Checklist Keamanan Website Bisnis: 10 Hal yang Bisa Dicek Sendiri

Keamanan website sering dianggap urusan orang IT. Padahal ada banyak hal yang bisa Anda cek sendiri hari ini, tanpa perlu bisa coding sama sekali. Sepuluh hal itu adalah: gembok HTTPS di browser, kekuatan password admin, siapa saja yang punya akses, update CMS dan plugin, kondisi backup, spam di form kontak, alamat halaman admin, kepemilikan domain dan hosting, password email bisnis, serta hasil pencarian nama bisnis Anda di Google.

Anggap artikel ini seperti cek kesehatan ringan. Sebagian poin bisa Anda periksa langsung dalam lima menit. Sebagian lagi berupa pertanyaan yang tepat untuk diajukan ke developer atau vendor website Anda. Tidak perlu panik kalau ada yang bermasalah. Yang penting Anda tahu kondisinya, lalu tahu harus minta apa.

1. Gembok HTTPS aktif dan tidak kedaluwarsa

Buka website Anda di browser. Lihat bagian kiri kolom alamat. Kalau ada ikon gembok kecil, berarti sertifikat SSL aktif dan koneksi pengunjung terenkripsi. Klik gembok itu, biasanya ada informasi sampai kapan sertifikat berlaku. Coba juga akses website dengan mengetik http:// di depannya. Website yang sehat akan otomatis berpindah ke versi https://.

Kenapa penting? Browser modern menampilkan peringatan “Not Secure” atau “Tidak Aman” pada website tanpa HTTPS. Calon pelanggan yang melihat peringatan itu biasanya langsung menutup halaman. Google juga menjadikan HTTPS sebagai salah satu sinyal ranking.

Kalau gembok tidak muncul atau ada peringatan sertifikat, minta vendor memasang SSL dan mengatur perpanjangan otomatis. Sertifikat gratis seperti Let’s Encrypt sudah cukup untuk mayoritas website bisnis, jadi ini seharusnya bukan biaya besar.

2. Password admin tidak gampang ditebak

Cek password yang Anda pakai untuk masuk ke dashboard website. Kalau masih berupa nama bisnis plus angka tahun, tanggal lahir, atau kata seperti “admin123”, ganti hari ini juga. Cek juga satu hal yang sering terlewat: apakah password itu dipakai juga di akun lain seperti email atau media sosial.

Password yang sama di banyak tempat itu risikonya berlipat. Kalau satu layanan bocor, semua akun Anda ikut terbuka. Gunakan password yang panjang dan unik untuk tiap akun. Aplikasi pengelola password bisa membantu supaya Anda tidak perlu menghafal semuanya.

Tanyakan juga ke vendor apakah login admin bisa dipasangi verifikasi dua langkah. Fitur ini membuat akun tetap aman walaupun password sempat bocor.

3. Audit siapa saja yang punya akses admin

Masuk ke dashboard website, cari menu daftar pengguna atau users. Baca satu per satu. Apakah semua nama di situ masih relevan? Sering sekali ditemukan akun bekas karyawan, bekas vendor lama, atau akun uji coba yang tidak pernah dihapus.

Setiap akun admin adalah satu pintu masuk. Makin banyak pintu, makin besar peluang ada yang lupa dikunci. Akun bekas karyawan yang masih aktif juga berisiko dipakai orang yang sudah tidak punya kepentingan dengan bisnis Anda.

Hapus akun yang tidak terpakai. Untuk akun yang masih perlu, turunkan levelnya sesuai kebutuhan. Orang yang hanya menulis artikel tidak perlu akses admin penuh. Kalau Anda tidak bisa mengakses menu ini sendiri, minta vendor menunjukkan daftar semua akun beserta levelnya.

4. Update CMS dan plugin

Poin ini terutama untuk pengguna WordPress dan CMS sejenis. Masuk ke dashboard dan lihat apakah ada notifikasi update. Angka merah di menu updates yang menunjukkan belasan item tertunda adalah tanda website jarang dirawat.

Mayoritas kasus website WordPress yang dibobol terjadi lewat plugin versi lama yang celah keamanannya sudah diketahui publik. Penyerang tidak menarget bisnis Anda secara khusus. Mereka memakai program otomatis yang memindai ribuan website sekaligus untuk mencari celah yang sama.

