Checklist Keamanan Website: 10 Pemeriksaan yang Bisa Anda Lakukan Sendiri

Cek keamanan website adalah pemeriksaan rutin terhadap hal-hal yang paling sering jadi pintu masuk penyerang: koneksi tanpa enkripsi, password admin yang lemah, software usang, dan file asing yang dibiarkan berdiri. Sepuluh poin di bawah bisa dikerjakan sendiri dalam satu jam, tanpa alat berbayar — dan tanpa keahlian teknis khusus.

Kenapa penting: data BSSN mencatat 5,5 miliar serangan siber ke Indonesia sepanjang 2025, naik lebih dari tujuh kali lipat dibanding rata-rata tahunan 2020–2024 (Antara, 2026), dan website yang di-defacement (halamannya diganti/dirusak) adalah jenis yang paling sering terjadi. Sebagian besar serangan itu bukan serangan canggih — ia masuk lewat pintu yang lupa dikunci.

1. HTTPS aktif di semua halaman

Buka website Anda, lihat alamatnya: harus https://, bukan http://. Kalau sebagian halaman masih HTTP, browser menampilkan peringatan “Tidak aman” dan data form (nama, telepon, password) melintas di internet tanpa enkripsi.

Cek sendiri: buka https://domainanda.com — gembok harus muncul tanpa peringatan campuran konten (mixed content). Kalau muncul, artinya ada gambar/skrip yang masih dimuat lewat HTTP.

2. Login admin tidak bisa ditebak

Username admin dengan password admin123 adalah kombinasi pertama yang dicoba penyerang secara otomatis — jutaan percobaan login semacam itu menghantam situs WordPress setiap hari. Ganti username default, gunakan password unik (manager password membantu di sini), dan aktifkan 2FA untuk semua akun admin.

Cek sendiri: berapa orang yang tahu password admin Anda saat ini — termasuk mantan karyawan dan vendor lama? Ganti akses yang tidak lagi dibutuhkan.

3. Software sudah di-update

Versi lama plugin, tema, atau CMS punya celah yang sudah publik dan terdokumentasi — ada daftar CVE (identitas kerentanan resmi) yang dipantau penyerang, dan alat otomatis memindai internet untuk mencari situs yang belum di-patch. Update yang terasa “ribet dan mending tidak usah” justru menutup celah yang paling banyak dieksploitasi.

Cek sendiri: di dashboard CMS Anda, ada berapa update tertunda? Kalau jawabannya “banyak dan tidak ingat kapan terakhir update” — itu temuan pertama Anda.

4. Cari halaman asing di Google

Penyerang yang menyisipkan halaman tersembunyi (judi online, farmasi ilegal) di website Anda jarang meninggalkan jejak yang terlihat di tampilan depan. Google biasanya tahu duluan.

Cek sendiri: cari site:domainanda.com di Google, buka hasil halamannya satu-satu. Ada halaman judi, pharmacy, atau bahasa yang bukan bahasa bisnis Anda? Itu indikasi injeksi malware — bertindak sekarang, bukan nanti.

5. Backup yang benar-benar bisa dipulihkan

Backup yang tidak pernah diuji itu seperti pemadam kebakaran yang tidak pernah dibuka kotaknya. Backup harus: terjadwal, tersimpan di luar server website (di server yang sama, kalau server kena, backup ikut kena), dan pernah diuji restore-nya.

Cek sendiri: kapan backup terakhir Anda dibuat, dan siapa yang bisa membuktikan restore bekerja? Kalau tidak ada yang bisa menjawab, anggap website Anda belum punya backup.

6. Panel admin jangan jadi pintu publik

/wp-admin, /phpmyadmin, halaman login admin — kalau bisa diakses dari internet tanpa perlindungan tambahan, ia jadi sasaran brute force permanen. Lapisan sederhana (proteksi IP, rate limiting, atau minimal password yang benar) menurunkan peluang drastis.

Cek sendiri: coba buka domainanda.com/wp-admin (atau halaman login Anda) dari HP dengan data seluler, bukan WiFi kantor — masih langsung muncul form login? Catat sebagai risiko.

7. Tampilan website utuh seperti seharusnya

Defacement — halaman utama diganti dengan pesan hacker atau promosi judi — adalah serangan paling sering menurut BSSN. Kadang ia muncul sebentar di jam tertentu, saat tim Anda tidak menonton.

Cek sendiri: buka homepage dari perangkat lain (HP, laptop teman) dan bandingkan dengan Wayback Machine: ada bagian yang berubah tanpa Anda tahu?

8. Data pengunjung disimpan dengan benar

Kalau website Anda menyimpan data orang — form kontak, member area, checkout — cek bahwa password disimpan sebagai hash (bukan teks polos) dan data sensitif tidak tercatat sembarangan di log. Untuk bisnis di Indonesia, undang-undang PDP (UU 27/2022) mewajibkan penanganan data pribadi yang layak, termasuk pemberitahuan dalam 3×24 jam jika terjadi kebocoran.

Cek sendiri: minta developer/agensi Anda menjawab: “password member di-hash pakai apa?” Kalau jawabannya berputar-putar, itu tanda tanya besar.

9. Lalu lintas dan log tidak berisik sendiri

Analytics yang tiba-tiba melonjak ke halaman aneh, error log yang penuh, atau file yang berubah tanggal sendiri (padahal tidak ada yang upload) adalah cara server “berteriak” bahwa ada yang tidak beres.

Cek sendiri: sekali sebulan, buka Google Analytics Anda. Ada lonjakan trafik dari sumber tidak jelas, atau halaman tujuan yang bukan milik Anda?

10. Tahu batas diri sendiri — kapan perlu profesional

Sepuluh poin ini menangkap masalah yang terlihat dari luar. Yang tidak terlihat — backdoor yang ditanam dalam kode, konfigurasi server yang bocor, celah di aplikasi custom — hanya bisa dipastikan lewat pemeriksaan oleh orang yang memang mengerjakan ini sehari-hari (security audit). Kalau website Anda memegang uang atau data pelanggan, audit setahun sekali itu wajar; kalau baru saja kena hack, audit justru bagian wajib dari pemulihannya.

Pertanyaan yang sering muncul

Berapa lama mengerjakan checklist ini sendiri? Sekitar satu jam untuk sepuluh poin, kalau semua akses (hosting, admin, analytics) tersedia. Setelah berjalan, pemantauannya 10–15 menit per bulan.

Sudah pakai hosting populer, masih perlu cek ini? Ya. Hosting yang baik mengamankan servernya; halaman website, login, dan plugin Anda tetap tanggung jawab Anda. Banyak insiden terjadi di hosting mahal dengan panel admin berpassword lemah.

Website saya pernah kena hack dan sudah dibersihkan. Aman, kan? Kalau akar masuknya tidak ditemukan dan ditambal, mayoritas kasus kena lagi dalam hitungan bulan. Pembersihan tanpa audit akar masalah itu mengepel lantai yang masih bocor.

---

Kalau dari sepuluh poin di atas ada yang membuat Anda gelisah — atau website Anda sedang bermasalah sekarang — mulai dari baca langkah darurat saat website kena hack, atau ajak ngobrol langsung lewat layanan audit keamanan atau kontak. Contoh nyata hasil kerja kami bisa dilihat di studi kasus infrastruktur IAC.