /wp-admin. Meski belakangan bug ini sudah diperbaiki dalam versi 2.5 ke atas, tapi jika Anda merasa perlu Anda bisa menerapkan langkah ini, just in case..

Cara menggunakan file .htaccess untuk memberikan batasan khusus terhadap akses folder WordPress. Dengan menambahkan sedikit baris perintah berikut, WordPress akan menyaring akses berdasarkan alamat IP pengakses. Jika ada pengakses yang tidak kita kehendaki mencoba masuk, dia akan disambut dengan pesan ‘Forbidden Error’.

Caranya sederhana, tempatkan sebuah file .htaccess dalam folder /wp-admin. (Ingat, dalam folder /wp-admin, bukan .htaccess yang berada dalam root folder blog.) Saya sarankan sebelum Anda melakukan ini, Rename dulu .htaccess asli (jika ada) untuk backup sebelum melakukan upload file .htaccess berikut

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName “Access Control”
AuthType Basic
order deny,allow
deny from all
# Alamat IP rumah
allow from xxx.xxx.xxx.xxx
# Alamat IP kantor
allow from xxx.xxx.xxx.xxx
allow from xxx.xxx.xxx.xxx
# Alamat IP mobile
allow from xxx.xxx.xxx.xxx

Catatan: Ganti tanda xxx.xxx.xxx.xxx dengan alamat IP static yang diberikan Internet Provider Anda. Misalnya, untuk IP dari Telkomnet Speedy, biasanya berawalan 125.xxx.xxx.xxx. Ingat, ini bukan alamat IP local network PC yang Anda gunakan. Untuk pengguna dengan alamat IP Dinamic (DHCP), Anda perlu tenaga ekstra untuk menambahkan daftar IP yang Anda gunakan.

Jika Anda merasa tidak yakin, Anda bisa gunakan plugin Lockdown seperti WP-Supercache dan Login Lockdown dari Michael untuk mengantisipasi penyerang untuk melakukan serangan acak password. Dengan plugin ini, semua upaya login yang gagal akan dicatat dan setelah beberapa kali salah login, plugin akan memblokir alamat IP selama waktu yang ditentukan.