Banyak pemilik website menganggap gembok kecil di kotak alamat browser sebagai tanda bahwa situsnya sudah aman sepenuhnya. Kenyataannya, gembok itu hanya menandakan satu hal: koneksi antara pengunjung dan server berjalan terenkripsi. Pertanyaan apa itu SSL sering dijawab dengan definisi teknis, padahal yang lebih berguna adalah memahami apa yang dilindungi, apa yang tidak, dan apa yang harus dilakukan kalau gemboknya menghilang. Artikel ini membahas ketiganya, termasuk langkah pemasangannya di website yang sudah berjalan.
Apa Itu SSL dan Bedanya dengan HTTPS?
SSL adalah singkatan dari Secure Sockets Layer, protokol yang mengenkripsi lalu lintas data antara browser dan server. Versi penerusnya bernama TLS (Transport Layer Security), dan istilah inilah yang sebenarnya dipakai di internet hari ini meski orang masih menyebutnya SSL. Penjelasan teknisnya ada di dokumentasi MDN tentang TLS.
HTTPS sendiri adalah versi aman dari HTTP. Huruf S di akhirnya menandakan bahwa data yang dikirim melewati lapisan TLS terlebih dahulu. Jadi urutannya begini: SSL/TLS adalah protokolnya, sertifikat SSL adalah berkas digital yang membuktikan identitas server, dan HTTPS adalah alamat yang dipakai pengunjung. Ketika orang bertanya apa itu SSL, ketiganya biasanya dianggap satu hal yang sama.
Yang Benar-Benar Dilindungi SSL
Ada tiga hal yang dikerjakan enkripsi ini, dan semuanya relevan untuk website bisnis.
- Enkripsi data. Data yang dikirim pengunjung tidak lagi berbentuk teks polos. Kata sandi, nomor telepon, atau isian formulir tidak bisa dibaca pihak lain yang menyadap jaringan.
- Autentikasi server. Sertifikat yang diterbitkan otoritas resmi memastikan pengunjung benar-benar terhubung ke server domain yang dituju, bukan ke server tiruan.
- Integritas data. Perubahan isi data di tengah perjalanan bisa terdeteksi, sehingga isi formulir tidak bisa disisipi atau diubah diam-diam.
Yang perlu diluruskan: HTTPS tidak menjamin pemilik situs jujur. Situs palsu pun bisa memasang sertifikat dan menampilkan gembok. Karena itu, gembok sebaiknya dibaca sebagai penanda koneksi terenkripsi, bukan sebagai bukti bahwa situs itu layak dipercaya. Penilaian kepercayaan tetap bergantung pada identitas penjual, ulasan, dan kejelasan kontak.
Kenapa Website Wajib Pakai HTTPS
Ada tiga alasan praktis, dan alasan ketiga paling sering diabaikan.
Peringatan browser. Sejak 2018 browser Chrome menandai semua situs HTTP sebagai tidak aman, seperti dijelaskan pada pengumuman resmi Chromium tentang web yang aman. Peringatan ini muncul sebelum pengunjung melihat isi halaman, jadi kesan pertama bisa rusak lebih dulu.
Isyarat peringkat pencarian. Google menyebut HTTPS sebagai salah satu sinyal peringkat, sebagaimana diuraikan pada panduan HTTPS di Google Search Central. Pengaruhnya tidak sebesar kualitas konten, tetapi tetap masuk perhitungan.
Perlindungan data pengunjung. Website yang meminta nama, nomor telepon, atau berkas pendaftaran memproses data pribadi. Menjalankannya tanpa enkripsi adalah risiko yang tidak perlu diambil, terutama bagi toko online dan layanan yang menerima pembayaran. Untuk konteks bisnis di Indonesia, pembahasan pada artikel cara jualan online untuk pemula menyentuh bagian pengamanan data pesanan.
Cara Kerja SSL dalam Bahasa Sederhana
Proses ini berjalan dalam hitungan milidetik, jadi pengunjung tidak merasakannya. Urutannya kurang lebih seperti ini:
- Browser menghubungi server dan meminta identitasnya.
- Server mengirim salinan sertifikat yang memuat kunci publik.
- Browser memeriksa sertifikat: apakah diterbitkan otoritas tepercaya, masih berlaku, dan cocok dengan nama domain.
- Kedua pihak menyepakati kunci sesi yang hanya berlaku untuk koneksi itu.
- Seluruh data setelahnya dikirim dalam bentuk terenkripsi.
Kalau langkah ketiga gagal, browser menampilkan peringatan dan pengunjung diminta memutuskan sendiri apakah tetap melanjutkan. Peringatan inilah yang membuat situs dengan sertifikat bermasalah kehilangan calon pembeli.
