Anda telah memulai blog anda sendiri untuk menshare opini anda dengan World Wide Web. Seseorang menjumpai salah satu artikel anda. Orang itu menyukai artikel anda dan mempostingnya pada Digg. Sekarang artikel anda akan mendapat perhatian semua orang. Pengunjung mulai berdatangan ke situs anda. Pendapatan anda mulai naik. Hal tersebut merupakan berita yang bagus bukan? Tapi tentu saja, di dalam berita bagus tersebut, tersembunyi sebuah berita buruk. Sekarang anda juga sudah menjadi terget ‘penjahat internet’ yang tediri dari, spammer, hacker, dan leecher.

Dan ini merupakan tanda bagi anda untuk mulai memperkuat situs kecil WordPress anda. File .htaccess solusi termudah dan termurah (gratis!) untuk mengamankan blog WordPress anda.

Apa Itu File .htaccess?

File .htaccess adalah file konfigurasi untuk digunakan pada server web yang menjalankan software Apache Web Server. Ketika file .htaccess diletakan dalama directory yang selajutnya akan “diload melalui Apache Web Server, kemudian file .htaccess akan terdeteksi dan dijalankan oleh software Apache Web Server. Hal ini sering digunakan untuk menentukan pembatasan keamanan untuk directory tertentu.

Pada artikel ini saya akan menunjukkan bagaimana anda dapat memperkuat keamanan situs anda dengan menambahkan/mengubah beberapa baris pada file ini.

Sebelum anda membuat perubahan apapun, membackup file .htaccess anda mungkin adalah hal yang bagus. Jika terjadi apa-apa, anda selalu bisa mengganti file .htaccess yang terhack dengan yang orginal. Berikut adalah beberapa tips yang bisa saya berikan kepada anda untuk menggunakan file .htaccess anda untuk memperkuat keamanan blog WordPress anda:

Membatasi Akses Ke Directory WordPress Admin Dengan IP Address

Jika anda menjalankan situs blog dengan satu user, tidak ada alasan bagi anda untuk mengijinkan orang lain untuk mengakses panel admin WordPress anda. Anda dapat melindungi WP admin anda dari akses tanpa izin dengan mencatat IP Address anda dalam file .htaccess. Berikut adalah caranya:

order deny,allow
allow from a.b.c.d # Disini IP statis anda
deny from all

Disable Hotlinking

Kadang – kadang situs lain mungkin melink gambar ke situs anda secara langsung. Hal ini dapat menghemat space hard disk dengan tidak perlu menyimpan gambar. Tapi situs anda menjadi yang melayani permintaan mereka , sehingga menggunakan bandwith anda yang berharga. Hal ini disebut ‘Hotlinking’. Untuk mendisable ini anda dapat menambahkan baris ini ke file .htaccess anda:

#mendisable hotlinking gemabr dengan forbidden atau custom image option
RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http://(www\.)?yourdomain.com/.*$ [NC] #RewriteRule \.(gif|jpg)$ – [F] RewriteRule \.(gif|jpg)$ http://www.yourdomain.com/stealingisbad.gif [R,L]

Menghentikan Spammer

Seperti hotlinking, spammer juga terkenal untuk menggunakan sumber daya situs anda. Ada beebrapa cara untuk mengenali calon spammer. Salah satunya adalah untuk menemukan request dengan ‘no referrer’. Spammer menggunakan bot untuk mempost komentar pada blog dan mereka datang entah darimana. Tambahkan baris berikut untuk menghentikkan spammer:

RewriteEngine On
RewriteCond %{REQUEST_METHOD} POST
RewriteCond %{REQUEST_URI} .wp-comments-post\.php*
RewriteCond %{HTTP_REFERER} !.*yourblog.com.* [OR] RewriteCond %{HTTP_USER_AGENT} ^$
RewriteRule (.*) ^http://%{REMOTE_ADDR}/$ [R=301,L]

Lindungi WP-Config

File wp-config.php dalam installasi WordPress anda mengandung beberapa rahasia yang sangat penting, seperti nama database, username dan password database, dll. Anda tidak mempunyai pilihan tapi untuk menjaganya tetap aman:

# lindungi wpconfig.php
<Files wp-config.php>
order allow,deny
deny from all
</Files>

Mendisable Directory Browsing

Seseorang yang tahu struktur directory installasi WordPress, bisa saja menggunakan pengetahuannya untuk melakukan beberapa kerusakan. Disamping itu, anda tidak boleh membiarkan mereka tahu plugin apa yang anda gunakan.

