Cara Cek Keamanan Website Sendiri Sebelum Terlambat
Banyak pemilik bisnis baru sadar websitenya bermasalah setelah terlambat: data pelanggan bocor, halaman beranda diubah hacker, atau website diblokir Google karena menyebar malware. Padahal sebagian besar masalah itu sebenarnya bisa dideteksi lebih awal — bahkan dengan cara manual dan gratis.
Artikel ini adalah panduan praktis untuk mengecek keamanan website sendiri. Tidak perlu jadi ahli keamanan. Cukup ikuti 6 langkah di bawah, dan kamu akan punya gambaran jelas seberapa rapuh website-mu hari ini.
1. Cek Reputasi Website di Google Safe Browsing
Google sudah memindai miliaran halaman setiap hari dan menandai website yang terindikasi berbahaya. Cek cepat: buka Google Transparency Report → Safe Browsing, lalu masukkan domain kamu. Jika muncul peringatan "unsafe", berarti website-mu sudah terindikasi menyebar malware atau phishing — segera tangani.
Cara kedua: ketik site:domainkamu.com di Google. Jika banyak halaman "tidak diindeks karena malware", itu tanda merah.
2. Pastikan HTTPS Aktif dan Sertifikat Valid
Website yang benar harus diakses lewat https://, bukan http://. Buka website-mu, lihat ikon gembok di address bar browser. Klik dan pastikan sertifikatnya masih berlaku — sertifikat yang kedaluwarsa membuat pengunjung melihat peringatan menakutkan yang merusak kepercayaan.
Periksa juga apakah semua halaman otomatis diarahkan dari HTTP ke HTTPS. Kalau masih ada halaman yang bisa diakses lewat HTTP, data yang dikirim user bisa disadap orang lain di jaringan yang sama.
3. Periksa Header Keamanan Dasar
Header keamanan adalah instruksi kecil yang dikirim server ke browser, memberitahu browser cara melindungi pengunjung. Empat yang paling penting:
- Content-Security-Policy — membatasi script mana yang boleh jalan (mencegah serangan XSS)
- X-Frame-Options / frame-ancestors — mencegah websitemu dibajak tampilannya di website lain (clickjacking)
- Strict-Transport-Security (HSTS) — memaksa koneksi selalu HTTPS
- X-Content-Type-Options: nosniff — mencegah browser salah menebak tipe file
Cara cek: buka website, tekan F12 (Developer Tools) → tab Network → muat ulang halaman → klik request pertama (biasanya index.html) → lihat bagian Response Headers. Ada atau tidaknya header di atas akan langsung terlihat.
4. Cek Versi CMS, Plugin, dan Library
Ini penyebab nomor satu website diretas: komponen yang sudah usang. Plugin WordPress, library JavaScript, atau framework yang tidak di-update punya celah yang sudah diketahui publik — dan penyerang memindai internet setiap hari mencari celah itu.
Periksa: apakah CMS-mu (WordPress, Joomla, dll) versi terbaru? Apakah semua plugin/theme di-update? Apakah ada plugin yang tidak terpakai tapi masih terpasang (hapus — plugin mati sering jadi pintu masuk)? Untuk aplikasi custom, catat versi library utama dan bandingkan dengan update terbaru di situs resminya.
5. Cek Form Login dan Autentikasi
Pintu masuk favorit penyerang adalah halaman login. Periksa hal-hal ini:
- Apakah ada percobaan login berulang yang dibatasi? (tanpa rate limiting, penyerang bisa coba jutaan password)
- Apakah password diwajibkan kuat dan disimpan terenkripsi?
- Apakah ada perlindungan tambahan seperti 2FA untuk akun admin?
- Apakah URL login kamu dikenal publik (misal
/admin)? Sebaiknya akses admin tidak mudah ditebak.
6. Pantau Tanda-Tanda Website Sudah Diretas
Beberapa gejala yang sering terlewat:
- Trafik aneh melonjak atau turun drastis tanpa sebab
- Ada file baru yang tidak kamu kenal di server (cek file yang diubah akhir-akhir ini)
- Google menampilkan peringatan "this site may be hacked"
- User melaporkan halaman aneh atau diarahkan ke situs lain
- Ada akun admin baru yang tidak kamu buat
Kapan Harus Beralih ke Audit Otomatis?
6 langkah di atas bagus untuk cek cepat, tapi punya keterbatasan besar: tidak bisa menemukan celah di dalam kode aplikasi, dependensi, atau konfigurasi server yang kompleks. Celah seperti SQL injection atau secret yang terlanjur ter-commit ke repository tidak akan muncul dari cek manual — butuh pemindaian mendalam yang sistematis.
Di sinilah AISG bekerja. AISG adalah platform penilaian keamanan yang mengorkestrasi sensor open-source yang sudah terbukti (SAST, pemindaian dependensi, deteksi secret, infra, dan lainnya) menjadi satu pipeline audit yang rapi. Semua pemindaian dijalankan lokal di komputer kamu — kode sumber tidak pernah meninggalkan mesin — lalu hasilnya disusun menjadi laporan profesional dengan skor risiko, lokasi temuan (file:baris), dan rencana perbaikan prioritas.
Saat ini AISG sedang membuka Free Test untuk 25 pengembang pertama: 7 hari akses, 2 target, 4 kali scan — tanpa kartu kredit. Ini cara yang tepat untuk mengetahui kondisi keamanan project kamu secara objektif sebelum masalahnya menjadi lebih mahal.