Beberapa hari lalu, saya membuka dashboard Wordfence di situs saya dan menemukan notifikasi dengan label Critical yang langsung bikin saya agak panik:

Publicly accessible config, backup, or log file found: .user.ini

Jujur, awalnya saya tidak tahu file .user.ini itu apa. Yang saya tahu, label “Critical” di Wordfence bukan sesuatu yang bisa diabaikan begitu saja. Maka saya langsung lakukan troubleshoot peringatan ini. Pertama-tama kita cari tahu dan dalami file ini.

Apa Itu File .user.ini?

File .user.ini adalah file konfigurasi PHP yang bekerja di level direktori. Fungsinya mirip seperti php.ini, tapi hanya berlaku untuk folder tempat file itu berada, dalam hal ini, folder root WordPress.

File ini bukan file bawaan WordPress. Dalam kasus saya, file ini dibuat secara otomatis oleh plugin Wordfence sendiri saat mengaktifkan fitur Web Application Firewall (WAF).

Isi File .user.ini Saya

Setelah saya buka file tersebut, isinya hanya ini:

; Wordfence WAF
auto_prepend_file = '/var/www/xxxxx/wordfence-waf.php'
; END Wordfence WAF

Penjelasan singkat:

Baris auto_prepend_file memerintahkan PHP untuk menjalankan file wordfence-waf.php sebelum file PHP manapun dieksekusi. Inilah cara Wordfence WAF “mencegat” request berbahaya sebelum sampai ke WordPress.

Apa Bahayanya Jika File Ini Bisa Diakses Publik?

Meski isi file saya tidak mengandung password atau kredensial, ada dua informasi yang tidak seharusnya diketahui orang lain:

1. Path direktori server terekspos

/var/www/xxxxx/

Penyerang bisa mengetahui struktur folder server saya. Informasi ini berguna untuk serangan seperti path traversal atau local file inclusion.

2. Plugin keamanan yang digunakan diketahui

Penyerang tahu saya menggunakan Wordfence. Dengan informasi ini, mereka bisa mencari exploit atau teknik bypass yang spesifik menargetkan Wordfence.

File ini tidak boleh bisa diakses publik, meskipun isinya tidak terlalu berbahaya.

Cara Mengatasinya

Solusinya adalah memblokir akses publik ke file .user.ini. File ini tidak perlu dihapus karena masih dibutuhkan oleh Wordfence WAF. Cara pemblokirannya berbeda tergantung web server yang kamu gunakan, pada kasus saya, saya menggunakan web server Nginx.

Langkah 1 — Masuk ke konfigurasi Nginx

Akses via SSH:

# nano /etc/nginx/sites-available/fileconfanda.conf

Langkah 2 — Tambahkan rule berikut di dalam blok server {}

// Blokir akses ke file konfigurasi sensitif
location ~ /\.(user\.ini|htaccess|htpasswd|git) {
    deny all;
    return 404;
}

Penjelasan:

Saya gunakan return 404 bukan return 403, ini teknik agar penyerang tidak bisa memastikan apakah file tersebut benar-benar ada di server.

Langkah 3 — Test konfigurasi Nginx

Sebelum reload, selalu test dulu untuk memastikan tidak ada syntax error:

# nginx -t

Jika ada error, troubleshoot dulu sebelum lanjut ke langkah berikutnya.

Langkah 4 — Reload Nginx

# systemctl reload nginx

Langkah 5 — Verifikasi dari browser

Akses langsung dari browser:

https://rafiharlianto.web.id/.user.ini

Kalau sudah muncul 404, berarti file sudah berhasil disembunyikan dari publik.

Langkah 6 – Verifikasi di Wordfence

Setelah memblokir file, saya kembali ke dashboard Wordfence dan menjalankan ulang scan:

Wordfence → Scan → Start New Scan

Hasilnya? No new issues have been found.

Akhir Kata Rafi…

Rutin cek Wordfence Scanner, banyak masalah keamanan yang tidak terlihat secara kasat mata tapi bisa ditemukan lewat scanner.

File yang dibuat plugin pun bisa jadi celah, kesalahan terbesar kasus ini adalah file yang bocor justru dibuat oleh plugin keamanan saya sendiri.

Blokir akses ke file konfigurasi sejak awal, jangan tunggu ada temuan baru menambahkan proteksi di konfigurasi Nginx.

Tidak semua temuan “Critical” berbahaya, tapi tetap harus ditangani sesegera mungkin.

