WordPress Terkena Malware: Cara Mengenali, Membersihkan, dan Mencegahnya agar Iklan AdSense Tetap Aman

Situs WordPress yang terkena malware jarang langsung mati total. Yang lebih sering terjadi justru sebaliknya: situs tetap terlihat normal bagi pemiliknya, tetapi di balik layar sudah disusupi kode berbahaya, halaman spam sudah dibuat tanpa izin, atau pengunjung diam-diam dialihkan ke situs lain. Akibatnya bisa berlapis: peringatan “situs ini mungkin diretas” muncul di hasil pencarian Google, traffic organik turun, dan iklan AdSense berhenti tayang karena situs dianggap melanggar kebijakan.

Artikel ini menjelaskan cara mengenali tanda-tanda WordPress terkena malware, membersihkannya langkah demi langkah dengan urutan yang benar, memulihkan reputasi situs di Google Search Console, dan mencegah kejadian yang sama terulang. Semua langkah di sini mengikuti panduan resmi WordPress.org dan Google Search Central, sehingga aman diikuti oleh publisher pemula sekalipun. Jika situs Anda sudah menunjukkan tanda-tanda di bawah ini, jangan menunda: semakin lama malware dibiarkan, semakin besar kerusakan pada ranking, reputasi, dan pendapatan iklan Anda.

Poin Kunci

• Malware WordPress sering tidak terlihat oleh pemilik situs: halaman spam, redirect tersembunyi, dan kode injeksi biasanya hanya muncul untuk pengunjung atau untuk Googlebot.
• Google mendefinisikan hacked content sebagai konten yang ditempatkan di situs tanpa izin karena celah keamanan, dengan bentuk code injection, page injection, dan content injection.
• Urutan pembersihan yang benar: amankan dan dokumentasikan dulu, buat salinan situs yang terinfeksi, ganti semua kata sandi dan kunci rahasia, baru bersihkan atau pulihkan dari backup bersih.
• Jangan pernah membersihkan dengan cara menimpa file yang terinfeksi tanpa mengganti kata sandi dan menutup celah masuknya — situs akan terinfeksi ulang dalam hitungan hari.
• Setelah bersih, minta peninjauan ulang lewat laporan Security Issues di Google Search Console dan periksa Policy Centre AdSense bila penayangan iklan sempat dinonaktifkan.
• Pencegahan paling efektif menurut WordPress.org adalah hal yang paling sederhana: selalu perbarui core, plugin, dan tema; pakai kata sandi kuat dan unik; aktifkan autentikasi dua faktor untuk admin; hapus plugin yang tidak dipakai; dan simpan backup di luar server secara berkala.

Daftar Isi

1. Kenapa WordPress Sering Menjadi Target Malware
2. Tanda-Tanda WordPress Terkena Malware
3. Langkah Pertama Saat Mengetahui Situs Terinfeksi
4. Cara Membersihkan Malware WordPress Langkah demi Langkah
5. Memulihkan Situs dari Backup yang Bersih
6. Meminta Google Meninjau Ulang: Search Console dan Safe Browsing
7. Dampak Malware pada AdSense dan Cara Memulihkan Penayangan Iklan
8. Pencegahan: Checklist Keamanan WordPress untuk Publisher
9. Kapan Sebaiknya Meminta Bantuan Profesional
10. FAQ
11. Kesimpulan

1. Kenapa WordPress Sering Menjadi Target Malware

WordPress adalah sistem manajemen konten paling populer di dunia. Menurut WordPress.org, WordPress dipakai oleh lebih dari 43 persen seluruh situs web. Popularitas inilah yang membuatnya menjadi target empuk: peretas tidak perlu menyerang situs Anda secara khusus. Mereka menjalankan pemindai otomatis yang mencoba setiap situs WordPress di internet untuk mencari satu celah yang diketahui — biasanya plugin yang sudah lama tidak diperbarui, tema bajakan, atau kata sandi admin yang lemah.

Penting untuk dipahami: sebagian besar peretasan WordPress bukan serangan yang ditargetkan secara personal. Pemindai otomatis bekerja tanpa henti, mencoba ribuan situs setiap hari. Artinya, situs kecil dengan traffic rendah pun bisa menjadi korban, bukan hanya situs besar. Alasan peretas mengincar situs WordPress bermacam-macam: menyisipkan tautan spam untuk menaikkan ranking situs mereka sendiri, mengarahkan pengunjung ke halaman judi atau penipuan, memasang iklan tersembunyi, mencuri data, atau memakai server Anda untuk mengirim spam.

