Cara Konfigurasi Cloudflare Untuk Keamanan WordPress

Bot itu tidak ketuk pintu. Mereka langsung mencoba masuk.

Dalam hitungan jam setelah domain aktif, website WordPress Anda sudah mulai dipindai oleh script otomatis. Mereka mencari wp-login.php, mencoba ribuan kombinasi password per menit, mengirim query SQL ilegal ke parameter URL, dan kalau berhasil masuk — menyisipkan ratusan halaman berisi konten spam berbahaya yang merusak reputasi situs Anda di mata Google.

Plugin security membantu, tapi ada batasnya yang sering tidak dibicarakan. Setiap request tetap harus sampai ke server Anda dulu sebelum difilter oleh plugin — bandwidth terpakai, resource server terkuras, dan jika ada celah di plugin itu sendiri, posisi Anda lebih berbahaya dari sebelumnya.

Cloudflare WAF bekerja di lapisan yang berbeda. Sebagai reverse proxy, Cloudflare berdiri di antara internet dan server Anda. Request difilter sebelum menyentuh hosting — artinya brute force, SQL injection, bad bot, dan referrer spam berbahaya bisa ditangani sebelum sempat membebani server. Berdasarkan pengalaman tim Budiharyono.id, perbedaan beban server sebelum dan sesudah WAF aktif bisa cukup signifikan, terutama pada website yang sering diincar bot.

Panduan ini fokus pada konfigurasi yang bisa langsung diterapkan di Cloudflare Free plan. Anda akan membuat skip rules untuk whitelist traffic aman, block rules untuk ancaman nyata, dan rate limit rules untuk meredam serangan brute force. Untuk gambaran lebih luas tentang ancaman yang menyasar website, artikel tentang jenis serangan siber pada website bisa menjadi bacaan pendahuluan yang baik.

Pahami Dua Aksi Kunci: Skip dan Block

Di Cloudflare WAF Custom Rules, setiap rule terdiri dari dua komponen: kondisi (siapa yang cocok) dan aksi (apa yang dilakukan). Dua aksi paling fundamental:

• Skip — Izinkan request melewati semua rules berikutnya tanpa diproses lebih lanjut. Gunakan untuk traffic yang sudah Anda percaya: good bots, IP server Anda sendiri, atau path khusus seperti SSL renewal. Request yang cocok dengan Skip rule tidak akan disentuh oleh rules lain di bawahnya.
• Block — Tolak request, kirim respons HTTP 403. Request tidak pernah sampai ke server. Gunakan untuk user agent berbahaya, pola SQL injection, dan traffic mencurigakan.

Ada juga aksi ketiga yang sering berguna: Managed Challenge. Alih-alih langsung menolak, Cloudflare menampilkan CAPTCHA atau challenge JavaScript. Ini ideal untuk halaman login — manusia asli masih bisa masuk setelah verifikasi, sementara bot otomatis terhalang.

Satu hal yang tidak bisa diabaikan: urutan rules itu sangat menentukan. Cloudflare memproses rules dari atas ke bawah. Skip rules wajib berada di urutan paling atas — sebelum block rules mana pun — agar IP dan bot yang sudah di-whitelist tidak ikut terblokir oleh rules di bawahnya.

Batasan Cloudflare Free Plan yang Harus Anda Tahu

Sebelum mulai membuat rules, pahami dulu batasannya agar strategi Anda tepat sasaran:

• Custom Rules (WAF): 5 rules pada Free plan. Efisiensi adalah kunci — gabungkan banyak kondisi ke dalam satu rule dengan operator or.
• Rate Limiting Rules: Tersedia, dengan kapasitas terbatas. Cek dashboard Anda karena Cloudflare kadang mengubah limit ini seiring update produk mereka.
• Bot Fight Mode: Tersedia gratis — aktifkan ini pertama sebelum membuat custom rules manual.
• Inspeksi POST body: Tidak tersedia di Free plan. Filter hanya bisa berdasarkan URI path dan query string, bukan konten form yang dikirimkan.

