Bagaimana cara mengganti URL login WordPress (wp-login.php dan wp-admin)?

Cara aman mengganti URL login WordPress adalah memakai plugin penyembunyi login: pilih jalur rahasia, simpan, uji di jendela privat, baru keluar. Setelah itu alamat lama, /wp-login.php dan /wp-admin, menampilkan 404. Hushfort Security, plugin keamanan WordPress gratis, melakukannya lewat lapisan Sembunyikan Login yang ada di versi gratis.

Mengapa ini penting

Setiap situs WordPress di dunia menjawab di dua alamat yang sama: /wp-login.php dan /wp-admin. Bot tahu itu. Mereka tidak perlu mencari halaman login Anda; mereka cukup memintanya di setiap situs yang bisa dijangkau, lalu mulai menebak kata sandi.

Memindahkan login ke jalur yang hanya Anda ketahui mengeluarkan situs Anda dari kerumunan itu. Skrip penebak otomatis menabrak 404 lalu pergi. Log Anda menjadi lebih sepi, server Anda bekerja lebih ringan, dan percobaan yang tersisa lebih mudah dibaca.

Yang tidak dilakukan langkah ini. Menyembunyikan login adalah lapisan penyamaran. Langkah ini menyingkirkan sasaran yang mudah, tetapi tidak mengunci apa pun. WordPress punya pintu lain, yang terpenting xmlrpc.php, yang menerima nama pengguna dan kata sandi secara mandiri. Halaman login tersembunyi dengan pintu XML-RPC yang terbuka ibarat gerbang depan yang disembunyikan di samping gerbang samping yang tidak dikunci. Anggap langkah ini sebagai yang pertama dari beberapa langkah:

• batasi percobaan login yang gagal,
• tambahkan login dua faktor untuk administrator,
• tutup login XML-RPC dan kebocoran nama pengguna,
• gunakan kata sandi yang kuat dan unik, serta selalu perbarui WordPress.

Kesalahan yang sering terjadi

• Keluar sebelum menguji. Selalu uji jalur baru di jendela privat selagi tab utama Anda masih login. Jika ada yang salah, Anda masih bisa memperbaikinya.
• Tidak menyimpan URL-nya. "Nanti juga ingat" adalah penyebab paling umum terkunci di luar. Simpan di pengelola kata sandi Anda.
• Memilih jalur yang mudah ditebak. /login, /admin, dan /secure adalah yang pertama dicoba bot. Gunakan sesuatu yang bukan sekadar kata umum.
• Melupakan pintu lain. Jika login XML-RPC masih terbuka, tebakan kata sandi tinggal pindah ke sana. Lihat cara menonaktifkan XML-RPC dengan aman.
• Meng-cache jalur baru. Jika CDN atau cache halaman menyimpan halaman login, formulirnya bisa rusak. Kecualikan jalur itu dari cache, seperti yang Anda lakukan untuk wp-login.php.

Tanpa plugin

Tidak ada pengaturan di WordPress untuk mengubah URL login. Cara manualnya adalah:

Mengganti nama wp-login.php. Beberapa panduan menyarankan menyalin wp-login.php ke nama file baru dan mengganti setiap rujukan di dalamnya. Cara ini rusak begitu WordPress diperbarui, karena pembaruan mengembalikan file aslinya dan salinan Anda menjadi usang. Kami tidak menyarankannya.

Membatasi file di server. Di Apache, Anda bisa membatasi wp-login.php hanya untuk alamat IP Anda sendiri di .htaccess:

<Files wp-login.php>
  Require ip 203.0.113.10
</Files>

Cara ini andal jika Anda selalu bekerja dari satu alamat tetap. Anda akan terkunci di luar begitu IP Anda berubah, dan cara ini tidak membantu di server Nginx atau LiteSpeed tanpa aturan yang setara. Cara ini juga tidak menyembunyikan pengalihan dari wp-admin.

Memakai HTTP basic auth. Banyak penyedia hosting memungkinkan Anda memasang kata sandi pada wp-login.php dari panel kontrolnya. Cara ini berhasil, tetapi menambahkan kotak login kedua untuk semua orang, dan bisa merusak panggilan admin-ajax.php dari sisi depan jika diterapkan terlalu luas.

Kesimpulan jujurnya: cara manual entah rusak saat pembaruan atau bergantung pada IP tetap. Plugin yang mencegat permintaan lebih sederhana dan tetap bertahan saat pembaruan.

Jika terjadi masalah

• Jalur baru menampilkan 404. Periksa salah ketik pada jalur, lalu kosongkan cache halaman dan cache CDN, kemudian coba lagi di jendela privat yang baru.

• Anda terkunci di luar. Tambahkan baris ini ke wp-config.php, di atas "That's all, stop editing!":

  define( 'GATEKEEPER_LOGIN_SLUG', 'jalur-baru' );
  

  Formulir login langsung terbuka di situsanda.com/jalur-baru.

• Tidak punya akses file ke wp-config.php? Hapus folder hushfort-security dari /wp-content/plugins/ lewat FTP atau pengelola file hosting Anda. WordPress kembali ke login bawaannya.

Panduan pemulihan lengkap ada di Terkunci di luar setelah mengubah URL login.

Dengan Hushfort

Lapisan Sembunyikan Login dari Hushfort tidak melakukan apa pun sampai Anda memilih jalur, jadi menyalakannya tidak mungkin mengunci Anda di luar secara tidak sengaja. Setelah Anda menetapkan jalur:

• wp-login.php dan wp-admin menampilkan 404 (atau, jika Anda mau, mengalihkan ke beranda atau ke URL pilihan Anda).
• admin-ajax.php, REST API, WP-Cron, dan XML-RPC tetap berfungsi, sehingga tema dan plugin Anda bekerja seperti sebelumnya.
• Dasbor menyimpan kartu "Jika Anda kehilangan akses" berisi URL login Anda saat ini dan baris darurat.
• Menonaktifkan plugin mengembalikan WordPress ke login normalnya.

Sembunyikan Login ada di plugin gratis. Hushfort Pro menambahkan Batas Login, Autentikasi Dua Faktor, dan Kunci Pintu Belakang untuk XML-RPC, sehingga login tersembunyi hanyalah satu dari beberapa tembok, bukan satu-satunya.