Pemilik Search Console Asing? Amankan Token Verifikasi

Notifikasi Search Console menyebut owner baru, atau Anda melihat email yang tidak dikenal di daftar akses sebuah property. Itu perlu ditangani, tetapi jangan mulai dengan menghapus semua pengguna atau menghilangkan setiap kode verifikasi yang ditemukan. Property mungkin bukan domain yang tepat, akun tersebut bisa milik agensi yang ditunjuk, dan token DNS kadang dipakai oleh metode verifikasi atau layanan Google lain.

Jawaban singkat: buka Search Console melalui akun dan alamat resmi yang Anda ketik sendiri, cocokkan domain/property dan identitas owner, lalu simpan notifikasi serta daftar akses. Bedakan owner terverifikasi—yang membuktikan kendali melalui token—dari owner yang diberi akses oleh owner lain. Hapus akses yang terbukti tidak sah dan cabut token/metode verifikasi terkait setelah memastikan owner sah masih dapat mengelola property. Kemudian amankan sumber yang memungkinkan token dipasang, sebab hanya menghapus tampilan seorang user mungkin tidak mencegahnya memverifikasi ulang.

Jika perubahan owner bertepatan dengan file atau konten WordPress yang berubah, ikuti panduan respons website diretas dan langkah mengamankan WordPress. Pengelolaan Search Console penting, tetapi tidak menggantikan pemeriksaan CMS, akun hosting, registrar, DNS, dan akun Google.

Pastikan alert dan property yang dimaksud benar

Jangan klik tautan dari email yang tidak terduga. Ketik alamat Search Console yang dikenal di browser, masuk dengan akun organisasi yang sah, lalu pilih property persis sesuai notifikasi. Ada property Domain, variasi URL-prefix, subdomain, HTTP/HTTPS, dan beberapa akun Google yang mungkin mengelola situs berbeda. Periksa ejaan domain dan cakupan; jangan mengubah property yang bukan milik Anda hanya karena namanya mirip.

Simpan notifikasi asli, waktu diterima, pengirim, nama akun yang disebut, property, dan tangkapan layar daftar owner. Jika organisasi memakai vendor SEO, agensi, migrasi, atau pengelola domain, tanyakan melalui kanal kontak yang sudah tersimpan—bukan nomor atau tautan di pesan itu. Simpan jawaban dan ticket perubahan. Catatan ini membantu memisahkan perubahan yang disetujui dari penyalahgunaan, terutama bila beberapa orang bekerja pada situs yang sama.

Jangan meneruskan email yang berisi tautan bertoken atau informasi akses ke kanal terbuka. Jika mengirim bukti ke tim internal, batasi penerima dan samarkan alamat pribadi yang tidak dibutuhkan. Catat zona waktu dan akun yang digunakan untuk melihat property.

Bedakan owner terverifikasi dan akses delegasi

Di pengaturan Search Console, tinjau pengguna dan owner untuk property yang benar. Owner terverifikasi telah membuktikan kendali dengan suatu metode verifikasi. Owner delegasi atau pengguna menerima akses melalui orang yang memiliki hak owner. Google menyediakan alur untuk memeriksa dan menghapus owner; lihat panduan resmi mengelola owner Search Console dan halaman bantuan tentang owner baru yang tidak dikenal.

Catat nama dan email setiap akun, jenis akses, siapa yang menambahkan bila informasinya tersedia, serta metode verifikasi yang tercatat. Owner yang tidak Anda kenal belum tentu langsung merupakan penyerang: alamat agensi dapat berubah, pemilik organisasi mungkin menggunakan akun lain, atau ada migrasi yang belum tercatat. Namun, jangan memberi waktu tak terbatas pada akses yang tidak dapat dipertanggungjawabkan. Tetapkan penanggung jawab dan deadline internal untuk mengonfirmasi setiap akun.

Menghapus property dari akun Google Anda sendiri tidak sama dengan mencabut akses orang lain. Pastikan tindakan dilakukan pada daftar user/owner untuk property yang benar. Jika akun yang tidak dikenal adalah owner terverifikasi, mencari dan menangani tokennya menjadi langkah penting; jika ia menerima akses delegasi, identifikasi owner yang menambahkan dan tinjau akses yang diberikan. Ikuti petunjuk Google yang tampil pada akun karena label antarmuka dapat berubah.