Ada tiga pintu masuk yang paling umum, dan ketiganya sudah didokumentasikan dalam panduan hardening resmi WordPress.org. Pertama, perangkat lunak yang kedaluwarsa: ketika WordPress, plugin, atau tema merilis perbaikan keamanan, detail teknis celah tersebut biasanya menjadi pengetahuan umum, sehingga versi lama menjadi sasaran empuk. Kedua, kata sandi yang lemah atau dipakai ulang: panduan WordPress secara eksplisit menyebut dua kelompok serangan paling umum adalah permintaan yang mengeksploitasi celah yang diketahui dan tebakan kata sandi (brute force). Ketiga, plugin dan tema dari sumber tidak resmi, termasuk tema dan plugin “nulled” atau bajakan, yang sering sudah disisipi kode berbahaya sejak awal.

Ada satu kesalahpahaman yang perlu diluruskan: memasang plugin keamanan tidak membuat situs kebal. Keamanan WordPress, menurut dokumentasi resminya, adalah soal mengurangi risiko, bukan menghilangkannya sama sekali. Plugin keamanan membantu mendeteksi dan memblokir, tetapi fondasinya tetap kebiasaan dasar: update, kata sandi, hak akses, dan backup. Publisher yang memahami hal ini akan jauh lebih tenang ketika insiden terjadi, karena mereka tahu persis apa yang harus dilakukan.

2. Tanda-Tanda WordPress Terkena Malware

Tidak semua infeksi terlihat jelas. Sebagian malware dirancang agar tidak terdeteksi pemilik situs, misalnya dengan hanya menampilkan konten berbahaya kepada pengunjung dari mesin pencari, bukan kepada pemilik yang sedang login. Berikut tanda-tanda yang paling sering muncul, dikelompokkan dari yang paling mudah dikenali sampai yang membutuhkan pemeriksaan lebih teliti.

Tanda yang terlihat langsung

Tampilan beranda berubah, muncul teks atau gambar yang tidak Anda pasang, atau situs menampilkan konten berbahasa asing yang tidak pernah Anda tulis. Pengunjung mengeluh dialihkan ke situs lain — sering kali situs judi, obat-obatan, atau penipuan — padahal saat Anda membuka situs sendiri, semuanya terlihat normal. Perbedaan ini terjadi karena malware sering memakai cloaking: menampilkan konten berbeda untuk pengunjung biasa dan untuk pemilik yang login. Google sendiri mencatat dalam kebijakan spam-nya bahwa peretas kerap memakai cloaking agar peretasan sulit terdeteksi pemilik situs.

Iklan yang tidak Anda pasang tiba-tiba muncul di halaman, atau iklan AdSense Anda tertutup oleh pop-up yang tidak dikenal. Muncul pengguna admin baru yang tidak Anda buat, atau artikel dan halaman baru yang tidak pernah Anda tulis. Tagihan hosting membengkak karena pemakaian sumber daya server melonjak tanpa sebab yang jelas, misalnya karena server Anda dipakai mengirim spam atau menambang kripto.

Tanda yang terlihat di Google dan browser

Ini yang paling berbahaya karena langsung memengaruhi traffic dan pendapatan. Di hasil pencarian Google, muncul label peringatan seperti “Situs ini mungkin telah diretas” atau “Situs ini mungkin membahayakan komputer Anda”. Browser Chrome menampilkan halaman peringatan merah saat pengunjung membuka situs Anda. Di Google Search Console, laporan Security Issues menampilkan masalah dengan kategori seperti malware, code injection, content injection, URL injection, atau deceptive pages.

Ada cara sederhana untuk memeriksa apakah Google mengindeks halaman aneh dari situs Anda: lakukan pencarian dengan format site:namadomain.com di Google, lalu perhatikan apakah ada halaman dengan judul berbahasa asing, judul berisi kata kunci judi atau obat, atau URL yang tidak pernah Anda buat. Jika ada, kemungkinan besar situs Anda sudah disusupi halaman spam. Periksa juga laporan Manual Actions di Search Console, karena konten hasil peretasan termasuk dalam kebijakan spam Google dan dapat membuat halaman atau situs tidak muncul di hasil pencarian.

Tanda yang terlihat dari sisi teknis

Situs tiba-tiba menjadi sangat lambat tanpa perubahan traffic yang sebanding. File-file baru muncul di folder instalasi WordPress dengan nama yang mencurigakan, misalnya file PHP di folder uploads — padahal folder uploads seharusnya hanya berisi media. Terjadi perubahan pada file inti WordPress yang tidak Anda lakukan. Log server menunjukkan permintaan aneh dalam jumlah besar, atau ada proses yang berjalan terus-menerus.

Tabel berikut merangkum tanda-tanda tersebut agar mudah dipakai sebagai checklist pemeriksaan cepat.

