Keamanan website untuk UMKM

Keamanan website untuk UMKM merupakan bagian penting dari pengelolaan bisnis digital karena website tidak hanya menyimpan konten, tetapi juga dapat terhubung dengan data pelanggan, formulir kontak, akun administrator, transaksi, database, email bisnis, hingga sistem operasional perusahaan. Ketika keamanan website diabaikan, gangguan kecil dapat berkembang menjadi masalah yang berdampak pada reputasi, operasional, dan kepercayaan pelanggan. Banyak pemilik UMKM masih menganggap keamanan website hanya diperlukan oleh perusahaan besar atau bisnis yang menyimpan data sangat sensitif. Padahal, website bisnis kecil juga dapat menjadi target serangan otomatis seperti brute force, eksploitasi plugin yang tidak diperbarui, malware, spam, hingga pencurian akun administrator.

WordPress dalam dokumentasi resminya menjelaskan bahwa keamanan bukan tentang menciptakan sistem yang benar-benar tidak dapat ditembus. Keamanan lebih tepat dipahami sebagai proses mengurangi risiko dengan menerapkan kontrol yang sesuai dan menjaga sistem secara berkelanjutan. Karena itu, keamanan website sebaiknya tidak hanya dipikirkan setelah website terkena masalah. UMKM dapat membangun perlindungan sejak awal melalui penggunaan HTTPS, password yang kuat, update sistem, pembatasan akses, backup rutin, firewall, monitoring, serta pengelolaan hosting yang tepat.

Artikel ini membahas dasar keamanan website yang perlu dipahami UMKM, risiko yang paling umum, langkah pencegahan, pengamanan WordPress, backup, monitoring, hingga cara membangun prosedur keamanan website yang lebih terstruktur.

Mengapa Keamanan Website Penting untuk UMKM?

Website dapat menjadi salah satu aset utama bisnis. Pelanggan menggunakannya untuk mengenal perusahaan, melihat produk, mengirim formulir, melakukan transaksi, atau menghubungi bisnis.

Gangguan pada website dapat langsung memengaruhi aktivitas tersebut.

1. Melindungi Kepercayaan Pelanggan

Calon pelanggan membutuhkan rasa percaya sebelum melakukan transaksi.

Bayangkan seseorang membuka website bisnis kemudian menemukan:

• halaman berubah sendiri;
• muncul iklan asing;
• browser memberikan peringatan keamanan;
• website diarahkan ke halaman mencurigakan;
• formulir tidak berfungsi.

Pengalaman seperti itu dapat menurunkan kepercayaan terhadap brand.

Bahkan setelah website diperbaiki, pelanggan mungkin masih ragu untuk kembali.

Karena itu, keamanan website berkaitan langsung dengan reputasi bisnis.

2. Mengurangi Risiko Gangguan Operasional

Website saat ini sering terhubung dengan proses bisnis.

Contohnya:

• toko online;
• pemesanan;
• booking;
• pembayaran;
• CRM;
• portal pelanggan;
• sistem member.

Jika website berhenti berfungsi, bukan hanya informasi perusahaan yang terganggu.

Order dan layanan pelanggan juga dapat terdampak.

Semakin besar ketergantungan bisnis terhadap website, semakin penting pengelolaan keamanan.

3. Melindungi Data Bisnis

Website dapat menyimpan berbagai data seperti:

• akun pengguna;
• formulir kontak;
• database pelanggan;
• order;
• alamat;
• konfigurasi sistem.

Tidak semua website menyimpan data yang sama, tetapi setiap bisnis perlu mengetahui data apa yang dikelola dan bagaimana akses terhadap data tersebut dibatasi.

Prinsipnya sederhana:

Semakin penting data, semakin ketat kontrol yang diperlukan.

Ancaman Keamanan Website yang Perlu Diketahui UMKM

Website bisnis dapat menjadi target serangan meskipun skalanya masih kecil. Pelaku serangan biasanya tidak selalu memilih target secara manual, karena banyak serangan dilakukan secara otomatis untuk mencari website dengan password lemah, plugin lama, atau konfigurasi keamanan yang kurang baik.

Karena itu, UMKM perlu memahami beberapa ancaman dasar agar dapat melakukan pencegahan sejak awal.

1. Brute Force Login

Brute force merupakan metode serangan dengan mencoba berbagai kombinasi username dan password secara berulang sampai berhasil masuk ke dalam sistem.

Website dengan password sederhana atau halaman login tanpa perlindungan tambahan memiliki risiko lebih tinggi terhadap serangan ini.

Beberapa langkah pencegahan yang dapat dilakukan:

• Gunakan password yang kuat dan unik.
• Hindari username administrator yang mudah ditebak.
• Aktifkan autentikasi dua faktor atau 2FA.
• Batasi jumlah percobaan login.
• Gunakan CAPTCHA jika diperlukan.
• Pantau aktivitas login yang mencurigakan.
• Blokir IP dengan percobaan login berlebihan.