Jenis Sertifikat SSL dan Pilihan Gratis
Dari sisi validasi, sertifikat terbagi tiga tingkat. Domain Validation (DV) hanya memverifikasi kepemilikan domain dan paling cepat diterbitkan. Organization Validation (OV) memeriksa legalitas lembaga. Extended Validation (EV) melalui pemeriksaan paling ketat. Untuk sebagian besar website bisnis kecil dan menengah, DV sudah memadai karena yang dirasakan pengunjung tetap sama: koneksi terenkripsi.
Dari sisi cakupan, ada sertifikat untuk satu domain, satu domain beserta subdomainnya (wildcard), dan beberapa domain sekaligus. Pilihan ini penting kalau Anda memakai subdomain untuk toko atau portal terpisah.
Sertifikat tidak harus berbayar. Let’s Encrypt menerbitkan sertifikat gratis dan otomatis, dan banyak penyedia hosting sudah memasangnya sebagai bawaan. Bedanya dengan berbayar biasanya pada masa berlaku, dukungan, dan garansi, bukan pada kekuatan enkripsinya.
Kapan Sertifikat Berbayar Lebih Masuk Akal
Untuk sebagian besar website, sertifikat gratis sudah memadai dan tidak perlu diganti. Ada beberapa situasi yang membuat versi berbayar lebih masuk akal:
- Banyak domain atau subdomain. Mengelola beberapa sertifikat terpisah bisa lebih merepotkan daripada satu sertifikat dengan cakupan lebih luas.
- Butuh dukungan saat bermasalah. Sertifikat berbayar umumnya menyertakan bantuan teknis dan garansi bila terjadi kesalahan penerbitan.
- Perlu identitas lembaga yang lebih tegas. Sertifikat dengan validasi organisasi diterbitkan atas nama badan usaha, berguna bagi lembaga yang ingin jejak legalitasnya jelas.
Sebelum membeli, pastikan masalah yang Anda hadapi memang soal cakupan atau dukungan, bukan sekadar gembok yang tidak muncul. Pada kasus terakhir, penyebabnya biasanya konten campuran atau pengalihan alamat yang belum rapi, dan keduanya bisa diperbaiki tanpa biaya tambahan.
Cara Memasang SSL di Website
Untuk website yang sudah berjalan, urutannya seperti ini:
- Periksa ketersediaan di hosting. Buka panel hosting dan cari menu SSL atau keamanan. Sebagian besar paket sudah menyediakan sertifikat gratis yang bisa diaktifkan satu klik.
- Aktifkan sertifikat. Pilih domain yang dituju, lalu jalankan proses penerbitan. Proses ini biasanya selesai dalam beberapa menit sampai beberapa jam.
- Paksa semua kunjungan ke HTTPS. Pasang pengalihan permanen dari versi http ke https untuk semua halaman, termasuk variasi www dan non-www. Tanpa langkah ini, situs Anda tetap bisa dibuka lewat alamat tidak aman.
- Perbarui tautan internal dan berkas pendukung. Gambar, skrip, atau stylesheet yang masih dipanggil lewat http akan membuat gembok hilang meski sertifikatnya aktif. Pindai halaman utama dan halaman yang paling sering dibuka, lalu perbaiki satu per satu.
- Uji hasilnya. Buka beberapa halaman di ponsel dan desktop, pastikan gembok muncul, dan periksa apakah ada peringatan campuran konten di konsol browser.
- Perbarui peta situs. Kirim ulang sitemap ke alat pemantau Google agar versi https dikenali lebih cepat, seperti dijelaskan pada artikel cara agar website muncul di Google.
- Aktifkan perpanjangan otomatis. Sertifikat gratis umumnya berumur pendek dan harus diperbarui berkala. Pastikan pembaruan otomatis aktif, atau catat tanggal kedaluwarsanya.
Kalau website Anda masih dalam tahap perencanaan, urusan ini biasanya sudah termasuk dalam paket pembuatan website. Sebagai gambaran kebutuhan awal, penjelasan pada artikel domain dan hosting memuat pilihan paket yang menyediakan sertifikat bawaan. Anda juga bisa melihat contoh pekerjaan pada halaman portofolio dan harga.
Gembok Hilang atau Muncul Peringatan: Penyebab Umum
Kalau sertifikat sudah terpasang tetapi tampilannya masih bermasalah, biasanya penyebabnya salah satu dari lima hal berikut:
- Sertifikat kedaluwarsa. Terjadi ketika pembaruan otomatis gagal dan tidak ada yang memantau. Ini penyebab paling sering muncul pada situs lama.
- Nama domain tidak cocok. Sertifikat diterbitkan untuk domain tertentu. Jika pengunjung membuka versi www sementara sertifikat hanya mencakup non-www, browser menganggapnya tidak valid.
- Campuran konten. Halaman sudah https, tetapi masih memuat gambar atau skrip dari alamat http.
- Sertifikat belum dipasang di lapisan CDN atau proxy. Perlu dipasang di dua tempat: server asal dan lapisan yang menghadap pengunjung.