Tanyakan ke vendor siapa yang bertanggung jawab menjalankan update rutin, seberapa sering, dan apakah ada backup sebelum update dijalankan. Kalau jawabannya tidak jelas, sepakati jadwal perawatan bulanan secara tertulis.

5. Backup: ada, di mana, dan kapan terakhir dites

Ini poin yang jarang bisa dicek sendiri, tapi pertanyaannya sederhana. Ajukan tiga pertanyaan ini ke vendor atau developer Anda. Pertama, apakah website di-backup otomatis dan seberapa sering. Kedua, di mana backup disimpan, apakah di server yang sama atau di tempat terpisah. Ketiga, kapan terakhir kali backup dites dengan restore sungguhan.

Pertanyaan ketiga itu yang paling penting. Backup yang tidak pernah dites restore itu seperti alat pemadam yang tidak pernah dicek isinya. Baru ketahuan kosong justru saat kebakaran. Backup yang disimpan di server yang sama dengan website juga percuma kalau servernya yang bermasalah.

Jawaban yang sehat kira-kira begini: backup harian otomatis, disimpan di lokasi terpisah, dan pernah diuji restore. Kalau vendor tidak bisa menjawab, minta itu dijadikan bagian dari layanan perawatan.

6. Form website tidak dibanjiri spam

Cek kotak masuk email yang menampung kiriman form kontak website Anda. Kalau isinya dipenuhi pesan promosi aneh berbahasa asing, tautan mencurigakan, atau teks acak, berarti form Anda belum punya proteksi.

Spam form bukan sekadar mengganggu. Pesan dari calon pelanggan sungguhan jadi tenggelam dan bisa terlewat. Form tanpa proteksi juga menandakan website dibangun tanpa memikirkan penyalahgunaan, dan itu sinyal untuk memeriksa bagian lain lebih teliti.

Minta vendor memasang proteksi seperti reCAPTCHA, Turnstile, atau teknik honeypot yang bekerja diam-diam tanpa mengganggu pengunjung. Pemasangannya cepat dan efeknya langsung terasa.

7. Halaman admin tidak mudah ditemukan orang

Coba buka alamat website Anda ditambah /wp-admin atau /admin dari browser biasa. Kalau halaman login langsung muncul begitu saja, siapa pun di internet bisa menemukannya juga, termasuk program otomatis yang kerjanya menebak password ribuan kali.

Halaman login yang terbuka lebar bukan berarti pasti dibobol. Tapi itu mengundang percobaan terus menerus. Selain risiko tembus, serangan tebak password yang bertubi-tubi juga bisa membuat website melambat.

Solusinya bisa Anda minta ke vendor: ubah alamat halaman login dari alamat bawaan, batasi jumlah percobaan login yang gagal, atau batasi akses halaman admin hanya dari jaringan tertentu. Cukup satu atau dua lapisan tambahan, efeknya sudah besar.

8. Domain dan hosting atas nama sendiri

Tiga pertanyaan untuk diri sendiri. Apakah domain terdaftar atas nama Anda atau perusahaan Anda, bukan atas nama vendor? Apakah Anda pegang akses ke akun registrar domain dan panel hosting? Apakah Anda tahu tanggal kedaluwarsa domain dan hosting?

Kasus domain hangus itu nyata dan sering terjadi. Domain terdaftar atas nama vendor, kerja sama berakhir, tagihan perpanjangan tidak ada yang mengurus, lalu domain mati. Website hilang, email bisnis ikut mati, dan domain yang sudah hangus bisa dibeli orang lain. Membangunnya kembali jauh lebih mahal daripada mencegahnya.

Kalau saat ini semuanya masih dipegang vendor, minta serah terima kepemilikan secara baik-baik. Daftar lengkap akses apa saja yang wajib Anda pegang sudah kami tulis di checklist serah terima proyek dari vendor. Setelah itu, pasang pengingat tanggal perpanjangan di kalender dan nyalakan perpanjangan otomatis kalau memungkinkan.

