Sucuri menerbitkan panduan enkripsi 12 Oktober 2026. Pesan yang sering terlewat pemilik situs: ikon gembok menandai HTTPS antara browser dan server. Itu bukan bukti file di disk, backup, atau akses admin sudah aman. SSL website aman dalam arti “lengkap” butuh lapisan di luar sertifikat TLS saja.
Jadi TLS melindungi data in transit—form login, checkout, API—selama transmisi. Namun TLS tidak otomatis melindungi arsip backup, kredensial server, database at rest, FTP plaintext, atau server yang penyerang sudah kuasai.
Artikel ini merangkum checklist praktis untuk WordPress dan VPS setelah rilis Sucuri. Fokus utamanya enkripsi; patch, WAF, MFA, dan hardening aplikasi tetap wajib.
Transit vs Rest: Mitos SSL Website Aman
Sucuri membedakan encryption in transit (HTTPS, SFTP/SSH, FTPS bila benar, TLS ke database remote) dari encryption at rest (disk/volume, arsip backup, object storage). Meski enkripsi at rest sudah ada, tidak menghentikan penyerang yang sudah masuk sebagai proses authorized membaca data plain yang aplikasi butuhkan.
Plain FTP mengekspos username, password, dan isi file lewat jaringan tidak aman. Lalu ganti dengan SFTP over SSH atau FTPS sesuai environment hosting—FTP dan SFTP bukan protokol setara.
Ternyata gembok browser tidak membuktikan plugin bebas malware, password admin kuat, atau tim pernah uji restore backup. Enkripsi hanyalah satu kontrol, bukan seluruh keamanan website.
Backup Terenkripsi dan Audit WordPress/VPS
Lantaran backup sering memuat database, data pengguna, file .env, dan konfigurasi API, rencanakan penyimpanan kunci, rotasi, dan recovery sebelum mengarsipkan—arsip terenkripsi tanpa kunci restore tidak membantu saat insiden.
Berikut checklist operasional: aktifkan HTTPS dan redirect HTTP; bersihkan mixed content kritis; transfer file via SFTP; enkripsi backup offsite bila data sensitif; pakai TLS ke database remote bila applicable.
Selanjutnya, jangan taruh rahasia sembarangan di repo publik; patch plugin dan core; uji restore periodik.
Pada VPS atau panel seperti aaPanel, SSH sudah memakai enkripsi transport. Hindari expose FTP tidak aman; lindungi folder backup dan private key. Full disk encryption butuh rencana reboot/recovery remote—jangan salin tutorial FDE tanpa operasional jelas.
Kemudian ingat: enkripsi tidak menghentikan SQL injection, XSS, plugin rentan, session admin curian, atau RCE. Untuk konteks hardening, baca bagaimana website bisa diretas. Pemeliharaan rutin selaras dengan respons bot traffic WordPress.
Sumber Sucuri dan Batas Klaim
Definisi dan pemetaan enkripsi di website: Sucuri (12 Okt 2026). Hindari klaim “HTTPS mencegah retas” atau “SFTP membuat server kebal serangan”—keamanan selalu berlapis.
