--- title: "12 Pengaturan Keamanan Admin WordPress yang Wajib Dicek 2026" description: "Keamanan admin WordPress: 12 pengaturan debug, login, HTTPS, dan pembaruan yang sudah dicek ulang Oktober 2026, lengkap dengan langkah, waktu, dan biaya." url: "https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan" date: "2026-11-03T23:35:25+00:00" language: "id-ID" --- [Seputar Wordpress](https://rizalconsulting.id/index.php?option=com_content&view=category&id=17) 30 Oktober 2026 # Topik [ Keamanan Data ](https://rizalconsulting.id/index.php?option=com_tags&view=tag&id%5B0%5D=47:keamanan-data) [ Plugin Wordpress ](https://rizalconsulting.id/index.php?option=com_tags&view=tag&id%5B0%5D=118:plugin-wordpress) [ koding wordpress ](https://rizalconsulting.id/index.php?option=com_tags&view=tag&id%5B0%5D=210:koding-wordpress) # 12 Pengaturan Keamanan Admin WordPress, Debug, dan Pembaruan yang Wajib Dicek di 2026 30 Oktober 2026 Bayangkan berkas catatan error situs Anda, lengkap dengan lokasi folder di server dan rincian plugin yang terpasang, tersimpan di alamat yang bisa dibuka siapa saja. Ini bukan cerita fiksi. Menurut analisis [mySites.guru](https://mysites.guru/blog/understanding-wordpress-debug-constants.pdf) pada Maret 2026, berkas debug.log buatan WordPress dapat diakses publik secara bawaan, dan Google sudah mengindeks ribuan di antaranya. Hal-hal kecil di wp-config.php dan panel admin seperti inilah yang sering menentukan apakah situs Anda aman atau menunggu giliran dibobol. Artikel ini penutup dari tiga tulisan yang kami susun dari daftar klasik "60+ trik WordPress paling dicari" karya Hongkiat Lim di [hongkiat.com](https://www.hongkiat.com/blog/40-most-wanted-wordpress-tricks-and-hacks/). Dua artikel sebelumnya membahas [**13 plugin dan fitur WordPress berguna**](https://rizalconsulting.id/index.php?option=com_content&view=article&id=652:plugin-wordpress-berguna-untuk-blog&catid=17:seputar-wordpress&Itemid=187) serta [**kumpulan snippet functions.php WordPress yang aman**](https://rizalconsulting.id/index.php?option=com_content&view=article&id=653:snippet-functions-php-wordpress-untuk-kustomisasi-tema&catid=17:seputar-wordpress&Itemid=187). Kali ini kita membahas bagian yang paling berisiko jika ditiru mentah-mentah: debug, pengaturan admin, dan keamanan. Beberapa trik lama bahkan harus kami coret karena berbahaya. --- [![Banner Program Jeda Ngaji](https://rizalconsulting.id/images/banners/banner-jeda-ngaji-lansia-1200x630.webp)](https://s.id/bimbinganbacaquran) [![Banner Program Jeda Ngaji](https://rizalconsulting.id/images/banners/banner-jeda-ngaji-lansia-1536x2752.webp)](https://s.id/bimbinganbacaquran) --- DAFTAR ISI 1. [Jawaban Singkat: Apa yang Dimaksud Keamanan Admin WordPress?](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#jawaban-singkat-apa-yang-dimaksud-keamanan-admin-wordpress) 2. [Empat Aturan Sebelum Mengubah Apa Pun](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#empat-aturan-sebelum-mengubah-apa-pun) 3. [Bagian 1: Debug Tanpa Membocorkan Data](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#bagian-1-debug-tanpa-membocorkan-data) 1. [Cara Mengaktifkan Debug Log WordPress dengan Aman](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#cara-mengaktifkan-debug-log-wordpress-dengan-aman) 2. [Cara Debug WordPress Tanpa Menampilkan Error ke Pengunjung](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#cara-debug-wordpress-tanpa-menampilkan-error-ke-pengunjung) 3. [Lingkungan Lokal dan Staging sebagai Pengganti Vagrant](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#lingkungan-lokal-dan-staging-sebagai-pengganti-vagrant) 4. [Bagian 2: Pengaturan Admin yang Sering Disalahpahami](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#bagian-2-pengaturan-admin-yang-sering-disalahpahami) 1. [Cara Membuka Halaman All Settings WordPress](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#cara-membuka-halaman-all-settings-wordpress) 2. [Cara Memperpanjang Masa Login WordPress](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#cara-memperpanjang-masa-login-wordpress) 3. [Cara Menyembunyikan Notifikasi Update WordPress untuk Non-Admin](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#cara-menyembunyikan-notifikasi-update-wordpress-untuk-non-admin) 4. [Cara Memasang Plugin WordPress dari GitHub dengan Aman](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#cara-memasang-plugin-wordpress-dari-github-dengan-aman) 5. [Bagian 3: Perkuat Pertahanan Situs Anda](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#bagian-3-perkuat-pertahanan-situs-anda) 1. [Cara Memaksa HTTPS di Admin