Satu catatan penting: tidak semua tanda di atas berarti situs Anda diretas. Situs yang lambat bisa disebabkan plugin berat, dan lonjakan sumber daya bisa berasal dari lonjakan traffic yang sah. Namun bila dua atau lebih tanda muncul bersamaan — terutama peringatan Google dan redirect — perlakukan sebagai infeksi sampai terbukti sebaliknya.

3. Langkah Pertama Saat Mengetahui Situs Terinfeksi

Reaksi pertama yang paling merugikan adalah panik dan langsung menghapus file yang dicurigai. Pembersihan yang terburu-buru sering menghapus bukti tentang bagaimana peretas masuk, sehingga celah yang sama tetap terbuka dan situs terinfeksi ulang beberapa hari kemudian. Panduan resmi WordPress “FAQ My site was hacked” justru menyarankan urutan yang tenang dan sistematis.

Tetap tenang dan catat semuanya

Tuliskan apa yang Anda lihat, kapan pertama kali menyadarinya, dan apa saja yang berubah terakhir kali di situs Anda. Misalnya: plugin apa yang baru dipasang, siapa yang terakhir login sebagai admin, atau apakah ada email peringatan dari hosting. Catatan ini membantu Anda — atau teknisi yang membantu Anda — menemukan pintu masuk peretas dan mencegah pengulangan.

Pindai situs dan komputer Anda sendiri

Banyak serangan bermula dari malware di komputer pemilik situs yang mencuri kredensial login. Jadi selain memindai situs, pindai juga komputer atau laptop yang Anda pakai untuk mengelola WordPress dengan antivirus yang diperbarui. Bila komputer Anda terinfeksi, mengganti kata sandi dari komputer yang sama hanya akan memberikan kata sandi baru kepada peretas.

Batasi kerusakan, jangan langsung menghapus

Jika situs Anda menyebarkan malware atau menampilkan halaman login palsu kepada pengunjung, pertimbangkan untuk menonaktifkan situs sementara atau membatasi akses hanya dari alamat IP Anda. Tujuannya membatasi kerusakan sambil Anda bekerja. Namun jangan mematikan situs lebih lama dari yang diperlukan: situs yang tidak aktif terlalu lama juga merugikan ranking dan pembaca setia.

Hubungi penyedia hosting Anda sedini mungkin. Banyak penyedia hosting memiliki alat pemindai malware, salinan backup otomatis, dan tim yang bisa memberi tahu file mana yang berubah serta kapan perubahan itu terjadi. Informasi dari hosting sering kali menjadi petunjuk paling cepat tentang pintu masuk peretas.

Ganti semua kata sandi dan kunci rahasia

Ini langkah yang paling sering dilewatkan, padahal paling penting. Ganti kata sandi semua akun yang berhubungan dengan situs: semua pengguna WordPress (terutama admin), panel hosting, FTP atau SFTP, database, email yang dipakai untuk notifikasi admin, serta akun CDN atau DNS bila ada. Gunakan kata sandi yang panjang, unik untuk setiap akun, dan simpan di pengelola kata sandi.

Selain kata sandi, ganti juga kunci rahasia (secret keys dan salts) di file wp-config.php — yaitu nilai AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY, dan pasangan salt-nya. Mengganti kunci ini akan mengeluarkan semua pengguna yang sedang login, termasuk sesi peretas yang mungkin masih aktif. Nilai baru bisa dibuat dengan generator kunci resmi WordPress di api.wordpress.org/secret-key/1.1/salt/.

Buat salinan situs yang terinfeksi sebelum membersihkan

Sebelum mengubah satu file pun, buat salinan lengkap situs dalam kondisi terinfeksi — seluruh file dan seluruh database. Salinan ini penting sebagai bahan rujukan: bila pembersihan merusak sesuatu, Anda bisa membandingkan; bila Anda butuh bantuan profesional, mereka bisa menganalisis salinan ini untuk menemukan pintu masuknya. Simpan salinan ini di komputer Anda, bukan di server yang sama.

4. Cara Membersihkan Malware WordPress Langkah demi Langkah

Setelah langkah pengamanan di atas selesai, barulah pembersihan dimulai. Urutan berikut mengikuti panduan resmi WordPress dan Google untuk situs yang diretas.

Langkah 1: Periksa laporan Security Issues di Search Console

Buka properti situs Anda di Google Search Console, lalu buka menu Security & Manual Actions dan pilih Security Issues. Laporan ini menunjukkan kategori masalah yang terdeteksi Google, contoh URL yang terdampak, dan tanggal terakhir Google mendeteksinya. Informasi ini menjadi peta kerja Anda: URL mana saja yang harus dibersihkan dan jenis masalah apa yang harus diperbaiki. Periksa juga laporan Manual Actions di menu yang sama untuk memastikan tidak ada tindakan manual lain atas situs Anda.

