Cara Mengubah URL Login WordPress: 5 Langkah Amankan wp-admin dari Serangan Brute Force

Setiap pemilik website WordPress punya satu pintu utama yang sama: halaman login. Alamatnya sudah diketahui hampir semua orang, yaitu wp-admin dan wp-login.php di belakang nama domain. Karena alamat ini tidak pernah berubah secara bawaan, robot jahat tidak perlu menebak-nebak lagi. Mereka cukup datang ke alamat itu, lalu mencoba ribuan kombinasi nama pengguna dan kata sandi secara otomatis sampai ada yang cocok.

Serangan seperti itu disebut brute force. Pelakunya bukan orang yang mengetik satu per satu di depan layar, melainkan program yang bekerja siang dan malam tanpa lelah. Kabar baiknya, Anda tidak harus menjadi ahli keamanan untuk menghalau sebagian besar serangan tersebut. Salah satu cara paling sederhana adalah memindahkan pintu masuk website Anda ke alamat yang hanya Anda yang tahu.

Kenapa Alamat Login Bawaan WordPress Mudah Diserang

Bayangkan sebuah ruko yang semua pintunya memakai model gembok yang sama dan letaknya selalu di tempat yang sama. Pencuri tidak perlu mencari-cari; mereka langsung menuju titik itu dan mulai mencoba membukanya. Begitulah kira-kira kondisi halaman login WordPress yang masih memakai alamat bawaan.

Program pemindai bisa menemukan ribuan website WordPress dalam waktu singkat, lalu menguji alamat loginnya secara massal. Jika kata sandi Anda lemah atau nama penggunanya masih admin, peluang mereka makin besar. Bahkan ketika mereka gagal, banjir percobaan login itu tetap membebani server, membuat website terasa lambat, dan memenuhi catatan aktivitas dengan peringatan yang mengganggu.

Mengubah alamat login tidak membuat website Anda kebal sepenuhnya, tetapi ia memotong jalur termudah bagi robot otomatis. Sebagian besar program jahat hanya menyerang alamat bawaan; begitu alamat itu dialihkan, mereka akan pergi mencari target lain yang lebih mudah. Lapisan ini paling efektif bila dipadukan dengan kata sandi yang kuat dan pembatasan percobaan login.

Langkah 1: Cadangkan Website Sebelum Mengubah Apa Pun

Sebelum menyentuh pengaturan keamanan, buat dulu cadangan website Anda. Langkah ini terdengar sepele, tetapi justru inilah penyelamat ketika terjadi kesalahan. Cadangan yang baik mencakup berkas website dan basis data, sehingga website bisa dikembalikan ke kondisi semula tanpa panik.

Anda bisa memakai plugin cadangan seperti UpdraftPlus atau Duplicator, atau meminta bantuan penyedia hosting bila mereka menyediakan fitur cadangan otomatis. Setelah cadangan selesai dibuat, simpan salinannya di tempat yang aman, misalnya Google Drive atau komputer Anda. Dengan begitu, Anda bisa bereksperimen dengan tenang, karena selalu ada jalan kembali.

Langkah 2: Pasang Plugin WPS Hide Login

Cara paling ramah pemula untuk mengubah alamat login adalah memakai plugin gratis bernama WPS Hide Login. Plugin ini ringan, hanya mengerjakan satu tugas, dan tidak mengubah berkas inti WordPress. Artinya, bila suatu saat plugin ini dinonaktifkan, alamat login Anda akan kembali ke alamat bawaan seperti semula.

Masuklah ke dasbor WordPress Anda seperti biasa, lalu buka menu Plugins > Add New. Ketik WPS Hide Login di kolom pencarian, klik Install Now, kemudian klik Activate. Setelah aktif, Anda tidak perlu mengatur apa pun yang rumit; pengaturan plugin ini hanya terdiri dari dua kolom singkat di halaman Pengaturan Umum.

Langkah 3: Tentukan Alamat Login Baru yang Sulit Ditebak

Setelah plugin aktif, buka menu Settings > General, lalu gulir ke bagian bawah sampai menemukan kolom WPS Hide Login. Pada kolom Login url, tuliskan alamat baru pilihan Anda, misalnya masuk-toko-saya atau panel-rahasia-88. Alamat login baru Anda kemudian menjadi namadomain.com/masuk-toko-saya.

Pilihlah alamat yang mudah Anda ingat, tetapi sulit ditebak orang lain. Hindari kata-kata yang terlalu umum seperti login, admin, masuk, atau secure, karena kata-kata itu hampir pasti sudah ada dalam daftar tebakan robot. Gabungkan kata yang bermakna bagi Anda dengan angka atau singkatan pribadi, tanpa memakai nama usaha yang terpampang jelas di website.