WordPress](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#cara-memaksa-https-di-admin-wordpress) 2. [Cara Mematikan Edit File di Dashboard WordPress](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#cara-mematikan-edit-file-di-dashboard-wordpress) 3. [Cara Mengaktifkan Pembaruan Otomatis Plugin WordPress](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#cara-mengaktifkan-pembaruan-otomatis-plugin-wordpress) 4. [Cara Mengaktifkan Autentikasi Dua Langkah di WordPress](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#cara-mengaktifkan-autentikasi-dua-langkah-di-wordpress) 5. [Cara Menghapus Akun Admin yang Tidak Dipakai di WordPress](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#cara-menghapus-akun-admin-yang-tidak-dipakai-di-wordpress) 6. [Yang Kami Ganti atau Coret dari Daftar Lama](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#yang-kami-ganti-atau-coret-dari-daftar-lama) 7. [Urutan Pengerjaan Praktis: Sekitar 3 Jam](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#urutan-pengerjaan-praktis-sekitar-3-jam) 8. [Perkiraan Waktu dan Biaya dalam Rupiah](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#perkiraan-waktu-dan-biaya-dalam-rupiah) 9. [Pertanyaan yang Sering Diajukan](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#pertanyaan-yang-sering-diajukan) 10. [Penutup](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#penutup) 11. [Satu Berkas Log Bisa Membuka Pintu Penyerang](https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan#satu-berkas-log-bisa-membuka-pintu-penyerang) ## Jawaban Singkat: Apa yang Dimaksud Keamanan Admin WordPress? **Keamanan admin WordPress adalah kumpulan pengaturan yang menentukan siapa yang boleh masuk, apa yang bisa diubah dari dashboard, dan informasi apa yang tampil ke publik.** Pengaturannya tersebar di tiga tempat: berkas wp-config.php, menu di dashboard, dan beberapa plugin pendukung. Sebagian besar gratis dan cukup dikerjakan sekali, tetapi dampaknya terasa bertahun-tahun. | No | Pengaturan | Risiko jika diabaikan | Kesulitan | |---|---|---|---| | 1 | Debug log yang aman | Rincian server bocor lewat berkas log | Mudah | | 2 | Debug tanpa membuka error ke publik | Siapa pun bisa memicu tampilan error | Mudah | | 3 | Lingkungan lokal dan staging | Uji coba langsung di situs asli | Sedang | | 4 | Halaman All Settings | Salah ubah opsi yang merusak situs | Mudah | | 5 | Masa login | Sesi login terlalu pendek atau terlalu lama | Mudah | | 6 | Notifikasi pembaruan | Pengguna biasa bingung atau salah klik | Mudah | | 7 | Plugin dari GitHub | Kode tanpa moderasi masuk ke situs | Sedang | | 8 | HTTPS di admin | Kata sandi dan sesi login terbaca di jaringan | Mudah | | 9 | Matikan penyuntingan berkas dari dashboard | Akun admin yang bocor bisa menanam kode | Mudah | | 10 | Pembaruan otomatis | Celah lama dibiarkan terbuka | Mudah | | 11 | Autentikasi dua langkah dan batas login | Tebakan kata sandi berhasil | Sedang | | 12 | Audit akun pengguna | Akun lama menjadi pintu belakang | Mudah | ## Empat Aturan Sebelum Mengubah Apa Pun 1. **Buat cadangan** file dan database, lalu uji pemulihannya. 2. **Ubah wp-config.php lewat SFTP atau File Manager**, dan jangan meninggalkan salinan seperti wp-config.php.bak di folder yang bisa dibuka publik. 3. **Ubah satu pengaturan dalam satu waktu**, lalu periksa beranda dan wp-admin. 4. **Catat tanggal dan alasan** setiap perubahan, supaya mudah dibatalkan. [**Version control untuk menyimpan perubahan kode**](https://rizalconsulting.id/index.php?option=com_content&view=article&id=583:github-untuk-pemula-satu-platform-segudang-manfaat&catid=13:tutorial-it&Itemid=193) sangat membantu di sini. ## Bagian 1: Debug Tanpa Membocorkan Data ### Cara Mengaktifkan Debug Log WordPress dengan Aman Daftar lama menyarankan tiga baris ini untuk situs yang sudah tayang: WP\_DEBUG dinyalakan, WP\_DEBUG\_LOG dinyalakan, dan WP\_DEBUG\_DISPLAY dimatikan. Idenya benar, tetapi ada jebakan. [Dokumentasi resmi WordPress](https://developer.wordpress.org/advanced-administration/debug/debug-wordpress/) menjelaskan bahwa dengan nilai true, log disimpan di wp-content/debug.log, dan menurut mySites.guru berkas itu dapat dibuka publik secara bawaan. Inilah **cara mengaktifkan debug log WordPress dengan aman**: tentukan lokasi log yang berbeda. Sejak WordPress 5.1, WP\_DEBUG\_LOG bisa berisi jalur berkas. ```php define( 'WP_DEBUG', true ); define( 'WP_DEBUG_DISPLAY', false ); @ini_set( 'display_errors', 0 ); define( 'WP_DEBUG_LOG', '/home/akun-anda/logs/wp-debug-x7f3k9.log' ); ``` Tempel di wp-config.php, di atas baris "That's all, stop editing!". Ganti