Password yang kuat tetap menjadi dasar keamanan, tetapi sebaiknya dikombinasikan dengan perlindungan login lainnya.

2. Eksploitasi Software yang Tidak Diperbarui

Website biasanya menggunakan berbagai komponen seperti CMS, plugin, theme, framework, library, dan software server. Komponen yang tidak diperbarui dapat memiliki celah keamanan yang sudah diketahui oleh publik.

Penyerang dapat memanfaatkan celah tersebut untuk mendapatkan akses atau menjalankan kode berbahaya.

Untuk mengurangi risikonya:

• Perbarui CMS secara berkala.
• Update plugin dan theme.
• Gunakan versi PHP atau framework yang masih didukung.
• Hapus plugin dan theme yang tidak digunakan.
• Hindari menggunakan software bajakan atau nulled.
• Lakukan backup sebelum melakukan pembaruan besar.
• Pantau informasi mengenai kerentanan pada software yang digunakan.

Update bukan hanya untuk mendapatkan fitur baru, tetapi juga penting untuk menutup celah keamanan yang telah ditemukan.

3. Malware

Malware dapat digunakan untuk berbagai tujuan, seperti:

• Mengarahkan pengunjung ke website lain.
• Menampilkan spam.
• Mencuri informasi tertentu.
• Membuat akun administrator tersembunyi.
• Menyisipkan file berbahaya.
• Mengubah isi website.
• Menggunakan server untuk aktivitas yang tidak diinginkan.

Website yang terinfeksi malware dapat mengalami penurunan reputasi bahkan berpotensi mendapatkan peringatan keamanan dari browser atau mesin pencari.

Karena itu, lakukan scanning malware secara berkala, gunakan sistem keamanan yang sesuai, dan pastikan backup website tersedia serta dapat dipulihkan ketika terjadi masalah.

Gunakan HTTPS dan SSL

HTTPS merupakan salah satu komponen dasar keamanan website modern. Website yang menggunakan HTTPS mengenkripsi komunikasi antara browser pengguna dan server sehingga informasi yang dikirim tidak mudah dibaca oleh pihak lain di tengah perjalanan.

Penerapan HTTPS sangat penting terutama pada website yang memiliki formulir kontak, login, transaksi, checkout, atau pengiriman data pelanggan.

1. Fungsi HTTPS

HTTPS bekerja dengan menggunakan sertifikat SSL/TLS untuk membuat koneksi terenkripsi antara perangkat pengguna dan server website.

Manfaat penggunaan HTTPS antara lain:

• Mengenkripsi pertukaran data.
• Mengurangi risiko penyadapan komunikasi.
• Membantu memastikan pengguna terhubung ke website yang benar.
• Memberikan pengalaman browsing yang lebih aman.
• Mendukung kepercayaan pengunjung.
• Menjadi standar dasar website modern.
• Mendukung aspek teknis SEO dan browser modern.

Karena itu, website bisnis sebaiknya selalu menggunakan HTTPS pada seluruh halaman, bukan hanya pada halaman login atau checkout.

2. SSL Bukan Perlindungan Lengkap

Salah satu kesalahpahaman yang cukup umum adalah menganggap website sudah sepenuhnya aman setelah menggunakan SSL. Padahal SSL/TLS pada dasarnya berfungsi melindungi komunikasi antara browser dan server.

SSL tidak secara otomatis melindungi website dari:

• Password administrator yang lemah.
• Serangan brute force.
• Plugin yang memiliki celah keamanan.
• Malware.
• File berbahaya.
• Kesalahan konfigurasi server.
• Akun administrator yang berhasil dicuri.
• Serangan terhadap aplikasi website.

Karena itu, HTTPS harus menjadi bagian dari strategi keamanan yang lebih luas, termasuk update software, backup, kontrol akses, firewall, monitoring, dan perlindungan login.

3. Monitor Masa Berlaku Sertifikat

Sertifikat SSL memiliki masa berlaku tertentu dan harus diperpanjang secara berkala. Banyak layanan hosting saat ini menyediakan pembaruan otomatis, tetapi proses tersebut tetap dapat gagal karena masalah konfigurasi.

Jika sertifikat kedaluwarsa, browser dapat menampilkan peringatan keamanan kepada pengunjung. Kondisi ini dapat menurunkan kepercayaan pelanggan dan mengganggu akses ke website.

Beberapa hal yang perlu diperhatikan:

• Aktifkan perpanjangan SSL otomatis.
• Pastikan domain mengarah ke server yang benar.
• Pantau tanggal kedaluwarsa sertifikat.
• Periksa apakah seluruh subdomain yang digunakan telah tercakup.
• Pastikan HTTP diarahkan dengan benar ke HTTPS.
• Segera perbaiki jika muncul peringatan sertifikat pada browser.

Monitoring sederhana terhadap SSL dapat membantu memastikan website tetap dapat diakses melalui koneksi yang aman tanpa gangguan.

