Hosting web merupakan tulang punggung kehadiran online Anda — tetapi juga dapat menjadi risiko keamanan terbesar Anda.
Meskipun banyak pemilik situs berinvestasi dalam plugin, firewall, dan CDN Perlindungan ini seringkali mengabaikan kerentanan yang tertanam dalam lingkungan hosting mereka. Ini mencakup kelemahan dalam shared hosting, celah isolasi VPS, perangkat lunak server yang ketinggalan zaman, atau kontrol akses yang buruk.
Baik Anda menggunakan host murah atau platform berbasis cloud, situs web Anda mungkin terkena ancaman seperti DDoS serangan, injeksi malware, konfigurasi yang tidak aman, dan banyak lagi.
Pada artikel ini, kami akan menjelaskan 14 kerentanan umum hosting web, bagaimana pengaruhnya terhadap situs web Anda, dan apa yang dapat Anda lakukan agar tetap terlindungi.
Hasilkan Gratis Tanpa Batas SSLs dari Satu Tempat
Mengelola banyak SSLs pada platform yang berbeda bisa membuat frustasi. NolSSL.com memungkinkan Anda membuat dan mengelola konten tanpa batas SSL sertifikat hanya $10 per bulan – Amankan situs Anda hanya dalam 5 menit.
1. Upaya Pembuatan Botnet
Aktor jahat diketahui menargetkan seluruh server web dalam upaya mereka membangun Botnet. Dalam upaya ini, target umum meliputi kerangka kerja server web dan umumnya melibatkan eksploitasi yang tersedia untuk umum.
Upaya canggih dan terkonsentrasi ini sering kali dapat mengatasi penyedia layanan web hosting yang kurang tangguh. Untungnya, setelah ditemukan, kerentanan biasanya dapat ditambal dengan cukup cepat oleh sebagian besar web host.
2. DDoS Serangan
Distributed Denial of Service (DDoS) bukanlah kerentanan, tetapi seperti namanya, merupakan bentuk serangan. Pelaku jahat mencoba membanjiri server (atau layanan tertentu) dengan sejumlah besar data.
Layanan hosting web yang tidak siap menghadapi hal ini dapat lumpuh akibat serangan ini. Karena semakin banyak sumber daya yang dikonsumsi, situs web di server tidak dapat menanggapi pertanyaan sebenarnya dari pengunjung.
3. Kesalahan Konfigurasi Server Web
Pemilik situs web dasar, terutama yang menggunakan shared hosting murah, sering kali tidak tahu apakah server mereka telah dikonfigurasi dengan benar atau tidak. Banyak masalah dapat muncul akibat konfigurasi server yang buruk.
Misalnya, menjalankan aplikasi yang belum ditambal atau sudah ketinggalan zaman. Meskipun ada mekanisme penanganan kesalahan untuk masalah teknis yang muncul selama eksekusi, kelemahan dapat tetap tidak terlihat hingga dieksploitasi.
Konfigurasi yang tidak akurat di server dapat menyebabkan server tidak memverifikasi hak akses dengan benar. Menyembunyikan fungsi atau tautan terbatas ke URL saja tidak cukup karena peretas dapat menebak parameter yang mungkin, lokasi umum, lalu melakukan akses brute-force.
Sebagai contoh, penyerang dapat memanfaatkan sesuatu yang kecil dan sederhana seperti JPEG yang tidak dilindungi untuk mendapatkan akses admin ke server. Mereka memodifikasi parameter sederhana yang mengarah ke objek dalam sistem dan kemudian mereka masuk.
4. Kurangnya Isolasi di Lingkungan Hosting Bersama
Lingkungan hosting bersama tidak benar-benar mengisolasi situs web.
Meskipun setiap akun memiliki direktori dan alokasi sumber dayanya sendiri, semua situs berada di server fisik yang sama. Ini berarti sistem berkas, memori, dan prosesor yang mendasarinya digunakan bersama oleh ratusan pengguna.
Jika satu akun disusupi — misalnya, melalui kata sandi yang lemah atau plugin yang kedaluwarsa — penyerang mungkin mendapatkan akses lateral ke situs lain di server yang sama. Meskipun file tidak terekspos secara langsung, malware yang menghabiskan sumber daya atau DDoS serangan pada satu situs dapat memperlambat atau merusak situs lainnya.
Intinya: Jika host Anda tidak menerapkan kontainerisasi yang ketat atau kontrol sumber daya tingkat akun, nasib situs Anda terikat dengan tetangga Anda.
