Panduan praktis tentang apa itu direktori wp-includes, mengapa pengunjung bisa tiba di /wp-includes/, langkah aman untuk menyiapkan halaman informatif di URL tersebut, serta tips keamanan dan penanganan kesalahan akses.
URL dengan path /wp-includes/ biasanya merujuk ke sebuah direktori sistem pada instalasi CMS populer. Meskipun bukan konten untuk pengunjung biasa, pengunjung atau program otomatis kadang masih mengakses alamat ini.
Artikel ini menjelaskan maksud direktori tersebut, alasan seseorang bisa sampai ke sana, dan cara membuat halaman yang berguna dan aman untuk pengunjung yang menemukannya.
Dalam instalasi WordPress, folder bernama wp-includes berisi beragam file inti yang menjalankan fungsi dasar situs: pustaka kode, fungsi PHP, kelas, dan komponen lain yang dipanggil oleh bagian lain dari sistem. Bagi pengguna awam, direktori ini bukan tempat untuk menaruh konten yang ditampilkan secara langsung.
Pada server, file-file di dalamnya biasanya tidak dimaksudkan untuk diakses sebagai halaman web tunggal. Struktur seperti ini juga sering ditemukan pada platform lain dengan folder bernama "includes" atau sejenis yang menampung kode pendukung situs.
Ada beberapa sebab pengunjung — manusia atau program otomatis — dapat sampai ke alamat direktori seperti /wp-includes/: tautan yang salah pada suatu halaman, bookmark yang kadaluarsa, atau upaya memindai situs untuk menemukan file dan struktur internal.
Selain itu, konfigurasi server yang tidak menonaktifkan listing direktori bisa menampilkan daftar file saat alamat dikunjungi. Hal ini tidak ideal dari sisi tampilan dan keamanan, sehingga perlu ditangani dengan cara yang tepat.
Alih-alih meninggalkan halaman kosong atau menampilkan daftar file, lebih baik menyediakan respons yang informatif dan aman. Pilihan umum termasuk menempatkan file index sederhana yang menjelaskan bahwa direktori tersebut adalah bagian sistem dan bukan tempat konten pengguna.
Isi halaman index bisa singkat dan membantu: kalimat penjelas bahwa ini adalah direktori sistem, tautan kembali ke beranda, tautan ke halaman bantuan atau dokumentasi umum situs, serta informasi kontak bila pengunjung menemukan tautan rusak. Hindari menyajikan rincian teknis sensitif tentang struktur server.
Jika situs tidak menginginkan pengunjung sama sekali pada path tersebut, Anda dapat mengarahkan permintaan ke beranda atau halaman bantuan yang relevan. Pastikan pengalihan tersebut jelas dan tidak memunculkan pesan yang membingungkan bagi pengguna.
Hal yang paling penting: nonaktifkan listing direktori pada konfigurasi server. Untuk server berbasis Apache, ini biasanya dilakukan lewat pengaturan yang menonaktifkan opsi autoindex; pada server lain konfigurasi serupa tersedia. Dengan begitu, pengunjung tidak akan melihat daftar file mentah.
Jangan menempatkan file yang berisi kredensial atau informasi sensitif di dalam folder yang bisa diakses publik. Pastikan izin file dan direktori sudah benar sehingga file tidak dapat ditulis oleh pihak yang tidak berwenang. Rutin memperbarui perangkat lunak situs juga membantu menutup celah keamanan pada berkas inti.
Jika memungkinkan, batasi akses langsung ke berkas PHP yang seharusnya tidak diakses lewat HTTP. Metode ini tergantung pada konfigurasi server dan arsitektur aplikasi, namun prinsipnya adalah meminimalkan eksposur komponen internal.
Periksa log server untuk melihat sumber permintaan yang menuju /wp-includes/. Informasi referer atau user agent bisa membantu menentukan apakah akses berasal dari tautan yang salah di situs sendiri atau dari sumber eksternal.
Jika ada tautan internal yang mengarah ke /wp-includes/, perbaiki pada halaman asal agar pengunjung diarahkan ke URL yang benar. Untuk tautan eksternal yang tidak dapat dikendalikan, pertimbangkan menampilkan halaman informasi yang ramah dengan opsi kembali ke beranda atau laporan masalah.
Untuk skenario teknis yang memerlukan penanganan khusus, seperti skrip yang memanggil berkas dari folder ini, konsultasikan dengan pengembang atau penyelia hosting agar perubahan tidak mengganggu fungsi situs.