Gunakan Password dan Akun Administrator yang Aman

Akun administrator memiliki akses paling tinggi di dalam WordPress. Jika akun ini berhasil diambil alih, pihak yang tidak berwenang dapat mengubah konten, memasang plugin berbahaya, mengambil data, atau bahkan mengendalikan seluruh website.

1. Gunakan Password yang Kuat

Password administrator sebaiknya panjang, unik, dan tidak digunakan pada akun lain. Hindari password yang menggunakan nama bisnis, tanggal lahir, nomor telepon, atau kombinasi sederhana yang mudah ditebak.

Password yang baik sebaiknya:

• Memiliki kombinasi huruf besar dan kecil.
• Menggunakan angka dan karakter khusus.
• Memiliki panjang yang memadai.
• Berbeda untuk setiap akun.
• Disimpan menggunakan password manager jika diperlukan.
• Tidak dibagikan melalui grup chat atau dokumen publik.

Password yang kuat menjadi perlindungan dasar sebelum menerapkan sistem keamanan tambahan lainnya.

2. Jangan Memberikan Akun Admin ke Semua Orang

Tidak semua orang yang mengelola website membutuhkan akses administrator. WordPress menyediakan beberapa tingkat pengguna yang dapat disesuaikan dengan tanggung jawab masing-masing.

Pengaturan akses sebaiknya mempertimbangkan:

• Administrator hanya untuk pihak yang benar-benar membutuhkan.
• Editor untuk pengelola konten.
• Author untuk penulis artikel.
• Contributor untuk pengguna dengan akses terbatas.
• Akun mantan karyawan atau vendor segera dinonaktifkan.
• Setiap pengguna menggunakan akun masing-masing.

Pembagian akses seperti ini membantu menerapkan prinsip least privilege, yaitu memberikan hak akses hanya sesuai kebutuhan pekerjaan.

3. Aktifkan Multi-Factor Authentication

Multi-Factor Authentication atau MFA menambahkan lapisan verifikasi setelah password. Artinya, mengetahui username dan password saja belum tentu cukup untuk masuk ke akun.

MFA dapat menggunakan:

• Aplikasi authenticator.
• Kode verifikasi sekali pakai.
• Security key jika sistem mendukung.
• Metode autentikasi tambahan yang terpercaya.

MFA sangat disarankan untuk akun administrator dan pengguna yang memiliki akses terhadap konfigurasi penting website.

Pentingnya Update WordPress, Plugin, dan Theme

WordPress terus dikembangkan untuk memperbaiki bug, meningkatkan kompatibilitas, serta menutup celah keamanan. Plugin dan theme juga perlu diperbarui karena komponen tersebut dapat menjadi titik masuk serangan jika menggunakan versi lama yang memiliki kerentanan.

1. Update WordPress Core

WordPress Core merupakan bagian utama dari sistem WordPress. Menggunakan versi yang terlalu lama dapat membuat website tetap memiliki kerentanan yang sebenarnya sudah diperbaiki pada versi terbaru.

Sebelum melakukan update, sebaiknya:

• Pastikan backup tersedia.
• Periksa kompatibilitas plugin dan theme.
• Lakukan update secara berkala.
• Periksa website setelah update.
• Gunakan staging untuk website yang memiliki sistem kompleks.

Update sebaiknya tidak selalu dilakukan secara sembarangan, terutama untuk website bisnis yang memiliki banyak integrasi.

2. Update Plugin

Plugin menambahkan berbagai fungsi ke WordPress, tetapi juga menambah komponen yang perlu dipelihara. Plugin yang tidak pernah diperbarui dapat menjadi risiko apabila terdapat celah keamanan.

Pengelolaan plugin sebaiknya meliputi:

• Memperbarui plugin secara rutin.
• Menghapus plugin yang tidak digunakan.
• Memeriksa kompatibilitas sebelum update besar.
• Menghindari plugin yang sudah lama tidak dikembangkan.
• Mengurangi penggunaan plugin dengan fungsi yang tumpang tindih.
• Memantau informasi kerentanan jika website memiliki sistem penting.

Semakin banyak plugin yang digunakan, semakin besar pula permukaan sistem yang perlu dijaga.

3. Gunakan Theme dan Plugin Terpercaya

Theme atau plugin dari sumber tidak jelas dapat membawa kode berbahaya, malware, backdoor, atau komponen yang tidak mendapatkan pembaruan keamanan.

Untuk mengurangi risiko:

• Gunakan sumber resmi atau pengembang terpercaya.
• Hindari plugin atau theme nulled.
• Periksa reputasi pengembang.
• Perhatikan riwayat pembaruan.
• Periksa kompatibilitas dengan versi WordPress.
• Hapus theme dan plugin yang sudah tidak digunakan.

Menggunakan komponen terpercaya membuat pemeliharaan keamanan WordPress lebih mudah dalam jangka panjang.

