Sertifikat SSL/TLS adalah dokumen digital yang membuktikan identitas sebuah situs web dan memungkinkan browser Anda membuat koneksi HTTPS terenkripsi dengannya. Sertifikat ini mengikat nama domain ke sebuah kunci publik dan ditandatangani oleh certificate authority (CA) yang sudah dipercaya browser.
Setiap kali Anda melihat https:// dan ikon gembok atau indikator serupa di bilah alamat, sebuah sertifikat baru saja diperiksa sepersekian detik sebelumnya. Sertifikat menjalankan dua tugas sekaligus: mengautentikasi server, sehingga Anda tahu sedang berhubungan dengan example.com yang asli dan bukan penipu, serta mengaktifkan enkripsi, sehingga tidak ada pihak di jalur jaringan yang bisa membaca atau mengubah apa yang Anda kirim.
SSL vs TLS: apa bedanya?
SSL (Secure Sockets Layer) adalah protokol asli yang dikembangkan oleh Netscape pada 1990-an. Protokol ini digantikan oleh TLS (Transport Layer Security), dan semua versi SSL kini dianggap tidak aman serta telah resmi dinyatakan usang. TLS 1.0 dan 1.1 juga dinyatakan usang melalui RFC 8996 (2021), sehingga koneksi modern memakai TLS 1.2 atau TLS 1.3.
Namun istilah "sertifikat SSL" terlanjur melekat. Sertifikat itu sendiri tidak terikat pada versi protokol tertentu; sertifikat yang sama berfungsi dengan versi TLS apa pun. "Sertifikat SSL", "sertifikat TLS", dan "sertifikat HTTPS" semuanya berarti hal yang sama.
Cara kerja handshake TLS
Sebelum data halaman web apa pun dipertukarkan, browser dan server melakukan handshake. Secara sederhana, handshake TLS 1.3 berjalan seperti ini:
- Client hello. Browser terhubung, biasanya melalui port 443, dan menyebutkan versi TLS serta cipher suite yang didukungnya. Browser menyertakan hostname yang dituju (melalui ekstensi Server Name Indication, sehingga satu alamat IP dapat menampung banyak situs) dan bagiannya dari pertukaran kunci.
- Server hello. Server memilih parameter, mengirim bagian kuncinya sendiri, dan menyajikan sertifikat beserta tanda tangan yang membuktikan bahwa server memegang kunci privat yang sesuai.
- Verifikasi. Browser memeriksa apakah sertifikat mencakup hostname tersebut, masih dalam tanggal berlakunya, dan tersambung melalui rantai ke root CA tepercaya.
- Kunci sesi. Kedua pihak menurunkan kunci sesi simetris yang sama dari pertukaran kunci. Semua lalu lintas selanjutnya dienkripsi dengan kunci tersebut.
Kunci privat tidak pernah meninggalkan server. Kriptografi kunci publik hanya dipakai untuk mengautentikasi dan menyepakati kunci; data dalam jumlah besar dienkripsi dengan cipher simetris yang cepat seperti AES-GCM atau ChaCha20-Poly1305. TLS 1.3 menyelesaikannya dalam satu round trip, dibandingkan dua pada TLS 1.2.
Apa saja isi sertifikat
Sertifikat mengikuti standar X.509 dan berisi, antara lain, bidang-bidang berikut:
- Subject Alternative Names (SAN): hostname yang sah untuk sertifikat tersebut. Browser memeriksa daftar ini, bukan bidang Common Name yang lebih lama.
- Kunci publik: kunci publik RSA atau ECDSA milik server.
- Issuer: CA yang menandatangani sertifikat.
- Masa berlaku: tanggal "Not Before" dan "Not After".
- Nomor seri dan tanda tangan: pengenal unik dan tanda tangan issuer atas semua bidang di atas.
Sertifikat SAN dan wildcard
Satu sertifikat dapat mencakup banyak nama dengan mencantumkannya sebagai SAN, misalnya example.com, www.example.com, dan shop.example.com. Wildcard seperti *.example.com mencakup satu label apa pun pada tingkat tersebut, sehingga cocok dengan www.example.com dan api.example.com, tetapi tidak dengan example.com itu sendiri maupun nama yang lebih dalam seperti a.b.example.com. Karena itu sertifikat wildcard biasanya mencantumkan domain tanpa subdomain sebagai SAN tambahan.
Sertifikat DV, OV, dan EV
Sertifikat berbeda dalam seberapa teliti CA memeriksa pemohon sebelum menerbitkannya:
| Jenis | Yang diverifikasi | Penggunaan umum |
|---|---|---|
| Domain Validated (DV) | Hanya bahwa pemohon mengendalikan domain, melalui record DNS, file di situs web, atau email | Sebagian besar situs web; diterbitkan otomatis dalam hitungan detik |
| Organization Validated (OV) | Kendali atas domain ditambah keberadaan hukum organisasi | Bisnis yang ingin nama perusahaan tercantum di detail sertifikat |
| Extended Validation (EV) | Pemeriksaan badan hukum yang lebih ketat dan terstandar | Beberapa bank dan perusahaan besar |
Ketiganya memberikan kekuatan enkripsi yang persis sama. Perbedaannya hanya pada informasi identitas. Browser utama berhenti menampilkan nama perusahaan berwarna hijau khusus untuk sertifikat EV sekitar tahun 2019, jadi bagi sebagian besar situs, sertifikat DV adalah pilihan yang praktis.
