Cara Whitelist Domain untuk Disable CAPTCHA Check di Imunify360

Jadi gini, kemarin aku lagi santai, HP tetiba bunyi terus — ticket masuk dari client yang panik. Katanya pengunjung websitenya tiba-tiba disuguhin CAPTCHA mulu, padahal mereka gak ngubah apa-apa. Aku cek, terus ya ampun, Imunify360-nya kerja normal. Cuma ya gitu, yang kena bukan bot, tapi pengunjung asli. Eh, aku malah inget sesuatu yang sering banget dilupain orang: domain bisa di-whitelist biar gak ikut kena CAPTCHA check sama sekali. Santai aja, ini gampang kok. Aku jelasin pelan-pelan.

Oke, cerita sithik dulu. Client itu punya toko online kecil, visitor-nya kebanyakan orang lokal. Pas ada satu IP dari ISP gede yang masuk daftar suspicious di Imunify360, semua orang yang lewat IP itu kena CAPTCHA. Bayangin, udah mau checkout, eh malah disuruh ngetik captcha. Ya ilang deh konversinya. Dari situ kita ngerjain whitelist domain, dan selesai. Lima menit. Dan ini yang bakal aku share ke kamu sekarang.

Apa Itu CAPTCHA Check di Imunify360?

Sebelum jauh-jauh, lurusin dulu konsep dasarnya. Imunify360 itu security suite buat server hosting — firewall, WAF, ModSecurity, dan proteksi lain digabung jadi satu. Salah satu fiturnya adalah CAPTCHA check. Fungsinya gampang: kalau ada visitor yang IP-nya dianggap mencurigakan — reputasi jelek, dari ASN yang sering dipakai bot, atau website-nya lagi diancam serangan — Imunify360 bakal nampilin halaman verifikasi CAPTCHA dulu sebelum visitor masuk ke website.

Ibaratnya gini, rumahmu pasang pagar dengan pos jaga. Setiap tamu yang mukanya keliatan aneh disuruh isi buku tamu dulu. Nah, CAPTCHA check itu pos jaga-nya. Aman buat rumah, tapi kadang yang dianggap aneh itu ya tamu yang sebenernya cuma mau ngantar kue ultah. Intinya, mekanisme ini niatnya baik, cuma pelaksanaannya sering kelewat semangat ke pengunjung yang salah sasaran.

Dampak ke production? Gampang kebayang. User yang harusnya konversi jadi checkout malah kabur gara-gara malas ngetik captcha berulang. API dan aplikasi mobile yang nyambung ke domain bisa gagal total karena mereka gak punya cara jawab captcha. Belum lagi pengunjung dari IP office, VPN, atau ISP besar — IP yang gede dan kadang masuk daftar suspicious, padahal orangnya jelas manusia. Kalau domainnya udah di-whitelist, check ini dilewatin sama sekali buat domain itu.

Intinya sih, CAPTCHA check ini dirancang buat nahan bot dan serangan otomatis, bukan buat ngeblokir manusia. Masalahnya, klasifikasi “mencurigakan” itu gak selalu akurat — banyak IP kena reputasi jelek cuma gara-gara satu mesin di pool-nya dipake botnet. Jadi kalau kamu punya domain yang visitor-nya jelas-jelas manusia dan trusted, whitelist domain jadi jalan keluar yang paling elegan: domain kamu aman, pengunjung kamu gak diganggu, dan fitur proteksi lainnya tetap nyala.

Kapan Waktunya Kamu Harus Whitelist Domain?

Gak semua kasus CAPTCHA harus langsung di-whitelist, lho. Ada baiknya kamu kenali dulu tandanya: visitor mulai komplain “kenapa website-nya minta captcha mulu”, konversi turun drastis tanpa alasan jelas, atau report di Google Analytics nunjukin bounce rate naik di jam-jam tertentu. Kalau gejalanya udah kayak gitu dan kamu yakin visitor-nya manusia semua, baru deh pertimbangkan whitelist.