5. Perangkat Lunak yang Belum Ditambal dan Kerentanan yang Diketahui
Perangkat lunak yang tidak ditambal adalah salah satu kerentanan hosting yang paling banyak dieksploitasi.
Hal ini berlaku untuk sistem operasi, panel kontrol (seperti cPanel atau Plesk), server email, dan bahkan CMS yang terpasang. Pada server bersama, di mana setiap akun dapat menjalankan skrip atau aplikasi yang berbeda, risikonya berlipat ganda.
Host web yang tidak memperbarui perangkat lunak tingkat server secara berkala atau memantau CVE (Kerentanan dan Paparan Umum) membuka peluang bagi eksploitasi yang diketahui. Dalam beberapa kasus, bahkan satu pustaka atau plugin yang usang dapat membahayakan seluruh server.
Host yang bertanggung jawab harus segera menambal kerentanan dan menggunakan alat seperti pemindai kerentanan untuk memantau ancaman secara terus-menerus.
6. Injeksi Malware dan Eksploitasi Sistem File
Mirip dengan kerentanan perangkat lunak, Malware dapat berdampak besar pada server hosting bersama. Program jahat ini dapat masuk ke akun hosting bersama dengan berbagai cara.
Ada begitu banyak jenis virus, trojan, worm, dan spyware sehingga apa pun bisa terjadi. Karena sifat hosting bersama, jika tetangga Anda mengidapnya – kemungkinan besar Anda juga akan tertular pada akhirnya.
7. Risiko Alamat IP Bersama dalam Hosting
Pada sebagian besar pengaturan shared hosting, semua situs web di server menggunakan IP publik yang sama. Jika satu situs mengirimkan spam, menghosting malware, atau terlibat dalam perilaku penyalahgunaan, alamat IP tersebut dapat ditandai atau dimasukkan dalam daftar hitam.
Hal ini memengaruhi semua orang yang menggunakan IP yang sama. Email Anda mungkin masuk ke spam, mesin pencari mungkin membatasi visibilitas Anda, atau layanan keamanan mungkin memblokir akses sepenuhnya. Lebih buruk lagi, meminta penghapusan IP itu membosankan dan tidak selalu berhasil.
IP khusus dapat mengurangi risiko ini, tetapi tidak semua penyedia hosting bersama menawarkannya atau mengenakan biaya tambahan saat melakukannya.
8. Serangan Pemalsuan Permintaan Lintas Situs (CSRF)
Dikenal juga sebagai pemalsuan permintaan lintas situs (CSRF), kelemahan ini biasanya terlihat memengaruhi situs web yang menggunakan infrastruktur yang kurang aman. Terkadang, pengguna menyimpan kredensial mereka di platform tertentu dan ini bisa berisiko jika situs web terkait tidak memiliki infrastruktur yang kuat.
Hal ini khususnya umum terjadi pada akun web hosting yang diakses secara berkala. Dalam skenario ini, akses bersifat berulang sehingga kredensial biasanya disimpan. Melalui pemalsuan, pengguna didorong untuk melakukan tindakan yang tidak mereka rencanakan sebelumnya.
Teknik-teknik ini akhir-akhir ini telah menguraikan potensi kelemahan terhadap pengambilalihan akun di berbagai platform hosting populer termasuk Bluehost, Dreamhost, dan HostGator.
Pertimbangkan ini:
Contohnya dapat ditunjukkan sebagai skenario penipuan keuangan umum.
Penyerang dapat menargetkan orang-orang yang rentan terhadap CSRF dengan mengunjungi URL yang valid. Potongan kode bertopeng yang dieksekusi secara otomatis di situs tersebut dapat memerintahkan bank target untuk mentransfer dana secara otomatis.
Potongan kode tersebut mungkin dapat dikubur di belakang gambar, dengan menggunakan kode seperti berikut:
*Catatan: Ini hanyalah contoh dan kodenya tidak akan berfungsi.
9. Injeksi SQL
Bagi situs web atau platform daring mana pun, unsur terpentingnya adalah data. Data digunakan untuk proyeksi, analisis, dan berbagai keperluan lainnya. Kedua, jika informasi keuangan rahasia seperti PIN kartu kredit jatuh ke tangan yang salah, hal itu dapat menimbulkan masalah besar.
Data yang dikirim ke dan dari server basis data harus melewati infrastruktur yang andal. Peretas akan mencoba mengirim skrip SQL ke server sehingga mereka dapat mengekstrak data seperti informasi pelanggan. Ini berarti Anda perlu memindai semua kueri sebelum kueri mencapai server.