Langkah 2: Cari tahu file apa yang berubah

WordPress menerbitkan checksum — semacam sidik jari digital — untuk setiap file inti, dan juga untuk plugin yang di-hosting di WordPress.org. Dengan WP-CLI, alat baris perintah resmi WordPress, Anda bisa membandingkan file di server dengan file resmi tersebut:

wp core verify-checksums
wp plugin verify-checksums --all

Perintah ini akan menampilkan file inti dan file plugin yang berbeda dari versi resminya. File yang berbeda itulah yang patut dicurigai. Perlu dicatat, plugin premium yang tidak ada di WordPress.org tidak bisa diverifikasi dengan cara ini — plugin semacam itu harus diunduh ulang dari situs vendor resminya.

Bila Anda tidak punya akses WP-CLI, sebagian besar panel hosting menyediakan pemindai malware, dan ada pula plugin pemindai keamanan yang bisa dijalankan dari dashboard. Apa pun alatnya, prinsipnya sama: temukan file yang berubah, jangan menebak-nebak.

Langkah 3: Ganti file inti, plugin, dan tema dengan salinan bersih

Jangan mencoba “memperbaiki” file yang terinfeksi dengan mengedit baris demi baris — cara ini hampir selalu menyisakan backdoor, yaitu pintu belakang tersembunyi yang memungkinkan peretas masuk lagi. Cara yang benar adalah mengganti seluruh file dengan salinan bersih.

Instal ulang WordPress core dengan versi yang sama seperti yang sedang Anda pakai, lalu perbarui dengan hati-hati setelahnya. Instal ulang semua plugin dan tema dari sumber resminya: plugin dari direktori WordPress.org, tema dari sumber resminya, dan plugin premium dari situs vendor. Hapus plugin dan tema yang tidak Anda pakai — menonaktifkan saja tidak cukup, karena file yang tidak aktif tetap bisa dieksploitasi. Panduan hardening WordPress menyatakannya secara tegas: bila Anda tidak memakai sebuah plugin, hapuslah.

Folder wp-content/uploads dan file wp-config.php tidak ikut tertimpa saat instal ulang core, jadi keduanya harus diperiksa manual. Cari file PHP atau file yang dapat dieksekusi di dalam folder uploads dan hapus, karena folder itu seharusnya hanya berisi gambar, video, dan dokumen. Periksa juga file .htaccess dan wp-config.php dari baris kode yang tidak Anda kenali.

Langkah 4: Bersihkan database

Banyak infeksi tidak hanya hidup di file, tetapi juga di database. Peretas sering menyisipkan tautan spam atau kode berbahaya di dalam konten postingan, widget, atau opsi situs. Periksa tabel wp_posts untuk postingan dan halaman yang tidak Anda buat, periksa tabel wp_users untuk akun yang tidak dikenal, dan periksa tabel wp_options untuk nilai yang mencurigakan — terutama opsi yang berisi tautan ke domain asing.

Bila Anda menemukan postingan spam yang dibuat peretas, hapus postingan tersebut dan pastikan URL-nya mengembalikan kode 404. Menurut panduan pemulihan Google, alat Remove URLs di Search Console hanya boleh dipakai untuk halaman spam buatan peretas, dan halaman tersebut harus sudah mengembalikan 404 agar penghapusannya permanen.

Langkah 5: Tutup pintu masuknya

Pembersihan tanpa menutup celah adalah pekerjaan sia-sia. Perbarui WordPress, semua plugin, dan tema ke versi terbaru. Bila Anda menemukan plugin atau tema yang menjadi sumber infeksi — misalnya plugin yang sudah bertahun-tahun tidak diperbarui atau plugin bajakan — hapus dan ganti dengan alternatif yang terawat. Aktifkan pembaruan otomatis untuk plugin dan tema yang Anda percaya, karena sejak WordPress 5.5 fitur ini tersedia per plugin dan per tema. Aktifkan autentikasi dua faktor untuk semua akun administrator — WordPress core sendiri tidak menyertakan fitur ini, sehingga Anda perlu menambahkannya lewat plugin, sebagaimana direkomendasikan dalam dokumentasi WordPress tentang serangan brute force.

Periksa juga semua akun pengguna: hapus akun yang tidak dikenal, turunkan peran akun yang tidak perlu menjadi admin, dan pastikan setiap admin memakai kata sandi yang unik. Bila memungkinkan, batasi percobaan login dan pertimbangkan membatasi akses ke halaman wp-login.php hanya dari alamat IP tertentu.

