Plugin gratis itu dirawat oleh siapa?

Situs lembaga banyak yang dibangun di atas WordPress atau CMS serupa. Formulir donasi, galeri foto, pengoptimal mesin pencari, pengaman, cadangan: semuanya plugin. Kebanyakan gratis, dipasang dalam 2 klik, dan tidak pernah dilihat lagi.

Kami ingin mengajukan satu pandangan yang kritis terhadap kebiasaan itu. Plugin gratis bukan masalahnya. Masalahnya adalah kita memperlakukannya seperti fitur, padahal ia pemasok. Dan kita jarang bertanya siapa pemasoknya.

Plugin berjalan dengan hak yang sama dengan situsmu

Sebuah plugin adalah kode orang lain yang berjalan di dalam situsmu, dengan akses yang sama ke basis data dan berkas. Plugin formulir yang dipasang untuk menerima pendaftaran bisa membaca semua yang bisa dibaca situsmu. Tidak ada tembok di antara keduanya.

Karena itu, plugin lebih tepat dibaca sebagai rantai pasok. Setiap plugin membawa 3 pertanyaan: siapa yang membuatnya, kapan terakhir ia diperbarui, dan apa yang terjadi bila pembuatnya berhenti.

Apa kata data

Patchstack, perusahaan keamanan yang fokus pada ekosistem WordPress, menerbitkan laporan tahunan. Edisi 2026 melaporkan angka tahun 2025:

• 11.334 celah baru ditemukan di ekosistem WordPress, naik 42% dibanding 2024.
• 91% celah baru ada di plugin, dan 9% di tema.
• Inti WordPress hanya mencatat 6 celah, semuanya berprioritas rendah.
• 46% celah tidak mendapat perbaikan dari pengembangnya sebelum diumumkan ke publik.

Patchstack menjual layanan keamanan, jadi baca angkanya sebagai data vendor, bukan data netral. Meski begitu, arah datanya jelas: dalam laporan itu hampir semua celah ada di kode tambahan, bukan di inti sistem.

Angka terakhir yang paling penting untuk keputusan. Laporan itu menyimpulkan bahwa pemilik situs tidak bisa mengandalkan pembaruan plugin sebagai satu-satunya langkah keamanan. Untuk hampir separuh celah, tambalannya belum ada saat celah itu menjadi publik. Menekan tombol “perbarui” tidak menolong bila pembaruannya belum ada.

Standar yang sudah lama mengatakannya

OWASP memasukkan “Vulnerable and Outdated Components” sebagai kategori A06 dalam Top 10 edisi 2021. Menurut mereka, kamu kemungkinan rentan bila:

• tidak tahu versi semua komponen yang dipakai,
• memakai perangkat lunak yang rentan, tidak didukung, atau usang,
• tidak memperbaiki atau memperbarui platform dan dependensi secara tepat waktu menurut risiko.

Saran pencegahannya sederhana dan bisa dikerjakan siapa saja: hapus dependensi dan fitur yang tidak dipakai, inventarisasi versi komponen secara terus-menerus, ambil komponen hanya dari sumber resmi lewat jalur aman, dan pantau komponen yang tidak lagi dirawat atau tidak menerbitkan tambalan.

Tidak satu pun dari itu perlu alat mahal. Semuanya perlu kebiasaan.

Satu insiden yang patut dipelajari

Pada Juni 2024, Wordfence melaporkan serangan rantai pasok terhadap plugin di direktori WordPress.org. Judul laporannya menyebut penyebabnya: akun pengembang diambil alih karena kata sandi yang dipakai ulang. Plugin yang sah menerima pembaruan berisi kode berbahaya, lewat jalur pembaruan yang resmi.

Pelajarannya tidak menyalahkan siapa pun. Pembaruan otomatis dan direktori resmi tetap perlu. Yang perlu dicatat: kepercayaan pada sebuah plugin pada dasarnya kepercayaan pada akun seseorang. Bila akun itu jatuh, kepercayaanmu ikut jatuh, tanpa kamu berbuat salah.

Kami sengaja tidak memerinci teknik serangannya. Untuk rincian, baca laporan Wordfence di daftar sumber.

Plugin yang ditinggalkan

Direktori WordPress.org bisa menutup plugin karena pelanggaran pedoman, masalah keamanan, atau permintaan pembuatnya. Menurut FAQ pengembang mereka, plugin yang ditutup karena alasan keamanan hanya dibuka kembali setelah lolos peninjauan standar dan keamanan terkini.

Itu mekanisme yang baik, dan ia bergantung pada pembuat yang merespons. Pendapat kami: untuk plugin yang pembuatnya berhenti merawat, jangan menunggu pihak lain menutupnya. Kamu yang memegang situsnya, jadi kamu yang perlu tahu bahwa plugin itu sudah sepi, dan memutuskan menggantinya.

Ini pendapat kami, bukan temuan: situs yang tidak punya orang yang bertugas memeriksa plugin tiap bulan sebenarnya sedang berutang. Utang itu tidak tampak di laporan keuangan, sampai suatu hari ia tampak.

Mengapa pengelola situs jarang memeriksa

Ada alasan yang masuk akal. Plugin dipasang oleh vendor yang membangun situs, lalu proyeknya selesai dan vendor pindah ke pekerjaan lain. Staf lembaga tidak diberi tahu bahwa situs perlu dirawat. Tidak ada yang bertugas, jadi tidak ada yang memeriksa.

Karena itu, tanyakan hal ini kepada vendor sebelum kontrak ditandatangani: siapa yang memperbarui plugin setelah serah terima, dengan frekuensi berapa, dan siapa yang dihubungi bila ada celah diumumkan pada akhir pekan. Jawaban yang tidak ada adalah jawaban yang penting.

Cara menimbang sebuah plugin

Sebelum memasang plugin baru, jawab 5 pertanyaan:

1. Apakah kita benar-benar butuh? Fitur yang bisa dikerjakan tanpa plugin tidak menambah permukaan risiko.
2. Siapa pembuatnya, dan apakah ia punya riwayat merespons laporan celah?
3. Kapan pembaruan terakhir, dan apakah plugin itu masih diuji dengan versi CMS yang kamu pakai?
4. Apa yang bisa diakses plugin ini? Plugin formulir yang menyimpan data pribadi perlu pertimbangan lebih ketat daripada plugin pemutar video.
5. Bila plugin ini berhenti dirawat, apa rencananya? Ganti, tulis sendiri, atau hapus fiturnya?

Untuk situs yang menyimpan data pribadi, pertanyaan 4 menyentuh kewajiban hukum. UU PDP mewajibkan pengendali data mengawasi pihak yang terlibat dalam pemrosesan (Pasal 37). Kami menafsirkan bahwa kode pihak ketiga yang menyentuh data masuk dalam perhatian itu. Itu tafsir kami, bukan nasihat hukum.

Yang dapat kamu kerjakan minggu ini

Buka halaman daftar plugin di situsmu. Salin ke spreadsheet dengan 4 kolom: nama, versi, tanggal pembaruan terakhir, dan fungsinya. Lalu tandai:

• plugin yang tidak diperbarui lebih dari 1 tahun,
• plugin yang tidak lagi dipakai,
• plugin yang menyentuh data pribadi.

Hapus yang tidak dipakai. Untuk sisanya, tentukan 1 nama orang yang bertanggung jawab memeriksa daftar ini tiap bulan. Untuk plugin yang tidak dipakai, kami menyarankan menghapus, bukan hanya menonaktifkan. Berkas yang tidak ada tidak perlu dipantau.

Bila kamu ingin daftar itu ditinjau orang kedua, tulis lewat halaman kontak.