jalurnya dengan folder di luar public\_html (tanyakan ke hosting bila ragu) dan beri nama berkas yang acak. Setelah masalah ketemu, ubah WP\_DEBUG menjadi false dan hapus berkas lognya. ### Cara Debug WordPress Tanpa Menampilkan Error ke Pengunjung Trik "Smart WP\_Debug" di daftar lama membaca parameter di alamat URL: tambahkan ?debug=2 dan WordPress langsung menampilkan error di layar. Ia disebut aman, padahal sebaliknya. Parameter itu bisa ditambahkan siapa saja, bukan hanya Anda, sehingga pengunjung iseng atau penyerang bisa memunculkan jalur folder, nama fungsi, dan kesalahan database. Kami mencoretnya dari daftar. Inilah **cara debug WordPress tanpa menampilkan error ke pengunjung**: pakai [Query Monitor](https://wordpress.org/plugins/query-monitor/). Plugin ini dipakai lebih dari 200 ribu situs, mendukung tema blok, dan menampilkan galat PHP, kueri database, hook, serta skrip yang dimuat. Setahu kami, tampilannya secara bawaan hanya untuk administrator. Sumber tercatat pengujian sampai WordPress 7.0.1, dan seperti biasa, cek kolom "Tested up to" sebelum memasang. ### Lingkungan Lokal dan Staging sebagai Pengganti Vagrant Daftar lama merekomendasikan Vagrant untuk menguji tema dan plugin. Alat itu kini jarang dipakai pemula. Beberapa pilihan modern: - **Local**: aplikasi desktop dengan antarmuka grafis, paling ramah untuk pemula. - **wp-env**: lingkungan berbasis Docker dari tim inti WordPress, dijelaskan di [dokumentasi resminya](https://developer.wordpress.org/block-editor/reference-guides/packages/packages-env/). - **WordPress Playground**: WordPress yang berjalan langsung di peramban, cocok untuk percobaan cepat. - **WAMP**: pilihan klasik di Windows, lengkapnya ada di [**uji coba di komputer lokal dengan WAMP**](https://rizalconsulting.id/index.php?option=com_content&view=article&id=611:wamp-server-windows-aplikasi-web-lokal-akses-wifi&catid=13:tutorial-it&Itemid=193). Setelah punya lingkungan percobaan, tandai jenisnya di wp-config.php agar plugin dan tema bisa menyesuaikan perilakunya: ```php define( 'WP_ENVIRONMENT_TYPE', 'staging' ); ``` Nilai yang dikenali WordPress adalah local, development, staging, dan production, yang bisa dibaca lewat fungsi wp\_get\_environment\_type(). ## Bagian 2: Pengaturan Admin yang Sering Disalahpahami ### Cara Membuka Halaman All Settings WordPress Di balik dashboard ada halaman yang menampilkan hampir semua opsi di database dalam satu daftar: All Settings, beralamat wp-admin/options.php. Menu ini tidak muncul secara bawaan. Inilah **cara membuka halaman All Settings WordPress** lewat menu Settings: ```php add_action( 'admin_menu', 'rc_menu_semua_pengaturan' ); function rc_menu_semua_pengaturan() { add_options_page( 'Semua Pengaturan', 'Semua Pengaturan', 'manage_options', 'options.php' ); } ``` Halaman ini berguna untuk mendiagnosis masalah, misalnya alamat situs yang salah. Namun jangan sembarang mengubah nilai: satu opsi yang keliru bisa membuat situs tidak bisa dibuka. Opsi berformat serialized biasanya hanya ditampilkan, tidak bisa disunting. Selalu cadangkan database sebelum mengubah apa pun di sini. ### Cara Memperpanjang Masa Login WordPress Secara bawaan, sesi login berlangsung sekitar dua hari, atau empat belas hari bila Anda mencentang "Ingat saya". Daftar lama memperpanjangnya untuk semua orang. Itu melemahkan keamanan: makin lama sesi hidup, makin lama pula peluang bagi sesi yang tercuri. Inilah **cara memperpanjang masa login WordPress** dengan lebih hati-hati, hanya untuk yang mencentang "Ingat saya" dan bukan administrator: ```php add_filter( 'auth_cookie_expiration', 'rc_masa_login', 10, 3 ); function rc_masa_login( $detik, $id_pengguna, $ingat ) { if ( $ingat && ! user_can( $id_pengguna, 'manage_options' ) ) { return 30 * DAY_IN_SECONDS; } return $detik; } ``` Pasang snippet ini lewat tema anak atau plugin pengelola snippet seperti dibahas di artikel kedua dalam rangkaian ini. Jangan gunakan di komputer bersama. ### Cara Menyembunyikan Notifikasi Update WordPress untuk Non-Admin Pengguna biasa, seperti penulis atau kontributor, kadang bingung melihat pemberitahuan pembaruan yang tidak bisa mereka kerjakan. Daftar lama menyembunyikannya dari semua orang kecuali administrator, dan itu masuk akal selama administratornya tetap melihatnya. Inilah **cara menyembunyikan notifikasi update WordPress untuk non-admin**: ```php add_action( 'admin_init', 'rc_sembunyikan_notif_update' ); function rc_sembunyikan_notif_update() { if ( ! current_user_can( 'update_core' ) ) { remove_action( 'admin_notices', 'update_nag', 3 ); remove_action( 'network_admin_notices', 'update_nag', 3 ); } } ``` Peringatan keras: jangan menyembunyikan notifikasi dari administrator atau dari diri sendiri. Pemberitahuan pembaruan adalah alarm paling dasar yang Anda punya. ### Cara Memasang Plugin WordPress dari GitHub dengan Aman Banyak plugin menarik hanya tersedia di GitHub. Daftar lama sudah mengingatkan bahwa plugin semacam itu tidak dimoderasi, dan peringatan itu masih berlaku. Inilah **cara memasang plugin WordPress dari GitHub dengan aman**: 1. Pastikan tidak ada versi yang setara di direktori resmi WordPress.org. 2. Periksa repositori: kapan terakhir diperbarui, siapa pengembangnya, dan apakah ada laporan isu atau celah. 