Akun email sering menjadi pintu masuk ke layanan lain: belanja online, media sosial, penyimpanan dokumen, hingga aplikasi kerja. Karena itu, melindungi satu akun saja belum cukup. Kita perlu melihat keamanan digital sebagai rangkaian kebiasaan yang saling mendukung.
Panduan ini dirancang untuk pembaca pemula yang ingin mengamankan akun digital secara bertahap tanpa harus memahami istilah teknis yang rumit. Contoh pengaturan menggunakan Akun Google karena banyak orang memakainya sebagai email utama, tetapi prinsipnya juga berlaku untuk layanan lain.
Mulai dari audit keamanan akun selama 15 menit
Sebelum mengganti semua pengaturan sekaligus, pilih akun yang paling penting: biasanya email utama, akun perbankan, dan akun yang dipakai untuk memulihkan akun lain. Gunakan daftar ini untuk menentukan prioritas.
- Menit 1–3: buka pengaturan keamanan email utama langsung dari situs atau aplikasi resminya. Periksa apakah ada peringatan masuk dan perangkat yang tidak dikenal.
- Menit 4–6: pastikan kata sandi unik. Jika digunakan juga di situs lain, ganti dengan kata sandi baru yang kuat.
- Menit 7–10: aktifkan autentikasi multifaktor atau metode masuk yang lebih aman, seperti kunci sandi (passkey) jika tersedia.
- Menit 11–13: perbarui email dan nomor pemulihan, lalu periksa cara masuk cadangan yang tersedia.
- Menit 14–15: aktifkan pembaruan otomatis perangkat dan ingatkan diri sendiri untuk memeriksa keamanan akun secara berkala.
Ini bukan jaminan akun tidak akan diretas. Namun, lima pemeriksaan tersebut membantu menutup sejumlah risiko yang umum dan bisa ditangani langsung oleh pemilik akun.
1. Gunakan kata sandi berbeda untuk setiap akun penting
Kesalahan yang perlu dihindari adalah menggunakan satu kata sandi untuk beberapa layanan. Jika salah satu layanan mengalami kebocoran, orang lain dapat mencoba kombinasi email dan kata sandi yang sama pada akun berbeda. Praktik ini sering disebut credential stuffing.
Untuk akun yang masih memakai kata sandi, prioritaskan tiga hal: panjang, acak, dan unik. CISA, badan keamanan siber pemerintah Amerika Serikat, menyarankan kata sandi setidaknya 16 karakter serta penggunaan pengelola kata sandi (password manager).
Jangan memakai contoh kata sandi yang muncul di artikel internet sebagai kata sandi sungguhan. Buat kata sandi baru melalui pengelola kata sandi, lalu simpan dengan aman. Hindari mengirim kata sandi melalui chat atau menyimpannya di catatan yang bisa diakses orang lain.
Apakah kata sandi harus sering diganti?
Yang terpenting bukan menggantinya setiap minggu tanpa alasan, melainkan segera mengganti kata sandi yang diketahui bocor, dipakai ulang, atau diduga telah diketahui orang lain. Bila penyedia akun memberi peringatan keamanan, ikuti petunjuk pemulihan resminya.
Baca panduan langkah demi langkah: Kata Sandi Kuat dan Password Manager: Panduan Aman untuk Pemula.
2. Aktifkan verifikasi dua langkah atau MFA
Autentikasi multifaktor (MFA) meminta bukti tambahan selain kata sandi, misalnya persetujuan dari perangkat tepercaya atau kode dari aplikasi autentikator. Ini penting karena mengetahui kata sandi saja mungkin tidak cukup untuk masuk.
Pada Akun Google, kamu bisa memulai dari halaman Keamanan Akun Google. Cari bagian cara login, lalu tinjau opsi verifikasi dua langkah yang tersedia untuk akun tersebut. Nama menu bisa sedikit berbeda sesuai perangkat dan jenis akun.
