.htaccess untuk WordPress: Cara Optimasi Situs Anda dengan Mudah!

.htaccess untuk WordPress adalah salah satu elemen penting yang sering diabaikan oleh pengguna. Padahal, file ini memiliki kemampuan luar biasa untuk meningkatkan performa situs Anda, meningkatkan keamanan, hingga mempermudah pengelolaan redirect. Dengan memahami dan mengoptimalkan penggunaan .htaccess, Anda dapat memaksimalkan potensi situs WordPress Anda.

Apakah Anda ingin situs WordPress Anda lebih cepat, aman, dan teroptimasi? Dalam artikel ini, kami akan membahas cara menggunakan file .htaccess dengan benar. Mulai dari dasar hingga tips lanjutan, Anda akan mempelajari langkah-langkah untuk meningkatkan kualitas situs Anda secara signifikan.

File .htaccess merupakan file konfigurasi server Apache yang didistribusikan, di mana Anda dapat memberikan perintah ke server bagaimana cara melayani situs web Anda. File .htaccess untuk WordPress dapat digunakan untuk berbagai jenis konfigurasi, seperti pengaturan keamanan, perlindungan direktori, permalink yang cantik, mengarahkan ulang dan menulis ulang URL, dan lain sebagainya. 

File .htaccess utama dapat ditemukan di direktori root, di dalam folder public_html pada server. Namun, .htaccess dapat juga dibuat di dalam direktori lain, misalnya, menambahkan .htaccess ke folder wp-admin yang merupakan solusi keamanan umum yang digunakan oleh plugin keamanan populer seperti BulletProof Security.

Pembahasan Utama

Apa itu .htaccess?

.htaccess adalah file konfigurasi di server Apache yang memungkinkan Anda mengontrol pengaturan server untuk direktori tertentu. File ini sering digunakan untuk:

• Mengelola pengalihan URL (redirect).
• Mengaktifkan cache browser.
• Meningkatkan keamanan situs.

Cara Mengakses dan Mengedit File .htaccess

1. Mengakses melalui cPanel atau FTP
   File .htaccess biasanya terletak di root directory situs WordPress Anda. Gunakan cPanel atau software FTP seperti FileZilla untuk mengaksesnya.
2. Backup Sebelum Mengedit
   Selalu buat cadangan file .htaccess sebelum melakukan perubahan untuk mencegah error yang tidak diinginkan.
3. Mengedit File dengan Text Editor
   Gunakan editor teks sederhana seperti Notepad++ atau editor bawaan cPanel.

.htaccess untuk WordPress default

Setiap menginstal WordPress dilengkapi dengan file .htaccess default yang dapat Anda temukan di direktori root. File ini dihasilkan saat Anda mengaktifkan Pretty Permalinks untuk situs WordPress Anda. Default .htaccess terlihat seperti ini:

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

Jika Anda melakukan kesalahan dalam mengostumisasi file .htaccess, Anda dapat kembali ke versi default tersebut kapan saja. Garis yang dimulai dengan # adalah komentar kode. Jangan menambahkan apa pun antara komentar # BEGIN WordPress dan # END WordPress, karena inti WordPress dapat menimpa bagian ini.

Anda dapat menambahkan aturan .htaccess di bawah aturan default, setelah # END WordPress. Sebelum Anda membuat perubahan apa pun, selalu buat cadangan .htaccess saat ini dengan membuat salinannya dan mengunduhnya ke komputer Anda.

Fungsi Utama File .htaccess untuk WordPress

Men-disable Directory Browsing

Secara default, penjelajahan direktori diaktifkan di WordPress. Ini berarti siapa pun di internet dapat melihat daftar isi dari folder Anda dan dengan mudah menemukan kerentanan di instalasi WordPress Anda. Anda dapat menonaktifkan fitur penjelajahan direktori dengan menambahkan aturan berikut ke file .htaccess Anda:

Options -Indexes

Kode ini digunakan untuk mencegah pengguna melihat daftar file di dalam direktori Anda jika tidak ada file index.html atau index.php.

