Cara Mengatasi Website Kena Hack: Tanda dan Langkah Pertama

Cara mengatasi website kena hack dimulai dari memastikan website itu benar-benar diretas, mencatat gejalanya, membuat salinan, lalu mengganti semua akses. Pembersihan baru dikerjakan setelah itu. Urutannya mirip toko yang kemasukan maling. Kalau lantainya langsung dipel, jejak pintu masuknya hilang, dan malingnya bisa kembali lewat pintu yang sama.

Website kecil juga jadi sasaran. Google menulis di halaman Safe Browsing bahwa situs tidak aman yang ditemukannya setiap hari “sebagian besar merupakan situs sah yang telah disusupi”. Pada 7 November 2026 saya mencari kata “gacor” di Google, dan di antara hasilnya muncul website yang dari namanya adalah toko roti, salon, dan katering, lengkap dengan judul promosi slot.

Panduan ini untuk pemilik usaha yang websitenya memakai WordPress dan tidak terbiasa membuka server. Kalau websitemu baru akan dibuat, mulai dulu dari panduan website untuk UMKM dari nol sampai tayang.

Tanda website kena hack dan gejala yang sering tertukar

Tidak semua website yang bermasalah sedang diretas. Dokumentasi WordPress meminta kamu memahami gejala spesifiknya lebih dulu, karena kata “hack” sendiri terlalu umum. Mulai dari apa yang kamu lihat:

Yang kamu lihat	Lebih mungkin	Cek di mana
Judul websitemu di Google berisi slot, obat, atau bahasa asing	Diretas	Pencarian site: dan Search Console
Peringatan situs berbahaya di browser atau di hasil Google	Diretas atau berisi malware	Laporan Masalah keamanan
Pengunjung dialihkan ke website lain	Diretas	Buka dari hasil Google di jendela samaran dan dari HP
Halaman depan berubah padahal tidak ada yang mengeditnya	Diretas	Tanyakan ke semua yang punya akses admin, lalu cek menu Users
Ada admin atau plugin yang tidak pernah kamu pasang	Diretas	Menu Users dan Plugins
Hosting menonaktifkan website atau melaporkan spam	Perlu ditanyakan, bisa karena diretas	Tiket ke hosting
Banyak komentar atau pesan formulir berisi spam	Spam biasa, belum tentu diretas	Isi website dan daftar admin
Browser menulis sambungan tidak aman	Sertifikat SSL kedaluwarsa	Tanggal SSL
Website sama sekali tidak terbuka	Server atau hosting bermasalah	Status layanan hosting
Website makin lambat	Gambar besar, belum ada cache	PageSpeed Insights

Dua gejala di tabel itu pernah saya temui di website klien yang kena hack, yaitu pengunjung otomatis dialihkan ke website lain dan halaman depan yang berubah. Tiga baris terakhir juga pernah saya tangani, tapi penyebabnya urusan pengaturan atau server. Sertifikat SSL klien pernah kedaluwarsa karena cronjob (tugas terjadwal di server) untuk perpanjangannya belum ada di CyberPanel. Perbaikannya ada di panduan perpanjangan otomatis SSL Let’s Encrypt. Pada Juni 2026, sebuah VPS Contabo tidak bisa diakses setelah perpanjangan walaupun statusnya “running”, dan baru pulih setelah di-restart dua kali dari rescue system. Keluhan website lambat biasanya berasal dari gambar besar yang belum dikompres dan plugin cache yang belum terpasang, seperti yang saya bahas di penyebab website lambat diakses.

Jadi, kalau website tiba-tiba tidak terbuka, jangan langsung menyimpulkan ada peretas. Tanyakan dulu ke hosting. Dokumentasi WordPress juga menyebut hosting bisa memastikan apakah kejadiannya peretasan atau sekadar layanan yang terhenti.

Cara cek website kena hack tanpa membuka server

Empat pemeriksaan ini tidak membutuhkan akses teknis. Kerjakan semuanya, karena hasil satu alat belum cukup.