3. Unduh berkas dari halaman Releases, bukan dari tombol "Download ZIP" di halaman utama repositori. Unduhan terakhir biasanya menghasilkan folder berakhiran -main, sehingga nama folder plugin berbeda dari aslinya dan bisa terpasang ganda saat diperbarui. 4. Pasang di situs percobaan lebih dulu dan baca isi kodenya, terutama bagian yang mengirim data ke server luar. 5. Perhatikan bahwa plugin dari GitHub tidak bisa di-rollback lewat versi gratis WP-Rollback yang dibahas di artikel pertama dalam rangkaian ini. ## Bagian 3: Perkuat Pertahanan Situs Anda ### Cara Memaksa HTTPS di Admin WordPress Daftar lama menyebut SSL sebagai pengerek peringkat. Setahu kami, Google pernah menyebut HTTPS sebagai sinyal peringkat yang ringan, jadi alasan utamanya bukan peringkat, melainkan melindungi kata sandi dan sesi login dari penyadapan. Langkahnya: 1. Aktifkan sertifikat SSL di hosting. Banyak hosting menyediakannya gratis lewat Let's Encrypt. 2. Ubah alamat WordPress dan alamat situs menjadi https di Settings > General. 3. Pastikan alamat http otomatis dialihkan ke https lewat pengaturan hosting. 4. Inilah **cara memaksa HTTPS di admin WordPress** sebagai lapis tambahan di wp-config.php: ```php define( 'FORCE_SSL_ADMIN', true ); ``` ### Cara Mematikan Edit File di Dashboard WordPress Secara bawaan, administrator bisa mengubah berkas plugin dan tema langsung dari dashboard. Fitur ini nyaman, tetapi bila akun admin Anda dibobol, penyerang bisa menanam kode berbahaya tanpa menyentuh server. Inilah **cara mematikan edit file di dashboard WordPress**: ```php define( 'DISALLOW_FILE_EDIT', true ); ``` Ada versi yang lebih ketat, DISALLOW\_FILE\_MODS, yang juga menutup pemasangan dan pembaruan plugin dari dashboard. Itu cocok bagi situs yang pembaruannya diurus lewat SFTP atau alur kerja khusus, tetapi bisa merepotkan bila Anda atau klien terbiasa memasang plugin lewat dashboard. Untuk kebanyakan blog, DISALLOW\_FILE\_EDIT sudah cukup. ### Cara Mengaktifkan Pembaruan Otomatis Plugin WordPress Pembaruan kecil untuk inti WordPress, yang memuat perbaikan keamanan, dipasang otomatis sejak WordPress 3.7. Pembaruan plugin dan tema baru bisa diatur otomatis sejak WordPress 5.5, tetapi secara bawaan tidak aktif. Kasus [**celah kritis PHP yang sudah ditambal**](https://rizalconsulting.id/index.php?option=com_content&view=article&id=650:php2shell-celah-kritis-php-cara-cek-dan-tambal&catid=13:tutorial-it&Itemid=193) menunjukkan mengapa pembaruan tidak boleh ditunda. Inilah **cara mengaktifkan pembaruan otomatis plugin WordPress**: 1. Buka halaman Plugins > Installed Plugins. 2. Pada kolom Automatic Updates di sebelah kanan, klik "Enable auto-updates" untuk plugin pilihan, atau centang beberapa plugin lalu gunakan menu Bulk actions. 3. Mulailah dari plugin yang ringan dan jelas pengembangnya, lalu pantau situs beberapa hari. Pembaruan otomatis tidak bebas risiko, karena ketidakcocokan antarplugin bisa terjadi. Itulah alasan cadangan rutin dan WP-Rollback tetap perlu. Menurut sebagian praktisi, tema adalah yang paling berisiko diotomatiskan karena tidak ada mekanisme pemulihan seperti pada inti WordPress. ### Cara Mengaktifkan Autentikasi Dua Langkah di WordPress Kata sandi saja tidak cukup. WordPress belum menyediakan autentikasi dua langkah (2FA) secara bawaan, jadi Anda memerlukan plugin. [Wordfence Security](https://wordpress.org/plugins/wordfence/) adalah plugin keamanan yang paling banyak dipasang di direktori resmi, dengan firewall, pemindai malware, pembatas percobaan login, dan 2FA di versi gratisnya. Inilah **cara mengaktifkan autentikasi dua langkah di WordPress**: 1. Pasang dan aktifkan plugin Wordfence. 2. Buka menu Wordfence > Login Security. 