Under Attack Mode atau UAM adalah fitur pada Imunify360 WebShield yang dapat menempatkan domain atau URL tertentu di balik JavaScript challenge ketika website sedang menerima trafik otomatis atau serangan.

Saat sebuah request cocok dengan rule Under Attack Mode, pengunjung akan melewati challenge terlebih dahulu. Browser normal biasanya dapat menyelesaikannya secara otomatis dan kemudian menerima clearance cookie, sedangkan bot sederhana yang tidak dapat menjalankan JavaScript tidak diteruskan langsung ke website.

Fitur ini dapat diterapkan ke:

seluruh domain;
hanya URL/path tertentu;
seluruh domain kecuali path tertentu.

Karena itu, Under Attack Mode tidak harus diterapkan ke semua halaman website.

Catatan: Tampilan menu dan ketersediaan fitur dapat berbeda tergantung versi Imunify360 serta konfigurasi server. Under Attack Mode hanya tersedia pada environment WebShield yang mendukungnya.

Kapan Under Attack Mode Sebaiknya Digunakan?

Under Attack Mode dapat membantu ketika website mengalami kondisi seperti:

bot membanjiri halaman tertentu;
request otomatis terlalu banyak;
login atau form diserang bot;
halaman tertentu menerima flood HTTP;
website perlu perlindungan tambahan sementara selama serangan.

Contoh:

/wp-login.php
/login/
/checkout/
/list_perkara/

Anda tidak selalu perlu melindungi seluruh domain. Jika serangan hanya mengenai satu URL, rule dapat dibuat khusus untuk path tersebut.

Cara Membuka Under Attack Mode

Login ke cPanel.
Buka Imunify360.
Pilih WebShield.
Buka bagian Under Attack Mode.
Klik Add untuk membuat rule baru.

Pada akun tertentu, fitur ini hanya tersedia jika administrator server mengizinkan pengguna cPanel mengelola rule sendiri.

Cara Mengatur Under Attack Mode Imunify360 WebShield

Pengaturan Dasar Rule

Saat membuat rule, beberapa pengaturan yang umumnya tersedia adalah:

Domain

Pilih domain yang ingin dilindungi.

Domain pada rule yang sudah dibuat biasanya tidak dapat diganti. Jika salah memilih domain, buat rule baru.

Clearance Cookie Lifetime

Menentukan berapa lama browser dianggap sudah lolos challenge.

Contoh:

1h

berarti setelah pengunjung berhasil melewati challenge, clearance cookie berlaku sekitar satu jam.

Lifetime yang lebih pendek lebih ketat, tetapi dapat membuat pengunjung lebih sering mendapat challenge.

Label

Label adalah catatan internal untuk membantu mengenali fungsi rule.

Contoh:

Protect Login
Protect Perkara
Traffic Flood

Label sebaiknya dibuat jelas agar mudah dipahami saat rule mulai banyak.

Memahami Pilihan Paths

Bagian Paths menentukan URL mana yang akan terkena rule Under Attack Mode.

Tersedia tiga mode utama:

1. Entire domain

Pilih Entire domain jika seluruh domain sedang diserang dan semua request perlu melewati challenge.

Contoh:

https://domainanda.com/

Dengan mode ini, seluruh halaman pada domain akan berada di bawah rule.

Cocok digunakan ketika:

serangan tersebar ke banyak URL;
tidak dapat ditentukan satu path spesifik;
seluruh website menerima flood;
proteksi sementara dibutuhkan secara menyeluruh.

Contoh

Jika rule diterapkan pada:

domainanda.com

maka request ke:

/artikel/

/login/

/list_perkara/

semuanya akan terkena challenge.

2. Only the listed paths

Pilih Only the listed paths jika hanya URL tertentu yang ingin dilindungi.

Ini merupakan pilihan yang baik ketika serangan hanya berfokus pada endpoint tertentu.

Contoh:

/wp-login.php

atau:

/list_perkara/

Dengan konfigurasi tersebut, halaman lain tetap dapat diakses normal tanpa challenge.

Contoh penggunaan

Misalnya hanya URL berikut yang mendapat banyak request otomatis:

https://domainanda.go.id/list_perkara/

Pilih:

Only the listed paths

kemudian tambahkan:

/list_perkara/

Rule akan fokus pada URL tersebut tanpa mengganggu seluruh domain.

3. All paths except the listed ones

Pilih All paths except the listed ones jika hampir seluruh website ingin dilindungi, tetapi ada beberapa URL yang harus tetap dapat diakses tanpa challenge.

Ini berguna untuk endpoint seperti:

API;
webhook;
callback pembayaran;
monitoring;
endpoint aplikasi yang tidak dapat menjalankan JavaScript.

