Password admin WordPress-mu mungkin sudah kuat. Plugin security juga sudah aktif. Namun, kalau akun hosting, SSH, Git, atau DNS masih bisa dibuka hanya dengan password, penyerang tetap punya jalan pintas ke bisnismu.
Di sinilah MFA enforcement jadi penting. Bukan cuma untuk wp-admin, tetapi untuk seluruh pintu yang bisa mengubah website, server, kode, dan domain.
MFA enforcement menghentikan credential stuffing di luar login WordPress, termasuk hosting panel, SSH, Git, dan DNS. Prioritaskan akun yang bisa mengubah server, kode, deployment, dan domain karena satu akun bocor bisa mengambil alih seluruh bisnis online-mu.
Kenapa MFA di wp-admin Saja Belum Cukup
Banyak pemilik website merasa aman setelah memasang 2FA di WordPress. Langkah itu bagus, tetapi belum lengkap. Sebab, attacker tidak selalu masuk lewat halaman login WordPress.
Credential stuffing memakai kombinasi email dan password bocor dari layanan lain. Kalau email kerja yang sama dipakai di hosting, GitHub, Cloudflare, registrar domain, atau panel server, bot akan mencobanya di semua tempat.
Akibatnya, wp-admin bisa tetap terkunci, sementara DNS berubah, repo disisipi backdoor, atau server diakses lewat SSH. Jadi, fokusnya harus bergeser dari “amankan WordPress” menjadi “amankan semua control plane”.
Peta 5 Pintu yang Wajib Pakai MFA Enforcement
1. wp-admin, untuk Konten dan User Admin
wp-admin tetap prioritas pertama karena dari sini penyerang bisa membuat user admin baru, memasang plugin berbahaya, atau menyisipkan script. Karena itu, aktifkan MFA untuk semua role penting, terutama Administrator, Editor, Shop Manager, dan akun agensi.
- Gunakan app authenticator atau passkey jika tersedia.
- Wajibkan MFA untuk akun admin, bukan sekadar opsional.
- Simpan recovery code di password manager tim.
Kalau kamu ingin memahami jalur serangan WordPress yang umum, baca juga 7 jalur yang sering dipakai penyerang untuk menjebol WordPress.
2. Hosting Panel, karena Ini Tombol Besar Situsmu
Panel hosting sering punya akses file manager, database, backup, email, cron, dan SSL. Dengan kata lain, akun ini bisa melewati keamanan WordPress sepenuhnya.
Karena itu, MFA enforcement di cPanel, Plesk, aaPanel, CyberPanel, Cloudways, Kinsta, atau dashboard VPS harus jadi standar. Selain itu, matikan akun lama milik freelancer yang sudah selesai bekerja.
3. SSH, karena Password Login Server Itu Target Empuk
SSH memberi akses langsung ke server. Kalau masih memakai password login, risiko naik drastis, apalagi jika port terbuka ke internet.
- Gunakan SSH key, bukan password.
- Aktifkan MFA untuk akses lewat bastion, VPN, atau provider IAM.
- Batasi IP admin jika memungkinkan.
- Nonaktifkan root login langsung.
Untuk tim kecil, kombinasi SSH key plus IP allowlist sering lebih realistis daripada memaksa semua orang mengutak-atik PAM TOTP di server produksi. Namun, untuk tim yang lebih matang, akses SSH sebaiknya lewat identity provider yang mendukung MFA dan audit log.
4. Git, karena Backdoor Bisa Masuk Lewat Kode
Repo Git berisi theme, plugin custom, workflow CI/CD, token deploy, dan kadang konfigurasi sensitif. Kalau akun GitHub, GitLab, atau Bitbucket bocor, attacker bisa menyisipkan perubahan kecil yang terlihat normal.
Aktifkan MFA organisasi, proteksi branch utama, mandatory review, dan token dengan scope minimal. GitHub sendiri sudah mendorong MFA untuk developer karena supply chain software makin sering jadi target. Kamu bisa cek dokumentasi resminya di GitHub Docs tentang 2FA.
5. DNS dan Registrar, karena Domain Bisa Diambil Alih Diam-Diam
DNS adalah pintu yang sering diremehkan. Padahal, perubahan DNS bisa mengarahkan pengunjung ke server palsu, memutus email, atau mengambil alih validasi SSL.