- Pengalihan yang tidak rapi. Rantai pengalihan berlapis, misalnya http ke https lalu ke www, memperlambat halaman dan kadang membingungkan pemeriksaan browser.
Cara Memeriksa Sertifikat Website dalam Satu Menit
Tidak perlu alat khusus. Klik ikon gembok di kotak alamat, lalu periksa tiga hal: nama penerbit sertifikat, tanggal berlaku, dan nama domain yang tercantum. Pastikan domainnya sesuai dengan alamat yang Anda buka, termasuk versi www atau non-www. Untuk pemeriksaan yang lebih teliti, buka menu pengembang di browser dan lihat tab keamanan untuk memastikan tidak ada konten yang dimuat lewat koneksi tidak aman. Lakukan pemeriksaan ini setiap tiga bulan, terutama kalau situs Anda tidak memakai pembaruan otomatis.
Fitur Browser yang Tidak Berjalan Tanpa HTTPS
Alasan lain memasang SSL adalah akses ke fitur browser yang kini mewajibkannya. Menurut penjelasan kenapa HTTPS penting di web.dev, fitur seperti mengambil foto atau merekam suara, mode offline lewat service worker, hingga aplikasi web progresif hanya aktif pada situs yang diakses lewat HTTPS. Beberapa API lama pun diperbarui dengan syarat serupa, misalnya geolokasi.
Dalam praktik, website yang ingin memakai formulir berisi unggahan foto, tombol lokasi, atau notifikasi tidak bisa mengandalkan HTTP. Jadi kalau Anda merencanakan fitur semacam itu, jawaban dari pertanyaan apa itu SSL sekaligus menjadi daftar syarat teknis yang harus dipenuhi lebih dulu.
Checklist Setelah SSL Terpasang
Setelah sertifikat aktif, ada beberapa hal yang mudah terlewat dan membuat gembok hilang kembali.
- Tautan lama di templat email, tanda tangan email, atau keterangan profil media sosial yang masih memakai alamat http.
- Gambar dan skrip yang masih dipanggil lewat http di halaman tertentu, terutama halaman yang dibuat sebelum HTTPS aktif.
- Tag canonical dan peta situs yang belum diperbarui ke versi https.
- Dua versi alamat yang sama-sama hidup, sehingga pengunjung bisa masuk lewat alamat berbeda dan data pencarian terbagi di antara keduanya.
- Pemantauan tanggal berlaku sertifikat, supaya tidak ada pemeriksaan mendadak saat peringatan mulai muncul.
Periksa daftar ini sebulan setelah pemasangan, lalu ulangi setiap kuartal. Pengujian rutin jauh lebih murah daripada memperbaiki kepercayaan pengunjung yang sudah melihat halaman peringatan.
Pertanyaan yang Sering Diajukan
Apa itu SSL secara singkat?
SSL adalah protokol keamanan yang mengenkripsi data antara browser dan server. Versi terbarunya disebut TLS, tetapi orang masih menyebutnya SSL. Website yang memakainya diakses lewat alamat HTTPS.
Apakah SSL wajib untuk semua website?
Dianjurkan untuk semua situs, dan praktis wajib bagi yang meminta data pengunjung, menerima pendaftaran, atau menjual produk. Browser menandai situs tanpa HTTPS sebagai tidak aman.
Apakah sertifikat SSL gratis cukup aman?
Cukup untuk sebagian besar kebutuhan. Sertifikat gratis dari Let’s Encrypt memakai enkripsi yang sama kuatnya dengan sertifikat berbayar. Perbedaannya ada pada masa berlaku, dukungan, dan garansi.
Apakah HTTPS menjamin website tepercaya?
Tidak. HTTPS hanya memastikan koneksi terenkripsi. Situs penipuan juga bisa memasang sertifikat, jadi kepercayaan tetap perlu dinilai dari identitas penjual dan kejelasan kontak.
Apa yang terjadi kalau sertifikat kedaluwarsa?
Browser menampilkan peringatan bahwa koneksi tidak aman sebelum halaman terbuka. Pengunjung biasanya memilih keluar, dan sebagian mesin pencari menurunkan kepercayaan pada halaman tersebut.
Kalau website Anda belum memakai HTTPS atau sertifikatnya sering bermasalah, tim Lenteraweb bisa memeriksa sekaligus merapikannya, mulai dari pemasangan sertifikat, pengalihan alamat, sampai pemeriksaan konten campuran. Contoh pekerjaan dan paketnya ada di halaman jasa pembuatan website serta panduan memilih hosting.
Baca juga: domain dan hosting · tips melindungi situs web dari ancaman siber · cara jualan online untuk pemula
Tim Lenteraweb menulis panduan praktis soal pembuatan website, SEO, dan digital marketing berdasarkan pengalaman mengerjakan proyek klien. Blog ini dikelola oleh tim yang sama yang memproduksi website dan menangani kampanye digital untuk bisnis di Indonesia.
