Keamanan Website Bisnis: Yang Wajib Dijaga Pemilik

Sebagian besar pemilik usaha menganggap keamanan website bisnis adalah urusan developer. Sampai suatu hari ada pelanggan yang mengirim tangkapan layar: mereka mencari nama usahamu di Google, dan yang muncul adalah halaman berisi promosi judi online dengan alamat websitemu.

Ini bukan skenario langka di Indonesia. Kementerian Komunikasi dan Informatika mencatat telah menangani 683 situs yang disusupi konten judi online sepanjang 1 Januari 2022 hingga 13 Februari 2023, terdiri dari 461 situs pemerintah berdomain go.id dan 222 situs perguruan tinggi berdomain ac.id (Kompas.com, 2023). Kalau situs lembaga resmi bisa disusupi, website bisnis kecil yang jarang dirawat jelas bukan pengecualian.

Kenapa Keamanan Website Bisnis Jadi Tanggung Jawab Pemilik?

Keamanan website adalah rangkaian kebiasaan dan pengaturan yang menjaga website tetap berada di bawah kendali pemiliknya — tidak bisa diambil alih, tidak disusupi konten asing, dan tidak membocorkan data pengunjung. Sebagian besar pekerjaannya memang teknis, tapi keputusan dan risikonya ada di tangan pemilik usaha.

Data terbaru menunjukkan kenapa ini tidak bisa diserahkan begitu saja. Laporan Patchstack mencatat 11.334 celah keamanan baru di ekosistem WordPress sepanjang 2025, naik 42 persen dari tahun sebelumnya. Sebanyak 91 persen di antaranya ada di plugin, 9 persen di tema, dan hanya enam celah di inti WordPress (Patchstack, 2026). Untuk celah yang paling diincar, median waktu sampai mulai dieksploitasi massal hanya lima jam, dan firewall umum di level hosting hanya menahan sekitar 26 persen serangan yang diuji.

Artinya sederhana: risiko terbesar ada di plugin yang dipasang, serangan datang sangat cepat, dan perlindungan bawaan hosting saja tidak cukup. Yang menentukan keamanan website bisnis adalah kebiasaan merawatnya, dan kebiasaan itu dimulai dari pemiliknya.

7 Hal yang Wajib Dijaga untuk Keamanan Website Bisnis

1. Domain dan hosting atas nama bisnismu

Pastikan domain dan akun hosting terdaftar atas nama usahamu, dengan email dan akses login yang kamu pegang sendiri. Catat tanggal perpanjangannya. Domain yang lupa diperpanjang bisa dibeli pihak lain, dan semua tautan, ulasan, serta peringkat yang sudah kamu bangun ikut berpindah tangan.

2. Pembaruan plugin, tema, dan WordPress

Karena sebagian besar celah ada di plugin, pembaruan rutin adalah pertahanan paling murah. Hapus plugin yang tidak dipakai, jangan sekadar menonaktifkannya. Hindari plugin dan tema bajakan (nulled) yang dijual murah, karena kodenya bisa saja sudah disisipi pintu belakang sebelum sampai ke tanganmu. Lebih sedikit plugin juga membuat website lebih ringan, seperti saya bahas di panduan mempercepat website yang lambat.

3. Cadangan berkala yang tersimpan di luar server

Cadangan (backup) adalah satu-satunya jalan pulang ketika semua cara lain gagal. Jadwalkan cadangan otomatis, dan simpan setidaknya satu salinan di luar hosting — misalnya di penyimpanan awan milikmu sendiri. Cadangan yang hanya tersimpan di server yang sama bisa ikut rusak saat server diretas. Sesekali, uji apakah cadangan itu benar-benar bisa dipulihkan.

4. Akun admin yang rapi dan berlapis

Gunakan kata sandi unik yang panjang, aktifkan verifikasi dua langkah, dan jangan memakai nama pengguna “admin”. Yang paling sering terlupa: hapus akun mantan karyawan, mantan vendor, dan freelancer yang proyeknya sudah selesai. Setiap akun yang tidak dipakai adalah pintu yang dibiarkan terbuka.

