Kategori: Web Security

  • Strategi Pertahanan Berlapis: Mengamankan Website dengan Cloudflare WAF

    Strategi Pertahanan Berlapis: Mengamankan Website dengan Cloudflare WAF

    Website dengan Cloudflare WAF

    Berikut adalah artikel lengkap mengenai Strategi Pertahanan Berlapis: Mengamankan Website dengan Cloudflare WAF. Strategi penerapan WAF (Web Application Firewall) Cloudflare untuk melindungi situs web dari serangan DDoS dan Malware, disusun berdasarkan urutan rule yang telah saya siapkan. File Rule template bisa di unduh di bagian akhir artikel.

    Strategi Pertahanan Berlapis: Mengamankan Website dengan Cloudflare WAF

    Di tengah meningkatnya ancaman siber, mengandalkan keamanan standar server saja tidak lagi cukup. Salah satu cara paling efektif untuk memitigasi serangan adalah dengan menerapkan aturan WAF pada edge network Cloudflare. Strategi ini memungkinkan pembersihan trafik berbahaya sebelum mereka sempat menyentuh infrastruktur server Anda.
    Berikut adalah panduan penerapan aturan WAF yang disusun secara sistematis untuk perlindungan maksimal:

    1. Fondasi Utama: Whitelist IP Internal dan Sesi Pengguna

    Langkah pertama yang wajib dilakukan adalah memastikan bahwa sistem keamanan tidak mengunci pemilik situs sendiri. Aturan ini harus ditempatkan di posisi pertama untuk mengecualikan alamat IP server asli, IP kantor, atau koneksi pribadi dari pemeriksaan WAF. Selain itu, pengecualian diberikan kepada pengguna yang memiliki sesi aktif (log-in) di WordPress agar aktivitas administratif tidak terganggu oleh tantangan keamanan.

    2. Memberi Ruang bagi Mesin Pencari (Verified Bots)

    Situs web membutuhkan akses dari robot mesin pencari seperti Google atau Bing untuk tujuan indeks dan SEO. Aturan kedua berfungsi untuk mengenali dan mengizinkan trafik dari bot yang telah terverifikasi. Selain mesin pencari, infrastruktur pendukung seperti Cloudflare Workers juga diberikan akses khusus agar fungsi-fungsi modern pada situs tetap berjalan lancar tanpa terhambat filter keamanan.

    3. Perisai Inti: Perlindungan Malware dan Eksploitasi File

    Serangan sering kali menargetkan file-file sensitif WordPress melalui metode brute force atau eksploitasi celah pada plugin. Aturan ketiga ini dirancang sebagai penghalang utama yang secara otomatis memblokir akses mencurigakan ke direktori inti sistem dan file konfigurasi penting. Aturan ini juga sangat selektif dalam mengizinkan akses ke file berekstensi khusus, memastikan hanya permintaan yang sah yang dapat diproses.

    4. Menangkal Identitas Palsu (Fake User Agents)

    Banyak serangan otomatis menggunakan identitas palsu atau bahkan tidak memiliki identitas (User Agent) saat melakukan pemindaian celah keamanan. Dengan menempatkan aturan pemblokiran terhadap identitas mesin yang tidak valid atau bot liar pada posisi keempat, beban server dapat dikurangi secara signifikan karena trafik sampah ini langsung diputus di gerbang terdepan.

    5. Tantangan untuk Akses Pusat Data (Managed Challenge)

    Salah satu metode efisien dalam menyaring trafik adalah dengan membedakan antara penyedia layanan internet (ISP) biasa dengan infrastruktur pusat data (Datacenter). Pengunjung manusia umumnya berasal dari ISP, sementara bot sering kali berasal dari jaringan pusat data populer.
    Menerapkan tantangan visual (Managed Challenge) terhadap trafik dari pusat data sangat direkomendasikan karena:

    • Keamanan Berlapis: Bot pemindai akan terhenti oleh tantangan captcha.
    • Fleksibilitas: Pengguna manusia yang menggunakan VPN atau jaringan kantor tetap bisa masuk setelah menyelesaikan tantangan singkat.
    • Perlindungan Login: Semua akses menuju halaman administratif dan login akan diperketat dengan tantangan ini guna mencegah penyusup otomatis.