Cara Penerapan:

1. Buka file .htaccess di direktori root instalasi WordPress Anda.
2. Tambahkan kode di atas ke dalam file .htaccess.
3. Simpan perubahan dan unggah kembali file .htaccess ke server.

Memblokir alamat IP yang tidak diinginkan

Dengan .htaccess, Anda dapat dengan mudah memblokir semua alamat IP yang tidak ingin Anda berikan akses ke situs Anda. Cukup tambahkan alamat IP ke Deny dari aturan, satu IP setiap baris:

Order allow,deny
Deny from 123.123.12.12
Deny from 234.234.23.23
Allow from all

Melindungi semua file yang rentan

Menyimpan error log dan file konfigurasi yang dilindungi merupakan tugas keamanan penting karena berisi data yang rentan seperti nama pengguna dan kata sandi database Anda. Meskipun kita dapat melindungi file konfigurasi yang berbeda seperti .htaccess atau wp-config.php satu demi satu, lebih mudah untuk menggunakan aturan kumulatif berikut. Ini melindungi file yang paling rentan di instalasi WordPress dari akses yang tidak sah.

<FilesMatch "^.*(error_log|wp-config\.php|php.ini|\.[hH][tT][aApP].*)$">
Order deny,allow
Deny from all
</FilesMatch>

Lindungi file wp-config.php

Tambahkan kode berikut untuk melindungi file wp-config.php: (apache)

<files wp-config.php>
    order allow,deny
    deny from all
</files>

Kode ini digunakan untuk melindungi file wp-config.php dari akses tidak sah. File wp-config.php berisi informasi konfigurasi penting seperti detail database.

Cara Penerapan:

1. Buka file .htaccess di direktori root instalasi WordPress Anda.
2. Tambahkan kode di atas ke dalam file .htaccess.
3. Simpan perubahan dan unggah kembali file .htaccess ke server.

Mencegah akses ke folder wp-include

Folder wp-includes berisi file inti WP yang penting. Faktanya, file ini tidak perlu diakses oleh siapapun. namun folder ini dapat ditargetkan oleh orang yang tidak diinginkan. Oleh karena itu, untuk praktik keamanan yang baik, sebaiknya menonaktifkan akses ke direktori ini dengan menambahkan aturan berikut ke file .htaccess Anda:

<IfModule mod_rewrite.c> 
RewriteEngine On 
RewriteBase / 
RewriteRule ^wp-admin/includes/ - [F,L] 
RewriteRule !^wp-includes/ - [S=3] 
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L] 
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L] 
RewriteRule ^wp-includes/theme-compat/ - [F,L] 
</IfModule>

Mengeset 301 Redirect

301 redirects merupakan pengalihan permanen yang dapat meneruskan pengunjung dari satu URL ke URL lainnya. Ini merupakan cara yang disarankan, SEO-friendly untuk menulis ulang URL setiap kali Anda menempatkan konten ke lokasi baru. Anda dapat mengelola 301 pengalihan dalam file .htaccess. Anda hanya perlu menambahkannyasatu per satu.

pada / urllama1 / dan / urllama2 /, cukup tambahkan slug post. Untuk URL baru, selalu sertakan URL lengkap, termasuk protokol http:// atau https://.

Redirect 301 /urllama1/ https://www.websiteanda.com/urlbaru1/
Redirect 301 /urllama2/ https://www.websiteanda.com/urlbaru2/

Membatasi akses langsung ke file php

Ini juga merupakan praktik keamanan yang baik untuk memblokir akses langsung ke file PHP di folder theme dan plugin di dalam direktori wp-content. Dengan cara ini, Anda dapat mencegah peretas menyuntikkan kode berbahaya ke file PHP Anda.