Simpan satu jalur owner yang sah

Sebelum menghapus akses, verifikasi bahwa organisasi masih mengendalikan setidaknya satu akun owner yang sah dan dapat masuk. Gunakan akun organisasi yang dikelola, bukan alamat pribadi yang tidak diketahui atau mailbox bersama tanpa pemilik. Pastikan owner cadangan juga berwenang dan metode verifikasinya dapat dipulihkan. Menghapus satu-satunya jalur owner dapat mempersulit respons dan menunda pemantauan indeksasi atau peringatan keamanan.

Periksa siapa yang memegang akun Google tersebut: administrator Workspace, pemilik mailbox, agensi, atau mantan pegawai. Jika login Google dicurigai diambil alih, amankan akun Google melalui prosedur organisasi sebelum mengandalkan Search Console. Tinjau metode pemulihan, sesi, aplikasi pihak ketiga, dan aktivitas keamanan dari perangkat tepercaya. Jangan meminta password atau kode verifikasi dikirim kepada Anda; setiap user harus mengautentikasi sendiri melalui kanal resmi.

Untuk perusahaan, catat persetujuan owner domain, SEO, IT, dan vendor sesuai proses internal. Perubahan verifikasi DNS dapat memengaruhi property lain. Jangan menghapus record DNS yang luas dampaknya hanya berdasarkan kemiripan nama.

Buat daftar metode untuk setiap owner: file HTML, tag meta, DNS, akun Analytics atau Tag Manager, atau integrasi lain yang tercatat pada property. Google juga menyediakan daftar token kepemilikan yang tidak digunakan; periksa token milik owner terhapus yang mungkin masih bisa dipakai untuk memverifikasi ulang. Cocokkan setiap metode dengan akun dan layanan sah sebelum menghapusnya. Jangan menyalin nilai token ke catatan umum—catat lokasi, metode, owner, waktu, dan persetujuan perubahan.

Pastikan property tetap memiliki jalur owner terverifikasi yang sah setelah perubahan. Jika semua owner terverifikasi hilang, pengguna lain dapat kehilangan akses setelah masa transisi, meskipun data property tetap dikumpulkan. Siapkan dan uji metode pengganti dari akun organisasi sebelum mencabut jalur terakhir; jangan mengambil alih property menggunakan akun personal atau metode yang tidak disetujui.

Cabut akses dan token yang memungkinkan verifikasi ulang

Setelah identitas tidak sah dipastikan, gunakan kontrol Search Console untuk menghapus akun dari property. Untuk owner terverifikasi, cari metode dan token yang terkait, lalu hapus token dari lokasi yang dapat dikendalikan penyerang: misalnya file HTML verifikasi, tag meta, record DNS, atau metode berbasis layanan lain. Metode yang digunakan bergantung pada cara property diverifikasi; tidak semua situs memiliki token pada WordPress.

Penting: menghapus nama owner tetapi membiarkan token verifikasinya dapat membuat akun itu memverifikasi ulang. Google menjelaskan bahwa token yang masih tertinggal dapat mempertahankan jalur verifikasi; lihat dokumentasi verifikasi kepemilikan situs dan instruksi yang terkait pada property Anda. Sebelum menghapus record TXT atau akses pihak ketiga, pastikan token tersebut tidak dipakai oleh owner sah, layanan Google lain, atau sistem organisasi. Jika shared, koordinasikan metode pengganti terlebih dahulu.

Jika token tampak berada di WordPress, periksa plugin SEO, plugin verifikasi, tema, mu-plugin, file di webroot, pengelola tag, dan pipeline deployment. Jangan menghapus seluruh plugin atau snippet secara membabi buta; pastikan siapa yang memilikinya dan apakah ada property sah yang bergantung padanya. Jika token berada di DNS, minta admin domain meninjau perubahan dan histori registrar. Simpan salinan record sebelum perubahan dan catat nilai sensitif secara terbatas.

Setelah perubahan, muat ulang halaman pengelolaan, pastikan owner yang tidak sah tidak tercantum, dan simpan hasil. Pantau notifikasi untuk kemungkinan verifikasi ulang. Bila owner kembali, kemungkinan token lain masih aktif, akun sah telah diambil alih, atau penyerang masih dapat mengubah WordPress/DNS—jangan berhenti pada penghapusan user.