Jika tersedia, utamakan metode yang tahan phishing, seperti passkey atau kunci keamanan fisik. Aplikasi autentikator umumnya juga lebih baik daripada hanya mengandalkan kata sandi. Kode SMS tetap dapat memberi perlindungan tambahan, tetapi tidak sekuat metode yang lebih tahan terhadap phishing atau pengambilalihan nomor telepon.
Penting: jangan pernah membagikan kode verifikasi, kode cadangan, atau permintaan persetujuan login kepada orang yang menghubungi kamu. Pihak yang mengaku sebagai petugas dukungan pun tidak boleh meminta kode rahasia tersebut.
Baca panduan langkah demi langkah: Cara Mengaktifkan Verifikasi 2 Langkah Akun Google dan Menyiapkan Cadangan Login.
3. Pertimbangkan passkey untuk login yang lebih tahan phishing
Passkey atau kunci sandi memungkinkan pengguna login dengan kunci layar perangkat, sidik jari, atau pengenalan wajah tanpa mengetik kata sandi situs seperti biasanya. Passkey dirancang agar tidak mudah dicuri melalui halaman login palsu.
Google menyediakan pengelolaan passkey di pengaturan kunci sandi Akun Google. Baca instruksi yang tampil sebelum mengaktifkan fitur ini, terutama jika perangkat digunakan bersama orang lain.
Jangan membuat passkey pada perangkat publik atau perangkat orang lain. Orang yang dapat membuka kunci perangkat yang menyimpan passkey mungkin dapat mengakses akun terkait. Karena itu, pastikan kunci layar perangkat kuat dan kamu tahu cara mencabut akses saat perangkat hilang.
Baca panduan langkah demi langkah: Apa Itu Passkey? Cara Membuat, Menggunakan, dan Mengamankannya di Akun Google.
4. Periksa perangkat yang masih login
Mengganti kata sandi saja belum tentu menyelesaikan semua masalah bila masih ada sesi login atau perangkat yang tidak kamu kenali. Pemeriksaan perangkat penting terutama setelah meminjam komputer, menjual ponsel, atau menerima peringatan login yang mencurigakan.
Untuk Google, buka aktivitas perangkat dari akun yang benar. Periksa nama perangkat, waktu aktivitas, dan lokasi perkiraan jika tersedia. Jangan langsung panik bila ada nama perangkat yang tampak asing: pembaruan perangkat atau browser bisa membuat informasi berbeda dari yang kamu ingat. Cocokkan dulu dengan perangkat milikmu.
Bila perangkat benar-benar tidak dikenal, ikuti opsi keluar atau pengamanan akun dari Google dan periksa peristiwa keamanan terakhir. Jika ada bukti akses tak sah, ganti kata sandi serta teliti metode pemulihan dan aplikasi yang memiliki akses.
Baca panduan langkah demi langkah: Cara Melihat Perangkat yang Login ke Akun Google dan Mengeluarkannya.
5. Pastikan email dan nomor pemulihan masih milikmu
Akun yang aman sekalipun bisa sulit dipulihkan jika nomor telepon sudah tidak aktif atau email cadangan tidak dapat dibuka. Periksa informasi pemulihan dari pengaturan akun resmi.
- Gunakan alamat email pemulihan yang masih bisa diakses dan diamankan dengan baik.
- Perbarui nomor telepon yang sudah tidak digunakan.
- Jangan mengandalkan satu perangkat sebagai satu-satunya jalan masuk.
- Jika layanan menawarkan kode pemulihan, simpan di lokasi aman yang terpisah dari perangkat utama.
Jangan membuat akun pemulihan sekadar formalitas. Justru saat kehilangan ponsel, akses pemulihan inilah yang bisa menentukan apakah akun dapat kembali digunakan.
Baca panduan langkah demi langkah: Cara Mengatur Email dan Nomor Pemulihan Akun Google agar Tidak Terkunci.
6. Kenali pesan phishing sebelum menekan tautan
Phishing adalah upaya menipu orang agar menyerahkan kata sandi, kode login, atau informasi pribadi melalui pesan yang tampak meyakinkan. Medianya bisa email, SMS, pesan instan, maupun halaman web palsu.
