Di dunia digital yang semakin dinamis, ancaman terhadap keamanan website menjadi isu krusial yang tidak bisa diabaikan. Serangan siber seperti deface, phishing, malware injection, hingga brute-force login bisa terjadi kapan saja, bahkan terhadap website dengan trafik rendah. Banyak kasus peretasan justru berasal dari kelalaian konfigurasi di sisi hosting, bukan dari kelemahan aplikasi web itu sendiri. Oleh karena itu, memahami dan menerapkan langkah keamanan dari sisi server dan panel hosting merupakan fondasi penting dalam menjaga integritas sebuah website.
Bagi pengguna layanan hosting seperti cPanel atau DirectAdmin, sering kali pengelolaan dilakukan melalui antarmuka yang user-friendly. Tapi justru karena terlalu mengandalkan GUI (Graphical User Interface), banyak pengguna melewatkan hal-hal teknis yang seharusnya menjadi perhatian utama. Sementara itu, bagi pengguna VPS, kontrol yang lebih luas membawa tanggung jawab keamanan yang lebih besar.
Artikel ini akan membahas secara mendalam bagaimana menjaga keamanan website dari sisi hosting, baik bagi pengguna shared hosting maupun VPS. Semuanya ditulis dari sudut pandang teknis namun tetap bisa dipahami oleh pemilik website non-teknis.
Mengamankan Login Panel Hosting dan CMS
Salah satu titik masuk favorit hacker adalah halaman login, baik itu login cPanel, DirectAdmin, WordPress, maupun CMS lainnya. Karena itu, perlindungan lapis pertama harus difokuskan ke sini.
Gunakan username dan password yang kuat. Ini terdengar klise, tapi kenyataannya banyak pengguna masih memakai kombinasi seperti “admin” dan “123456”. Gunakan password generator dan aktifkan fitur 2FA (Two-Factor Authentication) jika tersedia.
Bagi pengguna WordPress, jangan biarkan URL login tetap di “/wp-login.php”. Gunakan plugin seperti WPS Hide Login untuk mengganti path login, sehingga mempersulit bot otomatis.
Di sisi panel hosting, aktifkan fitur keamanan seperti CSF (ConfigServer Security & Firewall) jika tersedia. Untuk pengguna DirectAdmin, pastikan brute-force monitor dalam keadaan aktif.
Perlindungan File dan Folder di Server
File permission yang salah bisa jadi celah yang mematikan. Banyak kasus hacking terjadi karena file website punya permission 777, artinya bisa dibaca, ditulis, dan dieksekusi oleh siapa saja.
Sebagai aturan umum:
- File harus menggunakan permission 644
- Folder harus menggunakan permission 755
Selain itu, pastikan tidak ada file konfigurasi sensitif seperti .env, wp-config.php, .htaccess, atau config.php yang bisa diakses publik. Gunakan konfigurasi server (di Apache, Nginx, atau .htaccess) untuk memblokir akses langsung ke file-file tersebut.
Backup Berkala: Jangan Andalkan Penyedia Hosting Sepenuhnya
Banyak pengguna merasa cukup dengan backup otomatis dari penyedia hosting. Tapi, bagaimana jika server utama penyedia mengalami kegagalan fatal atau diserang ransomware?
Selalu lakukan backup mandiri secara berkala. Gunakan plugin backup (untuk CMS), cron job otomatis, atau unduh manual via FTP. Simpan backup di lokasi terpisah, misalnya di Google Drive, Dropbox, atau server lokal.
Beberapa layanan seperti Flazz Networks menyediakan JetBackup di cPanel, yang mempermudah proses restore. Tapi pengguna tetap dianjurkan memiliki salinan eksternal untuk jaga-jaga.
Update Berkala CMS dan Plugin
Salah satu celah utama website bisa diretas berasal dari plugin atau tema yang sudah usang. Developer plugin biasanya rutin merilis update untuk menambal celah keamanan, namun pengguna seringkali lupa memperbarui.
