WordPress adalah platform CMS paling populer di dunia, namun popularitas ini juga menjadikannya target utama serangan siber. Salah satu jenis serangan paling umum yang menyerang WordPress adalah brute force attack—serangan yang mencoba menebak username dan password secara otomatis berulang-ulang hingga berhasil login.
Kalau kamu belum mengamankan area login WordPress, situsmu sangat rentan terhadap serangan ini. Artikel ini akan membahas cara-cara efektif meningkatkan keamanan login WordPress dan mencegah serangan brute force.
Apa Itu Brute Force Attack?
Brute force attack adalah metode peretasan yang dilakukan dengan mencoba kombinasi username dan password sebanyak mungkin, baik secara acak atau menggunakan daftar data (wordlist), hingga menemukan yang cocok.
Contoh sederhananya, peretas menjalankan script otomatis yang mencoba ribuan kombinasi seperti:
-
admin + admin123
-
user + password
-
dan lain-lain…
Tujuan akhirnya adalah bisa masuk ke dashboard WordPress dan mengambil alih kontrol situs.
Mengapa Serangan Brute Force Berbahaya?
Beberapa dampak dari brute force attack:
-
Pengambilalihan situs: Jika peretas berhasil login, mereka bisa mengubah konten, menanam malware, atau menghapus situs.
-
Overload server: Ribuan permintaan login dalam waktu singkat bisa membebani server.
-
Blokir akun: Sistem bisa memblokir pengguna sah karena terlalu banyak percobaan login.
-
Data bocor: Bila kamu pakai password yang sama di tempat lain, akun lain juga bisa kena.
Cara Melindungi Login WordPress dari Brute Force Attack
Berikut adalah langkah-langkah penting yang bisa kamu lakukan untuk mengamankan login WordPress:
1. Gunakan Username & Password yang Kuat
Ini hal paling dasar, tapi sangat sering diabaikan. Jangan gunakan admin, user, atau nama domain sebagai username. Gunakan kombinasi huruf besar, kecil, angka, dan simbol untuk password.
Contoh password kuat:T!gA_7#YxqLw@20
Jika kamu kesulitan mengingat, gunakan password manager seperti Bitwarden atau LastPass.
2. Batasi Percobaan Login
Secara default, WordPress mengizinkan percobaan login tak terbatas. Ini berbahaya!
Solusi: Instal plugin seperti:
-
Limit Login Attempts Reloaded
-
Loginizer
-
Wordfence Security
Dengan plugin ini, kamu bisa mengatur misalnya hanya 3 kali percobaan login. Setelah itu, IP akan diblokir sementara.
3. Aktifkan Autentikasi Dua Faktor (2FA)
Two-Factor Authentication (2FA) menambahkan lapisan keamanan ekstra. Setelah login dengan username & password, kamu harus memasukkan kode verifikasi dari ponsel.
Plugin rekomendasi:
-
Two Factor Authentication
-
WP 2FA
-
Google Authenticator
Dengan 2FA, meski password berhasil ditebak, peretas tetap tidak bisa masuk tanpa kode OTP.
4. Ganti URL Halaman Login WordPress
Semua orang tahu bahwa halaman login WordPress ada di domain.com/wp-login.php atau domain.com/wp-admin. Kamu bisa menyembunyikan URL login untuk mencegah serangan otomatis.
Gunakan plugin:
-
WPS Hide Login
-
Rename wp-login.php
Contoh: Ubah URL menjadi domain.com/masuk-admin
5. Tambahkan reCAPTCHA di Halaman Login
Google reCAPTCHA membantu mencegah bot otomatis yang mencoba brute force login. Kamu bisa memasangnya dengan plugin:
-
Login No Captcha reCAPTCHA
-
Advanced noCaptcha & invisible Captcha
Dengan CAPTCHA, bot akan kesulitan melakukan serangan otomatis.
6. Gunakan Firewall & Keamanan Server
Web Application Firewall (WAF) bisa menyaring permintaan mencurigakan sebelum sampai ke situsmu.
Beberapa plugin yang menyediakan firewall:
-
Wordfence Security
-
Sucuri Security
Plugin ini juga mendeteksi file yang dimodifikasi, malware tersembunyi, dan aktivitas mencurigakan.
7. Blokir IP atau Negara Tertentu
Jika kamu hanya melayani pengunjung lokal, kamu bisa memblokir akses login dari IP atau negara tertentu yang sering digunakan bot peretas.
Cara melakukannya:
-
Gunakan plugin seperti IP2Location Country Blocker
-
Atau gunakan fitur Geo Blocking dari Cloudflare (gratis)
8. Lindungi file wp-login.php dengan .htaccess (untuk pengguna Apache)
Kamu bisa batasi akses ke wp-login.php hanya dari IP tertentu.
Tambahkan ini ke file .htaccess di root WordPress:
Ganti 123.123.123.123 dengan IP kamu. Hanya IP ini yang bisa akses halaman login.
9. Gunakan Plugin Keamanan All-in-One
Kalau kamu ingin solusi menyeluruh, plugin berikut bisa jadi pilihan:
-
Wordfence – firewall, 2FA, limit login, dan pemindaian malware
-
iThemes Security – perlindungan brute force, 2FA, dan pengaturan keamanan lainnya
-
All In One WP Security & Firewall – plugin ringan dan mudah digunakan
10. Update WordPress Secara Rutin
Update WordPress, tema, dan plugin secara berkala untuk menghindari celah keamanan yang bisa dimanfaatkan brute force attacker.
Pastikan kamu tidak menggunakan versi WordPress, tema, atau plugin yang usang atau tidak didukung.
Tanda-Tanda Website Kamu Diserang Brute Force
Kamu perlu waspada jika mengalami hal berikut:
-
Sering logout tiba-tiba
-
Website lemot tanpa alasan
-
Muncul banyak log percobaan login gagal
-
Dashboard tidak bisa diakses
-
Plugin keamanan mengirim peringatan IP mencurigakan
Apa yang Harus Dilakukan Setelah Terjadi Serangan?
Jika kamu curiga atau tahu bahwa website kamu terkena brute force attack:
-
Ganti semua password penting: WordPress, database, FTP, cPanel
-
Periksa file WordPress: Pastikan tidak ada file asing atau diubah
-
Scan malware dengan plugin keamanan
-
Restore dari backup jika perlu
-
Aktifkan 2FA dan batasi login
Kesimpulan
Keamanan login WordPress bukan hal yang bisa diabaikan, apalagi di zaman serangan otomatis seperti sekarang. Brute force attack bisa terjadi kapan saja, dan jika kamu belum siap, website kamu bisa diambil alih hanya dalam hitungan menit.