Di sisi lain, ada juga kondisi yang emang jelas-jelas butuh whitelist: website intranet perusahaan, panel client, atau API endpoint yang dikonsumsi aplikasi. Benda-benda kayak gini gak bakal bisa jawab CAPTCHA, jadi kalau kena, ya mampus aksesnya. Whitelist domain itu solusi paling bersih buat kasus kayak gini.

Kalau kamu masih penasaran soal sisi keamanan Imunify360 secara keseluruhan, aku pernah nulis tentang itu di artikel apa itu Imunify360 dan cara kerjanya.

Step-by-Step: Whitelist Domain untuk Disable CAPTCHA di Imunify360

Oke, saiki masuk bagian intinya. Ikuti urut dari langkah satu sampai selesai. Gak usah buru-buru, santai aja, paling lima-lima belas menit kelar.

Langkah 1 — Login ke WHM

Buka https://IP-servemu:2087 pake akun root atau reseller yang punya akses ke plugin Imunify360. Kalau kamu cuma punya akun level cPanel biasa, fitur ini gak akan muncul — karena ini settingan level server. Kalau login-nya error, cek dulu apakah firewall gak ngeblok port 2087.

Langkah 2 — Buka Plugin Imunify360

Di sidebar WHM, cari bagian “Plugins”, atau langsung ketik “Imunify360” di kolom search kanan atas, terus klik ikonnya. Kamu bakal dibawa ke dashboard Imunify360 yang biasanya ada tab Dashboard, Incidents, Attacks, Firewall, WebShield, dan Settings. Kalau dashboard-nya malah blank atau error, cek error log di /var/log/imunify360/ dulu sebelum lanjut.

Langkah 3 — Masuk ke Menu WebShield

Klik tab “WebShield”. Di sini kamu bakal nemu pengaturan WAF, ModSecurity, dan CAPTCHA. Catatan penting: di beberapa versi Imunify360, menu CAPTCHA dipindah ke Settings —> WebShield. Jadi kalau gak ketemu, jangan panik, cek di Settings dulu. Version matters banget di sini.

Langkah 4 — Temukan Bagian CAPTCHA

Scroll sampai ketemu section “CAPTCHA”. Isinya kurang lebih kayak gini:

• Enable CAPTCHA for suspicious visitors (toggle)
• CAPTCHA type — image, reCAPTCHA, atau invisible
• Domains to disable CAPTCHA check (field teks)

Yang kita butuhin yang paling bawah itu.

Langkah 5 — Masukkan Domain ke Daftar Whitelist

Di field “Domains to disable CAPTCHA check”, ketik nama domainnya. Format yang diterima biasanya satu domain per baris, tanpa http:// atau https://. Contoh: contoh-toko.com

Pro tip: kalau kamu mau sekalian subdomain-nya, ada versi Imunify360 yang nerima wildcard kayak *.contoh-toko.com. Tapi ini beda-beda tiap versi, jadi cek dulu. Kalau ragu, masukin domain utama aja terus tes pelan-pelan. Jangan langsung semua — nanti susah nyari yang salah.

Langkah 6 — Save dan Verifikasi

Klik tombol save. Imunify360 bakal otomatis me-reload konfigurasinya, biasanya langsung jalan tanpa restart server. Nah, verifikasinya gimana? Buka website kamu dari browser biasa — kalau IP kamu dulu suka kena CAPTCHA, sekarang harusnya langsung masuk tanpa tes.

Kalau mau verifikasi yang lebih teknis, pake curl dari IP yang sebelumnya kena:

curl -sI https://contoh-toko.com | head -20

Kalau whitelist-nya jalan, kamu gak bakal liat respons khas halaman CAPTCHA Imunify360 — biasanya status 200 dengan body HTML verifikasi, atau redirect ke halaman challenge. Kalau masih kelihatan, lanjut ke bagian troubleshooting di bawah.