Contoh:

/api/

/webhook/

/payment/callback/

Jika /api/ dimasukkan sebagai pengecualian, seluruh website tetap dilindungi kecuali request yang cocok dengan path tersebut.

Gunakan mode ini secara hati-hati. Path yang dikecualikan tidak mendapatkan challenge UAM sehingga pastikan endpoint tersebut memang perlu dibiarkan lewat.

Memahami Kondisi Path

Setelah memilih mode path, Anda dapat menambahkan satu atau beberapa path dengan kondisi tertentu.

equals

Rule hanya cocok jika URL sama persis dengan nilai yang ditentukan.

Contoh:

/wp-login.php

dengan kondisi:

equals

akan cocok dengan:

/wp-login.php

tetapi dapat tidak cocok jika URL memiliki query string tambahan.

starts with

Rule cocok jika URL dimulai dengan nilai tersebut.

Contoh:

/list_perkara/

dengan:

starts with

dapat mencakup:

/list_perkara/1/
/list_perkara/2/
/list_perkara/type/2
/list_perkara/type/?page=2

Untuk path yang mempunyai banyak sub-URL, starts with biasanya lebih praktis daripada equals.

ends with

Rule cocok jika URL diakhiri dengan nilai tertentu.

Contoh:

/login

dapat digunakan jika Anda benar-benar membutuhkan pencocokan berdasarkan akhir URI.

contains

Rule cocok jika request URI mengandung teks tertentu.

Contoh:

/perkara/

Penggunaan kondisi ini harus hati-hati karena dapat mencocokkan lebih banyak URL daripada yang Anda inginkan.

matches wildcard

Digunakan untuk pencocokan pola dengan wildcard.

Contoh pola:

/api/*

dapat digunakan untuk mencakup banyak path sesuai pola.

Query String

Imunify360 juga dapat mencocokkan query string.

Contoh URL:

/list_perkara/type/?page=2

Query string dapat ikut memengaruhi apakah rule cocok.

Karena itu, untuk halaman yang sering memiliki parameter seperti:

?page=
?id=
&sort=

kondisi starts with sering lebih aman daripada equals.

Contoh: Melindungi /list_perkara/

Misalnya website memiliki URL:

https://domainanda.go.id/list_perkara/

dan URL tersebut sedang dibanjiri bot.

Gunakan:

Paths:
Only the listed paths

Path:

/list_perkara/

Condition:

starts with

Dengan konfigurasi ini, challenge hanya diterapkan ke URL yang dimulai dengan /list_perkara/type/.

Halaman lain pada domain tetap berjalan normal.

Contoh: Melindungi Seluruh Domain Kecuali API

Jika website sedang diserang secara luas tetapi endpoint berikut harus tetap dapat diakses aplikasi:

/api/

gunakan:

All paths except the listed ones

kemudian tambahkan:

/api/

dengan kondisi:

starts with

Dengan begitu:

halaman website → challenge aktif;
/api/... → tidak terkena rule UAM tersebut.

Test URL Against the Rules

Sebelum menganggap konfigurasi selesai, gunakan fitur:

Test URL against the rules

Masukkan URL yang ingin diuji.

Contoh:

https://domainanda.go.id/list_perkara/

atau:

https://domainanda.go.id/api/status

Imunify360 akan membantu menunjukkan apakah URL tersebut cocok dengan rule aktif.

Fitur ini sangat berguna untuk memastikan:

path yang dimaksud benar-benar dilindungi;
URL pengecualian tidak terkena challenge;
kondisi starts with atau equals sudah sesuai.

Kenapa Test URL Penting?

Kesalahan path dapat menyebabkan:

halaman penting ikut terkena challenge;
API berhenti bekerja;
callback pembayaran gagal;
monitoring tidak dapat mengakses website;
path yang sebenarnya diserang justru tidak terlindungi.

Karena itu, selalu lakukan pengujian setelah membuat atau mengubah rule.

Cara Mengedit Rule

Untuk mengubah rule:

Buka Imunify360 → WebShield → Under Attack Mode.
Cari rule.
Klik ikon Edit/Pencil.
Ubah:
- Clearance Cookie Lifetime;
- Label;
- Paths.
Klik Save.

Domain pada rule yang sudah ada umumnya tidak dapat diganti.

Jika domain salah, hapus rule dan buat rule baru.

Cara Menonaktifkan Rule Sementara

Jika rule tidak sedang diperlukan, Anda tidak harus langsung menghapusnya.

Gunakan tombol Active untuk pause rule.

Ini berguna jika:

serangan sudah berhenti;
rule mungkin diperlukan kembali;
Anda ingin menguji website tanpa challenge.