Contoh: kamu menerima pesan yang menyatakan akun akan dinonaktifkan dalam 10 menit dan diminta login melalui sebuah tautan. Pesan semacam itu memanfaatkan rasa panik. Langkah yang lebih aman adalah tidak membuka tautan dari pesan tersebut dan masuk ke aplikasi atau situs resmi melalui alamat yang kamu ketik sendiri atau bookmark yang sudah dikenal.
Alamat pengirim, ejaan, dan tampilan logo bisa menjadi petunjuk, tetapi tidak selalu cukup. Situs palsu dapat terlihat rapi dan memakai HTTPS. Karena itu, nilai alamat domain dan konteks permintaan, bukan hanya ikon gembok atau desain halaman.
Kalau sudah telanjur mengeklik tautan, bagaimana?
Kalau hanya membuka halaman dan belum memasukkan data, tutup halaman, hindari unduhan, dan periksa apakah ada file yang terpasang. Bila sudah memasukkan kata sandi, segera ubah dari situs resmi, tinjau aktivitas login, dan aktifkan MFA. Jika membagikan kode verifikasi atau data pembayaran, hubungi penyedia layanan terkait melalui kanal resmi sesegera mungkin.
Baca panduan langkah demi langkah: Cara Mengenali Phishing di Email, SMS, dan WhatsApp serta Langkah Pencegahannya.
7. Perbarui perangkat dan aplikasi secara rutin
Pembaruan sistem dan aplikasi sering kali memperbaiki celah keamanan, bukan sekadar menambah fitur. Aktifkan pembaruan otomatis bila sesuai, terutama untuk sistem operasi, browser, dan aplikasi yang berhubungan dengan akun penting.
Unduh aplikasi hanya melalui sumber tepercaya. Hindari memasang APK atau ekstensi browser dari tautan acak, terutama jika diminta menonaktifkan fitur keamanan terlebih dahulu. Hapus aplikasi dan ekstensi yang tidak lagi dibutuhkan.
Baca panduan langkah demi langkah: Cara Memperbarui Keamanan Android, Aplikasi, dan Chrome agar Akun Lebih Aman.
8. Batasi akses aplikasi pihak ketiga
Kadang kita menekan tombol “Login dengan Google” atau menyetujui akses aplikasi agar lebih cepat. Sebagian izin memang diperlukan, tetapi tidak semua aplikasi perlu akses selamanya.
Lihat daftar aplikasi pihak ketiga yang terhubung di pengaturan keamanan akun. Jika ada aplikasi yang sudah tidak digunakan atau tidak dikenali, periksa keterangannya lalu cabut akses bila tepat. Pencabutan akses mungkin membuat fitur aplikasi tersebut berhenti bekerja, sehingga baca konsekuensinya sebelum melanjutkan.
Baca panduan langkah demi langkah: Cara Mengecek dan Mencabut Akses Aplikasi Pihak Ketiga ke Akun Google.
9. Pisahkan akun penting dari kebiasaan berisiko
Email utama yang mengendalikan pemulihan akun perbankan dan pekerjaan sebaiknya mendapat perlindungan paling kuat. Kamu tidak harus memiliki banyak alamat email, tetapi pastikan tidak sembarang situs memperoleh akses ke akun terpentingmu.
Jika sering mendaftar layanan baru, pertimbangkan alias email atau alamat terpisah untuk pendaftaran berisiko rendah. Ini membantu mengelola pesan masuk, tetapi tidak menggantikan kata sandi unik, MFA, dan kewaspadaan terhadap phishing.
Baca panduan langkah demi langkah: Cara Memisahkan Email Penting dan Email Pendaftaran untuk Mengurangi Risiko.
10. Ketahui langkah darurat ketika akun dicurigai diambil alih
Jika menerima pemberitahuan perubahan kata sandi yang tidak kamu lakukan, menemukan email terkirim yang bukan buatanmu, atau melihat perangkat asing, jangan menunggu.
- Buka aplikasi atau situs resmi layanan, bukan tautan dalam pesan yang mencurigakan.
- Jika masih bisa login, ganti kata sandi dan cek aktivitas keamanan.