Jika sistem penyaringan yang aman tidak tersedia, data pelanggan yang penting dapat hilang. Namun, perlu dicatat bahwa penerapan semacam itu akan menambah waktu yang dibutuhkan untuk mengekstrak data.
10. Eksploitasi Cross-Site Scripting (XSS)
Serangan XSS menyuntikkan skrip berbahaya ke bagian depan situs web Anda.
Paling sering menggunakan JavaScript, penyerang menyematkan kode ke dalam kotak komentar, kolom pencarian, atau area input pengguna lainnya. Saat pengunjung memuat halaman, skrip tersebut dieksekusi di peramban mereka, berpotensi mencuri kuki sesi, token login, atau data formulir.
Beberapa muatan XSS mengarahkan pengguna ke situs phishing atau menampilkan formulir login palsu. Muatan lainnya diam-diam melacak aktivitas pengguna atau mengubah konten situs web tanpa sepengetahuan Anda.
Bahkan jika host Anda tidak secara langsung bertanggung jawab atas kerentanan tersebut, penyaringan masukan sisi server yang lemah dan versi CMS yang ketinggalan zaman dapat membuat situs Anda lebih rentan.
11. Enkripsi Lemah & Protokol Kriptografi Tidak Aman
Beberapa host masih mendukung versi lama SSLversi /TLS atau menggunakan sumber keacakan yang buruk.
Enkripsi modern bergantung pada algoritma yang kuat dan pembangkitan angka acak yang aman. Pada beberapa server hosting (terutama yang tidak memiliki OpenSSL pembaruan), entropi rendah, meningkatkan kemungkinan kunci enkripsi yang dapat diprediksi.
Hal ini melemahkan HTTPS Keamanan, yang membahayakan kredensial login, detail pembayaran, dan data pribadi. Penyerang dapat memanfaatkan kelemahan ini untuk mendekripsi data yang dicegat atau menyamar sebagai pengguna yang sah.
Host yang aman harus menerapkan versi TLS yang kuat (1.2 atau lebih tinggi), menonaktifkan cipher yang tidak digunakan lagi, dan menggunakan pustaka yang diperbarui untuk SSL generasi.
12. Escape Mesin Virtual di Lingkungan VPS dan Cloud
Pelarian Mesin Virtual (VM) merupakan ancaman yang jarang terjadi tetapi serius bagi lingkungan VPS dan cloud.
Dalam pengaturan tervirtualisasi, beberapa VM berjalan pada perangkat keras fisik yang sama melalui sebuah hypervisor. Jika hypervisor memiliki kerentanan, penyerang dapat membobol VM mereka dan mengakses VM lainnya.
Meskipun sebagian besar penyedia cloud besar segera menambal masalah ini, host VPS murah mungkin tertinggal dalam pembaruan keamanan. Kerentanan VM escape seperti VENOM atau L1TF telah membuktikan bahwa isolasi di tingkat hypervisor tidaklah sempurna.
Pilih penyedia yang secara aktif memantau ancaman tersebut dan selalu memperbarui tumpukan virtualisasinya.
13. Risiko Perangkat Lunak Pihak Ketiga dan Rantai Pasokan
Meskipun distribusi sumber daya merupakan keuntungan utama dari cloud hosting, namun hal itu juga dapat menjadi titik kelemahan.
Jika Anda pernah mendengar ungkapan “kekuatan Anda hanya bergantung pada kekuatan terlemah Anda”, ungkapan tersebut berlaku sempurna untuk Cloud.
Serangan yang canggih dan terutama bertumpu pada penyedia layanan cloud. Hal ini tidak khusus terjadi pada cloud dan dapat terjadi di tempat lain. Unduhan dari server pembaruan langsung dapat ditambahkan dengan fungsi berbahaya. Jadi, bayangkan banyaknya pengguna yang telah mengunduh perangkat lunak ini. Perangkat mereka akan terinfeksi dengan program berbahaya ini.
14. Terpapar dan Keamanannya Buruk APIs
API memungkinkan pengembang mengelola server, mengotomatiskan tugas, dan mengintegrasikan layanan. Namun, jika antarmuka ini tidak memiliki autentikasi, pembatasan kecepatan, atau enkripsi yang memadai, mereka menjadi sasaran empuk.
Banyak host cloud menawarkan kontrol berbasis API untuk data DNS, penyediaan mesin virtual, dan akses penyimpanan. Jika titik akhir ini salah dikonfigurasi atau terekspos ke publik, penyerang dapat mengeksploitasinya menggunakan upaya brute force atau manipulasi token dengan keterampilan teknis minimal.