Keamanan Login WordPress

Halaman login menjadi salah satu area yang sering menjadi target percobaan akses tanpa izin. Karena itu, perlindungan login perlu dikombinasikan dengan password kuat, pembatasan akses, dan autentikasi tambahan.

1. Batasi Percobaan Login

Serangan brute force mencoba berbagai kombinasi username dan password secara berulang. Pembatasan percobaan login dapat membantu mengurangi serangan seperti ini.

Beberapa langkah yang dapat digunakan:

• Membatasi jumlah percobaan login.
• Memberikan waktu tunggu setelah beberapa kegagalan.
• Memblokir aktivitas yang mencurigakan.
• Memantau IP dengan aktivitas login abnormal.
• Menggunakan CAPTCHA jika memang diperlukan.

Konfigurasi perlu dibuat secara wajar agar tidak mengganggu pengguna yang sah.

2. Gunakan Two-Factor Authentication

Two-Factor Authentication atau 2FA merupakan salah satu bentuk MFA yang menggunakan dua metode autentikasi. Fitur ini sangat berguna untuk melindungi akun penting.

2FA sebaiknya diterapkan pada:

• Administrator.
• Webmaster.
• Developer.
• Pengelola toko online.
• Tim yang memiliki akses terhadap data sensitif.

Dengan 2FA, risiko pengambilalihan akun akibat password bocor dapat dikurangi secara signifikan.

3. Batasi Fitur yang Tidak Dibutuhkan

Semakin banyak fungsi yang aktif, semakin banyak pula bagian sistem yang perlu diamankan. Fitur yang tidak digunakan sebaiknya dinonaktifkan jika memang tidak diperlukan.

Evaluasi dapat dilakukan terhadap:

• Akun pengguna lama.
• Plugin yang tidak digunakan.
• API atau endpoint tertentu.
• Fitur remote access yang tidak dibutuhkan.
• Integrasi pihak ketiga yang sudah tidak aktif.
• Hak akses pengguna yang berlebihan.

Tujuannya bukan menonaktifkan fitur WordPress secara sembarangan, tetapi mengurangi permukaan serangan sesuai kebutuhan website.

Gunakan Firewall untuk Website

Firewall membantu menyaring trafik sebelum permintaan tertentu mencapai aplikasi website. Pada WordPress, salah satu teknologi yang umum digunakan adalah Web Application Firewall atau WAF.

1. Apa Fungsi WAF?

WAF bekerja dengan menganalisis permintaan yang menuju website dan memblokir trafik berdasarkan aturan keamanan tertentu.

WAF dapat membantu menghadapi:

• Percobaan eksploitasi kerentanan.
• Request mencurigakan.
• Bot berbahaya.
• Brute force tertentu.
• Pola serangan aplikasi web.
• Trafik dari sumber yang telah teridentifikasi berbahaya.

2. Firewall Tidak Menggantikan Update

Memiliki firewall bukan berarti WordPress, plugin, dan theme boleh dibiarkan menggunakan versi lama. Firewall merupakan salah satu lapisan perlindungan, bukan solusi tunggal.

Keamanan tetap membutuhkan:

• Update software.
• Password yang kuat.
• Pengaturan permission yang benar.
• Backup rutin.
• Monitoring.
• Konfigurasi server yang aman.
• Penghapusan komponen yang tidak digunakan.

Pendekatan berlapis lebih efektif dibandingkan hanya mengandalkan satu mekanisme keamanan.

3. Gunakan Konfigurasi Sesuai Website

Setiap website memiliki karakteristik trafik dan kebutuhan berbeda. Konfigurasi firewall untuk toko online tentu dapat berbeda dengan blog atau company profile sederhana.

Konfigurasi sebaiknya mempertimbangkan:

• Jenis website.
• Jumlah pengunjung.
• Plugin yang digunakan.
• Sistem API.
• Payment gateway.
• Formulir dan proses checkout.
• Integrasi aplikasi pihak ketiga.

Aturan yang terlalu agresif dapat memblokir trafik yang sah, sehingga firewall tetap membutuhkan evaluasi dan penyesuaian.

Backup Adalah Bagian dari Keamanan Website

Backup tidak mencegah serangan secara langsung, tetapi sangat penting untuk proses pemulihan ketika website mengalami kerusakan, malware, kesalahan konfigurasi, atau kehilangan data.

1. Backup Membantu Proses Recovery

Backup sebaiknya mencakup:

• Database WordPress.
• File website.
• Folder upload.
• Theme dan konfigurasi penting.
• Data transaksi jika menggunakan toko online.
• Konfigurasi lain yang dibutuhkan untuk recovery.

Frekuensi backup sebaiknya disesuaikan dengan seberapa sering data website berubah.

2. Jangan Menyimpan Backup di Satu Tempat

Backup yang hanya disimpan pada server yang sama dapat ikut hilang ketika server mengalami kerusakan atau kompromi keamanan.

Gunakan beberapa lokasi penyimpanan seperti:

• Server backup terpisah.
• Cloud storage.
• Object storage.
• Penyimpanan lokal yang aman.
• Infrastruktur backup milik provider.