Alternatif: Whitelist via CLI buat yang Males Klik-klik

Buat kamu yang gak suka klik-klik, Imunify360 punya command line agent. Untuk whitelist IP atau ASN, perintahnya simpel:

imunify360-agent whitelist ip 203.0.113.10
imunify360-agent whitelist asn AS63949

Untuk whitelist domain khusus CAPTCHA, setting-annya tersimpan di file konfigurasi, umumnya di /etc/sysconfig/imunify360/config.ini. Setelah ngubah file itu, reload pake:

imunify360-agent update-config

Tapi tunggu dulu. Ngoprek config.ini itu bukan buat pemula — salah format dikit, seluruh konfigurasi Imunify360 bisa kacau balau. Kalau kamu gak yakin, jalan aman via GUI aja. GUI itu dibikin biar kamu gak perlu nyentuh file config. Dan selalu backup config dulu sebelum ngubah:

cp /etc/sysconfig/imunify360/config.ini /etc/sysconfig/imunify360/config.ini.bak

Troubleshooting: Whitelist Udah Keisi, Kok Masih Kena CAPTCHA?

Nah, ini bagian yang paling sering bikin orang garuk-garuk kepala. Udah keisi, udah save, eh masih kena juga. Biasanya penyebabnya cuma beberapa hal kecil yang gampang kelewat. Cek tabel berikut:

Satu lagi yang sering kelewat: kalau website kamu lewat CDN kayak Cloudflare, IP yang kelihatan sama Imunify360 itu IP Cloudflare, bukan IP pengunjung. Jadi whitelist domain tetap harusnya jalan — karena whitelist itu berbasis domain, bukan IP — tapi kalau kamu whitelist IP-nya malah sia-sia. Nah, ini keunggulan whitelist domain: gak peduli IP-nya ganti-ganti, domain tetap aman. Kalau kamu butuh kebalikannya — izinin IP tertentu aja — baca juga artikel soal cara whitelist IP di Imunify360.

Apa yang Sebenarnya Terjadi di Balik Layar?

Supaya kamu paham, ada baiknya ngerti juga gimana Imunify360 nyimpen settingan ini. Domain yang kamu masukin di GUI tadi disimpan sebagai whitelist di level konfigurasi WebShield/CAPTCHA. Waktu ada request masuk, WebShield ngecek: domain ini ke-whitelist atau nggak? Kalau iya, request langsung diteruskan tanpa lewat challenge CAPTCHA. Kalau nggak, dan IP-nya mencurigakan, baru deh halaman CAPTCHA ditampilin.

Karena pemeriksaannya berbasis domain (cocokin HTTP Host header) bukan berbasis IP, makanya ini kerja cepet dan cocok buat setup dengan traffic tinggi. Dan karena keputusannya diambil di layer WebShield, gak ada proses tambahan yang nge-bottleneck request. Clean. Buat yang website-nya WordPress dan masih penasaran sama topik ini, aku pernah bahas juga soal cara ngatasi CAPTCHA Imunify360 yang ganggu di WordPress.

Apakah Whitelist Domain Itu Aman?

Pertanyaan yang harus kamu tanyain ke diri sendiri dulu: “Apakah aku percaya SEMUA pengunjung domain ini?” Whitelist domain artinya CAPTCHA check off total buat domain itu. Kalau website-nya toko online publik yang sering jadi sasaran, mikir dua kali.

Untuk website yang emang trusted — portofolio, blog pribadi, intranet, panel client — whitelist domain ini keputusan yang masuk akal banget. Visitor kamu gak bakal diganggu, dan kamu gak perlu panic setiap ada IP gede kena flagged.

Kalau kamu mau ngatur proteksi per-IP, baca juga cara whitelist IP di Imunify360. Dan buat yang pengen dalemin sisi WAF-nya, ada juga panduan tuning ModSecurity di WHM yang bisa kamu pelajari.

FAQ

Oke, cukup semene dulu. Intinya, whitelist domain itu settingan lima menit yang bisa nyelametin pengalaman pengunjung dari CAPTCHA yang gak perlu. Jangan lupa selalu tes setelah save, dan jangan asal whitelist kalau website-mu rawan. Bookmark aja artikel ini buat referensi. Kalau masih ada yang bingung atau punya pengalaman beda, share di komentar ya — siapa tau bisa bantu NOC lain. Matur nuwun udah mampir!