9. Email bisnis tidak berbagi password dengan website

Poin ini kelihatan sepele, tapi email adalah kunci induk dari hampir semua akun bisnis Anda. Reset password website, akses registrar domain, notifikasi hosting, semuanya lewat email. Kalau password email sama dengan password admin website, satu kebocoran cukup untuk membuka semuanya.

Cara ceknya cukup jujur pada diri sendiri. Apakah password email bisnis Anda sama atau mirip dengan password website, media sosial, atau marketplace? Kalau ya, ganti password email lebih dulu karena akun itu yang paling kritis, lalu nyalakan verifikasi dua langkah.

Kalau email bisnis dikelola vendor, tanyakan siapa saja yang memegang aksesnya dan pastikan Anda punya akses pemulihan sendiri.

10. Cek nama bisnis Anda di Google

Buka Google, lalu ketik site:namadomainanda.com dengan domain Anda sendiri. Perintah ini menampilkan semua halaman website Anda yang terindeks Google. Baca hasilnya pelan-pelan. Semua judul halaman seharusnya Anda kenali.

Kalau muncul halaman berbahasa asing yang tidak pernah Anda buat, judul tentang obat-obatan, judi online, atau produk yang tidak ada hubungannya dengan bisnis Anda, itu gejala klasik website yang sudah disusupi. Penyerang menumpang otoritas domain Anda untuk menyebar halaman spam, sering kali tanpa mengubah tampilan website sama sekali sehingga pemiliknya tidak sadar berbulan-bulan.

Kalau menemukan halaman seperti ini, jangan hapus sembarangan. Foto atau screenshot dulu hasilnya, lalu bawa ke developer untuk pembersihan menyeluruh. Menghapus halaman spam tanpa menutup celah masuknya hanya membuat halaman itu muncul lagi minggu depan.

Tiga tanda website sudah kena hack yang sering telat disadari

Selain sepuluh poin di atas, kenali juga tiga gejala yang sering luput karena tampilan website terlihat normal.

• Hasil pencarian Google berbeda dengan tampilan asli. Judul dan deskripsi di Google berubah jadi teks aneh, padahal saat dibuka langsung website tampak biasa saja. Penyerang memang sengaja hanya menampilkan konten spam ke mesin pencari.
• Pengunjung dialihkan ke situs lain. Ada pelanggan yang mengeluh dibuang ke situs judi atau iklan saat membuka website Anda dari HP, padahal dari laptop Anda semuanya normal. Pengalihan seperti ini sering dipasang hanya untuk pengunjung dari perangkat atau sumber tertentu.
• Peringatan merah dari browser atau Google. Muncul label “Situs ini mungkin diretas” di hasil pencarian, atau layar merah peringatan saat website dibuka. Kalau sudah sampai tahap ini, Google sudah mendeteksi masalahnya lebih dulu daripada Anda.

Kalau salah satu tanda ini muncul, langkah pertamanya bukan panik lalu menghapus file atau halaman sembarangan. Jejak serangan justru dibutuhkan developer untuk menemukan celah masuknya. Yang perlu Anda lakukan: catat gejalanya lengkap dengan screenshot, ganti password admin dan email, lalu hubungi developer atau vendor untuk pembersihan dan penutupan celah. Kalau website sedang menyimpan data pelanggan, sampaikan juga itu ke developer supaya penanganannya diprioritaskan.

Mulai dari yang paling mudah hari ini

Tidak perlu menyelesaikan semuanya dalam sehari. Mulai dari yang bisa dicek lima menit: gembok HTTPS, pencarian site: di Google, dan daftar pengguna di dashboard. Sisanya jadikan daftar pertanyaan untuk vendor Anda di pertemuan berikutnya. Vendor yang baik akan senang ditanya soal ini, karena artinya Anda peduli pada aset digital sendiri.

Kalau website Anda dibangun sudah lama dan tidak ada yang bisa menjawab pertanyaan-pertanyaan di atas, mungkin ini waktu yang tepat mempertimbangkan membangun ulang website dengan fondasi yang aman dari awal, lengkap dengan serah terima akses yang jelas.

Dan kalau dari checklist ini Anda menemukan sesuatu yang mencurigakan tapi bingung harus mulai dari mana, hubungi tim Arrazy. Ceritakan saja gejalanya, nanti kami bantu memetakan langkahnya.