Bersihkan Malware WordPress: Urutan yang Saya Pakai Sebelum Situs Dianggap Aman

Situs yang “tiba-tiba redirect ke iklan” atau menampilkan peringatan Google hampir selalu sudah terlambat untuk ditambal dengan satu plugin keamanan. Malware WordPress bersembunyi di user admin palsu, file tema, dan folder upload. Membersihkannya butuh urutan, bukan tebakan.

Ini urutan yang saya pakai sebelum mengatakan situs klien aman untuk dibuka lagi.

1. Isolasi dulu, baru berburu file

• aktifkan mode maintenance atau turunkan situs dari indeks sementara jika pengunjung diarahkan ke domain asing;
• ambil salinan file dan database sebagai bukti, lalu jangan jadikan salinan itu sumber restore;
• catat gejala: redirect, halaman spam di Search Console, email aneh, atau CPU hosting melonjak.

Salinan terinfeksi berguna untuk membandingkan. Ia bukan backup bersih.

2. Ganti semua kredensial dari perangkat yang bersih

Ganti password dari komputer yang tidak memakai situs yang sama:

• user WordPress, terutama administrator;
• panel hosting, FTP/SFTP, dan database;
• akun email yang menerima reset password;
• kunci API yang tersimpan di plugin (SMTP, backup, CDN).

Kalau password lama tetap hidup, file bersih akan terinfeksi lagi dalam hitungan jam.

3. Audit user dan pintu masuk

• hapus administrator yang tidak dikenal;
• turunkan role user yang tidak perlu jadi admin;
• nonaktifkan plugin dan tema yang tidak dipakai;
• cek apakah pendaftaran user publik memang disengaja.

Plugin nulled dan tema bajakan adalah jalur masuk yang paling sering saya temukan di situs sekolah dan organisasi.

4. Ganti inti dari sumber resmi

Jangan mengedit file terinfeksi satu per satu lalu berharap selesai.

• timpa WordPress core dengan salinan resmi versi yang sama atau yang sudah ditambal;
• pasang ulang tema dan plugin dari wordpress.org atau vendor berlisensi;
• bandingkan wp-config.php dan .htaccess dengan versi yang Anda pahami, lalu buang baris yang tidak Anda tambahkan;
• periksa wp-content/mu-plugins, uploads, dan tema anak untuk file PHP yang tidak seharusnya ada di sana.

Folder upload untuk media. File PHP di sana hampir selalu salah tempat.

5. Pulihkan kepercayaan pencarian

Setelah situs bersih dan HTTPS normal:

• minta peninjauan di Google Search Console jika ada peringatan keamanan;
• hapus URL spam dari indeks bila Google sudah mengindeks halaman palsu;
• perbarui semua komponen, lalu ambil backup bersih yang terpisah dari salinan terinfeksi;
• pasang pemantauan perubahan file atau setidaknya catat tanggal file setelah pembersihan.

Plugin keamanan membantu setelah pintu ditutup. Ia tidak menggantikan penggantian core dan kredensial.

Yang saya tulis ke klien

Situs sudah dibersihkan dari file dan user yang tidak dikenal, kredensial diganti, core serta plugin dipasang ulang dari sumber resmi, dan backup bersih disimpan terpisah. Mohon jangan memakai password lama di hosting atau email.

Kalimat itu lebih jujur daripada “sudah saya scan dan aman.”