Aktifkan MFA di registrar domain, Cloudflare, Route 53, atau DNS provider lain. Selain itu, kunci domain dengan registrar lock, audit record DNS berkala, dan batasi siapa yang boleh mengubah nameserver.
Framework Praktis: Urutkan Berdasarkan Blast Radius
Kesalahan umum: tim memulai dari akun yang paling mudah diamankan. Cara yang lebih efektif adalah mulai dari akun dengan blast radius paling besar.
Pakai urutan ini:
- DNS dan registrar, karena domain bisa dibajak.
- Hosting panel dan cloud provider, karena server bisa diubah.
- Git dan CI/CD, karena kode dan deployment bisa dirusak.
- SSH, karena akses sistem bisa diambil.
- wp-admin, karena konten dan user bisa dimanipulasi.
Urutan ini terasa kebalik untuk pengguna WordPress, tetapi justru lebih aman. Sebab, MFA di wp-admin tidak banyak membantu jika attacker bisa mengubah DNS atau restore backup berisi malware dari panel hosting.
Checklist MFA Enforcement untuk Bisnis Kecil dan Tim IT
Mulai dari checklist sederhana ini. Jangan tunggu punya tim security formal, karena credential stuffing sudah otomatis dan murah.
- Inventaris akun penting: WordPress, hosting, SSH, Git, DNS, email admin, payment gateway.
- Paksa MFA untuk akun high privilege: admin, owner, maintainer, billing, deployer.
- Gunakan password manager: buat password unik di tiap layanan.
- Hapus akses lama: freelancer, vendor, karyawan keluar, akun testing.
- Pilih faktor yang tahan phishing: passkey atau hardware security key untuk akun paling kritis.
- Audit recovery flow: pastikan reset akun tidak bisa dilakukan cuma lewat email yang juga lemah.
NIST juga merekomendasikan authenticator yang lebih kuat dan menekankan risiko faktor yang mudah diphishing. Referensinya bisa kamu lihat di NIST SP 800-63B. Untuk konteks phishing modern, CISA juga memberi panduan yang berguna.
Jangan Lupa Skenario Lockout
MFA yang terlalu kaku bisa membuat timmu terkunci saat ponsel hilang atau admin utama resign. Karena itu, enforcement harus disertai recovery yang rapi.
- Simpan minimal dua admin owner di tiap layanan penting.
- Gunakan recovery code, lalu simpan di vault tim.
- Dokumentasikan proses offboarding.
- Review akses setiap bulan untuk sistem kritis.
Kalau kamu mulai memakai passkey, artikel Passkeys Menggantikan Password di Website bisa jadi bacaan lanjutan yang relevan.
FAQ tentang MFA Enforcement
Apa itu MFA enforcement?
MFA enforcement adalah kebijakan yang mewajibkan multi factor authentication untuk akun tertentu. Jadi, user tidak cuma disarankan mengaktifkan MFA, tetapi benar-benar wajib memakainya sebelum bisa login.
Apakah 2FA WordPress cukup untuk menghentikan credential stuffing?
Belum cukup. 2FA WordPress melindungi wp-admin, tetapi credential stuffing juga menargetkan hosting panel, Git, DNS, email, dan cloud provider.
Faktor MFA apa yang paling aman?
Passkey dan hardware security key biasanya lebih kuat karena lebih tahan phishing. Authenticator app masih bagus, sementara SMS sebaiknya jadi pilihan terakhir.
Siapa yang wajib memakai MFA lebih dulu?
Mulai dari owner, administrator, maintainer repo, admin hosting, admin DNS, dan siapa pun yang bisa mengubah server, domain, deployment, atau data pelanggan.
Kesimpulan: Amankan Jalur Masuk yang Benar-Benar Berbahaya
MFA enforcement bukan sekadar centang checklist keamanan. Ini cara paling praktis untuk menghentikan credential stuffing sebelum berubah menjadi takeover website, server, repo, atau domain.
Mulai minggu ini, audit lima pintu utama: wp-admin, hosting panel, SSH, Git, dan DNS. Kalau salah satunya masih hanya dilindungi password, itu prioritas perbaikanmu berikutnya.