RewriteCond %{REQUEST_URI} !^/wp-content/plugins/file/to/exclude\.php
RewriteCond %{REQUEST_URI} !^/wp-content/plugins/directory/to/exclude/
RewriteRule wp-content/plugins/(.*\.php)$ - [R=404,L]
RewriteCond %{REQUEST_URI} !^/wp-content/themes/file/to/exclude\.php
RewriteCond %{REQUEST_URI} !^/wp-content/themes/directory/to/exclude/
RewriteRule wp-content/themes/(.*\.php)$ - [R=404,L]

Menghapus dukungan untuk XML-RPC

Antarmuka XML-RPC memberikan akses ke aplikasi pihak ketiga, seperti Jetpack ke situs Anda sehingga dapat memposting konten atau melakukan tindakan yang berbeda di dalamnya. XML-RPC diaktifkan pada setiap situs WordPress secara default. Namun, itu dapat dengan mudah dimanfaatkan oleh orang yang tidak diinginkan, jadi jika Anda tidak ingin menggunakan aplikasi pihak ketiga di situs Anda, lebih baik menonaktifkannya. Jika mau, Anda dapat menambahkan alamat IP tertentu sebagai pengecualian untuk aturan tersebut.

<FilesMatch "^(xmlrpc\.php)">
Order deny,allow
Allow from 123.123.12.12
Allow from 234.234.23.23
Deny from all
</FilesMatch>

Mengaktifkan browser caching

Anda dapat mempercepat situs Anda dengan mengaktifkan cache browser di server sehingga browser pengguna tidak perlu mengunduh file statis seperti gambar dan skrip sepanjang waktu. Cuplikan .htaccess di bawah ini berisi kerangka waktu caching browser yang disarankan untuk WordPress:

<IfModule mod_expires.c>
ExpiresActive On
ExpiresByType image/jpg "access 1 year"
ExpiresByType image/jpeg "access 1 year"
ExpiresByType image/gif "access 1 year"
ExpiresByType image/png "access 1 year"
ExpiresByType text/css "access 1 month"
ExpiresByType application/pdf "access 1 month"
ExpiresByType text/x-javascript "access 1 month"
ExpiresByType application/x-shockwave-flash "access 1 month"
ExpiresByType image/x-icon "access 1 year"
ExpiresDefault "access 2 days"
</IfModule>

Cara Penerapan:

1. Pastikan modul mod_expires diaktifkan di server Anda. Jika tidak yakin, tanyakan penyedia hosting Anda.
2. Tambahkan kode di file .htaccess di root directory.
3. Simpan perubahan dan periksa waktu loading situs Anda menggunakan alat seperti GTmetrix atau PageSpeed Insights.

Pelajari lebih lanjut Tips Mempercepat Loading Website WordPress.

Mencegah suntikan malicious script

Peretas sering menargetkan variabel GLOBAL dan _REQUEST di situs WordPress. Mereka mencoba mengubah variabel-variabel ini sehingga mereka dapat menginfeksi situs dengan kode berbahaya. Aturan .htaccess berikut membuat server Anda menolak perubahan ini:

Options +FollowSymLinks
RewriteEngine On
RewriteCond %{QUERY_STRING} (<|%3C).*script.*(>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} GLOBALS(=|[|%[0-9A-Z]{0,2}) [OR]
RewriteCond %{QUERY_STRING} _REQUEST(=|[|%[0-9A-Z]{0,2})
RewriteRule ^(.*)$ index.php [F,L]

Melindungi folder wp-content

Folder wp-content yang berisi plugin, theme, upload gambar, beberapa cadangan, dan konten penting lainnya. Selain file statis, seperti gambar, CSS, dan JavaScript, tidak ada alasan untuk memberikan akses kepada orang lain ke direktori wp-content. Anda perlu membuat file .htaccess terpisah untuk cuplikan kode ini dan menempatkannya ke dalam folder wp-content Anda. Anda cukup menambahkan semua jenis file yang Anda inginkan agar dapat diakses oleh pengguna:

Order deny,allow
Deny from all
<Files ~ ".(xml|css|js|jpe?g|png|gif|pdf|docx|zip|rar)$">
Allow from all
</Files>

Mencegah hotlinking gambar

Hotlinking gambar terjadi ketika situs web lain menampilkan gambar Anda dengan menautkan ke URL mereka di situs Anda. Lalu lintas ekstra ini meningkatkan bandwidth Anda dan dapat memperlambat situs Anda secara signifikan. Anda dapat dengan mudah mencegah hotlink gambar dalam file .htaccess. Cuplikan kode berikut memberikan akses ke gambar Anda hanya untuk URL Anda sendiri dan Google:

RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?yoursite1.com [NC]
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?yoursite2.com [NC]
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?google.com [NC]
RewriteRule \.(jpg|jpeg|png|gif)$ – [NC,F,L]

Mencegah enumerasi nama pengguna

WordPress menggunakan struktur URL khusus untuk halaman penulis yang menampilkan semua artikel milik penulis yang sama. Setiap penulis memiliki nomor ID mulai dari author = 1. Misalnya, jika pengguna memasukkan http://www.websiteanda.com/?author=1 ke bilah URL, browser memuat halaman penulis yang menampilkan semua posting penulis bersama dengan nama pengguna. Dengan teknik yang sama, mudah untuk mengetahui nama pengguna dari setiap penulis. Namun, Anda dapat mencegah enumerasi nama pengguna dengan menambahkan aturan berikut ke file .htaccess Anda:

RewriteEngine on
RewriteBase /
RewriteCond %{QUERY_STRING} author=d
RewriteRule ^ /? [L,R=301]

Menambahkan custom error pages

Meskipun WordPress dilengkapi dengan error pages default, Anda juga dapat membuat custom error pages melalui file htacces. Anda perlu membuat error pages dalam HTML atau PHP dan mengunggahnya ke folder root Anda (public_html pada server). Anda dapat menggunakan error pages yang sama untuk setiap kode status kesalahan atau membuat satu persatu secara terpisah.

ErrorDocument 404 /error404.html
ErrorDocument 403 /error403.html
ErrorDocument 500 /error500.html
ErrorDocument 501 /error501.html

Memproteksi wp-admin

Jika Anda dan semua admin memiliki IP statis, Anda dapat melindungi area admin WordPress Anda dengan menambahkan aturan berikut ke .htaccess Anda. Cuplikan kode di bawah ini hanya memberikan akses ke alamat IP yang Anda daftarkan satu per satu pada allow dari aturan yang diberikan.

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName "WordPress Admin Access Control"
AuthType Basic
<LIMIT GET>
Order deny,allow
Deny from all
Allow from 123.123.12.12
Allow from 234.234.23.23
</LIMIT>

Mencegah serangan brute force

Batasi percobaan login menggunakan kode berikut: (Apache)

<IfModule mod_rewrite.c>
RewriteEngine on
RewriteCond %{REQUEST_METHOD} POST
RewriteCond %{REQUEST_URI} ^(.*)?wp-login\.php(.*)$
RewriteCond %{HTTP_REFERER} !^https://(.*)?example\.com(.*)$ [OR]
RewriteCond %{REMOTE_ADDR} !^123\.456\.789\.000$
RewriteRule ^(.*)$ - [F,L]
</IfModule>

Cara Penerapan:

1. Buka file .htaccess di direktori root instalasi WordPress Anda.
2. Tambahkan kode di atas ke dalam file .htaccess.
3. Ganti example.com dengan domain Anda sendiri dan 123.456.789.000 dengan alamat IP yang diizinkan.
4. Simpan perubahan dan unggah kembali file .htaccess ke server.

Itulah beberapa aturan .htaccess untuk WordPress yang dapat membuat situs Anda lebih aman dan website Anda juga akan dapat diakses lebih cepat dari sebelumnya. Jika Anda ingin lebih meningkatkan keamanan di situs Anda, pelajari tentang Cara mengamankan WordPress ini.