    6. Kendali Kecepatan (Rate Limiting)

    Sebagai lapisan terakhir untuk mencegah serangan DDoS, aturan pembatasan kecepatan perlu diterapkan. Aturan ini berfungsi untuk memantau intensitas permintaan dari satu sumber dalam durasi waktu tertentu. Jika terdeteksi adanya permintaan yang melampaui batas wajar dalam waktu singkat, sistem akan secara otomatis memblokir sumber tersebut untuk menjaga agar server tetap stabil dan tidak down.

    Kesimpulan dan Rekomendasi

    Penerapan aturan WAF yang sistematis tidak hanya melindungi integritas data, tetapi juga menjaga performa situs web dengan cara mengurangi beban CPU server secara drastis. Dengan membersihkan statistik dari trafik bot, Anda akan mendapatkan data pengunjung yang jauh lebih akurat dan kredibel.

    Donload Rule template Cloudflare

    WAF Rule CF TempatesUnduh

  • Strategi Keamanan Web: Mengapa Trafik ASN Pusat Data Wajib Di-Challenge?

    Strategi Keamanan Web: Mengapa Trafik ASN Pusat Data Wajib Di-Challenge?

    Mengapa Trafik ASN Pusat Data Wajib Di-
    Challenge?

    Strategi Keamanan Web:

    Dalam pengelolaan strategi keamanan web modern, membedakan antara pengunjung manusia dan bot otomatis adalah kunci utama untuk menjaga performa server. Salah satu metode paling efisien adalah dengan menyaring trafik berdasarkan Autonomous System Number (ASN).

    Logika Dasar: Manusia vs Mesin

    Secara logis, pengunjung manusia asli mengakses internet melalui penyedia layanan jaringan (ISP) seperti Telkomsel, Indihome, atau provider seluler lainnya. Sangat tidak lazim bagi seorang pembaca artikel untuk mengakses situs web melalui infrastruktur server pusat data (Datacenter).

    Jika ada trafik yang berasal dari ASN penyedia infrastruktur cloud seperti
    Google Cloud atau DigitalOcean menuju halaman publik Anda, kemungkinan besar itu adalah bot pemindai celah keamanan, content scraper, atau bot spam.


    “Membiarkan trafik pusat data masuk tanpa filter sama saja dengan membiarkan ribuan bot melakukan eksperimen keamanan pada situs Anda setiap detik.”

    Daftar ASN Infrastruktur Web Populer (Target Challenge)

    Berikut adalah daftar ASN yang paling sering disalahgunakan untuk menjalankan bot otomatis. Menghadapi trafik dari ASN ini dengan Managed Challenge (Captcha) di Cloudflare
    sangat direkomendasikan.

    Daftar ASN Wajib Challenge (Datacenter & Bot)

    Gunakan daftar ASN berikut pada WAF Cloudflare untuk menyaring trafik bot otomatis secara efektif.

    Penyedia Infrastruktur Nomor ASN Risiko
    Google Cloud (GCP) 15169, 396982 Tinggi
    Amazon Web Services (AWS) 16509, 14618 Tinggi
    DigitalOcean 14061 Sangat Tinggi
    Hetzner Online 24940 Sangat Tinggi
    Microsoft Azure 8075 Tinggi
    Linode (Akamai) 63949 Tinggi
    Vultr (Choopa) 20473 Sangat Tinggi
    Alibaba Cloud 45102, 37963 Menengah
    OVH Cloud 16276 Menengah
    M247 (VPN/Proxy) 9009, 60068 Tinggi
    Catatan Strategis: Menggunakan tindakan “Managed Challenge” memungkinkan pengunjung manusia (yang mungkin menggunakan VPN atau jaringan korporat) tetap dapat mengakses situs setelah melewati verifikasi satu klik, sementara bot otomatis akan terhenti sepenuhnya.

    Kesimpulan dan Rekomendasi

    Menerapkan Challenge pada daftar ASN di atas tidak akan memblokir pengunjung manusia secara permanen. Jika ada manusia yang kebetulan menggunakan VPN atau jaringan kantor yang terhubung ke pusat data tersebut, mereka hanya perlu menyelesaikan tantangan visual singkat untuk masuk. Langkah ini secara drastis mengurangi beban CPU server dan menjaga integritas data statistik pengunjung Anda.