- Keluar dari perangkat yang tidak dikenal dan tinjau aplikasi terhubung.
- Periksa apakah email, nomor pemulihan, atau pengaturan penerusan email telah diubah.
- Jika tidak bisa login, gunakan proses pemulihan akun resmi. Untuk Google, buka halaman pemulihan akun.
- Jika ada akun keuangan atau data sensitif terdampak, segera hubungi penyedia layanan melalui kanal resmi dan ikuti prosedur pengamanannya.
Waspadai orang yang menawarkan jasa pemulihan dengan meminta kata sandi, kode OTP, atau pembayaran di muka. Jangan serahkan kendali akun kepada pihak yang tidak terverifikasi.
Baca panduan langkah demi langkah: Akun Google Diretas? Langkah Darurat untuk Mengamankan dan Memulihkannya.
Checklist keamanan akun yang bisa disimpan
Setelah membaca panduan, gunakan daftar berikut sebagai pemeriksaan berkala:
- ☐ Setiap akun penting menggunakan kata sandi berbeda, atau passkey yang dikelola dengan aman.
- ☐ MFA aktif pada email, media sosial, dan layanan keuangan yang mendukungnya.
- ☐ Nomor telepon dan email pemulihan masih aktif.
- ☐ Tidak ada perangkat login yang tidak dikenal.
- ☐ Tidak ada aplikasi pihak ketiga mencurigakan yang mendapat akses akun.
- ☐ Sistem operasi, browser, dan aplikasi penting mendapatkan pembaruan.
- ☐ Kamu tahu alamat situs pemulihan resmi sebelum keadaan darurat terjadi.
Pertanyaan yang sering diajukan
Apakah verifikasi dua langkah membuat akun pasti aman?
Tidak. MFA mengurangi risiko akses tidak sah, tetapi serangan phishing, penipuan yang memancing persetujuan login, atau perangkat yang sudah dikuasai pihak lain masih bisa berbahaya. Keamanan perlu beberapa lapis perlindungan.
Apakah passkey berarti kata sandi Google langsung dihapus?
Tidak. Menambahkan passkey ke Akun Google tidak otomatis menghapus semua metode login dan pemulihan lainnya. Pengaturan akun menentukan metode yang masih tersedia.
Haruskah menggunakan aplikasi pengelola kata sandi berbayar?
Tidak harus. Pilih layanan pengelola kata sandi yang bereputasi baik dan sesuai kebutuhan. Periksa cara perlindungan data, cara pemulihan, dan fitur ekspor sebelum memilih, termasuk bila menggunakan opsi gratis.
Kalau sudah menggunakan passkey, apakah masih perlu waspada phishing?
Ya. Passkey membantu mencegah pencurian kredensial lewat situs palsu, tetapi penjahat masih bisa menipu korban agar membagikan data pribadi, mentransfer uang, atau memasang aplikasi berbahaya.
Kesimpulan
Langkah terbaik untuk pemula adalah mengamankan email utama terlebih dahulu, memakai metode login yang kuat dan unik, mengaktifkan MFA atau passkey, serta memeriksa perangkat dan opsi pemulihan. Setelah itu, buat kebiasaan sederhana: berhenti sejenak sebelum membuka tautan mencurigakan dan pasang pembaruan keamanan.
Kamu tidak perlu menyelesaikan semua hal sekaligus. Mulailah dari audit 15 menit di bagian awal, lalu lanjutkan pemeriksaan akun lain berdasarkan tingkat kepentingannya.
Referensi resmi
- Bantuan Akun Google — Membuat akun lebih aman.
- Bantuan Akun Google — Login dengan kunci sandi.
- Bantuan Akun Google — Mengamankan akun yang diretas.
- CISA — Four Easy Ways to Stay Safe Online (PDF).
Catatan editorial: Artikel ini merupakan panduan berdasarkan dokumentasi resmi, bukan klaim pengujian langsung terhadap seluruh layanan atau perangkat. Nama dan letak menu dapat berubah mengikuti pembaruan aplikasi.