Prinsip yang baik adalah memastikan kerusakan pada server utama tidak menghilangkan seluruh salinan backup.

3. Uji Restore Secara Berkala

Memiliki file backup belum tentu berarti proses recovery akan berhasil. Backup dapat rusak, tidak lengkap, atau tidak sesuai dengan konfigurasi terbaru.

Karena itu, lakukan pengujian untuk memastikan:

• Database dapat dipulihkan.
• File dapat digunakan kembali.
• Website dapat berjalan setelah restore.
• Data penting tidak hilang.
• Prosedur recovery sudah dipahami tim.

Backup yang teruji jauh lebih berguna dibandingkan backup yang hanya dibuat tanpa pernah diperiksa.

Pentingnya Monitoring Website

Keamanan website bukan pekerjaan sekali selesai. Website perlu dipantau agar masalah dapat diketahui lebih cepat sebelum berkembang menjadi gangguan yang lebih besar.

1. Monitoring Uptime

Uptime monitoring digunakan untuk memeriksa apakah website masih dapat diakses secara normal.

Monitoring dapat membantu mendeteksi:

• Website tidak dapat diakses.
• Server mengalami downtime.
• Response website terlalu lambat.
• SSL mengalami masalah.
• Gangguan setelah update.
• Masalah koneksi ke server.

Dengan notifikasi yang tepat, tim dapat melakukan pemeriksaan lebih cepat ketika website mengalami gangguan.

2. Malware Scanning

Malware scanning digunakan untuk mencari indikasi file berbahaya, perubahan mencurigakan, atau kode yang tidak seharusnya berada di dalam website.

Scanning dapat membantu mendeteksi:

• File malware.
• Backdoor.
• Script mencurigakan.
• Perubahan file sistem.
• Injection pada file tertentu.
• Modifikasi yang tidak diketahui administrator.

Namun, hasil scanning tetap perlu dianalisis karena tidak semua temuan otomatis berarti website telah diretas.

3. Logging Aktivitas

Logging membantu mencatat aktivitas penting yang terjadi di website maupun server. Data ini sangat berguna ketika administrator perlu mencari penyebab suatu masalah.

Aktivitas yang dapat dicatat antara lain:

• Login pengguna.
• Percobaan login gagal.
• Perubahan plugin dan theme.
• Perubahan akun administrator.
• Update sistem.
• Perubahan konfigurasi.
• Request atau aktivitas server yang mencurigakan.

Kombinasi antara monitoring, logging, backup, firewall, dan update rutin membuat keamanan website WordPress lebih terstruktur serta mempermudah proses investigasi dan recovery ketika terjadi masalah.

Keamanan Hosting dan Server Website

Keamanan website dimulai dari lingkungan hosting dan server tempat website dijalankan. Server yang tidak diperbarui, memiliki terlalu banyak layanan aktif, atau memberikan akses terlalu luas dapat meningkatkan risiko serangan. Karena itu, pengelolaan server perlu dilakukan secara rutin dan terkontrol.

1. Gunakan Sistem yang Masih Mendapat Update

Sistem operasi, web server, database, PHP, dan komponen pendukung lainnya sebaiknya menggunakan versi yang masih mendapatkan pembaruan keamanan. Sistem yang sudah tidak didukung berisiko memiliki celah keamanan yang tidak lagi diperbaiki oleh pengembang.

Hal yang perlu diperhatikan:

• Gunakan versi software yang masih aktif didukung.
• Terapkan security patch secara berkala.
• Hindari menggunakan aplikasi server yang sudah obsolete.
• Periksa kompatibilitas sebelum melakukan upgrade besar.
• Lakukan backup sebelum pembaruan penting.

Pembaruan tidak menjamin server bebas dari serangan, tetapi dapat mengurangi risiko eksploitasi terhadap kerentanan yang sudah diketahui.

2. Tutup Port yang Tidak Dibutuhkan

Setiap port yang terbuka dapat menjadi jalur komunikasi menuju server. Karena itu, hanya layanan yang benar-benar diperlukan yang sebaiknya dapat diakses.

Pengelolaan port dapat mencakup:

• Membuka hanya port layanan yang dibutuhkan.
• Menggunakan firewall untuk membatasi koneksi.
• Menutup service yang tidak digunakan.
• Membatasi akses database dari jaringan publik.
• Melakukan pengecekan port secara berkala.

Semakin sedikit layanan yang terekspos ke internet, semakin kecil pula permukaan serangan terhadap server.

3. Batasi Akses Server

Tidak semua anggota tim membutuhkan akses penuh ke server. Hak akses sebaiknya diberikan berdasarkan kebutuhan pekerjaan masing-masing.

Beberapa praktik yang dapat diterapkan:

• Gunakan akun berbeda untuk setiap administrator.
• Hindari berbagi satu akun administrator.
• Gunakan SSH key jika memungkinkan.
• Batasi akses berdasarkan IP untuk sistem sensitif.
• Terapkan prinsip least privilege.
• Aktifkan autentikasi tambahan jika tersedia.