# mendisable directory browsing
Options All -Indexes

Lindung File .htaccess!

Hal terakhir yang anda inginkan setelah menghabiskan banyak waktu melindungi situs anda dengan .htaccess adalah untuk membiarkan file tersebut tanpa perlindungan. Kode berikut akan mencegah akses dari luar ke semua file yang bermula dengan .hta

<Files ~ “^.*\.([Hh][Tt][Aa])”>
order allow,deny
deny from all
satisfy all
</Files>

Dan itulah untuk sekarang. Ingatlah untuk melakukan test setiap kali anda membuat perubahan pada file .htaccess anda!

Source: https://www.tipsandtricks-hq.com/cool-wordpress-htaccess-tips-to-boost-your-wordpress-sites-security-1676

Artikel ini merupakan artikel lanjutan dari artikel: Tips-Tips Dasar Menjaga Keamanan Blog WordPress Anda.

Pada umumnya, WordPress memanglah platfom website yang memiliki keamanan yang bagus, selama anda tidak melakukan hal yang aneh – aneh dan mengikuti standar keamanan WordPress. Tips – tips yang akan saya barikan pada artikel kali ini adalah untuk lapisan keamanan ekstra bagi website WordPress anda (anda tidak perlu menerapkan semuannya.

Tetapi, jika anda memang ingin mencoba untuk memberikan lapisan keamanan tingkat lanjut pada WordPress anda, maka tips – tips ini akan menjadi hal yang berguna bagi anda.

Catatan: Sebagian besar dari teknik – teknik ini membutuhkan anda untuk mengerti apa yang anda lakukan. Saya merekomndasikan untuk mengetes teknik – teknik ini pada situs percobaan sebelum menerapkannya pada situs anda yang asli. Beberapa teknik ini dapat merusak situs anda jika tidak dilakukan dengan benar.

Jika terjadi kesalahan pada situs anda setelah anda menerapkan tips – tips ini, itu bukanlah tenggung jawab kami. Juga, tolong diperhatikan bahwa untuk menjalankan teknik – teknik ini, instalasi WordPress anda menjalankan Apache dan anda juga sudah menginstal mod_alias dan mod_rewrite.

1. Mendisable Metode HTTP Trace

Ada sebuah teknik untuk menyerang keamanan WordPress yang bernama Cross Site Tracing (XST) yang bisa digunakan bersama dengan teknik penyerangan lain yang bernama Cross Site Scripting (XSS) yang mengeksploitasi sistem yang memiliki HTTP TRACE yang berfungsi. HTTP TRACE adalah fitur fungsional default pada sebagian besar webserver dan digunakan untuk hal – hal seperti debugging. Hacker yang menggunakan XST biasanya akan mencuri cookie dan informasi server sensitif lainnya melalui request header.

Anda dapat mendisable fungsi trace melalui file konfigurasi Apache anda atau dengan meletakkan kode – kode berikut ke file .htaccess anda:

RewriteEngine On
RewriteCond %{REQUEST_METHOD} ^TRACE
RewriteRule .* – [F]

2. Hapus Output Header Dari Installasi WordPress Anda

WordPress terkadang bisa menambah cukup banyak output dalam header anda yang berkaitan dengan berbagai service. Kode berikut akan menunjukkan bagaimana anda bisa menghapus banyak output tersebut.

Peringatan: Hal ini bisa merusak beberapa fungsi WordPress anda jika anda tidak berhati – hati.

Tambahkan kode berikut ke file theme functions.php anda:

remove_action(‘wp_head’, ‘index_rel_link’);
remove_action(‘wp_head’, ‘feed_links’, 2);
remove_action(‘wp_head’, ‘feed_links_extra’, 3);
remove_action(‘wp_head’, ‘rsd_link’);
remove_action(‘wp_head’, ‘wlwmanifest_link’);
remove_action(‘wp_head’, ‘parent_post_rel_link’, 10, 0);
remove_action(‘wp_head’, ‘start_post_rel_link’, 10, 0);
remove_action(‘wp_head’, ‘adjacent_posts_rel_link_wp_head’, 10, 0);
remove_action(‘wp_head’, ‘wp_generator’);
remove_action(‘wp_head’, ‘wp_shortlink_wp_head’, 10, 0);
remove_action(‘wp_head’, ‘noindex’, 1);