1. Buka laporan Masalah keamanan di Search Console. Menurut Bantuan Search Console, inilah sumber yang sebaiknya kamu andalkan untuk memverifikasi masalah keamanan. Kalau bersih, muncul tanda centang hijau. Kalau ada masalah, kamu melihat jenisnya dan contoh URL. Belum pernah memakainya? Ikuti dulu cara memakai Search Console untuk pemilik usaha.
2. Ketik site:namadomainmu.com di Google, lalu baca judul halamannya. Panduan web.dev dari Google menyarankan cara ini karena semua halaman yang terindeks ikut tampil, termasuk halaman yang ditambahkan peretas.
3. Buka website dari hasil Google di jendela samaran. Panduan Wordfence mengingatkan bahwa banyak peretasan mengenali administrator dan menyembunyikan diri darinya. Kalau bisa, coba juga dari HP dengan kuota seluler.
4. Masukkan domainmu di halaman status situs Google.

Saya mencoba pencarian site: dan Safe Browsing pada dooha.id tanggal 7 November 2026. Safe Browsing menulis “Tidak ditemukan konten yang tidak aman”, tapi infonya terakhir diperbarui 6 September 2026, dua bulan sebelum saya cek. Status hijau di sana belum membuktikan websitemu bersih hari ini.

Pencarian per kata ternyata tidak bisa dipegang. site:dooha.id slot di Google menampilkan halaman yang sama dengan site:dooha.id. Saat saya menambah tanda kutip atau menggabungkan kata dengan OR, hasilnya melebar ke domain lain. Hal serupa terjadi di Bing, yang menampilkan situs kasino untuk perintah yang sama. Kalau kamu mengalami ini, jangan langsung panik, karena alamat di hasil itu bukan milikmu. Yang perlu kamu baca adalah judul halaman dengan alamat domainmu sendiri.

Di hasil site:dooha.id saya juga masih melihat beberapa URL halaman lama yang sudah tidak dipakai. Halaman lama seperti itu wajar. Yang patut dicurigai adalah alamat yang tidak pernah kamu buat, apalagi yang isinya tidak nyambung dengan usahamu.

Website terlihat normal, tapi Google menampilkan judi online

Pemilik membuka websitenya dan semua terlihat biasa, sementara calon pelanggan melihat judul promosi slot di Google.

Teknik ini disebut cloaking. Google menjelaskan di web.dev bahwa konten berbeda bisa ditampilkan ke jenis pengunjung yang berbeda. Sebuah halaman bisa terlihat kosong saat kamu buka, padahal mesin pencari melihat kata-kata spam dan tautan di sana. Mirip etalase toko yang rapi saat pemiliknya lewat, tapi berubah jadi lapak lain saat pembeli datang.

Di Indonesia, sisipan judi online sudah lama terjadi, termasuk pada website yang dikelola institusi besar. Kominfo mencatat 683 situs yang disusupi konten judi, terdiri dari 461 domain go.id dan 222 domain ac.id, pada periode 1 Januari 2022 sampai 13 Februari 2023. Angka itu hanya mencakup dua jenis domain tersebut, jadi tidak menggambarkan website usaha.

Untuk memeriksa cloaking, pakai Inspeksi URL di Search Console pada alamat yang mencurigakan. Alat ini memperlihatkan halaman dari sudut pandang Google.

Cara mengatasi website kena hack: 8 langkah berurutan

Kalau pemeriksaan tadi mengarah ke peretasan, ikuti urutan ini. Usahakan Langkah 1 sampai 3 selesai di hari yang sama, sebelum pembersihan dimulai.

Langkah 1: Catat apa yang terjadi

Tulis apa yang kamu lihat, jam berapa, dan perubahan terakhir di website, misalnya plugin baru atau tema yang diubah. Ambil tangkapan layar hasil Google dan halaman yang aneh. Dokumentasi WordPress menempatkan catatan ini sebagai tindakan pertama, karena orang yang membersihkan akan membutuhkannya.

Langkah 2: Buat salinan website apa adanya

Unduh file dan database lewat backup hosting atau cPanel, walaupun isinya terinfeksi. Wordfence menyarankan ini dikerjakan segera, karena ada hosting yang langsung menghapus website setelah peretasan dilaporkan. Salinan ini berguna sebagai bahan pemeriksaan dan pegangan kalau pembersihan gagal, jadi jangan dipasang lagi. Simpan terpisah dari backup yang bersih dan beri nama yang jelas.

Langkah 3: Hubungi hosting

Buka tiket, sampaikan catatanmu, lalu tanyakan apakah akun lain di server ikut terdampak dan apakah ada backup sebelum tanggal gejala pertama. Tanyakan juga apakah alamat IP-nya masuk daftar hitam email. Pada shared hosting, dampaknya bisa lebih luas dari satu website.