Dengan 5 custom rules, kuncinya adalah menggabungkan kondisi secara cerdas. Satu rule bisa berisi puluhan kondisi sekaligus selama menggunakan operator or dengan benar. Kita akan membahas strateginya di setiap section berikut.

Skip Rules — Pastikan Traffic Penting Tidak Pernah Terblokir

Kesalahan paling umum saat konfigurasi WAF pertama kali adalah langsung membuat block rules tanpa memikirkan skip rules lebih dulu. Hasilnya bisa fatal: Googlebot terblokir, renewal SSL gagal, atau Anda sendiri tidak bisa masuk ke dashboard wp-admin.

Skip rules adalah rule pertama. Selalu.

Rule: Good Bots Terverifikasi (Googlebot, Bingbot, dll.)

Cloudflare memiliki database bot resmi yang telah diverifikasi. Dengan kondisi cf.client.bot, Anda memastikan Googlebot, Bingbot, AhrefsBot, Semrushbot, dan semua bot resmi lainnya tidak pernah tersentuh WAF Anda.

Masuk ke Security → WAF → Custom Rules, klik Create rule, pilih Edit expression, dan masukkan:

(cf.client.bot)

Aksi: Skip → All remaining custom rules

Sederhana tapi krusial. Tanpa rule ini, ada risiko block rules yang dibuat nanti turut menghantam mesin pencari — yang artinya situs Anda berhenti terindeks. Pastikan juga file robots.txt Anda tidak berkonflik dengan pengaturan ini.

Rule: Origin Server IP (IPv4 dan IPv6)

Request dari server hosting Anda sendiri — cron job, webhook internal, komunikasi antar layanan — juga butuh di-whitelist. Gantikan nilai IP di bawah ini dengan IP aktual origin server Anda:

(ip.src eq 103.x.x.x) or (ip.src eq 2400:xxxx:xxxx::1)

Aksi: Skip → All remaining custom rules

Untuk menemukan IP origin: login ke panel hosting atau jalankan curl ifconfig.me dari terminal server. Jika hosting Anda memberikan beberapa IP untuk load balancer atau failover, masukkan semuanya menggunakan format set yang lebih ringkas:

(ip.src in {103.a.b.c 103.d.e.f 2400:xxxx::1})

Rule: Path untuk Renewal SSL

Let’s Encrypt dan penyedia SSL lain memverifikasi kepemilikan domain lewat path /.well-known/acme-challenge/. Jika path ini terblokir oleh WAF, proses renewal SSL akan gagal — browser akan menampilkan peringatan “Not Secure” kepada semua pengunjung.

(http.request.uri.path contains "/.well-known/")

Aksi: Skip → All remaining custom rules

Praktisnya, ketiga skip rule di atas gabungkan menjadi satu rule tunggal untuk menghemat jatah 5 rules Free plan:

(cf.client.bot) or
(ip.src in {103.x.x.x 2400:xxxx::1}) or
(http.request.uri.path contains "/.well-known/")

Aksi: Skip → All remaining custom rules

Ini adalah Rule #1. Simpan, dan pastikan posisinya di urutan paling atas daftar. Berlaku untuk semua jenis website WordPress — dari blog personal, toko online, hingga web company profile dan portal bisnis — semua membutuhkan skip rule ini sebagai fondasi sebelum rules lainnya aktif.

Block Rules — Memblokir Bad Bots dan User Agent Berbahaya

Setelah whitelist aman, saatnya membangun tembok. Bad bot adalah sumber masalah terbesar di WordPress: scraper konten, scanner vulnerability, spam bot, dan tool eksploitasi yang bahkan tidak repot menyembunyikan identitasnya.

Untuk memahami lebih dalam bagaimana spam bot bisa merusak website, ada pembahasan tersendiri tentang cara melindungi WordPress dari serangan spam yang bisa menjadi referensi pelengkap setelah konfigurasi WAF selesai.