Aktifkan auto-update jika memungkinkan, atau set reminder mingguan untuk memeriksa pembaruan CMS dan plugin. Untuk pengguna WordPress, fitur auto-update bisa diatur langsung dari dasbor.
Jika menggunakan script custom, pastikan dependensi seperti library JavaScript, framework PHP, atau paket composer tetap diperbarui.
Amankan FTP dan Akses SSH
FTP adalah protokol lama yang tidak terenkripsi secara default. Selalu gunakan SFTP (FTP over SSH) untuk mengunggah file ke server.
Jika menggunakan VPS, jangan izinkan root login langsung via SSH. Buat user baru, gunakan SSH key-based login, dan nonaktifkan login password. Port default (22) juga sebaiknya diubah untuk mencegah brute-force otomatis.
Jangan lupa batasi IP yang boleh mengakses SSH dan aktifkan firewall seperti UFW, iptables, atau CSF untuk menyaring koneksi.
Waspadai Serangan dari Script Berbahaya di File Upload
Banyak website menyediakan fitur upload, baik untuk gambar, dokumen, atau file lainnya. Tanpa validasi yang ketat, hacker bisa mengunggah script berbahaya seperti shell PHP.
Validasi ekstensi file yang diizinkan. Misalnya hanya menerima .jpg, .png, .pdf. Periksa juga MIME type file, karena ekstensi bisa dimanipulasi.
Simpan file upload di folder khusus yang tidak memiliki hak eksekusi script. Jika perlu, pindahkan file ke server terpisah (object storage) setelah upload.
Gunakan SSL dan Redirect ke HTTPS
Selain membuat koneksi terenkripsi, HTTPS juga meningkatkan kepercayaan pengunjung dan skor SEO. Saat ini SSL sudah menjadi standar minimum.
Jika menggunakan cPanel atau DirectAdmin dari Flazz Networks, pengguna bisa mengaktifkan SSL gratis dari Let’s Encrypt. Jangan lupa untuk redirect otomatis ke versi HTTPS agar tidak ada celah dari versi HTTP.
Pantau Aktivitas Login dan Akses File
Monitoring adalah bagian penting dari keamanan. Log login, aktivitas file, dan perubahan permission harus diamati secara berkala.
Gunakan tools bawaan hosting seperti cPanel File Manager Logs atau access logs Apache. Bisa juga menggunakan plugin tambahan seperti Wordfence (WordPress) untuk notifikasi aktivitas mencurigakan.
Bagi pengguna VPS, log bisa dipantau langsung dari file seperti /var/log/auth.log, /var/log/secure, atau tools tambahan seperti Fail2Ban.
Proteksi Server dengan Firewall dan WAF (Web Application Firewall)
Firewall bukan hanya untuk VPS. Banyak provider shared hosting yang mendukung mod_security atau Imunify360 sebagai Web Application Firewall.
Untuk VPS, selain CSF atau UFW, bisa juga menambahkan WAF seperti NAXSI (Nginx) atau ModSecurity (Apache). WAF ini dapat memblokir request mencurigakan sebelum mencapai aplikasi web.
Melindungi website dari serangan bukan hanya tugas developer, tapi juga tanggung jawab setiap pemilik website. Dengan memahami risiko dan menerapkan langkah preventif dari sisi server dan panel hosting, potensi peretasan bisa ditekan secara signifikan.
Untuk pengguna Flazz Networks, sebagian besar fitur keamanan seperti SSL gratis, JetBackup, dan proteksi firewall sudah tersedia langsung dari dashboard hosting. Namun, pemahaman dan tindakan pengguna tetap menjadi benteng pertahanan utama.
Jika memerlukan bantuan setting keamanan atau migrasi hosting, tim Flazz Networks siap membantu kapan saja. Hubungi kami melalui WhatsApp atau Telegram di 0899-8130-330.
Atau kunjungi website kami di: https://www.flazznetworks.com