    “Artikel ini Dibuat sebagai panduan keamanan web untuk pengelolaan infrastruktur Cloudflare.”

  • Cara mengatur WAF Rules Cloudflare admin WordPress agar lebih aman

    Cara mengatur WAF Rules Cloudflare admin WordPress agar lebih aman

    Rules Cloudflare security

    Membuat Security Rules Cloudflare adalah langkah krusial untuk melindungi situs WordPress dari serangan brute force, spam, hingga injeksi SQL tanpa membebani server asal. Karena kita mengincar performa maksimal dan keamanan ketat maka kita gunakan Cloudflare WAF (Web Application Firewall) yang bekerja diluar server asal situs.

    Cara Mengatur Security Rules Cloudflare untuk Keamanan WordPress Maksimal

    Keamanan adalah pilar utama dalam membangun kredibilitas situs web. Dengan memindahkan beban keamanan ke Cloudflare (Edge Server), situs WordPress Anda tidak hanya menjadi lebih aman, tetapi juga lebih cepat karena serangan dicegah sebelum sempat mencapai server hosting Anda.

    Mengapa Harus Mengatur Rule Secara Manual?

    Meskipun Cloudflare memiliki perlindungan dasar, WordPress memiliki kerentanan spesifik (seperti /wp-admin dan xmlrpc.php) yang sering menjadi target bot otomatis. Dengan Custom Rules, kita bisa membuat “benteng” yang sangat spesifik.

    Persiapan & Penggunaan WPCODE (opsional)

    Sangat direkomendasikan untuk tetap menggunakan plugin WPCODE di sisi WordPress. Meskipun kita mengatur keamanan di Cloudflare, terkadang kita butuh menyuntikkan skrip tracking atau header security tambahan tanpa mengedit file sistem. Cloudflare bekerja di lapisan luar, sementara WPCODE menjaga integritas kode di lapisan dalam.

    Catatan: Kode filter IP atau deteksi bot otomatis yang kompatibel dengan Cloudflare bisa Anda dapatkan di halaman Kumpulan Snippet WPCODE.

    5 Security Rules Wajib untuk WordPress

    Buka dashboard Cloudflare Anda, pilih domain, lalu navigasi ke Security > WAF > Custom Rules. Klik Create Rule.

    1. Memproteksi Halaman Login (wp-login.php)

    Serangan paling umum adalah Brute Force pada halaman login.

    • Field: URI Path
    • Operator: contains
    • Value: /wp-login.php
    • Action: Managed Challenge (Menampilkan verifikasi CAPTCHA Cloudflare).
    • Tujuannya agar bot otomatis tidak bisa menebak password Anda terus-menerus.

    2. Mematikan XML-RPC (Target Utama DDoS)

    Jika Anda tidak menggunakan aplikasi mobile WordPress atau Jetpack, sebaiknya matikan fitur ini.

    • Field: URI Path
    • Operator: contains
    • Value: /xmlrpc.php
    • Action: Block

    3. Membatasi Akses wp-admin

    Jika Anda memiliki IP statis, Anda bisa mengunci akses admin hanya untuk IP Anda. Jika tidak, gunakan tantangan keamanan.

    • Field: URI Path
    • Operator: contains
    • Value: /wp-admin/
    • Action: Interactive Challenge

    4. Memblokir Akses Langsung ke File Sensitif

    Mencegah pengguna mengintip file sistem atau log.

    • Field: URI Path
    • Operator: matches regex
    • Value: \.(social|ads|txt|log|etc)$
    • Action: Block

    5. Mengunci Akses Admin dengan Expression Rules

    Cloudflare menyediakan fitur Expression Editor yang memungkinkan kita menulis logika keamanan yang sangat spesifik. Kode yang akan kita gunakan bertujuan untuk membatasi akses ke /wp-admin/ dan wp-login.php.

