AI Agent Starter Kit

Cara pakai

• Mulai dari prompt Read-only. Prompt itu tidak bisa merusak apa pun.
• Ganti bagian dalam [kurung siku] dengan domain atau path kamu.
• Sebelum menjalankan prompt bertanda No destructive, backup dulu, lalu naikkan level akses khusus untuk langkah itu.
• Prompt ini ditulis untuk Claude Desktop. Kalau kamu pakai aplikasi lain, sebut nama koneksi MCP di aplikasimu.

Checklist keamanan

Versi lengkap dari slide. Empat yang pertama kali perlu dibiasakan: mulai dari read-only, backup, sebut target, baca rencananya.

1. Pilih level akses serendah mungkin. Read-only sudah cukup untuk sebagian besar kebutuhan: baca log, cari file rusak, cari kode sisipan. Naikkan level untuk satu tugas, lalu turunkan lagi.
2. Tahu apa saja yang bisa dijangkau. File, database, domain dan DNS, Git deploy, dan sumber daya hosting lain. Semuanya, bukan cuma website yang sedang kamu pikirkan.
3. Perlakukan MCP Password seperti password utama hosting. Cuma ditampilkan sekali. Jangan masuk screenshot, chat, tiket, atau dokumen bersama. Kalau ragu sudah bocor atau belum, reset saja.
4. Periksa tujuan halaman otorisasi. Kalau muncul halaman izin, nama aplikasinya harus sama dengan yang sedang kamu sambungkan. Tujuan yang salah berarti akses hosting jatuh ke pihak lain.

5. Backup dulu. Setiap kali. Agent yang salah, salahnya cepat.
6. Sebut target dengan jelas. Domain ini, folder ini, file ini. Perintah kabur mengundang tafsir luas.
7. Minta rencananya sebelum perubahannya. Baca. Kalau rencananya menyentuh sesuatu yang tidak kamu duga, itu peringatan yang kamu cari.
8. Satu tugas satu kali. Kalau lima perintah digabung, kamu menyetujui langkah pertama dan empat sisanya ikut lewat.

9. Cek apa yang benar-benar dilakukan. Lihat riwayat tool yang dijalankan di chat, bukan cuma ringkasan yang dia tulis.
10. Cabut akses kalau sudah selesai. Koneksi yang tidak dipakai adalah akses yang tidak kamu awasi. Turunkan levelnya atau matikan fiturnya.

11. Konten di server kamu sendiri bisa berisi perintah. Komentar blog, satu baris di log, nama file, file yang diupload orang lain. Waktu agent membacanya, teks itu masuk ke tempat yang sama dengan perintah kamu dan bisa ikut menyetir. Jadi pisahkan: periksa dengan read-only, baca sendiri hasilnya, lalu buka chat baru sebelum menaikkan level dan mengubah.

1. Memeriksa, aman dicoba hari ini

Semua di bagian ini cukup dengan level Read-only.

Cek koneksi

Gunakan MCP DomaiNesia. Periksa apakah koneksi sudah aktif. Jangan ubah atau hapus file apa pun. Tampilkan daftar domain/subdomain dan document root yang tersedia.

Website error, apa penyebabnya

Periksa apakah [domain] bisa diakses. Baca error log, ringkas 10 error terakhir, kelompokkan yang berulang, dan jelaskan kemungkinan penyebabnya. Jangan ubah file apa pun.

Scan malware dan script judol

Periksa file di document root [domain] untuk kode yang mencurigakan: iframe tersembunyi, script ke domain luar, kode yang disamarkan dengan base64, atau link judi. Laporkan file dan barisnya. Jangan hapus apa pun.

Kalau ada temuan, lanjut ke "Bersihkan script yang disusupkan" di bagian 3, di chat baru.

Apa yang diubah freelancer

Tampilkan file di [domain] yang berubah dalam 14 hari terakhir beserta waktunya. Tandai yang tidak wajar.

Kuota hosting hampir penuh

Kuota hosting saya hampir penuh. Tampilkan folder terbesar dan file yang kemungkinan aman dihapus, misalnya cache atau log lama. Laporkan saja, jangan hapus apa pun.

Cek versi PHP, WordPress, dan plugin

Untuk [domain], tampilkan versi PHP, versi WordPress, dan daftar plugin beserta versinya. Tandai yang sudah usang.

2. Situasi usaha kecil

Dikelompokkan menurut masalahnya, bukan menurut fiturnya.

Email selalu masuk spam

Email dari [domain] sering masuk spam. Periksa DNS record MX, SPF, DKIM, dan DMARC. Jelaskan mana yang kurang atau salah dan apa dampaknya. Jangan ubah apa pun.

Hampir semua usaha kecil pernah mengalami ini, dan penyebabnya biasanya ada di DNS, bukan di aplikasi emailnya.

Nomor telepon toko berubah

Langkah 1, cari dulu di mana saja nomor lama muncul:

Nomor telepon toko berubah dari [lama] ke [baru]. Cari semua tempat nomor lama muncul di file dan database [domain]. Laporkan daftarnya dulu, jangan ubah apa pun.

Langkah 2, setelah kamu cek daftarnya dan sudah backup:

Ganti nomor lama dengan yang baru di lokasi yang tadi kamu laporkan. Tunjukkan diff-nya. Jangan sentuh yang lain.

Bentuk yang sama bisa dipakai untuk alamat, jam buka, atau daftar harga.

Subdomain untuk kampanye

Buatkan subdomain promo.[domain] dengan document root sendiri. Tunjukkan rencananya dulu sebelum dibuat.

Pindah ke layanan baru tanpa mematikan email

Saya mau arahkan [domain] ke layanan baru di [IP atau target]. Tunjukkan record apa saja yang perlu berubah, dan pastikan MX serta SPF tidak ikut berubah supaya email tetap jalan. Jelaskan dulu, jangan terapkan.

Waktu mengarahkan domain ke website baru, record email sering ikut terganti dan kotak masuk kantor berhenti menerima email. Prompt ini cuma membuat rencananya. Terapkan sendiri setelah dicek, atau minta agent menerapkan dengan level No destructive.

Backup sebelum ada yang diubah

Buat backup penuh untuk [domain] sekarang. Konfirmasi kalau sudah selesai dan sebutkan di mana backup disimpan.

Pengunjung melihat peringatan keamanan

Periksa status SSL untuk [domain]. Kapan kedaluwarsa, dan apakah semua subdomain tercakup?

3. Perbaikan, backup dulu

Jalankan di chat baru setelah pemeriksaan read-only selesai dan hasilnya sudah kamu baca.

Perbaiki error, dengan persetujuan

Berdasarkan error di log tadi, jelaskan perbaikan yang kamu usulkan untuk file [path]. Tunjukkan rencananya dulu. Setelah saya setujui, terapkan ke file itu saja.

Path file-nya ada di hasil baca error log sebelumnya.

Bersihkan script yang disusupkan

Hapus kode injeksi yang tadi kamu temukan di [path]. Tunjukkan diff sebelum dan sesudah. Jangan sentuh file lain.

Setelah bersih, ganti password hosting, WordPress, dan MCP Password. Kode sisipan biasanya masuk lewat salah satunya.