(http.user_agent contains "sqlmap") or
(http.user_agent contains "nikto") or
(http.user_agent contains "masscan") or
(http.user_agent contains "Havij") or
(http.user_agent contains "acunetix") or
(http.user_agent contains "WPScan") or
(http.user_agent contains "ZmEu") or
(http.user_agent contains "nmap") or
(http.user_agent contains "zgrab") or
(http.user_agent eq "")

Aksi: Block

Kondisi terakhir, http.user_agent eq "", memblokir request tanpa user agent sama sekali. Browser normal dan bot legitim selalu mengirimkan user agent. Request kosong hampir selalu berasal dari script otomatis yang dibuat asal-asalan. Ini adalah Rule #2.

Melindungi Halaman Login, wp-admin, dan xmlrpc.php

Brute force pada wp-login.php itu nyata dan terus-menerus terjadi. Bot tidak berhenti — mereka mencoba ribuan kombinasi username dan password setiap menit, sepanjang hari, tanpa jeda. File xmlrpc.php bahkan lebih berbahaya: sudah lama dieksploitasi untuk serangan DDoS amplifikasi dan brute force massal, padahal sebagian besar instalasi WordPress modern tidak membutuhkannya sama sekali.

Strategi berlapis jauh lebih efektif dari satu perlindungan tunggal. Selain WAF rules, pertimbangkan juga untuk mempelajari cara mengganti URL login WordPress menjadi path yang lebih sulit ditebak — kombinasinya dengan WAF membuat brute force jauh lebih sulit.

Untuk path yang perlu diblokir sepenuhnya:

(http.request.uri.path contains "/xmlrpc.php") or
(http.request.uri.path contains "/wp-admin/install.php") or
(http.request.uri.query contains "action=register") or
(http.request.uri.query contains "action=lostpassword")

Aksi: Block

Untuk halaman login (wp-login.php) sendiri, gunakan Managed Challenge daripada Block langsung. Pengguna nyata masih bisa login setelah verifikasi singkat, sementara bot otomatis terhenti:

(http.request.uri.path eq "/wp-login.php") and
(not cf.client.bot) and
(not ip.src in {103.x.x.x})

Aksi: Managed Challenge

Ganti 103.x.x.x dengan IP Anda sendiri agar tidak terkena challenge setiap kali login ke dashboard. Jika IP Anda dinamis dan sering berubah, hapus kondisi not ip.src dan terima bahwa Anda perlu melewati CAPTCHA saat login — jauh lebih baik dari risiko akun admin diambil alih.

Jika website Anda masih mengizinkan komentar dan form aktif, perlu diketahui cara memblokir komentar spam otomatis di WordPress meskipun form sudah dinonaktifkan — karena bot bisa langsung POST ke endpoint komentar tanpa melalui form.

Rule Block dan Managed Challenge untuk login area ini adalah Rule #3. Karena aksinya berbeda (Block vs Managed Challenge), buat sebagai dua rule terpisah jika jatah rules masih cukup, atau prioritaskan yang lebih kritis.

Deteksi dan Blokir SQL Injection, XSS, dan Path Traversal

SQL injection adalah serangan yang menyisipkan perintah SQL lewat query string untuk mengekstrak atau memanipulasi isi database. WordPress menyimpan hash password, email, API key plugin, dan data sensitif lainnya di database. Jika berhasil dieksploitasi, dampaknya bisa jauh melampaui sekadar konten yang rusak.

Kami sudah membahas teknis dan langkah preventif untuk mencegah SQL injection di WordPress secara lebih mendalam. WAF Cloudflare adalah lapisan pertama — bukan satu-satunya pertahanan yang perlu ada.

(http.request.uri.query contains "union+select") or
(http.request.uri.query contains "union select") or
(http.request.uri.query contains "UNION+SELECT") or
(http.request.uri.query contains "' or '") or
(http.request.uri.query contains "1=1--") or
(http.request.uri.query contains "sleep(") or
(http.request.uri.query contains "benchmark(") or
(http.request.uri.query contains "information_schema") or
(http.request.uri.query contains "../") or
(http.request.uri.query contains "..%2F") or
(http.request.uri.query contains "<script") or
(http.request.uri.query contains "javascript:") or
(http.request.uri.query contains "onerror=") or
(http.request.uri.path contains "../")

Aksi: Block

Rule ini mencakup pola SQL injection klasik, path traversal (../), dan beberapa pola XSS umum di query string. Satu catatan penting: rule ini hanya memfilter URI dan query string. Injeksi lewat POST body seperti di field komentar tidak tertangkap di Free plan — itulah mengapa sanitasi input di sisi WordPress sendiri tetap wajib ada, terlepas dari WAF yang terpasang. Ini adalah Rule #4.