    Langkah-Langkah Konfigurasi:

    1. Masuk ke dashboard Cloudflare dan pilih domain Anda.
    2. Buka menu Security > WAF > Custom Rules.
    3. Klik tombol + Create Rule.
    4. Berikan nama yang jelas, misalnya: Lockdown Admin Access.
    5. Di bawah bagian “If incoming requests match…”, klik teks biru bertuliskan “Edit expression”.
    6. Salin dan tempel kode berikut (sudah disesuaikan agar valid di sistem Cloudflare):

    Format Expression Banyak IP

    (http.request.uri.path wildcard "/wp-admin/*") or (http.request.uri.path wildcard "/wp-login.php*" and not ip.src in {1.1.1.1 2.2.2.2 3.3.3.3})

    Penjelasan Kode:

    • {1.1.1.1 2.2.2.2 3.3.3.3}: Ganti angka-angka ini dengan daftar IP yang ingin Anda izinkan.
    • Spasi sebagai pemisah: Pastikan hanya menggunakan spasi untuk memisahkan antar IP. Jangan gunakan tanda koma atau titik koma, karena Cloudflare akan menganggapnya invalid expression.

    Catatan Penting: Ganti {1.2.3.4} dengan Alamat IP Publik rumah atau kantor Anda. Cloudflare tidak mengenali $localhost sebagai IP pribadi Anda; mereka membutuhkan daftar IP spesifik (IP List) atau satu IP statis agar Anda sendiri tidak terblokir.

    Penjelasan Logika Kode:

    • (http.request.uri.path wildcard "/wp-admin/*"): Bagian ini memantau semua permintaan yang mencoba mengakses direktori admin.
    • or (http.request.uri.path wildcard "/wp-login.php*" ... ): Menambahkan perlindungan pada file login tunggal.
    • and not ip.src in {1.2.3.4}: Ini adalah pengecualian. Artinya: “Terapkan aturan ini kepada semua orang, KECUALI orang yang memiliki IP 1.2.3.4 (Anda).”

    Memilih Tindakan (Choose Action)

    Setelah memasukkan ekspresi di atas, Anda harus memilih tindakan yang diambil Cloudflare terhadap orang asing yang mencoba mengakses halaman tersebut:

    1. Block: Pilihan paling ekstrem. Orang lain akan langsung melihat halaman error 403.
    2. Managed Challenge (Sangat Direkomendasikan): Pengunjung selain IP Anda harus melewati verifikasi CAPTCHA otomatis. Ini lebih aman jika Anda memiliki IP dinamis (berubah-ubah), karena Anda tetap bisa masuk setelah verifikasi.

    Kesimpulan

    Dengan menerapkan teknik Expression Rule ini, Anda telah mengurangi beban kerja server WordPress Anda secara signifikan. Bot jahat tidak akan pernah sampai ke database Anda karena mereka sudah dihentikan di “gerbang depan” Cloudflare.

    Pro Tip: Setelah menyimpan rule, cobalah buka halaman login Anda menggunakan tab Incognito atau koneksi internet yang berbeda (misal: hotspot ponsel) untuk memastikan tantangan keamanan muncul dengan benar.

    Langkah Penutup: Verifikasi Keamanan

    Setelah mengatur Custom Rules, selalu pantau bagian Security > Events. Di sana Anda bisa melihat berapa banyak serangan yang berhasil dicegah.

    Penting: Lakukan pembersihan cache pada Cloudflare (Purge Everywhere) setelah mengganti rule agar perubahan langsung diterapkan ke seluruh server Edge secara global.

    Baca juga: Panduan Lengkap: Cara Menghubungkan WordPress ke Cloudflare Terbaru 2026

    FAQ: Cloudflare Security Rules

    Apakah Security Rules ini akan mengganggu pengunjung biasa? +
    Tidak. Dengan menggunakan Managed Challenge, pengunjung manusia biasanya hanya akan melihat proses verifikasi singkat tanpa harus mengetik apapun, sementara bot jahat akan langsung terblokir.
    Dapatkah saya mengaktifkan Rule ini untuk halaman AMP? +
    Ya. Cloudflare bekerja di lapisan DNS, sehingga semua versi halaman (baik standar maupun AMP) akan mendapatkan perlindungan yang sama secara otomatis.
    Apa yang harus dilakukan jika saya terblokir sendiri? +
    Jika Anda terblokir, masuklah ke dashboard Cloudflare melalui jaringan lain (misal paket data ponsel), cari IP Anda di log Security, lalu tambahkan IP tersebut ke dalam IP Access Rules dengan status ‘Allow’.
  • Panduan Lengkap: Cara Menghubungkan WordPress ke Cloudflare Terbaru 2026

    Panduan Lengkap: Cara Menghubungkan WordPress ke Cloudflare Terbaru 2026

    Image by creativeart on Freepik

    Ini adalah Panduan Lengkap: Cara Menghubungkan WordPress ke Cloudflare (Terbaru 2026). Panduan praktis langkah-demi-langkah untuk menghubungkan website WordPress Anda ke Cloudflare. Panduan ini dirancang agar mudah diikuti bahkan jika Anda baru pertama kali melakukannya.

