Cara Memeriksa Sendiri Kondisi Website WordPress Anda

Website WordPress jarang memberi tanda sebelum bermasalah. Ia terlihat sama persis pada hari pertama dan pada hari ketika plugin di dalamnya sudah dua tahun tidak diperbarui. Tampilan depannya tidak berubah, jadi tidak ada yang merasa perlu memeriksa.

Tujuh pemeriksaan di bawah ini bisa Anda kerjakan sendiri tanpa latar belakang teknis. Semuanya memakai alat yang sudah ada dan gratis, dan seluruhnya selesai dalam waktu sekitar tiga puluh menit. Hasilnya bukan audit keamanan, tetapi cukup untuk menjawab satu pertanyaan yang sulit dijawab pemilik website: kondisi website saya sebenarnya bagaimana.

Yang Anda butuhkan hanya akses admin ke WordPress Anda.

1. Buka Kesehatan Situs, alat yang sudah ada tapi jarang dibuka

WordPress punya alat diagnosa bawaan yang tidak perlu dipasang. Masuk ke admin, lalu buka menu Alat, lalu Kesehatan Situs. Bila WordPress Anda berbahasa Inggris, menunya Tools, lalu Site Health.

Halaman ini memberi daftar temuan yang sudah dipisahkan antara yang kritis dan yang direkomendasikan. Baca bagian kritis lebih dulu. Temuan seperti versi PHP yang sudah tidak didukung, pembaruan keamanan yang tertunda, atau modul yang hilang di server muncul di sini dengan penjelasannya masing-masing.

Di tab Info pada halaman yang sama tersimpan seluruh keterangan teknis website Anda: versi WordPress, versi PHP, versi database, ukuran folder, dan daftar plugin beserta versinya. Kalau suatu saat Anda meminta penawaran perawatan dari siapa pun, isi tab ini adalah hal pertama yang akan mereka tanyakan.

2. Periksa versi PHP

PHP adalah bahasa yang menjalankan WordPress, dan setiap versinya punya masa dukungan yang berakhir pada tanggal tertentu. Setelah masa itu lewat, celah keamanan yang baru ditemukan tidak lagi ditambal. Website Anda tetap berjalan seperti biasa, dan itulah sebabnya tidak ada yang menyadarinya.

Versinya tertulis di tab Info tadi, di bagian Server. Untuk memastikan versi itu masih didukung, cocokkan dengan halaman resmi php.net/supported-versions, yang mencantumkan tanggal berakhirnya dukungan setiap versi.

Kalau versinya sudah lewat masa dukungan, jangan langsung menaikkannya sendiri lewat panel hosting. Versi PHP yang lebih baru bisa membuat tema atau plugin lama berhenti bekerja, dan perubahan ini termasuk yang sebaiknya diuji lebih dulu di salinan, bukan langsung di website yang sedang dipakai.

3. Cari plugin yang sudah ditinggalkan pengembangnya

Ini pemeriksaan yang paling sering terlewat, dan yang paling sering jadi sumber masalah. Plugin yang berbahaya bukan plugin yang belum Anda perbarui, melainkan plugin yang sudah tidak diperbarui oleh pembuatnya. Plugin seperti ini tidak memunculkan notifikasi apa pun di dashboard Anda, karena memang tidak ada pembaruan yang tersedia.

Cara memeriksanya: buka daftar plugin Anda, lalu untuk setiap plugin yang berasal dari direktori resmi, cari namanya di wordpress.org/plugins. Di halaman plugin itu ada dua keterangan yang perlu dibaca:

• Terakhir diperbarui. Lebih dari satu tahun adalah tanda tanya. Lebih dari dua tahun adalah alasan untuk mencari penggantinya.
• Diuji hingga versi WordPress. Kalau angkanya jauh tertinggal dari versi WordPress Anda, pembuatnya sudah lama tidak menyentuh plugin itu.

WordPress juga kadang menutup halaman plugin yang bermasalah. Kalau nama plugin yang terpasang di website Anda tidak ditemukan sama sekali di direktori resmi, padahal dulu dipasang dari sana, itu justru temuan yang paling perlu ditindaklanjuti.

Sekalian catat plugin yang aktif tetapi tidak lagi Anda pakai. Setiap plugin adalah pintu tambahan ke website Anda, dan pintu yang tidak pernah dilewati tetap perlu dikunci.

4. Pastikan backup ada, lalu pastikan backup itu benar-benar bisa dipakai

Dua pertanyaan, bukan satu.

Pertama, di mana backup Anda disimpan. Kalau jawabannya “di server yang sama dengan website”, itu belum aman. Kegagalan yang paling sering menghabiskan website juga menghabiskan seluruh isi server itu, termasuk backup di dalamnya. Salinan yang berguna adalah salinan yang berada di tempat lain.

Kedua, dan ini yang jarang ditanyakan: backup itu pernah dicoba dikembalikan atau belum. Backup yang tidak pernah diuji hanyalah file yang belum diketahui rusak atau tidak. File yang tidak lengkap, ekspor database yang terpotong, atau backup yang ternyata berhenti berjalan enam bulan lalu semuanya terlihat sama dari luar: sebagai file yang ada.

Kalau Anda memakai jasa perawatan, satu pertanyaan ini sudah cukup untuk mengetahui seberapa serius pekerjaannya: kapan terakhir kali backup saya diuji dengan dikembalikan?