Filter Spam dan Konten Berbahaya

Serangan SEO spam pada WordPress biasanya masuk lewat dua jalur: injeksi URL yang tiba-tiba menambahkan ratusan halaman berisi kata kunci spam ke situs Anda, dan referrer spam yang mencemari data analytics. Cloudflare WAF bisa menangani keduanya di level jaringan sebelum request sempat menyentuh server.

Untuk strategi perlindungan yang lebih komprehensif dari berbagai bentuk konten spam yang masuk lewat celah lain, panduan tentang mengamankan website dari konten spam berbahaya perlu dibaca bersamaan dengan konfigurasi WAF ini.

Halaman dengan form konversi, termasuk landing page yang dirancang untuk menangkap leads, sering menjadi target penyerang yang ingin menyisipkan link spam ke halaman yang sudah punya trafik organik. Pastikan rules berikut terpasang sebelum trafik organik Anda ikut terkontaminasi.

Rule ini menggunakan pendekatan daftar kata terlarang (keyword blocklist) — sebuah set string yang, jika ditemukan di URI path, query string, atau referer, langsung diblokir. Isi daftar ini dengan kata kunci yang Anda ingin cegah agar tidak pernah muncul di URL atau referrer website Anda.

Contoh di bawah menunjukkan strukturnya menggunakan placeholder. Ganti nilai dalam tanda kutip dengan kata kunci spesifik yang ingin Anda blokir sesuai kebutuhan website Anda:

(http.request.uri.path contains "kata-kunci-terlarang-1") or
(http.request.uri.path contains "kata-kunci-terlarang-2") or
(http.request.uri.path contains "kata-kunci-terlarang-3") or
(http.request.uri.query contains "pola-query-terlarang-1") or
(http.request.uri.query contains "pola-query-terlarang-2") or
(http.referer contains "domain-spam-1.com") or
(http.referer contains "domain-spam-2.com") or
(http.referer contains "domain-spam-3.com")

Untuk referrer spam yang sudah terdokumentasi secara publik, Anda bisa merujuk ke daftar domain spam yang dikelola komunitas seperti referrer-spam-blacklist dari komunitas Matomo — lalu sisipkan domain yang paling sering muncul di log analytics Anda ke dalam rule ini.

Aksi: Block

Kondisi http.referer secara khusus memblokir request yang datang dari situs berbahaya atau domain spam — ini langsung memotong referrer spam sebelum mencemari analytics Anda. Gabungkan rule ini dengan Rule #4 (SQL Injection & XSS) ke dalam satu ekspresi besar jika ingin menyisakan satu jatah rule untuk kebutuhan lain. Ini adalah Rule #5.

Rate Limit Rules — Tahan Brute Force dengan Cara Elegan

Rate limiting bekerja berbeda dari custom WAF rules. Alih-alih memblokir berdasarkan karakteristik request (siapa yang mengirim atau apa yang dibawa), rate limiting memblokir berdasarkan frekuensi — seberapa sering mereka mengirim dalam rentang waktu tertentu.

Ini efektif bahkan ketika attacker menggunakan user agent yang bersih dan IP yang tidak masuk blacklist mana pun. Brute force akan terhalang setelah melewati threshold yang Anda tentukan.

Untuk membuat rate limit rule, masuk ke Security → WAF → Rate limiting rules → Create rule.

Rate Limit untuk Halaman Login

Konfigurasi yang direkomendasikan:

• URL yang dimonitor: /wp-login.php
• HTTP method: POST (hanya request login aktif, bukan tampilan halaman)
• Threshold: 5 request dalam 60 detik
• Aksi saat threshold terlampaui: Block
• Durasi block: 600 detik (10 menit)

Logikanya sederhana: manusia normal tidak mencoba login lebih dari 5 kali dalam satu menit, bahkan saat lupa password. Bot brute force bisa mencapai ratusan percobaan per menit. Angka 5 cukup longgar untuk manusia, tapi cukup ketat untuk menghentikan serangan otomatis.