5. HTTPS di seluruh halaman

Sejak 2018, peramban Chrome menandai halaman tanpa HTTPS sebagai “Tidak aman” di bilah alamat. Pengunjung yang melihat label itu wajar ragu mengisi formulir atau menghubungi. Sebagian besar hosting kini menyediakan sertifikat SSL gratis, jadi tidak ada alasan membiarkan websitemu tanpa HTTPS.

6. Data yang masuk lewat formulir

Nama, nomor telepon, dan alamat email dari formulir kontak adalah data pribadi. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi berlaku penuh sejak Oktober 2024, dan Pasal 46 mewajibkan pengendali data memberi tahu pemilik data secara tertulis paling lambat 3 × 24 jam bila terjadi kegagalan pelindungan data. Kumpulkan hanya data yang benar-benar diperlukan, batasi siapa yang bisa melihatnya, dan jangan biarkan data formulir menumpuk tanpa alasan.

7. Pemantauan rutin

Laporan “Masalah keamanan” di Google Search Console akan memberi tahu bila Google menemukan konten yang diretas atau berbahaya di websitemu. Pastikan websitemu sudah terdaftar di sana — langkahnya ada di panduan Google Search Console untuk pemula. Selain itu, sebulan sekali ketik site:namadomainmu.com slot atau site:namadomainmu.com gacor di Google. Kalau muncul halaman yang tidak pernah kamu buat, websitemu kemungkinan sudah disusupi.

Tanda Website Bisnismu Sudah Diretas

Peretasan jarang terlihat dari halaman depan. Penyusup justru ingin tidak ketahuan selama mungkin, karena mereka memanfaatkan reputasi domainmu untuk mendongkrak peringkat situs judi di mesin pencari. Waspadai tanda-tanda berikut:

Halaman asing muncul di hasil pencarian Google, biasanya berisi kata seperti slot, gacor, atau togel, padahal tidak ada di dasbor WordPress.

Pengunjung dari ponsel dialihkan ke situs lain, sementara saat kamu membuka dari laptop semuanya terlihat normal.

Muncul peringatan merah di peramban atau email dari Google Search Console tentang masalah keamanan.

Ada akun admin yang tidak kamu kenal, atau website tiba-tiba melambat tanpa perubahan apa pun.

Pola ini sejalan dengan peringatan Menteri Komunikasi dan Digital Meutya Hafid pada Februari 2025 bahwa situs yang tidak aktif dan tidak dirawat menjadi sasaran phishing dan penyusupan judi online (CNN Indonesia, 2025). Website bisnis yang dibuat sekali lalu ditinggalkan berada di posisi yang sama.

Kalau Website Sudah Terlanjur Diretas

Jangan panik dan jangan langsung menghapus semuanya. Urutan yang aman: hubungi developer atau penyedia hosting, ganti semua kata sandi (hosting, WordPress, email, dan domain), pulihkan website dari cadangan bersih sebelum tanggal peretasan, lalu perbarui semua plugin dan tema. Setelah bersih, ajukan peninjauan ulang lewat laporan “Masalah keamanan” di Google Search Console agar peringatan dicabut.

Kalau ada indikasi data pelanggan bocor, kewajiban pemberitahuan 3 × 24 jam dalam UU Pelindungan Data Pribadi ikut berlaku. Di titik ini, kerugian akibat lemahnya keamanan website bisnis bukan lagi teknis, melainkan kepercayaan.

Keamanan Website Bisnis Adalah Biaya Rutin, Bukan Biaya Sekali

Banyak penawaran website murah tidak memasukkan perawatan sama sekali: website diserahkan, lalu dibiarkan tanpa pembaruan selama bertahun-tahun. Di sinilah selisih antara website murah dan website yang benar-benar menjadi aset terlihat — bedanya saya uraikan di website murah vs website aset.

Saat meminta penawaran, tanyakan secara tertulis: siapa yang memperbarui plugin, seberapa sering cadangan dibuat dan disimpan di mana, dan apa yang dilakukan bila website diretas. Daftar isi paket yang wajar bisa kamu bandingkan dengan panduan paket website company profile. Keamanan website bisnis tidak menuntut kamu menjadi ahli teknis — cukup tahu apa yang harus dijaga, dan memastikan ada orang yang benar-benar menjaganya.