Langkah 4: Ganti semua akses

Ganti kata sandi admin WordPress, akun hosting atau cPanel, FTP, dan database. Paksa seluruh pengguna, terutama admin, membuat kata sandi baru. Buka menu Users dan laporkan akun admin yang tidak kamu kenal ke orang teknismu. Pindai juga komputer yang biasa dipakai login dengan antivirus, karena menurut dokumentasi WordPress, sumber serangan bisa berasal dari sana.

Agar orang yang masih login ikut terlempar keluar, secret keys di file wp-config.php perlu diganti. Bagian ini sebaiknya dikerjakan orang teknis.

Langkah 5: Bersihkan atau pulihkan

Ada dua jalur. Kalau ada backup dari sebelum gejala pertama, menurut saya memulihkannya adalah jalur paling cepat, tapi kamu perlu menyalin ulang isi yang ditambahkan setelah tanggal itu. Kalau tidak ada, file perlu dibersihkan satu per satu.

Plugin Wordfence versi gratis bisa membandingkan file websitemu dengan salinan aslinya. Dokumentasi WordPress menyarankan folder wp-admin dan wp-includes diganti dengan versi yang sama lewat FTP, karena fitur instal ulang di dasbor sering hanya menimpa file lama, sementara peretas biasanya menambah file baru. File yang wajib diperiksa antara lain .htaccess, index.php, header.php, footer.php, dan functions.php.

Di website klien yang pernah saya tangani, pemulihannya makan waktu 1 sampai 2 hari, karena websitenya perlu dipindai secara mendalam. Waktumu bisa berbeda, tergantung jenis infeksinya.

Langkah 6: Update semuanya, lalu ganti kata sandi sekali lagi

Setelah bersih, perbarui WordPress, tema, dan plugin ke versi terbaru. Plugin dan tema yang tidak dipakai sebaiknya dilepas. Ganti lagi semua kata sandi, karena yang kamu buat di Langkah 4 dibuat saat website masih terinfeksi.

Langkah 7: Minta peninjauan ke Google

Kalau laporan Masalah keamanan menampilkan temuan, klik Minta Peninjauan hanya setelah semua halaman bersih. Tuliskan masalahnya, langkah perbaikan, dan hasilnya. Menurut Google, sebagian besar peninjauan memakan waktu beberapa hari sampai beberapa minggu. Jangan mengirim ulang sebelum ada keputusan akhir. Permintaan saat masalah belum beres bisa membuat proses berikutnya lebih lama.

Langkah 8: Cari pintu masuknya

Tanyakan ke orang yang membersihkan: lewat mana peretas masuk? Plugin lama, kata sandi bocor, atau akun yang terlupa? Tanpa jawaban ini, kejadian yang sama bisa terulang di website yang baru saja bersih. Dokumentasi WordPress sendiri mengakui analisis ini sulit bagi pemilik website, jadi wajar kalau kamu menyerahkannya.

Bagian mana yang bisa kamu kerjakan sendiri

Pemilik usaha tidak perlu membaca kode. Bagianmu sebagian besar soal akun dan komunikasi dengan hosting.

Pekerjaan	Pemilik usaha	Orang teknis
Mencatat gejala dan tangkapan layar	Ya
Empat pemeriksaan tanpa server	Ya
Membuka tiket ke hosting	Ya
Mengganti kata sandi akun	Ya	Membantu
Mengganti secret keys dan akun database		Ya
Memeriksa dan mengganti file		Ya
Mengirim permintaan peninjauan Google	Ya, atau diwakilkan	Menyiapkan isinya
Mencari pintu masuk		Ya
Memberi tahu pelanggan bila formulir menyimpan data mereka	Ya	Menyediakan fakta

Kalau websitemu hanya beberapa halaman dan ada backup bersih, sebagian besar pekerjaan ini masih bisa dikejar sendiri bersama hosting. Kalau websitemu menerima pesanan, atau gejalanya kembali setelah dibersihkan, sebaiknya segera serahkan ke orang teknis.