Rate Limit untuk xmlrpc.php

Jika karena alasan tertentu Anda tidak bisa memblokir xmlrpc.php sepenuhnya — misalnya digunakan oleh aplikasi mobile atau plugin tertentu — rate limit adalah alternatif yang lebih bijak daripada tidak ada perlindungan sama sekali:

• URL: /xmlrpc.php
• Threshold: 10 request dalam 60 detik
• Aksi: Block
• Durasi block: 1800 detik (30 menit)

Rate limiting juga berdampak langsung pada performa website WordPress secara keseluruhan — server tidak perlu melayani ribuan request bot yang tidak berguna, sehingga resource tersedia lebih banyak untuk pengunjung nyata.

Untuk pemeliharaan keamanan jangka panjang yang melampaui konfigurasi awal, Jasa Maintenance Website kami mencakup monitoring keamanan berkala, pembaruan plugin, dan audit konfigurasi WAF agar tetap efektif seiring perubahan pola ancaman.

Ringkasan: Urutan Rules untuk Free Plan

Dengan maksimal 5 custom rules, ini susunan yang direkomendasikan beserta strategi penggabungan kondisi:

Rule 3a dan 3b bisa digabung menjadi satu jika ingin menghemat jatah, tapi aksinya berbeda (Managed Challenge vs Block) — Cloudflare tidak mengizinkan dua aksi berbeda dalam satu rule, jadi keduanya harus tetap terpisah. Rule #4 dan #5 bisa digabung ke satu ekspresi besar karena sama-sama menggunakan aksi Block. Hasilnya: 5 custom rules persis dalam batas Free plan.

Langkah Bonus: Aktifkan Bot Fight Mode

Sebelum menutup tab Cloudflare, masuk ke Security → Bots dan aktifkan Bot Fight Mode. Fitur ini tersedia gratis dan bekerja secara terpisah dari custom rules — lapisan perlindungan tambahan yang mendeteksi bot berdasarkan sinyal perilaku, bukan hanya user agent atau IP.

Cara mengaktifkan: dashboard Cloudflare → pilih domain → Security → Bots → Bot Fight Mode → toggle ON.

Nah, dengan Bot Fight Mode aktif dan 5 custom rules terpasang, website WordPress Anda sudah memiliki pertahanan yang jauh lebih solid daripada rata-rata instalasi WordPress yang ada di internet saat ini — dan semua ini menggunakan fitur gratis.

Pantau Security → Events selama 24–48 jam pertama setelah semua rules aktif. Di sini Anda bisa melihat semua request yang diblokir atau di-challenge beserta alasannya — IP asal, user agent, rule mana yang triggered, dan aksi yang diambil. Perhatikan false positive: apakah ada request legitimate yang ikut terblokir? Jika ya, sesuaikan kondisi rules atau tambahkan IP ke skip rule.

Konfigurasi WAF bukan sesuatu yang dibuat sekali lalu dilupakan. Ancaman berevolusi. Pola serangan yang efektif hari ini belum tentu sama tiga bulan lagi. Tuh kan, itulah mengapa monitoring dan audit berkala sama pentingnya dengan konfigurasi awal itu sendiri.

Jika website WordPress Anda dibangun dari awal dan ingin memastikan infrastruktur keamanan benar sejak hari pertama, Jasa Pembuatan Web WordPress kami menyertakan konfigurasi Cloudflare dan setup keamanan dasar sebagai bagian dari pengerjaan — bukan tambahan biaya. Untuk kebutuhan website bisnis lainnya, tersedia juga Jasa Pembuatan Website dengan spesifikasi yang bisa disesuaikan sepenuhnya. Tim kami siap mendiskusikan kebutuhan spesifik Anda — hubungi kami untuk mulai ngobrol.

• Penulis: Budi Haryono
• Kategori: Teknologi
• Tag: Security, SEO, Wordpress
• Tanggal: Published on June 1, 2026 | Modified on June 9, 2026