5. Periksa apakah website Anda benar-benar ada di Google

Website bisa hidup sempurna dan tetap tidak ada di mesin pencari. Penyebab paling umumnya satu centang kecil di pengaturan WordPress yang meminta mesin pencari tidak mengindeks situs, biasanya dipasang saat website masih dikerjakan lalu lupa dilepas.

Dua pemeriksaan cepat. Di Google, ketik site: diikuti nama domain Anda tanpa spasi, misalnya site:namadomainanda.com. Yang muncul adalah halaman Anda yang sudah terindeks. Kalau hasilnya kosong padahal website sudah lama hidup, ada yang menghalangi.

Lalu di admin WordPress, buka Pengaturan, lalu Membaca, dan pastikan pilihan yang meminta mesin pencari tidak mengindeks situs ini dalam keadaan tidak tercentang.

6. Ukur kecepatannya di ponsel, bukan di komputer Anda

Website Anda terasa cepat di komputer Anda karena browser Anda sudah menyimpan sebagian isinya, dan karena Anda membukanya dari jaringan yang sama setiap hari. Pengunjung baru tidak berada dalam kondisi itu.

Buka PageSpeed Insights dari Google, masukkan alamat website Anda, dan baca hasil pada tab Mobile lebih dulu. Angka totalnya tidak perlu dikejar sampai sempurna. Yang lebih berguna adalah daftar temuan di bawahnya, karena di situ tertulis apa yang memperlambat, dan biasanya jawabannya berulang: gambar yang diunggah dalam ukuran asli dari kamera.

7. Tanyakan siapa yang tahu lebih dulu saat website mati

Pemeriksaan terakhir bukan tentang website, melainkan tentang pengaturannya.

Kalau website Anda berhenti bisa diakses pukul sebelas malam, siapa yang mengetahuinya? Bila jawabannya adalah pelanggan yang kebetulan membuka lalu memberi tahu Anda keesokan harinya, berarti tidak ada yang memantau. Pemantauan otomatis semacam ini tersedia gratis di beberapa layanan dan hanya perlu dipasang sekali.

Pertanyaan yang sama berlaku untuk masa berlaku domain dan sertifikat SSL. Keduanya punya tanggal kedaluwarsa, dan keduanya mematikan website secara mendadak ketika terlewat.

Cara membaca hasilnya

Setelah tujuh pemeriksaan di atas, temuan Anda biasanya jatuh ke salah satu dari tiga kelompok.

Perlu segera dikerjakan: tidak ada backup di luar server, ada plugin yang sudah dua tahun ditinggalkan pengembangnya, atau versi PHP sudah lewat masa dukungan. Ini bukan sesuatu yang membaik dengan ditunggu.

Perlu dijadwalkan: pembaruan yang tertunda, kecepatan yang buruk di ponsel, tidak ada pemantauan uptime. Semuanya bisa dikerjakan bulan ini, tetapi sebaiknya dikerjakan setelah backup aman.

Cukup dicatat: peringatan berlabel rekomendasi di Kesehatan Situs yang tidak menyangkut keamanan. Halaman itu memang jarang menampilkan kondisi sempurna, dan tidak perlu dikejar sampai sempurna.

Kalau Anda sudah membayar jasa perawatan

Tujuh pemeriksaan tadi juga berfungsi sebagai cara memverifikasi pekerjaan yang Anda bayar. Perawatan adalah salah satu jasa yang paling sulit dinilai pembelinya, karena hasil kerja yang baik terlihat persis sama dengan tidak ada pekerjaan sama sekali: website tetap hidup dan tidak ada yang berubah.

Kalau versi PHP sudah lewat masa dukungan, ada plugin yang lama ditinggalkan, dan backup belum pernah diuji, sementara Anda membayar setiap bulan untuk hal-hal itu, jawabannya sudah ada di layar Anda. Sebaliknya, kalau ketiganya bersih, Anda baru saja mendapat bukti bahwa uang Anda terpakai.

Kami menganggap wajar kalau klien melakukan pemeriksaan ini, dan menulis panduannya secara terbuka justru karena itu.

Batas dari pemeriksaan ini

Perlu dikatakan terus terang: daftar di atas memeriksa kondisi perawatan, bukan keamanan. Ia tidak akan menemukan file berbahaya yang sudah disisipkan ke dalam website, tidak membaca isi database, dan tidak memeriksa konfigurasi server.

Kalau ada gejala yang lebih spesifik, misalnya website Anda mengarahkan pengunjung ke halaman lain, muncul halaman yang tidak pernah Anda buat, atau Google menandai situs Anda sebagai berbahaya, itu di luar cakupan tulisan ini dan sebaiknya ditangani orang yang bisa memeriksa file di server secara langsung.

Langkah berikutnya

Kalau pemeriksaan ini terhambat karena Anda tidak memegang akses ke hosting atau domain, urutan pengamanannya kami tulis terpisah di developer website Anda menghilang, ini urutan yang harus diamankan. Selesaikan itu lebih dulu, karena tanpa akses tidak ada satu pun temuan di atas yang bisa ditindaklanjuti.

Kalau hasil pemeriksaan Anda banyak yang merah dan Anda tidak ingin mengerjakannya sendiri setiap bulan, seluruh pekerjaan rutin di atas ada dalam satu paket bulanan di halaman maintenance website WordPress. Untuk website yang tidak kami bangun, kami mulai dengan review teknis dan menyampaikan hasilnya apa adanya sebelum layanan berjalan, termasuk bila kesimpulannya website Anda belum layak dirawat sebelum diperbaiki lebih dulu.