3. Tolak Komentar Posting Melalui Server Proxy

Anda dapat mengurangi spam dan request proxy dengan mencoba untuk mencegah komentar yang dipost melalui server proxy. Masukkan  kode dibawah ini dalam file .htaccess anda:

RewriteCond %{REQUEST_METHOD} =POST
RewriteCond %{HTTP:VIA}%{HTTP:FORWARDED}%{HTTP:USERAGENT_VIA}%{HTTP:X_FORWARDED_FOR}%{HTTP:PROXY_CONNECTION} !^$ [OR] RewriteCond %{HTTP:XPROXY_CONNECTION}%{HTTP:HTTP_PC_REMOTE_ADDR}%{HTTP:HTTP_CLIENT_IP} !^$
RewriteCond %{REQUEST_URI} !^/(wp-login.php|wp-admin/|wp-content/plugins/|wp-includes/).* [NC] RewriteRule .* – [F,NS,L]

4. Tolak Query String Yang Berpontsi Menjadi Berbahaya

Anda dapat menepatkan kode dibawah ini pada file .htaccess anda untuk membantu mencegah serangan XSS.

Peringatan: Beebrapa fungsi plugin atau theme dapat rusak jika anda tidak hati – hati untuk mengecualikan string yang digunakan oleh mereka.

# QUERY STRING EXPLOITS
<IfModule mod_rewrite.c>
RewriteCond %{QUERY_STRING} ../   [NC,OR] RewriteCond %{QUERY_STRING} boot.ini [NC,OR] RewriteCond %{QUERY_STRING} tag= [NC,OR] RewriteCond %{QUERY_STRING} ftp: [NC,OR] RewriteCond %{QUERY_STRING} http: [NC,OR] RewriteCond %{QUERY_STRING} https:   [NC,OR] RewriteCond %{QUERY_STRING} mosConfig [NC,OR] RewriteCond %{QUERY_STRING} ^.*([|]|(|)|<|>|’|”|;|?|*).* [NC,OR] RewriteCond %{QUERY_STRING} ^.*(%22|%27|%3C|%3E|%5C|%7B|%7C).* [NC,OR] RewriteCond %{QUERY_STRING} ^.*(%0|%A|%B|%C|%D|%E|%F|127.0).* [NC,OR] RewriteCond %{QUERY_STRING} ^.*(globals|encode|config|localhost|loopback).* [NC,OR] RewriteCond %{QUERY_STRING} ^.*(request|select|insert|union|declare|drop).* [NC] RewriteRule ^(.*)$ – [F,L] </IfModule>

Dan itu adalah tips – tips yang bisa saya tawarkan, jika memang merasa bahwa tips – tips yang saya berikan apada artikel ini meamng terlalu sulit (dan beresiko) untuk dilakukan, maka silahkan baca Tips-Tips Dasar Menjaga Keamanan Blog WordPress Anda, yang dapat dipastikan akan memberikan keamanan yang cukup bagi situs WordPress anda dan membuat tidur anda menjadi lebih nyamana 🙂

Source: https://www.tipsandtricks-hq.com/advanced-wordpress-security-tips-4659

Saya telah mengunjungi berbagai setting keamanan blog WordPress teman saya setelah tabel database blog WordPressnya tiba – tiba korup untuk alasan yang tidak diketahui minggu lalu. Dalam posting kali ini, saya akan memberikan beberapa tip keamanan yang dapat membantu melindungi blog anda dari serangan dari luar yang mungkin dapat terjadi pada blog WordPress anda.

Gunakan Password Yang Kuat Untuk Semua Point Masuk

Saya sempat terkejut untuk menemukan bagaimana banyak teman saya menggunakan password admin WordPress yang diberikan ole WordPress pada waktu penginstallan dan berpikir bahwa blog mereka sudah terlindungi dari serangan apapun kerena mereka menggunakan password yang kuat! Password admin yang diberikan WordPress pada waktu penginstallan biasanya memang cukup kuat (karena terdiri dari huruf besar dan kecil plus nomor dan simbol) jadi tidak ada yang salah dengan itu. Alasan terkejut adalah untuk menemukan bahwa password ftp/cPanel untuk domain mereka tidak begitu. Bahkan ada yang menggunakan nama pacarnya sebagai password (apakah saya menyebutkan bahwa nama pacarnya disebutkan dalam about page blognya?). Password ftp/cPanel untuk domain juga hal yang penting seperti password WordPress anda. Jika seseorang dapat mengakses cPanel anda maka orang itu bisa mendelete database WordPress anda  dari cPanel -> Database -> MySQL Database. Jadi kesimpulannya adalah gunakan password yang kuat untuk semua point masuk.