Dengan pembatasan akses, bisnis dapat mengurangi risiko perubahan tidak sah maupun kesalahan konfigurasi.

Keamanan Website Toko Online

Website toko online membutuhkan perhatian lebih karena biasanya memproses data pelanggan, pesanan, alamat, dan informasi transaksi. Gangguan keamanan tidak hanya berdampak pada website, tetapi juga dapat menurunkan kepercayaan pelanggan.

1. Amankan Halaman Checkout

Checkout merupakan salah satu halaman penting dalam toko online karena menjadi tempat pelanggan memasukkan data untuk menyelesaikan transaksi.

Beberapa hal yang perlu diperhatikan:

• Pastikan seluruh checkout menggunakan HTTPS.
• Gunakan payment gateway terpercaya jika menggunakan pembayaran online.
• Jangan menyimpan data pembayaran sensitif tanpa kebutuhan.
• Batasi script pihak ketiga di halaman checkout.
• Periksa perubahan mencurigakan pada halaman pembayaran.
• Gunakan proteksi terhadap bot dan transaksi mencurigakan bila diperlukan.

Proses checkout sebaiknya dibuat sederhana sekaligus memiliki perlindungan yang memadai.

2. Perhatikan Plugin WooCommerce

WooCommerce biasanya berjalan bersama berbagai plugin tambahan seperti pembayaran, pengiriman, invoice, membership, atau marketing. Semakin banyak plugin yang digunakan, semakin banyak pula komponen yang perlu dipelihara.

Pengelolaan plugin sebaiknya mencakup:

• Gunakan plugin dari pengembang terpercaya.
• Perbarui WooCommerce dan plugin secara berkala.
• Hapus plugin yang sudah tidak digunakan.
• Hindari plugin bajakan atau sumber tidak resmi.
• Periksa kompatibilitas sebelum melakukan update.
• Batasi jumlah plugin yang memiliki fungsi serupa.

Plugin yang tidak terawat dapat menjadi salah satu titik masuk serangan terhadap website WordPress.

3. Lindungi Data Pelanggan

Toko online dapat menyimpan nama, alamat, nomor telepon, email, riwayat transaksi, dan informasi pelanggan lainnya. Data tersebut perlu dilindungi sesuai kebutuhan bisnis dan regulasi yang berlaku.

Langkah yang dapat dilakukan:

• Batasi akses data pelanggan kepada staf tertentu.
• Gunakan password yang kuat untuk akun administrator.
• Terapkan backup database secara berkala.
• Hindari mengekspor data pelanggan tanpa kebutuhan.
• Hapus data yang sudah tidak diperlukan sesuai kebijakan bisnis.
• Pastikan integrasi pihak ketiga memiliki keamanan yang memadai.

Prinsip dasarnya adalah menyimpan dan memberikan akses hanya terhadap data yang memang dibutuhkan.

Keamanan Form dan Data Website

Form website sering digunakan untuk kontak, registrasi, pemesanan, konsultasi, atau pengumpulan lead. Karena menerima input langsung dari pengguna, form juga dapat menjadi sasaran spam maupun penyalahgunaan.

1. Gunakan Proteksi Spam

Form publik dapat menerima pengiriman otomatis dari bot. Jika tidak dikendalikan, spam dapat memenuhi database, email, bahkan meningkatkan beban server.

Proteksi dapat dilakukan dengan:

• CAPTCHA atau mekanisme anti-bot.
• Honeypot.
• Rate limiting.
• Pembatasan jumlah request.
• Filter spam.
• Pemblokiran pola pengiriman mencurigakan.

Proteksi sebaiknya tetap mempertimbangkan kenyamanan pengguna agar form tidak menjadi terlalu sulit digunakan.

2. Validasi Input

Setiap data yang dikirim pengguna harus dianggap sebagai input yang belum dapat dipercaya. Sistem perlu memastikan bahwa data sesuai dengan format yang diharapkan sebelum diproses atau disimpan.

Validasi dapat mencakup:

• Memastikan format email benar.
• Membatasi panjang input.
• Memvalidasi tipe data.
• Melakukan sanitasi data.
• Membatasi jenis file upload.
• Memastikan file tidak dapat dieksekusi sembarangan.

Validasi yang baik membantu mengurangi risiko penyalahgunaan form dan serangan berbasis input.

3. Jangan Mengumpulkan Data Berlebihan

Semakin banyak data yang disimpan, semakin besar pula tanggung jawab bisnis untuk melindunginya. Karena itu, website sebaiknya hanya meminta informasi yang benar-benar diperlukan.

Contohnya:

• Form kontak cukup meminta informasi yang relevan.
• Hindari meminta data identitas sensitif tanpa alasan yang jelas.
• Jangan menyimpan dokumen pelanggan tanpa kebutuhan.
• Tentukan periode penyimpanan data.
• Berikan informasi penggunaan data jika diperlukan.