3. Aktifkan 2FA untuk akun Anda dengan aplikasi autentikator di ponsel, lalu simpan kode cadangan di tempat aman. 4. Aktifkan pembatasan percobaan login dan, bila perlu, CAPTCHA di halaman login. Satu catatan terbaru: plugin Wordfence Login Security yang berdiri sendiri dinyatakan dihentikan sekitar Agustus 2026, dan pengembangnya menganjurkan pemakaian plugin Wordfence penuh. Jadi jangan memasang versi mandiri itu lagi. Untuk lapisan firewall yang berbeda, simak [**firewall WordPress yang menjaga situs tiap malam**](https://rizalconsulting.id/index.php?option=com_content&view=article&id=569:rsfirewall-plugin-keamanan-wordpress&catid=34:review-ulasan&Itemid=614). Untuk kata sandi, ada [**3 password manager gratis yang lebih baik**](https://rizalconsulting.id/index.php?option=com_content&view=article&id=508:password-manager-gratis-pilihan-2025&catid=34:review-ulasan&Itemid=614) dan [**aplikasi desktop gratis untuk membuat kata sandi**](https://rizalconsulting.id/index.php?option=com_content&view=article&id=314:10-aplikasi-desktop-gratis-pilihan-untuk-membuat-kata-sandi-password&catid=34:review-ulasan&Itemid=614). ### Cara Menghapus Akun Admin yang Tidak Dipakai di WordPress Akun lama milik mantan pegawai, vendor, atau pengembang yang sudah selesai bekerja adalah pintu belakang yang sering terlupa. Kisah nyatanya ada di [**kisah akun admin hantu di klinik gigi**](https://rizalconsulting.id/index.php?option=com_content&view=article&id=621:akun-admin-hantu-ghost-login-klinik-gigi&catid=8:blog&Itemid=117). Audit akun Anda sekarang: 1. Buka Users > All Users, lalu filter peran Administrator. 2. Hapus akun yang tidak dikenali atau tidak lagi dipakai, dan pilih untuk memindahkan semua konten ke akun yang aktif. 3. Turunkan peran akun yang tidak perlu menjadi administrator. 4. Ganti nama pengguna "admin" bila masih ada: buat administrator baru dengan nama lain, pindahkan kontennya, lalu hapus akun lama. 5. Setel ulang kata sandi untuk semua akun yang tersisa. Tips lain yang berlaku umum ada di [**tips keamanan online untuk pengguna awam**](https://rizalconsulting.id/index.php?option=com_content&view=article&id=329:8-tips-penting-keamanan-online-yang-layak-diketahui-oleh-pengguna-awam&catid=8:blog&Itemid=117). ## Yang Kami Ganti atau Coret dari Daftar Lama | Trik lama | Keputusan kami | |---|---| | Smart WP\_Debug lewat ?debug=2 | Dicoret: siapa pun bisa menyalakan tampilan error | | WP\_DEBUG\_LOG ke wp-content/debug.log di situs tayang | Diganti: lokasi log di luar folder publik dengan nama acak | | Vagrant | Diganti: Local, wp-env, WordPress Playground, atau WAMP | | Sembunyikan notifikasi update dari semua orang | Dipersempit: hanya bagi non-admin | | Perpanjang masa login untuk semua pengguna | Dipersempit: hanya yang mencentang "Ingat saya" dan bukan administrator | | SSL sebagai pengerek peringkat | Diluruskan: alasan utamanya keamanan, bukan peringkat | ## Urutan Pengerjaan Praktis: Sekitar 3 Jam 1. **Cadangkan** file dan database, lalu uji memulihkannya di lingkungan percobaan. 2. **Periksa wp-config.php**: pastikan WP\_DEBUG mati atau lognya di lokasi aman. 3. **Tambahkan DISALLOW\_FILE\_EDIT dan FORCE\_SSL\_ADMIN.** 4. **Audit akun pengguna** dan hapus yang tidak diperlukan. 5. **Pasang 2FA dan batas percobaan login.** 6. **Aktifkan pembaruan otomatis** untuk plugin yang ringan, lalu pantau. 7. **Siapkan lingkungan lokal** untuk uji coba berikutnya. 8. **Jadwalkan ulang** audit ini setiap tiga bulan. ## Perkiraan Waktu dan Biaya dalam Rupiah Perkiraan untuk pemula dan akan berbeda menurut hosting. | Pekerjaan | Biaya | Perkiraan waktu | |---|---|---| | Debug log aman dan Query Monitor | Rp0 | sekitar 20 menit | | Lingkungan lokal (Local, wp-env, atau WAMP) | Rp0 | 30 sampai 60 menit | | All Settings, masa login, notifikasi update | Rp0 | 5 sampai 10 menit per butir | | Plugin dari GitHub (per plugin) | Rp0 | sekitar 15 menit | | HTTPS (sertifikat dan pengalihan) | Rp0 bila hosting menyediakan Let's Encrypt | sekitar 30 menit | | DISALLOW\_FILE\_EDIT dan pembaruan otomatis | Rp0 | 5 sampai 10 menit | | Wordfence, 2FA, dan batas login | Rp0 untuk versi gratis; versi berbayar tersedia | sekitar 20 menit | | Audit akun pengguna | Rp0 | sekitar 15 menit | Total waktu sekitar 3 sampai 3,5 jam pada kali pertama, dengan hampir semua langkah tanpa biaya. Kurs tidak relevan di sini karena semuanya Rp0, kecuali Anda memilih paket berbayar dari pengembang plugin. [![banner rumah edho horizontal kecil](https://rizalconsulting.id/images/2026/05/26/banner-rumah-edho-horizontal-kecil.webp)](https://tebejowo.com/26524) > - [Domain, Hosting, Hingga VPS Murah untuk Proyek Anda! > > > > ](https://rizalconsulting.id/component/weblinks/?task=weblink.go&id=42&Itemid=101) > - [Tingkatkan SEO Website Dengan Ribuan Weblink Bebagai Topik! > > > > ](https://rizalconsulting.id/component/weblinks/?task=weblink.go&id=3&Itemid=101) > - [Sewa