Langkah 6: Verifikasi bahwa situs benar-benar bersih

Setelah semua langkah di atas, pindai ulang situs dengan alat yang berbeda dari yang Anda pakai pertama kali — misalnya pemindai hosting ditambah pemindai eksternal. Buka situs Anda dari browser dalam mode penyamaran (incognito) tanpa login, dan periksa apakah redirect atau iklan aneh masih muncul. Lakukan pencarian site:domainanda.com dan pastikan halaman spam sudah tidak muncul lagi. Periksa juga laporan Security Issues di Search Console untuk melihat apakah Google masih mendeteksi masalah.

5. Memulihkan Situs dari Backup yang Bersih

Dalam banyak kasus, memulihkan dari backup justru lebih cepat dan lebih aman daripada membersihkan file satu per satu — dengan satu syarat penting: backup yang Anda pulihkan harus berasal dari sebelum infeksi terjadi. Memulihkan backup yang sudah terinfeksi hanya mengembalikan malware yang sama.

Memilih backup yang tepat

Periksa tanggal backup terhadap tanggal pertama kali Anda menyadari infeksi. Pilih backup dari sebelum tanggal tersebut, dengan jarak aman — misalnya satu atau dua hari sebelum gejala pertama muncul. Bila Anda tidak yakin kapan infeksi dimulai, pilih backup yang lebih lama, lalu periksa kembali laporan Security Issues untuk memastikan. Perlu diingat, memulihkan backup berarti kehilangan perubahan yang dibuat setelah tanggal backup tersebut: artikel baru, komentar, dan perubahan pengaturan harus dibuat ulang atau dipindahkan secara manual.

Urutan pemulihan yang aman

Pertama, pastikan Anda sudah mengganti semua kata sandi dan kunci rahasia seperti dijelaskan di bagian 3 — bila langkah ini dilewatkan, backup yang bersih pun bisa langsung terinfeksi ulang oleh sesi peretas yang masih aktif. Kedua, pulihkan file dan database dari backup, baik lewat alat backup hosting maupun secara manual melalui File Manager dan phpMyAdmin. Ketiga, segera perbarui WordPress, plugin, dan tema ke versi terbaru sebelum situs dibuka kembali untuk umum, karena celah lama pada versi backup itulah yang kemungkinan dimanfaatkan peretas. Keempat, pindai ulang situs dan periksa laporan Security Issues untuk memastikan tidak ada lagi masalah yang terdeteksi.

Bila Anda tidak memiliki backup yang bersih sama sekali, pembersihan manual seperti di bagian 4 adalah satu-satunya jalan. Pengalaman ini seharusnya menjadi pelajaran paling mahal: setelah situs pulih, atur backup otomatis berkala yang menyimpan salinan file dan database di lokasi di luar server — misalnya penyimpanan cloud — dan uji secara berkala bahwa backup tersebut benar-benar bisa dipulihkan. Backup yang tidak pernah diuji sama saja dengan tidak punya backup.

6. Meminta Google Meninjau Ulang: Search Console dan Safe Browsing

Membersihkan situs saja tidak cukup. Selama Google masih menganggap situs Anda bermasalah, peringatan di hasil pencarian tetap muncul dan traffic tidak pulih. Anda harus meminta Google memeriksa ulang situs Anda.

Meminta peninjauan keamanan di Search Console

Setelah yakin situs sudah bersih, buka laporan Security Issues di Google Search Console dan pilih opsi untuk meminta peninjauan (Request Review). Dalam permintaan tersebut, jelaskan masalah yang ditemukan, langkah yang Anda ambil untuk memperbaikinya, dan hasilnya. Permintaan yang jelas dan lengkap diproses lebih cepat daripada permintaan yang kosong.

Menurut panduan pemulihan situs diretas dari Google (web.dev), waktu peninjauan berbeda menurut jenis masalahnya: peninjauan untuk spam hasil peretasan bisa memakan waktu hingga beberapa minggu, peninjauan malware biasanya beberapa hari, dan peninjauan phishing sekitar satu hari. Setelah peninjauan disetujui, peringatan di browser dan hasil pencarian biasanya hilang dalam satu sampai tiga hari. Selama menunggu, jangan mengubah situs secara drastis dan jangan mengirim permintaan peninjauan berulang kali — itu tidak mempercepat proses.

Memeriksa status Safe Browsing

Google Safe Browsing adalah sistem yang memberi peringatan kepada pengguna Chrome dan layanan Google lainnya ketika sebuah situs dianggap berbahaya. Anda bisa memeriksa status domain Anda melalui alat pemeriksa status situs Safe Browsing milik Google. Bila domain Anda masih masuk daftar ancaman setelah pembersihan, ajukan banding melalui Search Console agar domain dihapus dari daftar ancaman. Setelah proses ini selesai dengan baik, iklan dan layanan Google pada umumnya akan kembali normal secara otomatis.