Prinsip data minimization dapat membantu mengurangi risiko ketika terjadi masalah keamanan.

Human Error dalam Keamanan Website

Teknologi keamanan tidak akan efektif jika pengguna memiliki kebiasaan yang tidak aman. Banyak insiden keamanan justru terjadi karena password bocor, phishing, salah memberikan akses, atau akun lama yang masih aktif.

1. Waspadai Phishing

Phishing mencoba membuat pengguna memberikan password atau informasi penting melalui email, pesan, halaman login palsu, atau bentuk komunikasi lainnya.

Tim perlu memperhatikan:

• Alamat pengirim yang mencurigakan.
• Link login yang tidak dikenal.
• Permintaan password melalui chat atau email.
• File attachment yang tidak diharapkan.
• Permintaan mendesak untuk mengubah akun atau pembayaran.

Jika menerima permintaan mencurigakan, lakukan verifikasi melalui kanal komunikasi resmi sebelum mengambil tindakan.

2. Jangan Membagikan Password

Password sebaiknya tidak digunakan bersama-sama oleh beberapa orang. Kebiasaan berbagi password membuat bisnis sulit mengetahui siapa yang melakukan perubahan serta meningkatkan risiko kebocoran akun.

Praktik yang lebih baik antara lain:

• Buat akun individual untuk setiap pengguna.
• Gunakan password unik.
• Gunakan password manager jika diperlukan.
• Aktifkan two-factor authentication.
• Hindari mengirim password melalui grup chat.
• Ubah kredensial jika dicurigai sudah bocor.

Akses dapat diberikan melalui role dan permission tanpa harus membagikan akun utama.

3. Hapus Akses Mantan Staf

Ketika staf, freelancer, vendor, atau developer sudah tidak bekerja pada proyek, akses mereka harus segera ditinjau dan dicabut.

Akses yang perlu diperiksa meliputi:

• Administrator website.
• Hosting dan control panel.
• VPS atau SSH.
• Domain dan DNS.
• Cloud storage.
• Email perusahaan.
• Analytics dan Search Console.
• Payment gateway dan sistem bisnis lainnya.

Proses offboarding yang terstruktur membantu mencegah akun lama tetap memiliki akses terhadap aset digital perusahaan.

Keamanan Website dan SEO

Keamanan website juga memiliki hubungan dengan SEO. Website yang diretas dapat mengalami perubahan konten, redirect spam, halaman asing, atau gangguan akses yang akhirnya memengaruhi pengalaman pengguna dan kemampuan mesin pencari membaca website.

1. Website Bermasalah Dapat Merusak Konten

Serangan terhadap website dapat menyebabkan konten asli berubah atau muncul halaman spam yang tidak dibuat oleh pemilik website.

Dampaknya dapat berupa:

• Muncul halaman spam di hasil pencarian.
• Konten penting berubah atau terhapus.
• Pengunjung diarahkan ke website lain.
• Internal link dimodifikasi.
• Website mengalami downtime.
• Reputasi domain menurun.

Monitoring file, database, dan perubahan website secara berkala dapat membantu menemukan masalah lebih cepat.

2. HTTPS Merupakan Standar Website Modern

HTTPS mengenkripsi komunikasi antara browser pengguna dan server sehingga data lebih sulit disadap selama proses transmisi.

Website modern sebaiknya:

• Memiliki SSL/TLS certificate yang valid.
• Mengarahkan HTTP ke HTTPS.
• Menghindari mixed content.
• Memastikan seluruh resource menggunakan HTTPS.
• Melakukan pembaruan sertifikat sebelum kedaluwarsa.

HTTPS bukan satu-satunya faktor keamanan, tetapi sudah menjadi standar dasar bagi website bisnis.

3. Pastikan Google Dapat Mengakses Halaman yang Benar

Konfigurasi keamanan yang terlalu agresif juga dapat menyebabkan Googlebot kesulitan mengakses website. Karena itu, proteksi keamanan harus tetap mempertimbangkan kebutuhan crawling mesin pencari.

Hal yang perlu diperiksa:

• Jangan memblokir halaman penting secara tidak sengaja.
• Periksa konfigurasi robots.txt.
• Pastikan halaman utama memberikan status HTTP yang benar.
• Hindari firewall yang terus-menerus memblokir crawler resmi.
• Periksa halaman yang terindeks melalui Google Search Console.
• Pastikan tidak ada redirect mencurigakan berdasarkan perangkat atau user-agent.

Keamanan website yang baik harus mampu melindungi sistem tanpa mengganggu akses pengguna maupun mesin pencari yang sah.

Checklist Keamanan Website untuk UMKM

UMKM dapat memulai dari checklist sederhana sebelum masuk ke pengamanan yang lebih kompleks.

1. Checklist Akun dan Login

Pastikan:

• password kuat;
• akun admin terbatas;
• MFA atau 2FA digunakan;
• user tidak aktif dihapus;
• login dimonitor.