Domain, Hosting, Hingga VPS untuk Proyek Digital Anda! > > > > ](https://rizalconsulting.id/component/weblinks/?task=weblink.go&id=2&Itemid=101) > - [Sewa Domain, Hosting, dan VPS untuk Proyek Digital Anda! > > > > ](https://rizalconsulting.id/component/weblinks/?task=weblink.go&id=35&Itemid=101) > - [Nikmati fitur lengkap dari aplikasi favorit kamu tanpa ribet. Langganan aman dan cepat lewat link ini > > > > ](https://rizalconsulting.id/component/weblinks/?task=weblink.go&id=46&Itemid=101) > - [Dapatkan Akun Bersama Berbagai Aplikasi Web Populer Dengan Harga Murah! > > > > ](https://rizalconsulting.id/component/weblinks/?task=weblink.go&id=37&Itemid=101) > > ***[Promo Afiliasi](https://rizalconsulting.id/blog/pengungkapan-afiliasi-affiliate-disclosure-info-singkat-hak-anda)*** ## Pertanyaan yang Sering Diajukan **Apakah aman menyalakan WP\_DEBUG di situs yang sudah tayang?** Tidak dianjurkan. Bila terpaksa, matikan tampilan error ke layar, arahkan log ke lokasi di luar folder publik, dan matikan lagi setelah masalah selesai. **Mengapa debug.log bisa berbahaya?** Berkas ini mencatat galat beserta jalur folder dan rincian plugin. Bila disimpan di lokasi bawaannya, ia bisa dibuka publik, dan mySites.guru melaporkan banyak yang sudah terindeks Google. **Apakah autentikasi dua langkah wajib di WordPress?** Tidak wajib, tetapi sangat dianjurkan, terutama untuk akun administrator. Kata sandi yang bocor atau ditebak tidak akan cukup untuk masuk bila 2FA aktif. **Amankah pembaruan otomatis untuk semua plugin?** Tidak selalu. Pembaruan kecil inti WordPress aman diotomatiskan, tetapi plugin dan tema bisa saling bertabrakan. Aktifkan bertahap, simpan cadangan, dan pantau situs setelah pembaruan. **Apa bedanya DISALLOW\_FILE\_EDIT dan DISALLOW\_FILE\_MODS?** DISALLOW\_FILE\_EDIT hanya menutup penyuntingan berkas dari dashboard. DISALLOW\_FILE\_MODS lebih ketat karena juga menutup pemasangan dan pembaruan plugin serta tema dari dashboard. **Haruskah saya memasang plugin dari GitHub?** Hanya bila tidak ada alternatif di direktori resmi dan Anda sudah memeriksa pengembang serta kodenya. Plugin di sana tidak dimoderasi seperti di WordPress.org. ## Penutup Keamanan situs bukan satu fitur ajaib, melainkan kebiasaan kecil yang konsisten: log yang aman, akun yang bersih, pembaruan yang rutin, dan lapisan perlindungan tambahan. Dengan tiga artikel dalam rangkaian ini, Anda kini punya peta lengkap, mulai dari plugin, kode, hingga pengaturan admin. Bila Anda ingin melihat platform lain sebagai pembanding, buka [**CMS terbaik 2026 untuk website Anda**](https://rizalconsulting.id/index.php?option=com_content&view=article&id=602:cms-terbaik-2026-perbandingan-lengkap&catid=19:pengembangan-web&Itemid=190). *Catatan: artikel ini terinspirasi dari daftar "60+ Most Wanted WordPress Tricks and Hacks" karya Hongkiat Lim di hongkiat.com, lalu disusun ulang, diperbarui untuk WordPress 7.x, dan disesuaikan dengan kebutuhan pembaca Indonesia. Sebagian tautan sumber mungkin berubah atau tidak aktif seiring waktu.* --- [![Banner Layanan Asisten Virtual](https://rizalconsulting.id/images/banners/asisten-virtual/banner-asisten-virtual-26-08-04-horizontal.webp)](https://rizalconsulting.id/index.php?Itemid=863) [![Banner Layanan Asisten Virtual](https://rizalconsulting.id/images/banners/asisten-virtual/banner-asisten-virtual-26-08-04-tegak.webp)](https://rizalconsulting.id/index.php?Itemid=863) --- ## Satu Berkas Log Bisa Membuka Pintu Penyerang Satu berkas debug.log yang terlupa bisa membocorkan jalur server, nama plugin, dan rincian kesalahan kepada siapa saja. Akun admin lama yang tak pernah dihapus, pembaruan yang tertunda berbulan-bulan, atau kata sandi yang lemah hanya butuh satu celah untuk dimanfaatkan. Ketika situs Anda sudah diretas, yang hilang bukan hanya data, tetapi juga kepercayaan pengunjung dan peringkat yang dibangun bertahun-tahun. Bayangkan sebaliknya: situs dirawat rutin, ada cadangan teruji, akun bersih, dan pembaruan terpantau, sementara Anda fokus melayani pelanggan. Itulah yang kami bantu lewat [**jasa pengelolaan website WordPress dan Joomla**](https://rizalconsulting.id/index.php?option=com_content&view=article&id=44:pengelolaan-website-cms&catid=20:layanan&Itemid=356). Ingin menguasainya sendiri? Ikuti [**pelatihan online WordPress dan Joomla**](https://rizalconsulting.id/index.php?option=com_content&view=article&id=620:pelatihan-website-wordpress-joomla&catid=20:layanan&Itemid=223). Hubungi kami hari ini, sebelum celah itu ditemukan orang lain. πŸ“Œ Rizal Consulting: Jasa Konsultasi & Support IT βœ‰οΈ Alamat email ini dilindungi dari robot spam. Anda memerlukan Javascript yang aktif untuk melihatnya. πŸ“± 0813-8229-7207 ⏰ Sabtu–Kamis, 08.00–17.30 WIB Rizal Consulting: Jasa Konsultasi & Support IT - πŸ“§ **Alamat email ini dilindungi dari robot spam. Anda memerlukan Javascript yang aktif untuk melihatnya.