Memulihkan ranking dan traffic

Bersikaplah realistis: ranking yang hilang karena peretasan tidak kembali dalam semalam. Google perlu waktu untuk merayapi ulang situs Anda, memastikan halaman spam sudah hilang, dan membangun kembali kepercayaan terhadap situs tersebut. Yang bisa Anda lakukan adalah memastikan tidak ada lagi halaman spam yang terindeks, mengirim sitemap yang sudah bersih, dan terus menerbitkan konten berkualitas seperti biasa. Bila ada halaman spam yang masih terindeks, pastikan halaman itu mengembalikan kode 404 dan gunakan alat penghapusan URL di Search Console untuk mempercepat penghapusannya dari indeks.

7. Dampak Malware pada AdSense dan Cara Memulihkan Penayangan Iklan

Bagi publisher, dampak paling nyata dari malware sering kali bukan pada ranking, melainkan pada pendapatan. Google AdSense menonaktifkan penayangan iklan pada halaman atau situs yang melanggar kebijakan program, dan situs yang diretas dapat memicu penindakan tersebut — misalnya karena menampilkan konten spam, mengarahkan pengunjung ke halaman berbahaya, atau menayangkan iklan yang tidak sesuai dengan kebijakan.

Apa yang terjadi pada akun AdSense Anda

Ketika AdSense mendeteksi masalah kebijakan, Anda akan menerima pemberitahuan di Policy Centre akun AdSense Anda. Pemberitahuan itu menjelaskan apakah tindakan diambil pada tingkat halaman, situs, atau akun, beserta contoh URL yang terdampak. Perlu dipahami: URL yang disebutkan dalam pemberitahuan hanyalah satu contoh — Anda wajib memperbaiki semua pelanggaran di seluruh situs, bukan hanya pada contoh tersebut, sebelum meminta peninjauan.

Google juga memiliki kebijakan khusus tentang situs yang dikompromikan (compromised sites) dalam kebijakan periklanannya: situs yang kodenya dimanipulasi untuk menguntungkan pihak ketiga tanpa sepengetahuan pemiliknya — misalnya menyuntikkan skrip pencuri data, memasang malware di perangkat pengguna, menampilkan pop-up, atau mengarahkan pengguna ke situs lain — tidak diizinkan sebagai tujuan iklan. Bila situs Anda masuk kategori ini, iklan yang mengarah ke situs Anda dapat ditolak.

Cara memulihkan penayangan iklan

Langkah pertama adalah membersihkan situs sampai tuntas mengikuti bagian 4 dan 5 di atas. Langkah kedua, buka Policy Centre di akun AdSense, baca detail masalahnya, dan pastikan kode iklan AdSense masih terpasang di situs Anda — menurut halaman bantuan AdSense, permintaan peninjauan bisa ditolak bila kode iklan tidak ada. Langkah ketiga, ajukan permintaan peninjauan melalui Policy Centre. Menurut halaman bantuan resmi AdSense, Google biasanya merespons permintaan peninjauan dalam waktu seminggu, meski kadang bisa lebih lama.

Perlu dicatat, peninjauan yang berhasil tidak selalu berarti penayangan iklan langsung kembali. Dalam banyak kasus Google dapat mengaktifkan kembali penayangan iklan bila perubahan yang Anda lakukan sudah sesuai, tetapi tidak semua kasus bisa dipulihkan dengan cara ini. Bila pelanggaran kebijakan terjadi berulang atau sangat berat, Google dapat mengambil tindakan pada tingkat akun, termasuk penangguhan sementara. Karena itu, mencegah infeksi jauh lebih murah daripada memulihkan akun yang sudah terkena tindakan.

Jangan beli “jasa pembersih iklan” yang menjanjikan pemulihan instan

Selama situs Anda bermasalah, Anda mungkin menerima tawaran jasa yang menjanjikan pemulihan AdSense dalam hitungan jam dengan biaya tertentu. Waspadalah: tidak ada pihak ketiga yang bisa memaksa Google mengaktifkan kembali iklan Anda. Satu-satunya jalur resmi adalah membersihkan situs dan meminta peninjauan melalui Policy Centre. Pihak yang meminta akses akun AdSense Anda atau meminta pembayaran di muka dengan janji pemulihan instan patut dicurigai.

8. Pencegahan: Checklist Keamanan WordPress untuk Publisher

Pencegahan malware bukanlah satu tindakan, melainkan kebiasaan. Checklist berikut disusun dari panduan hardening resmi WordPress.org dan dapat dijalankan oleh publisher tanpa keahlian teknis mendalam.