Rantai kepercayaan
Sistem operasi dan browser Anda dilengkapi root store: daftar sertifikat root CA yang mereka percayai. Root CA jarang menandatangani sertifikat situs web secara langsung. Sebaliknya, mereka menandatangani sertifikat intermediate, yang menandatangani sertifikat leaf (server):
Root CA (in the browser's trust store)
└── Intermediate CA (sent by the server)
└── www.example.com (leaf certificate, sent by the server)Server harus mengirim sertifikat leaf-nya dan sertifikat intermediate. Browser lalu memverifikasi setiap tanda tangan sampai ke root yang sudah dipercayainya. Susunan ini memungkinkan kunci root tetap offline dan terlindungi dengan baik. Untuk mencegah penerbitan yang salah, sertifikat yang dipercaya publik juga dicatat di log publik Certificate Transparency, dan pemilik domain dapat membatasi CA mana yang boleh menerbitkan sertifikat untuk domain mereka dengan record DNS CAA, seperti dijelaskan dalam panduan kami tentang jenis record DNS.
Let's Encrypt dan masa berlaku sertifikat
Let's Encrypt, CA nirlaba, membuat sertifikat DV gratis menjadi arus utama. Sertifikatnya berlaku 90 hari dan dirancang untuk diperbarui otomatis memakai protokol ACME, dengan klien seperti Certbot atau fitur bawaan banyak web server dan panel hosting. Sebagian besar penyedia hosting dan CDN kini menerbitkan dan memperbarui sertifikat tanpa langkah manual.
Masa berlaku di seluruh industri semakin pendek. Berdasarkan ballot SC-081 CA/Browser Forum, masa berlaku maksimum sertifikat TLS yang dipercaya publik dikurangi secara bertahap, dimulai dengan 200 hari sejak Maret 2026 dan turun lagi pada tahun-tahun berikutnya. Jadwal pastinya mungkin masih berubah, tetapi arahnya jelas: otomatiskan perpanjangan, karena memperbarui sertifikat secara manual akan semakin tidak praktis.
Error sertifikat umum dan cara memperbaikinya
Sertifikat kedaluwarsa
Browser menampilkan error seperti NET::ERR_CERT_DATE_INVALID. Perbarui sertifikat dan muat ulang web server. Lalu cari tahu mengapa perpanjangan otomatis gagal, yang sering disebabkan oleh firewall yang memblokir validasi, perubahan DNS, atau cron job yang rusak. Jam yang salah di perangkat pengunjung dapat menyebabkan error yang sama, jadi periksa tanggalnya jika hanya satu perangkat yang bermasalah.
Nama tidak cocok
Error seperti ERR_CERT_COMMON_NAME_INVALID berarti hostname di bilah alamat tidak ada dalam daftar SAN sertifikat, misalnya sertifikat untuk www.example.com dipakai untuk example.com. Terbitkan ulang sertifikat agar mencakup setiap hostname yang Anda layani, atau arahkan pengunjung ke nama yang tercakup.
Rantai tidak lengkap
Jika server hanya mengirim sertifikat leaf tanpa sertifikat intermediate-nya, sebagian browser mengatasinya dengan mengambil atau menyimpan di cache bagian yang hilang, sementara yang lain, bersama banyak alat baris perintah dan aplikasi, gagal. Konfigurasikan server dengan file rantai lengkap (sering disebut fullchain.pem).
Self-signed atau issuer tidak tepercaya
NET::ERR_CERT_AUTHORITY_INVALID berarti rantai tidak berujung pada root tepercaya, biasanya karena sertifikat self-signed atau berasal dari CA privat. Itu tidak masalah untuk pengujian internal, tetapi tidak untuk situs publik; gantilah dengan sertifikat dari CA publik. Error yang sama dapat muncul ketika perangkat lunak antivirus atau proxy perusahaan mencegat HTTPS.
Mixed content
Sertifikatnya valid, tetapi halaman memuat skrip atau gambar melalui http:// biasa. Ubah URL tersebut menjadi HTTPS, dan pertimbangkan header HSTS agar browser selalu memakai HTTPS.
openssl s_client -connect example.com:443 -servername example.com mencetak rantai lengkap yang dikirim server.Pertanyaan yang sering diajukan
Apakah HTTPS berarti situs web itu aman?
Tidak. HTTPS berarti koneksi Anda ke situs terenkripsi dan situs tersebut mengendalikan domain yang ditampilkan. Situs phishing bisa dan memang memiliki sertifikat DV yang valid. Selalu periksa nama domainnya sendiri.
Apakah sertifikat gratis kurang aman daripada yang berbayar?
Tidak. Sertifikat DV gratis dari Let's Encrypt memberikan enkripsi yang sama dengan yang berbayar. Sertifikat berbayar mungkin menambahkan validasi identitas (OV/EV), garansi, atau dukungan, tetapi bukan enkripsi yang lebih kuat.
Berapa lama masa berlaku sertifikat SSL?
Sertifikat Let's Encrypt berlaku 90 hari. CA publik lainnya terikat batas maksimum CA/Browser Forum, yang dipersingkat secara bertahap mulai dari 200 hari pada 2026. Perpanjangan otomatis adalah pendekatan paling aman.
Port berapa yang dipakai HTTPS?
HTTPS memakai port TCP 443 secara default, sedangkan HTTP biasa memakai port 80. Lihat panduan kami tentang port jaringan umum untuk selengkapnya.