Lindungi Directory ‘wp-admin’

Gunakan file .htaccess dalam directory ‘wp-admin’ untuk membatasi akses untuk IP address tertentu (rumah anda, tempat kerja, dll). Dibawah adalah contoh file .htaccess yang dapat digunakan untuk melindungi directory ‘wp-admin’ anda (ganti ‘x’ dan ‘y’ dengan IP address anda).

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName “Access Control”
AuthType Basic
order deny,allow
deny from all
# whitelist home IP address
allow from xxx.xxx.xxx.xxx
# whitelist work IP address
allow from yy.yyy.yyy.yyy

Jika anda tidak memiliki statik IP address maka cara diatas akan menjadi sedikit sulit untuk diterapkan. Dalam kasus seperti itu anda dapat menggunakan Plugin AskApache Password Protect WordPress. Plugin itu menambahkan paossword proteksi bagus pada blog WordPress anda.

Tolak Akses Ke Directory Plugin Dan Yang Lain

Banyak blogger yang tidak melindungi akses ke directory plugin WordPress mereka. Apa yang saya maksud dengan ini adalah jika anda pergi ke www.domainanda.com/wp-content/plugins dari browser, itu akan menunjukkan semua plugin yang anda gunakan. Banyak plugin WordPress yang memiliki kelemehan yang bisa di manfaatkan sang penyerang untuk melukai blog anda. Jadi, merupakan ide yang bagus untuk memblok akses ke directory tersebut. Anda menggunakan file .htaccess atau hanya sekedar mengupload file index.html yang kosong untuk memblok akses ke direktori tersebut.

Update WordPress Ke Versi Terbaru

Saat versi terbaru WordPress muncul, bug pada keamana di versi sebelumnya akan menjadi informasi umum.Wordpress dapat memiliki kelemahan sebagai hasil dari bagaimana program ditulis yang memungkinkan sang penyerang untuk dapat melalui HTTP arguments, URL strings yang buruk, form input, dll, yang pastinya akan menyebabkan hal buruk akan terjadi. Jadi, selalu update WordPress anda ke versi terbaru untuk memastikan bahwa anda terlindung dari bug – bug keamanan.

Backup Data Anda

Selalu backup semua file penting anda. Saya selalu membackup database dan file WordPress untuk keadaan emergensi. Silahkan baca Apa Yang Akan Anda Lakukan Jika Anda Kehilangan Semua Konten Blog WordPress Anda? untuk mengetahui bagaimana dengan membackup data anda dapat membuat anda tidur lebih nyenyak.

Berhati – Hati Ketika Anda Mengupload Sesuatu Ke Situs Anda

Ketika anda mengupload sebuah skrip (contohnya plugin, theme, atau skrip biasa) ke situs anda, anda perlu ekstra hati – hati karena jika tidak, hal tersebut dapat melukai situs anda jika skrip yang anda upload di desain untuk melakukannya. Hanya upload konten autentik ke situs anda. Jangan pernah mendownload plugin atau theme dari warez atau torrent atau situs file sharing. Konten dari situs – situs tersebut dapat disamarkan sebagai plugin atau theme, tapi akan dapat melukai situs anda ketika diupload ke server anda.

Source: https://www.tipsandtricks-hq.com/essential-wordpress-security-tips-is-your-blog-protected-987

Saya berharap bahwa kejadin seperti ini tidak akan pernah anda alami dalam hidup blogging ini, tapi beberapa bulan yang lalu teman saya mengalami sebuah kejadian mengerikan dimana seluruh konten blog WordPressnya entah bagaimana bisa hilang dari dunia ini. Dia menceritakan pada saya bahwa pada pagi harinya semua berjalan secara normal dan ketika dia mengcek emailnya, dia menemukan bahwa dia menerima sebuah email dari SiteUpTime  (SiteUpTime adalah jasa monitoring website yang mencek website anda secara berkala dan memberitahu anda via email atau sms jika situs anda tiba – tiba menjadi tidak tersedia) yang mengatakan pada dia bahwa situsnya saat ini sedang down.