Pada kolom Redirection url, tentukan ke mana pengunjung diarahkan bila mencoba membuka alamat lama. Banyak pemilik website mengarahkan alamat lama ke halaman beranda atau halaman 404, supaya tidak ada petunjuk apa pun bagi orang yang iseng. Setelah kedua kolom terisi, klik Save Changes.

Langkah 4: Uji Alamat Baru dan Catat Baik-Baik

Ini adalah langkah yang paling sering dilupakan, padahal paling penting. Segera buka jendela penyamaran (incognito) di peramban Anda, lalu ketikkan alamat login baru Anda secara lengkap. Pastikan formulir login muncul dan Anda bisa masuk dengan nama pengguna dan kata sandi yang biasa Anda pakai.

Selanjutnya, uji juga alamat lama Anda. Ketika membuka wp-admin atau wp-login.php dalam keadaan belum masuk, Anda seharusnya diarahkan ke halaman yang sudah Anda tentukan pada langkah sebelumnya, bukan lagi ke formulir login. Bila kedua pengujian ini berjalan sesuai harapan, barulah perubahan Anda bisa dianggap berhasil.

Kemudian, catat alamat baru itu di tempat yang aman. Simpan di pengelola kata sandi, di catatan pribadi yang hanya Anda yang bisa membukanya, atau di buku catatan fisik yang tersimpan baik. Perbarui juga penanda (bookmark) di peramban Anda, dan beri tahu rekan tim yang memang berhak mengelola website. Jangan pernah membagikan alamat baru ini di media sosial atau di kolom komentar publik. Satu-satunya cara Anda terkunci dari website sendiri adalah lupa alamat baru ini, jadi perlakukan catatannya sama pentingnya dengan kata sandi Anda.

Langkah 5: Tambahkan Lapisan Keamanan Lainnya

Mengubah alamat login adalah fondasi yang bagus, tetapi jangan berhenti di situ. Gantilah kata sandi Anda dengan yang panjang dan unik, gabungan huruf besar, huruf kecil, angka, dan simbol, dan jangan memakai kata sandi yang sama dengan akun lain. Bila memungkinkan, aktifkan juga autentikasi dua faktor, sehingga orang yang memegang kata sandi Anda pun masih harus memasukkan kode dari ponsel Anda.

Pertimbangkan pula plugin pembatas percobaan login, misalnya Limit Login Attempts Reloaded. Plugin semacam ini akan mengunci sementara alamat IP yang terlalu sering gagal masuk, sehingga robot tidak bisa mencoba tanpa henti. Terakhir, perbarui WordPress, tema, dan plugin secara berkala, karena pembaruan sering kali menutup celah keamanan yang sudah ditemukan.

Contoh Nyata untuk Pemilik Website UMKM

Ambil contoh Bu Rina, pemilik toko kue rumahan di Bandung yang websitenya menerima pesanan lewat formulir kontak. Setiap pagi, ia menerima puluhan notifikasi percobaan login gagal dari alamat wp-admin miliknya. Servernya melambat, dan ia mulai khawatir suatu hari ada percobaan yang berhasil.

Setelah mengikuti lima langkah di atas, Bu Rina memindahkan alamat loginnya ke sebuah alamat yang hanya ia dan satu stafnya yang tahu. Dalam seminggu, notifikasi percobaan login gagal nyaris hilang, dan websitenya terasa lebih ringan. Ia juga mengganti kata sandinya dengan yang lebih kuat dan mengaktifkan pembatasan percobaan login. Tidak ada yang berubah dari sisi pelanggan: toko onlinenya tetap bisa dibuka seperti biasa, hanya pintu belakangnya saja yang kini lebih tersembunyi.

Kesimpulan

Mengubah URL login WordPress adalah langkah kecil dengan dampak besar. Dengan cadangan yang sudah dibuat, plugin WPS Hide Login, alamat baru yang sulit ditebak, pengujian yang teliti, dan catatan yang aman, Anda sudah menutup jalur termudah bagi serangan brute force. Tambahkan kata sandi yang kuat dan pembatasan percobaan login, maka website UMKM Anda akan jauh lebih sulit ditembus robot otomatis.

Luangkan waktu lima belas menit hari ini untuk melakukannya, sebelum serangan berikutnya datang. Keamanan website bukan soal menjadi sempurna, melainkan soal menjadi target yang lebih sulit daripada target lainnya — dan perubahan alamat login ini adalah awal yang sangat baik.