Perbaiki sumber akses yang memberi token

Tinjau bagaimana metode verifikasi dapat ditambahkan. Periksa perubahan file dan plugin WordPress, user admin, akun registrar dan DNS, panel hosting, CDN, repository/deployment, Google Tag Manager, serta identitas Google yang mempunyai akses. Catat event perubahan dan waktu yang tersedia. Tidak semua panel menyediakan log lengkap; minta host atau administrator domain mempertahankan audit log yang masih ada.

Jika menemukan file atau kode yang tidak dikenal, simpan salinan dan catat lokasinya sebelum mengganti. Periksa versi core dan plugin dari sumber tepercaya, plugin yang tidak terpakai, akun serta sesi, dan kemungkinan scheduled task. Jangan menganggap hasil scan kosong membuktikan situs bersih. Bila gejala berulang atau Anda tidak dapat memastikan file mana yang sah, eskalasi kepada host atau spesialis respons insiden.

Rotasi password dan token yang mungkin terekspos dari perangkat yang dipercaya setelah jalur awal dikendalikan. Prioritaskan akun email organisasi, Google, registrar, DNS, hosting, deployment, dan WordPress sesuai tingkat akses. Gunakan password unik, autentikasi multifaktor bila tersedia, akun individual, dan hak minimum. Memutar semua rahasia sebelum menutup akses aktif dapat memberi penyerang kredensial baru dari perangkat yang sudah mereka kuasai; lakukan dengan urutan dan catatan yang disepakati.

Periksa dampak Search Console dan pantau

Setelah akses dipulihkan, tinjau laporan Security Issues dan Manual Actions, pengguna lain, sitemap, penghapusan URL, perubahan property, serta notifikasi yang relevan. Bandingkan perubahan dengan timeline insiden. Search Console dapat membantu melihat contoh URL atau peringatan, tetapi laporan tidak selalu memuat semua URL bermasalah dan bukan bukti tunggal bahwa situs bebas kompromi.

Jangan menghapus sitemap, menolak URL, atau meminta pengindeksan ulang secara massal sebagai respons otomatis terhadap owner asing. Tentukan dahulu halaman yang terdampak, perbaiki sumber kompromi, dan gunakan alat Google sesuai petunjuk untuk kasus yang benar. Penghapusan owner saja tidak membersihkan konten atau mengembalikan file. Catat permintaan dan hasil, lalu pantau apakah akun, token, atau halaman asing muncul lagi.

Gunakan daftar owner dan metode verifikasi yang terdokumentasi sebagai inventaris. Tinjau akses ketika pegawai/vendor berganti, simpan satu owner cadangan yang sah, awasi perubahan DNS dan deployment, dan batasi token verifikasi hanya pada orang yang memerlukannya. Audit berkala mencegah akun lama tertinggal sekaligus membuat alert berikutnya lebih mudah dinilai.

Pertanyaan yang sering ditanyakan

Apakah email owner baru yang tidak dikenal membuktikan WordPress diretas? Tidak dengan sendirinya. Periksa property, akun, agensi, dan riwayat perubahan terlebih dahulu. Namun, jika tidak ada perubahan sah, perlakukan sebagai insiden akses Google/domain dan periksa jalur token serta website.

Mengapa owner yang dihapus bisa muncul kembali? Token verifikasi mungkin masih ada, akun Google yang sah telah diambil alih, atau penyerang masih dapat mengubah file, tag, DNS, atau layanan yang membuktikan kepemilikan. Hapus akses dan sumber token yang tepat, kemudian amankan jalur tersebut.

Bolehkah semua record TXT verifikasi dihapus? Jangan. Satu record dapat mendukung owner yang sah atau layanan lain. Identifikasi pemilik, penggunaan, dan metode pengganti sebelum mengubah DNS; simpan catatan dan koordinasikan dengan admin domain.

Apa yang dilakukan jika saya satu-satunya owner yang sah? Pastikan akses akun Google dan metode pemulihan aman, lalu pertahankan akses owner itu. Dokumentasikan jalur cadangan yang disetujui organisasi sebelum menghapus akun asing atau token.

Jika Anda tidak dapat memastikan siapa yang mengubah file verifikasi, DNS, atau akun, hubungi tim respons website. Sertakan nama property, waktu notifikasi, daftar metode verifikasi, dan log yang tersedia; jangan membagikan kode verifikasi atau password.