Jadi tentu saja dia langsung ingin mengcek kenapa situsnya bisa down dan ketika dia memasukkan alamat websitenya pada adress bar, dia mendapatkan pesan seperti ini:

Anda mungkin dapat membayangkan betapa takutnya teman saya pada saat mengalaminya. Dia memang selalu membackup database dan file WordPressnya jadi dia tidak benar – benar berada dalam masalah yang besar, tapi bagaimana dengan semua artikel yang sudah dia posting setelah backup terakhir? Belum lagi semua traffic yang hilang bersama dengan websitenya.

Bagaimanapun, dalam kasus teman saya kerusakan yang dalami tidaklah terlalu parah. Salah satu tabel database ‘wp_options’ Worpdressnya ditandai sebagai rusak dan dia mendapat pesan error berikut dari ‘error_log’ yang dia perbaiki:

[25-Feb-2010 21:03:32] WordPress database error Table ‘wp_options’ is marked as crashed and should be repaired

Dan berikut adalah beberapa hal yang dia lakukan untuk mengembalikkan blog WordPressnya:

Rencana Kontingensi Untuk Mengembalikkan Konten Blog WordPress

Sebelum anda memulai hal – hal berikut, anda harus mempersiapkan dir anda untuk kemungkinan terburuk. Jadi untuk dapat mengembalikkan konten Blog WordPress milik dia, berikut adalah apa yang dia rencanakan:

• Mengembalikkan database WordPress dengan menggunakan file db yang terakhir di backup.
• FTP semua file WordPress (yang di backup terakhir kali) ke server.
• Menggunakan Google cache untuk menggembalikkan beberapa artikle terakhir yang diposting setelah terkahir kali membackup db.

Jika anda masih belum tahu tentang hal ini, Google, Yahoo, MSN search mencache konten setiap page situs anda. Jadi anda dapat mengembalikkan konten blog anda dari search situs cahce. Google kemungkinan besar memiliki konten blog yang terbaru yang juga sudah di index dan di cache. Jadi teman saya mengcek Google untuk melihat apakah Google telah mecache salah satu artikel yang telah dia posting setelah melakukan backup terakhir kali. Dan dia cukup senang karena dia menemukan bahwa posting telah dicache oleh Google. Berikut adalah contoh posting yang telah dicache oleh Google:

Yahoo juga dapat mencache posting seperti contoh dibawah ini:

Untunhnya seperti yang saya katakan tadi bahwa kasus teman saya tidaklah terlalu parah, perusahaan web hostingnya yaitu Pusathosting dapat memperbaiki databasenya menggunakan fitur yang ada di DirectAdmin.

Bagaiman Cara Untuk Mengembalikkan Blog Konten WordPress Anda

Ada beberapa cara untuk mengembalikkan konten blog WordPress anda jika anda memang mengalami hal yang sama dengan teman saya:

Pilihan Pertama: Gunakan PhpMyAdmin

Gunakan PhpMyAdmin untuk membackup database WordPress secara berkala dan mengembalikkanya ketika anda membutuhkannya.

Pilihan Kedua: Gunakan Tool Export Dan Import Dalam WordPress Versi 2.7 Dan Versi Seterusnya

Untuk dapat mengexport semua semua posting, page, komentar, kategori, dll dalam file XML, ikuti cara berikut:

• Pergi ke menu “Tools” -> “Export”
• Klik pada “Download export file”.

Hasil yang berupa file XML akan mengandung posting, page, komentar, field kustom, kategori, dan tag anda.

Untuk mengembalikkan konten blog WordPress anda:

• Pergi ke menu “Tools” -> “Import”
• Pilih “WordPress” dari list yang disediakan
• Browse file XML yang tadi di dapat dari hasil export dan klik “Upload file and import”

Langka – langka itu akan mengimport konten.

Pilihan Ketiga: Gunakan Cache Dari Hasil Search

Jika anda tidak pernah melakukan backup pada blog anda dan suatu pagi bangun dan menemukan bahwa blog anda sudah hilang dari dunia ini maka pilihan ini merupakan pilihan terbaik bagi anda. Masukkan kata berikut pada kotak search anda “situis:nama-domain-anda.com” untuk mendapatkan semua page yang sudah diindex untuk muncul dalam hasil Google search:

Sekarang anda bisa mengakses semua page yang dicache dan mengkopi konten yang ada. Cara manual seperti ini sangat tidak disarankan untuk blog yang memiliki banyak posting.

Saya harap pengalaman dari teman saya akan dapat membantu anda untuk tidur lebih nyenyak mengetahui bahwa konten blog WordPress anda dapat dikembalikkan jika hilang 🙂