Saat diperlukan lagi, aktifkan kembali rule tersebut.

Cara Menghapus Rule

Jika rule tidak akan digunakan lagi:

Buka daftar rule Under Attack Mode.
Cari rule yang dimaksud.
Klik ikon Delete/Trash.
Konfirmasi penghapusan.

Jika hanya ingin mematikannya sementara, lebih baik gunakan opsi Active daripada menghapusnya.

Website atau API Bermasalah Setelah UAM Aktif

Jika suatu halaman berhenti bekerja setelah Under Attack Mode diaktifkan, periksa apakah request tersebut dapat menyelesaikan JavaScript challenge.

Beberapa jenis request yang dapat bermasalah:

API server-to-server;
webhook;
cron HTTP;
monitoring;
bot resmi;
aplikasi mobile;
integrasi pihak ketiga.

Request seperti ini mungkin tidak mempunyai browser JavaScript untuk menyelesaikan challenge.

Solusinya dapat berupa:

mengecualikan path tersebut;
menggunakan mode All paths except the listed ones;
meminta IP integrasi terpercaya dimasukkan ke whitelist oleh administrator server.

Jangan mengecualikan path tanpa memahami risikonya.

Entire Domain atau Path Tertentu?

Gunakan panduan sederhana berikut:

Kondisi	Pilihan
Seluruh website menerima serangan	Entire domain
Hanya login/URL tertentu diserang	Only the listed paths
Semua website ingin dilindungi kecuali API/webhook	All paths except the listed ones

Prinsip yang baik adalah menggunakan rule sesempit mungkin selama tetap mampu menghentikan trafik bermasalah.

Dengan begitu, pengunjung normal dan integrasi website tidak terkena challenge yang tidak diperlukan.

Under Attack Mode Bukan Resource Limit

Under Attack Mode tidak sama dengan limit CPU, RAM, IO, atau Entry Processes.

Resource limit berhubungan dengan penggunaan resource akun hosting.

Sedangkan Under Attack Mode berfungsi sebagai perlindungan trafik HTTP dengan memberi JavaScript challenge kepada request yang cocok dengan rule.

Jika masalah Anda adalah CPU/RAM hosting mencapai batas, gunakan menu Resource Usage untuk melakukan pengecekan.

Tips Penggunaan yang Aman

Jangan aktifkan Entire domain jika masalah hanya terjadi pada satu URL.
Gunakan label yang jelas untuk setiap rule.
Gunakan starts with jika path memiliki banyak subpath atau query string.
Uji URL menggunakan Test URL against the rules.
Jangan mengecualikan endpoint sensitif tanpa alasan.
Pause rule ketika serangan sudah selesai.
Pastikan API, webhook, dan monitoring tidak terganggu.

Untuk keamanan website secara umum, baca juga Apa itu Malware dan Dampaknya?.

Panduan cPanel lainnya tersedia di cPanel Hosting IndukWeb.

Kesimpulan

Under Attack Mode Imunify360 WebShield dapat digunakan untuk memberikan JavaScript challenge kepada trafik yang menuju domain atau URL tertentu.

Tiga mode path utama adalah:

Entire domain — melindungi seluruh domain;
Only the listed paths — hanya melindungi URL tertentu;
All paths except the listed ones — melindungi seluruh domain kecuali URL yang dikecualikan.

Untuk kasus seperti:

/list_perkara/

yang menerima trafik bot, konfigurasi yang lebih tepat biasanya:

Only the listed paths

dengan:

/list_perkara/

dan kondisi:

starts with

Setelah membuat rule, gunakan Test URL against the rules untuk memastikan perlindungan bekerja sesuai yang diinginkan.

FAQ

Apa fungsi Under Attack Mode di Imunify360?

Under Attack Mode memberikan JavaScript challenge kepada request yang cocok dengan rule sebelum request diteruskan ke website.

Apa beda Entire domain dan Only the listed paths?

Entire domain melindungi seluruh domain, sedangkan Only the listed paths hanya melindungi URL yang dicantumkan.

Kapan memakai All paths except the listed ones?

Gunakan ketika hampir seluruh domain ingin dilindungi tetapi beberapa endpoint seperti API atau webhook harus tetap lewat tanpa challenge.

Apa arti starts with?

starts with berarti rule cocok jika request URI dimulai dengan path yang ditentukan.

Apakah Under Attack Mode sama dengan resource limit?

Tidak. Under Attack Mode adalah perlindungan trafik web, sedangkan resource limit berkaitan dengan CPU, RAM, IO, IOPS, Entry Processes, dan resource hosting lainnya.