Kebiasaan panik yang memperlambat pemulihan

Reaksi spontan	Yang lebih aman
Langsung menghapus file yang terlihat aneh	Buat salinan dulu, lalu hapus dengan catatan
Memulihkan backup terbaru	Pilih backup dari sebelum gejala pertama
Hanya mengganti kata sandi WordPress	Ganti juga hosting, FTP, dan database
Hanya membersihkan halaman yang dilaporkan Google	Perbaiki seluruh website, karena contoh URL Google belum tentu lengkap
Klik Minta Peninjauan berulang kali	Kirim sekali setelah semuanya beres, lalu tunggu

Soal baris keempat, Bantuan Search Console menyebut daftar contoh halaman belum tentu lengkap, dan memperbaiki beberapa halaman saja tidak akan mengembalikan halaman-halaman itu ke hasil penelusuran.

Setelah bersih, tutup pintu masuknya

Patchstack mencatat 11.334 celah baru di ekosistem WordPress sepanjang 2025, dan 91% ada di plugin. Pada celah yang paling banyak diserang, median waktu sampai eksploitasi hanya 5 jam. Dalam pengujian Patchstack pada perusahaan hosting populer, hanya 26% serangan yang berhasil diblokir, jadi perlindungan bawaan hosting belum cukup.

Saya menyarankan memasang plugin sesedikit mungkin, mengaktifkan login dua langkah untuk admin, menghapus akun yang tidak dipakai, dan menyimpan backup di luar hosting. Di website klien kami, update plugin saat ini masih dikerjakan manual, dan ke depannya akan dibuat otomatis setelah backup berjalan. Jadwal lengkapnya ada di daftar pekerjaan maintenance website tiap bulan.

Pertanyaan yang sering muncul saat website diretas

Bagaimana cara mengetahui website kena hack?

Cek laporan Masalah keamanan di Search Console, cari site:namadomainmu.com di Google, lalu buka website dari hasil pencarian di jendela samaran dan dari HP. Tanda yang kuat antara lain judul berisi promosi judi atau obat, pengunjung dialihkan ke website lain, dan akun admin yang tidak kamu kenal.

Berapa lama website kena hack bisa pulih?

Tergantung jenis infeksi dan ada tidaknya backup bersih. Di website klien yang pernah saya tangani, pemulihannya makan waktu 1 sampai 2 hari karena perlu pemindaian mendalam. Sisi Google punya waktunya sendiri: sebagian besar peninjauan memakan waktu beberapa hari sampai beberapa minggu setelah permintaan dikirim.

Apakah cukup memulihkan backup?

Belum tentu. Backup yang dibuat setelah website terinfeksi ikut membawa infeksinya. Pintu masuk peretas juga masih terbuka kalau plugin lama dan kata sandi lama tidak diganti, jadi setelah pemulihan tetap perlu update, ganti akses, dan pemeriksaan penyebab.

Kenapa konten judi online muncul lagi setelah dihapus?

Kemungkinan besar file atau akun sisipan belum ikut terhapus, atau pintu masuknya belum ditutup. Periksa file seperti .htaccess, index.php, dan functions.php, daftar admin, serta plugin yang sudah lama tidak diperbarui.

Apakah website kecil juga jadi sasaran hack?

Ya. Google mencatat sebagian besar situs tidak aman yang ditemukannya adalah situs sah yang telah disusupi. Serangan pada plugin umumnya berjalan massal, jadi ukuran usahamu tidak banyak berpengaruh.

Kalau hasil pemeriksaanmu mencurigakan hari ini

Simpan dulu tangkapan layarnya, buat salinan website, lalu buka tiket ke hosting. Tiga pekerjaan itu tidak merusak apa pun dan membuat pembersihan berikutnya lebih mudah. Kalau hasilnya bersih, pasang Search Console kalau belum ada, supaya temuan Google tidak terlewat.

Kalau kamu lebih suka ada yang memantau sebelum masalah muncul, website yang sudah jadi bisa dirawat tim dooha.id lewat layanan Care, dengan backup, update sistem, serta pemantauan keamanan dan uptime. Tingkat Growth menambahkan pemindaian, dan tingkat Pro memuat pemindaian dengan perbaikan prioritas. Isi tiap tingkat tertulis di halaman Paket dooha.id, dan kamu bisa berkonsultasi lewat tombol WhatsApp di sana. Tidak ada layanan yang bisa menjamin website tidak pernah diretas, tapi masalah yang cepat terlihat biasanya lebih cepat juga diurus.

Ada gejala yang belum tercantum di sini? Kamu bisa tinggalkan komentar di bawah.