Beberapa penjelasan tambahan untuk poin-poin di atas. Pertama, soal pembaruan: sejak WordPress 5.6, instalasi baru mengaktifkan pembaruan otomatis untuk rilis minor dan mayor secara default, dan sejak WordPress 5.5 Anda bisa mengaktifkan pembaruan otomatis per plugin dan per tema. Manfaatkan fitur ini untuk plugin yang Anda percaya, tetapi tetap buat backup sebelum pembaruan besar dan periksa situs setelahnya.

Kedua, soal kata sandi: panduan hardening WordPress secara eksplisit menyarankan untuk menghindari kata sandi yang dibuat dari nama, nama pengguna, nama perusahaan, atau nama situs Anda; kata dari kamus dalam bahasa apa pun; kata sandi yang pendek; dan kata sandi yang seluruhnya angka atau seluruhnya huruf. Kata sandi yang baik adalah yang panjang, acak, dan berbeda untuk setiap akun.

Ketiga, soal hak akses file: izin direktori yang wajar adalah 755 dan file 644, dengan wp-config.php yang lebih ketat. Bila Anda tidak yakin, tanyakan pada penyedia hosting — pengaturan izin yang salah justru bisa merusak situs.

Keempat, soal plugin keamanan: plugin keamanan dan firewall aplikasi web (WAF) berguna sebagai lapisan tambahan — misalnya untuk membatasi percobaan login dan memindai file secara berkala — tetapi bukan pengganti kebiasaan dasar di atas. Jangan memasang dua plugin keamanan yang fungsinya tumpang tindih, karena justru bisa saling mengganggu dan memperlambat situs.

9. Kapan Sebaiknya Meminta Bantuan Profesional

Tidak semua infeksi bisa — atau sebaiknya — dibersihkan sendiri. Pertimbangkan bantuan profesional bila salah satu kondisi berikut terjadi:

• Anda tidak bisa lagi masuk ke dashboard WordPress karena kata sandi admin diganti peretas dan email pemulihan tidak berfungsi.
• Malware kembali muncul dalam beberapa hari setelah pembersihan, yang menandakan backdoor belum ditemukan.
• Infeksi melibatkan pencurian data pengguna, misalnya data pelanggan toko online atau data pendaftar.
• Situs Anda adalah sumber penghasilan utama dan setiap hari tidak aktif berarti kerugian nyata.
• Anda tidak nyaman mengedit file lewat FTP atau database lewat phpMyAdmin.

Bila meminta bantuan, pilih penyedia yang menjelaskan apa yang mereka lakukan dan memberikan laporan setelah pembersihan: pintu masuk yang ditemukan, file yang dibersihkan, dan langkah pencegahan yang diterapkan. Hindari penyedia yang hanya berkata “sudah dibersihkan” tanpa penjelasan apa pun. Penyedia hosting Anda sering kali menjadi titik awal yang baik — banyak hosting menawarkan layanan pembersihan malware sebagai bagian dari paket mereka atau dengan biaya tambahan yang wajar.

FAQ

Apakah situs WordPress kecil dengan traffic rendah bisa terkena malware?

Ya, sangat bisa. Sebagian besar serangan dilakukan oleh pemindai otomatis yang mencoba semua situs WordPress tanpa memandang ukuran atau traffic-nya. Yang dicari peretas adalah celah yang diketahui — plugin kedaluwarsa, kata sandi lemah, atau tema bajakan — bukan besarnya situs Anda. Justru situs kecil sering menjadi sasaran empuk karena pemiliknya jarang memeriksa laporan keamanan.

Bagaimana cara mengetahui situs saya terkena malware jika tampilannya normal?

Periksa tiga tempat: laporan Security Issues di Google Search Console, hasil pencarian site:domainanda.com di Google untuk melihat halaman aneh yang terindeks, dan daftar pengguna serta postingan di dashboard WordPress. Malware sering memakai cloaking sehingga situs terlihat normal bagi pemilik yang login, tetapi menampilkan konten berbahaya bagi pengunjung dan Googlebot.

Apakah menginstal ulang WordPress saja cukup untuk membersihkan malware?

Tidak. Instal ulang core hanya mengganti file inti. Malware bisa bersembunyi di plugin, tema, folder uploads, dan database. Pembersihan yang benar mengganti semua file dengan salinan bersih, membersihkan database, mengganti semua kata sandi dan kunci rahasia, serta menutup celah masuknya. Tanpa langkah-langkah itu, situs hampir pasti terinfeksi ulang.

Berapa lama Google menghapus peringatan “situs diretas” setelah situs dibersihkan?

