Generator Kunci Keamanan WordPress

Generator Kunci Keamanan WordPress membuat kunci keamanan dan salt yang aman secara kriptografis untuk file wp-config.php Anda. 8 string unik ini melindungi sesi pengguna, mencegah pemalsuan cookie, dan mempertahankan diri dari serangan CSRF. Dihasilkan menggunakan CSPRNG (Cryptographically Secure Pseudo-Random Number Generator), setiap kunci tidak pernah disimpan atau dicatat.

Apa Itu Kunci Keamanan dan Salt WordPress?

WordPress menggunakan 8 konstanta kriptografi dalam file wp-config.php Anda untuk mengamankan autentikasi. Empat adalah kunci (rahasia enkripsi utama) dan empat adalah salt (keacakan tambahan yang memperkuat hash):

Bagaimana Kunci dan Salt Bekerja Sama

Saat pengguna masuk ke WordPress, sistem membuat cookie autentikasi. Cookie ini dienkripsi menggunakan kombinasi kunci keamanan dan salt yang sesuai. Kunci menyediakan rahasia enkripsi utama, sementara salt menambahkan data yang tidak terduga ke dalam algoritma hashing (HMAC), menjadikannya jauh lebih sulit bagi penyerang untuk merekayasa balik nilai cookie bahkan jika mereka mencegatnya.

Tanpa kunci dan salt yang tepat, WordPress menggunakan nilai default yang lebih lemah dan identik di seluruh instalasi, membuat situs Anda rentan terhadap serangan berbasis cookie.

Cara Memasang Kunci Keamanan Anda

1. Hasilkan kunci menggunakan alat ini dengan pengaturan pilihan Anda.
2. Salin semua kunci menggunakan tombol "Salin Semua Kunci".
3. Buka wp-config.php melalui FTP/SFTP. File ini terletak di direktori root WordPress Anda.
4. Temukan bagian kunci — cari komentar /* Authentication Unique Keys and Salts */.
5. Ganti semua 8 baris define() dengan kunci yang baru Anda buat, lalu simpan dan unggah.

Catatan: Mengubah kunci keamanan akan mengeluarkan semua pengguna yang sedang masuk. Mereka perlu masuk kembali dengan kata sandi mereka. Ini adalah perilaku yang diharapkan dan sebenarnya berguna untuk tujuan keamanan.

Kapan Anda Harus Mengubah Kunci Keamanan Anda?

Panjang Kunci dan Entropi

Entropi mengukur keacakan (ketidakterdugaan) kunci Anda dalam bit. Entropi yang lebih tinggi berarti lebih banyak kemungkinan kombinasi yang perlu dicoba oleh penyerang. Sebagai konteks:

• 128 bit — Minimum yang direkomendasikan untuk sebagian besar aplikasi kriptografi
• 256 bit — Dianggap tidak dapat dipecahkan dengan teknologi saat ini (level AES-256)
• 400+ bit — Kunci WordPress 64 karakter default dengan set karakter lengkap menyediakan sekitar 406 bit entropi

Bahkan kunci 64 karakter standar dengan set karakter lengkap sudah jauh melampaui apa pun yang dapat dipecahkan oleh serangan brute-force.

Praktik Terbaik Keamanan

• Jangan pernah membagikan kunci Anda — perlakukan mereka seperti kata sandi
• Gunakan kunci unik untuk setiap instalasi WordPress
• Jangan gunakan kembali kunci di beberapa situs
• Jaga keamanan wp-config.php — pastikan izin file yang tepat (biasanya 440 atau 400)
• Kunci saja tidak cukup — gunakan juga kata sandi yang kuat, jaga agar WordPress tetap mutakhir, dan gunakan plugin keamanan

Pertanyaan yang Sering Diajukan

Apa itu kunci keamanan dan salt WordPress?

Kunci keamanan dan salt WordPress adalah string kriptografi yang disimpan di wp-config.php yang mengenkripsi data dalam cookie pengguna. Ada 4 kunci (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY) dan 4 salt yang sesuai. Bersama-sama, mereka membuat penyerang hampir mustahil untuk memalsukan cookie autentikasi.

Bagaimana cara menambahkan kunci keamanan ke wp-config.php?

Buka file wp-config.php Anda (di direktori root WordPress), temukan bagian berlabel "Authentication Unique Keys and Salts", dan ganti baris define() yang ada dengan kunci yang baru Anda buat. Simpan file dan unggah kembali melalui FTP/SFTP. Semua pengguna harus masuk kembali.

Kapan saya harus mengubah kunci keamanan WordPress saya?

Segera ubah kunci keamanan Anda jika Anda mencurigai situs Anda diretas, jika Anda menemukan akun admin yang tidak dikenal, atau setelah menghapus malware. Anda tidak perlu merotasi kunci secara berkala dalam keadaan normal. Mengubah kunci akan memaksa semua pengguna yang masuk untuk melakukan autentikasi ulang.

Apakah generator ini aman? Apakah kunci disimpan di suatu tempat?

Ya, generator ini menggunakan modul secrets Python yang aman secara kriptografis (CSPRNG). Kunci dihasilkan di sisi server pada setiap permintaan dan tidak pernah disimpan, dicatat, atau di-cache. Respons menyertakan header no-cache untuk mencegah cache browser.

Apa perbedaan antara kunci dan salt WordPress?

Kunci WordPress mengenkripsi data cookie, sementara salt menambahkan keacakan ekstra pada proses enkripsi. Kunci bertindak sebagai rahasia enkripsi utama, dan salt membuat serangan brute-force menjadi jauh lebih sulit dengan memasukkan data tambahan yang tidak terduga ke dalam fungsi hash. Keduanya penting untuk keamanan WordPress yang kuat.

Apa yang terjadi jika saya mengubah kunci keamanan WordPress saya?

Mengubah kunci keamanan WordPress Anda akan membatalkan semua cookie autentikasi yang ada. Ini berarti setiap pengguna yang masuk (termasuk Anda) akan keluar dan perlu masuk kembali dengan nama pengguna dan kata sandi mereka. Ini sebenarnya adalah fitur keamanan, berguna setelah terjadi pelanggaran.

Sumber Daya Tambahan

• Sumber Daya Pengembang WordPress - Kunci Keamanan
• CSPRNG - Wikipedia