Semoga artikel ini membantu, apalagi kalau kamu menemukan temuan serupa di Wordfence Scanner pada situsmu. Jika ada pertanyaan, tulis di kolom komentar ya!

Pada artikel atau blog kali ini, saya ingin berbagi langkah-langkah install dan setup plugin Wordfence (versi gratis) sebagai salah satu solusi untuk menambahkan keamanan di WordPress. Dengan langkah-langkah ini, harapannya instalasi bisa dilakukan dengan benar tanpa kendala, sekaligus membantu website memiliki perlindungan dasar dari serangan umum.

Selain itu, penggunaan Wordfence juga memberikan beberapa manfaat yang cukup terasa, seperti membantu mengamankan halaman login dari percobaan login berulang, mendeteksi file yang berubah atau mencurigakan, memblokir traffic yang tidak wajar, serta memberikan notifikasi jika ada aktivitas yang perlu diperhatikan. Dengan setup yang tepat, WordPress bisa menjadi jauh lebih aman dan lebih mudah untuk dimonitor.

Apa itu Wordfence?

Wordfence Security plugin adalah plugin keamanan WordPress yang berfungsi sebagai perlindungan utama pada website.

Wordfence menyediakan beberapa fitur utama, antara lain:

• Web Application Firewall (WAF) untuk memblokir serangan
• Malware scanner untuk mendeteksi file berbahaya
• Proteksi login (brute force protection)
• Monitoring traffic dan aktivitas mencurigakan
• Notifikasi keamanan melalui email

Dengan menggunakan Wordfence, website WordPress menjadi lebih aman tanpa perlu konfigurasi yang terlalu kompleks.

Tahapan Install Wordfence di WordPress

Berikut adalah langkah-langkah yang saya lakukan saat menginstall Wordfence:

1. Install Plugin Wordfence

Masuk ke dashboard WordPress, kemudian:

• Pilih menu Plugins → Add New
• Cari plugin Wordfence Security
• Klik Install Now
• Setelah itu klik Activate

2. Plugin Berhasil Terinstall

Setelah aktivasi, akan muncul notifikasi bahwa Wordfence berhasil diinstall dan diminta untuk mendapatkan license.

3. Pilih Versi

Karena saya menggunakan versi gratis, akan muncul pertanyaan:

• Delayed Protection (Free Version)

Klik opsi “I’m OK waiting 30 days for protection from new threats“

Delayed Protection artinya Wordfence tetap melindungi website, tetapi update keamanan seperti firewall dan database malware tidak didapat secara real-time (± 30 hari). Versi gratis masih bisa digunakan dengan baik untuk kebutuhan dasar, hanya saja update proteksinya sedikit lebih lambat dibanding versi premium.

4. Masukkan Email

Masukkan email yang akan digunakan untuk:

• Menerima license Wordfence
• Mendapatkan notifikasi keamanan

5. Cek Email

Setelah memasukkan email, Wordfence akan mengirimkan link aktivasi ke email kalian.

6. Klik Link Aktivasi

Buka email tersebut, lalu klik tombol:

• Install My License Automatically

7. Install Lisensi Wordfence

Kemudian kalian akan diarahkan kembali ke dashboard WordPress dengan:

• Email sudah terisi
• License key otomatis terisi

Klik tombol:

• Install License

8. License Berhasil Terpasang

Jika berhasil, akan muncul notifikasi bahwa:

• Free license berhasil diinstall

Kemudian klik:

• Go to Dashboard

9. Wordfence Siap Digunakan

Sekarang kalian sudah mengaktifkan dan berada di halaman dashboard Wordfence.

Artinya:

• Plugin sudah aktif
• License sudah terpasang

Hal Penting Setelah Install Wordfence

Setelah instalasi selesai, ada beberapa hal yang sebaiknya langsung dilakukan:

• Aktifkan firewall (Optimize Firewall)
• Jalankan scan pertama
• Aktifkan login security (2FA jika perlu)
• Atur limit login attempts
• Pastikan email notifikasi aktif

Akhir Kata…

Wordfence merupakan solusi keamanan yang cukup lengkap untuk WordPress, bahkan dalam versi gratis. Dengan proses instalasi yang relatif mudah, website sudah bisa mendapatkan perlindungan dasar dari berbagai ancaman umum.

Namun, instalasi saja tidak cukup. Diperlukan konfigurasi lanjutan agar fitur yang tersedia dapat bekerja secara maksimal. Dengan kombinasi antara plugin security, konfigurasi server, dan kebiasaan maintenance yang baik, keamanan website dapat ditingkatkan secara signifikan.