** - πŸ“± [**0813-8229-7207**](http://wa.me/6281382297207) - πŸ•[**Sabtu – Kamis, 08.00 – 17.30 WIB**](https://rizalconsulting.id/kontak) - 🌏 Layanan kami tersedia [**online untuk seluruh Indonesia**](https://g.page/r/CQtYezDZiJrdEBM) Kami dapat [**memperoleh komisi**](https://rizalconsulting.id/index.php?option=com_content&view=article&id=230:pengungkapan-afiliasi-affiliate-disclosure-info-singkat-hak-anda&catid=8:blog) ketika Anda bertransaksi di tautan yang ditampilkan di situs ini. Ikuti [**saluran kami di Whatsapp**](https://whatsapp.com/channel/0029Vb8o7leHAdNMp515HZ3h) untuk info artikel terbaru. **[Pertanyaan bisnis](https://rizalconsulting.id/layanan)** atau **[penempatan konten promosi](https://rizalconsulting.id/jasa-backlink-dofollow)**: [0813-8229-7207](https://s.id/7jpgn) | Alamat email ini dilindungi dari robot spam. Anda memerlukan Javascript yang aktif untuk melihatnya.. Muhammad Fauzi Rizal πŸ—“οΈ Sejak 2006 πŸ’» Sabtu - Kamis ⏰ 08-17 WIB ☎️ 0813-8229-7207 πŸ“§ Alamat email ini dilindungi dari robot spam. Anda memerlukan Javascript yang aktif untuk melihatnya. [![Banner Layanan Asisten Virtual](https://rizalconsulting.id/images/banners/asisten-virtual/banner-asisten-virtual-26-08-04-tegak.webp)](https://rizalconsulting.id/layanan/asisten-virtual) ## Artikel Terkait [ ![Ilustrasi Website Yang Terkena Serangan Hacker](https://rizalconsulting.id/images/2022/12/27/ilustrasi-website-wordpress-yang-terkena-hack-intro.jpg) Diterbitkan: 27 Desember 2022 ### Diserang Hackers, 15 Ribu Website WordPress dalam Bahaya! Selengkapnya ](https://rizalconsulting.id/index.php?option=com_content&view=article&id=70:diserang-hackers-15-ribu-website-wordpress-dalam-bahaya&catid=17) [ ![Ilustrasi Logo Wordpress di Laptop](https://rizalconsulting.id/media/yootheme/cache/88/wordpress-logo-laptop-a-88e8ffea.webp?src=images/2026/10/28/wordpress-logo-laptop-a.webp&thumbnail=610,610,&hash=4a6b4565) Diterbitkan: 29 Oktober 2026 ### 13 Snippet functions.php WordPress untuk Kustomisasi Tema yang Aman dan Masih Relevan di 2026 Selengkapnya ](https://rizalconsulting.id/index.php?option=com_content&view=article&id=653:snippet-functions-php-wordpress-untuk-kustomisasi-tema&catid=17) [ ![Ilustrasi Desainer Web Yang Tengah Melakukan Pekerjaannya](https://rizalconsulting.id/media/yootheme/cache/ea/ilustrasi-desainer-web-tengah-bekerja-eaecf831.jpg?src=images/2023/10/ilustrasi-desainer-web-tengah-bekerja.jpg&thumbnail=610,610,&hash=d865b0e3) Diterbitkan: 06 Oktober 2023 ### 14 Alat Penting Pilihan Bagi Desainer Web Wordpress Profesional (1/2) Selengkapnya ](https://rizalconsulting.id/index.php?option=com_content&view=article&id=219:14-alat-penting-pilihan-bagi-desainer-web-wordpress-profesional-1-2&catid=17) ## Artikel Lainnya [ ![Ilustrasi Laptop Asus Pilihan Unutk Ngampus](https://rizalconsulting.id/media/yootheme/cache/43/ilustrasi-laptop-asus-chromebook-flip-2-1-untuk-ngampus-43c3c33c.webp?src=images/2023/12/ilustrasi-laptop-asus-chromebook-flip-2-1-untuk-ngampus.webp&thumbnail=610,610,&hash=2d306d7f) Diterbitkan: 28 Desember 2023 ### Rekomendasi Laptop Asus User Friendly Yang Cocok Untuk Ngampus Selengkapnya ](https://rizalconsulting.id/index.php?option=com_content&view=article&id=266:laptop-asus-user-friendly-untuk-ngampus&catid=8) [ ![Ilustrasi Ikon PDF](https://rizalconsulting.id/media/yootheme/cache/32/ilustrasi-ikon-pdf-intro-3281ddbd.webp?src=images/2025/02/28/ilustrasi-ikon-pdf-intro.webp&thumbnail=610,610,&hash=39155d7e) Diterbitkan: 28 Februari 2025 ### 10 Keahlian Dasar yang Wajib Kamu Kuasai untuk Mengelola File PDF Selengkapnya ](https://rizalconsulting.id/index.php?option=com_content&view=article&id=361:10-keahlian-dasar-yang-wajib-kamu-kuasai-untuk-mengelola-file-pdf&catid=13) [ ![Ilustrasi Microsoft Excel](https://rizalconsulting.id/media/yootheme/cache/91/00-Projects-KPIs-Excel-Template-Dashboard-KPIs-intro-9123b861.webp?src=images/2024/12/12/00-Projects-KPIs-Excel-Template-Dashboard-KPIs-intro.webp&thumbnail=610,610,&hash=907e5f82) Diterbitkan: 12 Desember 2024 ### 7 Alasan Mengapa Excel Alat Manajemen Proyek Terbaik Yang Anda Gunakan Selengkapnya ](https://rizalconsulting.id/index.php?option=com_content&view=article&id=352:7-alasan-mengapa-excel-alat-manajemen-proyek-terbaik-yang-anda-gunakan&catid=34) ## Layanan Kami [ ![Ilustrasi Jasa Analisis