Karena APIs sering digunakan kembali di berbagai aplikasi dan layanan, satu kerentanan dapat menimbulkan efek berantai di seluruh lingkungan hosting Anda.
Bagaimana Cara Memeriksa Apakah Penyedia Hosting Anda Melindungi dari Ancaman-Ancaman Ini?
Tidak semua perusahaan hosting menawarkan tingkat perlindungan yang sama (itulah sebabnya Anda memerlukan platform seperti HostScore.net). Berikut cara mengevaluasi fitur keamanan host Anda sebelum situs Anda menjadi target.
- Apakah host menyertakan pemindaian dan penghapusan malware? Beberapa host menawarkan deteksi malware bawaan yang memindai situs Anda setiap hari. Cari paket yang menyertakan penghapusan malware otomatis atau peringatan. Misalnya, HostArmada termasuk pemindaian malware gratis pada semua perangkat yang dibagikan dan WordPress rencana.
- Apakah ada Web Application Firewall (WAF) atau firewall server? WAF membantu menyaring lalu lintas berbahaya seperti XSS, injeksi SQL, dan upaya login brute-force. Beberapa layanan hosting terkelola, termasuk Kinsta dan WP Engine termasuk WAF secara default, sementara yang lain memerlukan pengaturan manual melalui alat seperti Cloudflare atau Imunify360.
- Seberapa terisolasinya situs pada server bersama? Jika Anda menggunakan hosting bersama, pastikan penyedianya mendukung isolasi tingkat akun. Ini mencegah malware menyebar antar-akun.
- Apakah ada DDoS perlindungan? Periksa apakah host menyertakan DDoS alat mitigasi atau terintegrasi dengan penyedia seperti Cloudflare. Sebagai contoh, Namecheap termasuk dasar DDoS perlindungan pada sebagian besar rencana, tetapi LiquidWeb bermitra dengan Cloudflare Enterprise untuk mitigasi tingkat tinggi. Baca panduan ini untuk menemukan web host yang direkomendasikan dengan built-in DDoS perlindungan.
- Apakah penyedia mendukung pembaruan perangkat lunak otomatis? Usang WordPress inti, plugin, atau perangkat lunak server merupakan titik masuk yang mudah bagi penyerang. WordPress host seperti Rocket.net dan WP Engine secara otomatis memperbarui WordPress dan plugin, mengurangi risiko menjalankan versi yang rentan.
- Adalah SSL sertifikat disertakan dan mudah dipasang? yang valid SSL Sertifikat ini mengenkripsi dan melindungi data antara situs Anda dan pengunjung. Banyak perusahaan hosting sekarang tawarkan Let's Encrypt gratis SSL dengan perpanjangan otomatisJika tuan rumah Anda mengenakan biaya tambahan untuk SSL atau membuat pengaturan menjadi sulit, pertimbangkan untuk beralih.
- Apakah host menggunakan standar kriptografi yang kuat? Tanyakan apakah host Anda menerapkan versi TLS modern (1.2 atau 1.3), menonaktifkan cipher yang lemah, dan mendukung HTTP/2. Hal ini mengurangi risiko serangan penurunan versi kriptografi atau jabat tangan yang tidak aman.
Final Thoughts
Ketika kebanyakan dari kita memikirkan keamanan situs web, biasanya tujuannya adalah untuk mengatasi kelemahan situs web kita sendiri. Namun, seperti yang disoroti dalam artikel ini, penyedia hosting Anda memainkan peran penting dalam melindungi situs Anda dari ancaman yang lebih luas di tingkat infrastruktur.
Host yang aman tidak hanya menyimpan situs web Anda — tetapi juga mengisolasi akun, memfilter serangan, dan menambal kerentanan sebelum mencapai file Anda. Hal ini menjadikan keamanan hosting sama pentingnya dengan keamanan aplikasi.
Anda tidak bisa memaksa penyedia hosting untuk meningkatkan pertahanannya, tetapi Anda bisa memilih penyedia yang memprioritaskan keamanan server. Cari penyedia yang menawarkan pemindaian malware, firewall, lingkungan terisolasi, dan pembaruan otomatis. Ini adalah tanda-tanda bahwa mereka serius dalam melindungi server dan situs Anda.
Hindari perusahaan hosting yang hanya memikirkan keamanan. Nilai sebenarnya dari web hosting bukan hanya tentang penyimpanan dan kecepatan; Ini termasuk kepercayaan, waktu aktif, dan ketenangan pikiran.