Setelah Anda meminta peninjauan di laporan Security Issues dan peninjauan tersebut disetujui, peringatan biasanya hilang dalam satu sampai tiga hari. Namun waktu peninjauannya sendiri berbeda menurut jenis masalah: menurut panduan pemulihan Google, peninjauan spam hasil peretasan bisa memakan waktu hingga beberapa minggu, sedangkan peninjauan malware biasanya beberapa hari. Jangan mengirim permintaan peninjauan berulang kali, karena hal itu tidak mempercepat proses.

Apakah malware bisa membuat akun AdSense saya ditutup?

Malware itu sendiri tidak otomatis menutup akun, tetapi dampaknya bisa mengarah ke sana. Situs yang diretas dapat melanggar kebijakan program AdSense, sehingga penayangan iklan dinonaktifkan pada halaman atau situs tersebut. Bila pelanggaran terjadi berulang atau sangat berat, Google dapat mengambil tindakan pada tingkat akun, termasuk penangguhan. Karena itu, bersihkan situs sampai tuntas, lalu ajukan peninjauan melalui Policy Centre AdSense. Menurut halaman bantuan resmi AdSense, Google biasanya merespons permintaan peninjauan dalam waktu seminggu.

Apakah plugin keamanan gratis sudah cukup untuk melindungi WordPress?

Plugin keamanan membantu sebagai lapisan tambahan, tetapi bukan pengganti kebiasaan dasar: selalu memperbarui core, plugin, dan tema; memakai kata sandi kuat dan unik; mengaktifkan autentikasi dua faktor untuk admin; menghapus plugin yang tidak dipakai; dan menyimpan backup di luar server. Dokumentasi WordPress sendiri menegaskan bahwa keamanan adalah pengurangan risiko, bukan jaminan mutlak — dan tanggung jawabnya terbagi antara Anda dan penyedia hosting.

Kesimpulan

WordPress terkena malware bukanlah akhir dari situs Anda, tetapi ini adalah peringatan keras bahwa ada kebiasaan keamanan yang perlu diperbaiki. Kuncinya ada pada urutan: jangan panik dan jangan langsung menghapus file. Dokumentasikan gejalanya, amankan semua kata sandi dan kunci rahasia, buat salinan situs yang terinfeksi, lalu bersihkan dengan mengganti file dari sumber resmi dan membersihkan database. Setelah itu, minta peninjauan ulang di Google Search Console dan periksa Policy Centre AdSense bila penayangan iklan sempat terganggu.

Pelajaran jangka panjangnya lebih penting daripada pembersihannya: sebagian besar infeksi WordPress terjadi lewat pintu yang sebenarnya sudah diketahui — plugin yang tidak diperbarui, kata sandi yang lemah, dan plugin yang tidak dipakai tetapi dibiarkan terpasang. Menutup ketiga pintu itu, ditambah backup berkala di luar server dan pemeriksaan rutin laporan Security Issues, akan membuat situs Anda jauh lebih sulit ditembus daripada kebanyakan situs WordPress di internet.

Mulailah hari ini, selagi situs Anda masih sehat: perbarui semua yang tertunda, hapus plugin yang tidak dipakai, aktifkan autentikasi dua faktor untuk semua admin, dan pastikan backup terakhir Anda benar-benar bisa dipulihkan. Tindakan yang memakan waktu kurang dari satu jam ini bisa menyelamatkan Anda dari berminggu-minggu proses pemulihan dan kehilangan pendapatan iklan.

Sumber resmi yang dirujuk

1. Google Search Central — Spam Policies for Google Web Search, bagian Hacked content: https://developers.google.com/search/docs/essentials/spam-policies
2. Google Search Central Blog — Easier recovery for hacked sites: https://developers.google.com/search/blog/2013/10/easier-recovery-for-hacked-sites
3. Google Search Central Blog — Helping Webmasters with Hacked Sites: https://developers.google.com/search/blog/2012/12/helping-webmasters-with-hacked-sites
4. Google AdSense Help — Ad serving was disabled on your page or site: https://support.google.com/adsense/answer/113061
5. Google AdSense Help — Fix policy issues that affect ad serving: https://support.google.com/adsense/answer/7003627
6. Google Ads Advertising Policies — Compromised sites: https://support.google.com/adspolicy/answer/15938376
7. WordPress.org — FAQ My site was hacked dan Hardening WordPress (dokumentasi resmi WordPress): https://wordpress.org/documentation/article/faq-my-site-was-hacked/ dan https://wordpress.org/documentation/article/hardening-wordpress/
8. WordPress.org — About WordPress, persentase pemakaian WordPress di web: https://wordpress.org/about/