    Panduan Lengkap: Cara Menghubungkan WordPress ke Cloudflare (Terbaru 2026)

    Menghubungkan WordPress ke Cloudflare adalah salah satu langkah optimasi terbaik setelah Anda membeli hosting. Berikut adalah tahapannya:

    Tahap 1: Pendaftaran dan Penambahan Situs

    1. Buka situs Cloudflare.com dan buat akun baru.
    2. Setelah login, klik tombol Add a Site.
    3. Masukkan nama domain Anda (contoh: domainanda.com) tanpa http:// atau www.
    4. Pilih paket. Untuk pemula, pilih Free Plan (Gratis) yang berada di bagian bawah, lalu klik Continue.

    Tahap 2: Pemindaian DNS (DNS Scan)

    1. Cloudflare akan secara otomatis memindai rekaman DNS lama Anda.
    2. Pastikan Anda melihat ikon Awan Oranye (Proxied) pada baris domain utama Anda.
    3. Jika semuanya terlihat benar, klik Continue.

    Tahap 3: Mengubah Nameserver (Langkah Paling Krusial)

    Pada tahap ini, Cloudflare akan memberikan dua baris alamat Nameserver, contohnya:

    • rajeev.ns.cloudflare.com
    • sima.ns.cloudflare.com

    Yang harus Anda lakukan:

    1. Buka tab baru dan login ke panel tempat Anda membeli domain (misalnya: Niagahoster, DomaiNesia, atau GoDaddy).
    2. Cari menu Domain Management > Nameservers.
    3. Pilih opsi Custom Nameserver.
    4. Hapus nameserver lama (bawaan hosting) dan tempel (paste) dua nameserver dari Cloudflare tadi.
    5. Klik Save atau Update.

    Catatan: Proses ini disebut Propagasi dan bisa memakan waktu mulai dari 15 menit hingga 24 jam, namun biasanya terjadi sangat cepat.

    Tahap 4: Konfigurasi Quick Start Guide

    Setelah mengubah nameserver, kembali ke dashboard Cloudflare dan selesaikan pengaturan awal:

    • Automatic HTTPS Rewrites: Pilih ON.
    • Always Use HTTPS: Pilih ON (Sangat penting untuk SEO).
    • Auto Minify: Centang semua (JavaScript, CSS, HTML).
    • Brotli: Pilih ON (Untuk kompresi data yang lebih cepat).

    Tahap 5: Optimasi di Sisi WordPress (Opsional tapi Disarankan)

    Agar WordPress Anda berkomunikasi dengan baik dengan Cloudflare, instal plugin pendukung:

    1. Masuk ke Dashboard WordPress Anda.
    2. Pergi ke Plugins > Add New, cari plugin bernama “Cloudflare”.
    3. Instal dan aktifkan.
    4. Hubungkan menggunakan alamat email akun Cloudflare dan Global API Key (bisa ditemukan di profil akun Cloudflare Anda).
    5. Klik tombol “Apply Recommended Cloudflare Settings” di dalam pengaturan plugin.

    Cara Mengetahui Jika Sudah Berhasil?

    Anda bisa mengeceknya melalui situs DNSChecker.org. Masukkan domain Anda dan pilih tipe NS. Jika yang muncul adalah alamat nameserver milik Cloudflare, berarti website Anda sudah terlindungi!

    Ringkasan Manfaat Setelah Terhubung:

    • Skor Kecepatan: Laman web akan terasa lebih responsif.
    • Keamanan: Website Anda memiliki perlindungan dasar dari bot jahat.
    • Sertifikat SSL: Website Anda kini resmi menggunakan protokol https:// yang aman.

    Selanjutnya: Cara mengatur “Page Rules” di Cloudflare agar halaman admin WordPress Anda menjadi lebih aman lagi

    Lihat juga:

    Jika punya pertanyaan terkait Cara Menghubungkan WordPress ke Cloudflare silahkan hubungi team PujaShanti.