Prioritaskan akun dengan akses terbesar.

2. Checklist Website

Periksa:

• CMS terbaru;
• plugin terbaru;
• theme terbaru;
• HTTPS aktif;
• plugin tidak terpakai dihapus;
• malware scan berjalan.

Untuk WordPress, update core, plugin, dan theme merupakan salah satu rekomendasi paling penting dalam dokumentasi keamanan resminya.

3. Checklist Server dan Recovery

Pastikan:

• server diperbarui;
• firewall tersedia;
• backup rutin;
• backup offsite;
• restore pernah diuji;
• uptime dimonitor.

Aplikasi Dagang juga menggunakan kombinasi SSL, WAF, hardening login, malware scanning, uptime monitoring, backup, dan restore sebagai bagian dari layanan keamanan dan maintenance website.

Apa yang Harus Dilakukan Jika Website Terkena Malware?

Jangan panik dan jangan langsung menghapus seluruh website tanpa investigasi.

Gunakan prosedur yang terstruktur.

1. Batasi Dampak

Jika diperlukan, batasi akses sementara.

• Ganti credential penting.
• Periksa akun administrator.

Tujuannya mencegah masalah bertambah.

2. Identifikasi Sumber Masalah

Periksa:

• log;
• plugin;
• theme;
• file;
• database;
• akun.

Jangan hanya menghapus file malware jika pintu masuknya belum diperbaiki.

Malware dapat kembali.

3. Restore dari Backup Bersih

Jika tersedia backup yang diketahui bersih, restore dapat menjadi pilihan.

Namun, setelah restore tetap lakukan:

• update;
• penggantian password;
• scanning;
• hardening.

Tujuannya bukan hanya mengembalikan website, tetapi mencegah kejadian berulang.

Apakah UMKM Membutuhkan Maintenance Website?

Semakin penting website terhadap bisnis, semakin penting pula maintenance.

Website bukan produk yang selesai selamanya setelah diluncurkan.

1. Sistem Terus Berubah

• Software mendapatkan update.
• Plugin berubah.
• Browser berubah.
• Ancaman keamanan berkembang.

Karena itu, website membutuhkan pengelolaan berkelanjutan.

2. Maintenance Mengurangi Risiko

Maintenance dapat mencakup:

• update;
• backup;
• scanning;
• monitoring;
• performance tuning;
• pemeriksaan SSL.

Pendekatan ini lebih baik daripada menunggu website rusak.

3. UMKM Tanpa Tim IT Dapat Menggunakan Partner

Tidak semua UMKM perlu mempunyai system administrator internal. Bisnis dapat menggunakan vendor atau partner maintenance. Yang penting adalah scope layanan jelas.

Pastikan siapa yang bertanggung jawab atas:

• backup;
• update;
• keamanan;
• incident response.

Tingkatkan Keamanan Website Bersama Aplikasi Dagang

Jika website bisnis Anda belum mempunyai sistem maintenance, backup, monitoring, atau pengamanan yang terstruktur, Aplikasi Dagang menyediakan layanan pengelolaan website untuk membantu menjaga performa dan keamanan website bisnis. Layanan maintenance yang tersedia mencakup update core, theme, dan plugin, security hardening, 2FA, limit login attempts, WAF, malware scanning, monitoring uptime dan SSL, backup harian, offsite backup, serta pengujian restore berkala. Aplikasi Dagang juga menyediakan pengembangan website company profile dan toko online dengan dukungan SSL, backup, serta kebutuhan keamanan dasar sesuai paket dan implementasi website.

Untuk mendiskusikan kebutuhan keamanan, maintenance, atau pengembangan website bisnis Anda, kunjungi:

• Konsultasi GRATIS sekarang
• WhatsApp: 0812-2242-9289

Atau lihat layanan lengkap kami di:

• Website & Landing Page Bandung
• Aplikasi & Software Custom

Kesimpulan

Keamanan website untuk UMKM tetap penting karena website dapat menjadi bagian dari branding, pemasaran, transaksi, dan pengelolaan pelanggan. Perlindungan tidak harus langsung kompleks, tetapi perlu diterapkan secara bertahap dan konsisten.

Beberapa langkah dasar yang perlu diperhatikan:

• Mengaktifkan HTTPS.
• Menggunakan password kuat dan MFA.
• Membatasi akses administrator.
• Memperbarui WordPress, plugin, dan theme.
• Menggunakan firewall dan malware scanning.
• Melakukan backup secara rutin.
• Memantau aktivitas dan kondisi website.
• Mengelola server dengan baik.

Selain pencegahan, UMKM juga perlu menyiapkan proses recovery ketika terjadi gangguan. Backup, monitoring, dokumentasi akses, dan SOP penanganan insiden dapat membantu website dipulihkan lebih cepat.

Dengan keamanan yang dikelola secara konsisten, website dapat menjadi aset digital yang lebih aman sekaligus membantu menjaga kepercayaan pelanggan.