Data](https://rizalconsulting.id/media/yootheme/cache/64/big-data-analytics-a-64329be6.webp?src=images/2026/10/09/big-data-analytics-a.webp&thumbnail=610,610,&hash=43d38a92) ### Jasa Analisis Data Online ](https://rizalconsulting.id/index.php?option=com_content&view=article&id=638:jasa-analisis-data&catid=20) [ ![Ilustrasi Konsultasi IT](https://rizalconsulting.id/media/yootheme/cache/18/ilustrasi-IT-Consulting-a-182882e0.webp?src=images/2026/06/23/ilustrasi-IT-Consulting-a.webp&thumbnail=610,610,&hash=3abdd7fe) ### Jasa Konsultasi IT ](https://rizalconsulting.id/index.php?option=com_content&view=article&id=566:jasa-konsultasi-it&catid=20) [ ![Ilustrasi Orang Menggunakan Kaca Pembesar](https://rizalconsulting.id/media/yootheme/cache/20/young-man-using-magnifying-glass-looking-something-a-2004f37b.webp?src=images/2026/11/03/young-man-using-magnifying-glass-looking-something-a.webp&thumbnail=610,610,&hash=3ee1ff7f) ### Jasa Audit Jejak Digital: Cek dan Amankan Nama Anda ](https://rizalconsulting.id/index.php?option=com_content&view=article&id=656:jasa-audit-jejak-digital&catid=20) ## Schema ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Beranda", "item": "https://rizalconsulting.id" }, { "@type": "ListItem", "position": 2, "name": "Blog", "item": "https://rizalconsulting.id/blog" }, { "@type": "ListItem", "position": 3, "name": "Seputar Wordpress", "item": "https://rizalconsulting.id/blog/seputar-wordpress" }, { "@type": "ListItem", "position": 4, "name": "12 Pengaturan Keamanan Admin WordPress, Debug, dan Pembaruan yang Wajib Dicek di 2026", "item": "https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan" } ] } ``` ```json { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Apakah aman menyalakan WP_DEBUG di situs yang sudah tayang?", "acceptedAnswer": { "@type": "Answer", "text": "Tidak dianjurkan. Bila terpaksa, matikan tampilan error ke layar, arahkan log ke lokasi di luar folder publik, dan matikan lagi setelah masalah selesai." } }, { "@type": "Question", "name": "Mengapa debug.log bisa berbahaya?", "acceptedAnswer": { "@type": "Answer", "text": "Berkas ini mencatat galat beserta jalur folder dan rincian plugin. Bila disimpan di lokasi bawaannya, ia bisa dibuka publik, dan mySites.guru melaporkan banyak yang sudah terindeks Google." } }, { "@type": "Question", "name": "Apakah autentikasi dua langkah wajib di WordPress?", "acceptedAnswer": { "@type": "Answer", "text": "Tidak wajib, tetapi sangat dianjurkan, terutama untuk akun administrator. Kata sandi yang bocor atau ditebak tidak akan cukup untuk masuk bila 2FA aktif." } }, { "@type": "Question", "name": "Amankah pembaruan otomatis untuk semua plugin?", "acceptedAnswer": { "@type": "Answer", "text": "Tidak selalu. Pembaruan kecil inti WordPress aman diotomatiskan, tetapi plugin dan tema bisa saling bertabrakan. Aktifkan bertahap, simpan cadangan, dan pantau situs setelah pembaruan." } }, { "@type": "Question", "name": "Apa bedanya DISALLOW_FILE_EDIT dan DISALLOW_FILE_MODS?", "acceptedAnswer": { "@type": "Answer", "text": "DISALLOW_FILE_EDIT hanya menutup penyuntingan berkas dari dashboard. DISALLOW_FILE_MODS lebih ketat karena juga menutup pemasangan dan pembaruan plugin serta tema dari dashboard." } }, { "@type": "Question", "name": "Haruskah saya memasang plugin dari GitHub?", "acceptedAnswer": { "@type": "Answer", "text": "Hanya bila tidak ada alternatif di direktori resmi dan Anda sudah memeriksa pengembang serta kodenya. Plugin di sana tidak dimoderasi seperti di WordPress.org." } } ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "mainEntityOfPage": { "@type": "WebPage", "@id": "https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan" }, "headline": "12 Pengaturan Keamanan Admin WordPress, Debug, dan Pembaruan yang Wajib Dicek di 2026", "description": "Keamanan admin WordPress: 12 pengaturan debug, login, HTTPS, dan pembaruan yang sudah dicek ulang Oktober 2026, lengkap dengan langkah, waktu, dan biaya.", "image": { "@type": "ImageObject", "url": "https://rizalconsulting.id/images/2026/10/28/wordpress-logo-laptop-b.webp" }, "publisher": { "@type": "Organization", "name": "Konsultan IT Profesional : Rizal Consulting", "logo": { "@type": "ImageObject", "url": "https://rizalconsulting.id/images/2023/04/logo-rizal-consulting-2023-04-kotak-warna.png" } }, "author": { "@type": "Person", "name": "Muhammad Fauzi Rizal", "url": "https://rizalconsulting.id/blog/seputar-wordpress/keamanan-admin-wordpress-debug-dan-pembaruan" }, "datePublished": "2026-10-30T01:16:50+07:00", "dateCreated": "2026-10-30T01:16:50+07:00", "dateModified": "2026-10-30T08:04:02+07:00" } ```