Pernah membuka website sendiri, melihat alamatnya sudah menggunakan https://, tetapi browser masih menampilkan peringatan keamanan?
Situasi seperti ini cukup membingungkan. Apalagi jika sertifikat SSL sudah dibeli, dipasang, dan seharusnya membuat koneksi website lebih aman.
Namun, ada satu hal yang perlu dipahami: menggunakan HTTPS saja belum menjamin bahwa konfigurasi keamanan website sudah benar.
HTTPS bekerja dengan bantuan sertifikat SSL/TLS dan konfigurasi server yang sesuai. Jika ada bagian yang bermasalah, browser dapat menampilkan peringatan meskipun alamat website sudah diawali dengan HTTPS.
Lalu, apa saja penyebabnya dan bagaimana cara mengatasinya?
1. Sertifikat SSL Sudah Kedaluwarsa
Salah satu penyebab paling umum adalah sertifikat SSL yang sudah melewati masa berlakunya.
Sertifikat SSL/TLS memiliki periode validitas. Setelah masa tersebut berakhir, sertifikat perlu diperbarui dan dipasang kembali agar koneksi HTTPS dapat diverifikasi dengan benar.
Masalahnya, proses pembaruan terkadang terlupakan. Hal ini bisa terjadi ketika pengelola website tidak memiliki pengingat, proses perpanjangan masih dilakukan secara manual, atau sertifikat baru sudah diterbitkan tetapi belum dipasang di server.
Bagaimana cara mengatasinya?
- Periksa tanggal mulai dan berakhirnya masa berlaku sertifikat.
- Pastikan sertifikat yang terpasang di server merupakan sertifikat yang masih valid.
- Jika sudah kedaluwarsa, lakukan pembaruan dan pastikan sertifikat terbaru benar-benar aktif.
Perlu diingat, membeli atau memperpanjang sertifikat saja tidak selalu berarti masalah langsung selesai. Pemasangan dan konfigurasi pada server tetap perlu diperiksa.
2. Nama Domain Tidak Sesuai dengan Sertifikat SSL
Bayangkan Anda memiliki website contoh.com, tetapi sertifikat SSL yang terpasang hanya berlaku untuk www.contoh.com.
Keduanya memang berkaitan, tetapi browser tetap memeriksa apakah nama domain yang diakses tercakup dalam sertifikat.
Jika nama tersebut tidak cocok, browser dapat menampilkan pesan seperti “Your connection is not private” atau kesalahan sertifikat yang menunjukkan ketidakcocokan nama.
Masalah serupa dapat terjadi ketika sertifikat dipasang pada server yang salah atau ketika website menggunakan subdomain yang tidak tercakup dalam sertifikat.
Bagaimana cara mengatasinya?
- Periksa domain yang tercantum dalam sertifikat, termasuk bagian Subject Alternative Name (SAN).
- Pastikan nama domain yang diakses pengguna tercakup dalam sertifikat.
- Jika menggunakan beberapa subdomain, periksa apakah semuanya sudah dilindungi oleh sertifikat yang sesuai.
Jangan berasumsi bahwa sertifikat untuk satu domain otomatis mencakup seluruh subdomain. Cakupannya bergantung pada nama yang tercantum di sertifikat dan jenis sertifikat yang digunakan.
3. Sertifikat SSL Tidak Terpasang dengan Lengkap
Sertifikat SSL/TLS tidak selalu berdiri sendiri. Dalam banyak konfigurasi, server juga perlu mengirimkan sertifikat perantara (intermediate certificate) agar browser dapat memverifikasi rantai kepercayaan sertifikat hingga otoritas sertifikat yang dipercaya.
Jika rantai sertifikat tidak lengkap atau salah konfigurasi, sebagian browser, perangkat, atau aplikasi dapat mengalami kesulitan memverifikasi koneksi.
Akibatnya, website mungkin bisa dibuka pada satu perangkat, tetapi menampilkan kesalahan pada perangkat lainnya.
Bagaimana cara mengatasinya?
- Periksa apakah sertifikat utama dan sertifikat perantara sudah dikonfigurasi dengan benar.
- Gunakan file sertifikat yang sesuai dengan panduan penyedia SSL.
- Periksa konfigurasi HTTPS pada web server, seperti Nginx, Apache, atau layanan server lain yang digunakan.
- Uji koneksi dari lebih dari satu browser atau perangkat setelah perbaikan.
Jika masalah ini terjadi setelah pergantian sertifikat atau migrasi server, konfigurasi rantai sertifikat menjadi salah satu hal yang patut diperiksa.
4. Masih Ada Mixed Content pada Website
Ini salah satu masalah yang sering muncul setelah website dipindahkan dari HTTP ke HTTPS.
Mixed content terjadi ketika halaman utama sudah dimuat melalui HTTPS, tetapi masih memanggil sebagian sumber daya menggunakan HTTP.
Contohnya:
- Gambar masih dimuat dari alamat
http://. - File JavaScript atau CSS menggunakan HTTP.
- Konten dari layanan eksternal belum menggunakan koneksi HTTPS.
Dalam kondisi ini, browser dapat memblokir sumber daya tertentu atau menampilkan peringatan bahwa sebagian konten tidak aman. Dampaknya bergantung pada jenis sumber daya dan kebijakan browser.
Bagaimana cara mengatasinya?
Periksa sumber daya yang digunakan halaman website, lalu ubah URL HTTP menjadi HTTPS apabila sumber daya tersebut mendukung koneksi aman.
Anda juga bisa memeriksa Console pada Developer Tools di browser untuk mencari pesan terkait mixed content.
Penting untuk dipahami bahwa mixed content berbeda dari sertifikat yang kedaluwarsa atau tidak cocok dengan domain. Sertifikat bisa saja valid, tetapi halaman website tetap memiliki masalah karena cara konten dimuat.
5. Sertifikat Diterbitkan oleh Pihak yang Tidak Dipercaya Browser
Browser memeriksa apakah sertifikat berasal dari otoritas sertifikat (Certificate Authority atau CA) yang dipercaya dan apakah rantai sertifikatnya dapat diverifikasi.
Jika server menggunakan sertifikat self-signed, sertifikat dari CA yang tidak dipercaya oleh perangkat, atau rantai sertifikat yang bermasalah, browser dapat menampilkan peringatan.
Sertifikat self-signed tidak selalu salah untuk semua penggunaan. Sertifikat seperti ini dapat digunakan pada lingkungan pengujian atau sistem internal tertentu. Namun, untuk website publik, sertifikat tersebut umumnya tidak akan dipercaya secara otomatis oleh browser biasa.
Bagaimana cara mengatasinya?
Untuk website publik, gunakan sertifikat dari CA yang dipercaya oleh browser dan pastikan konfigurasi rantai sertifikatnya benar. Jika masalah hanya terjadi pada jaringan atau perangkat tertentu, periksa juga kemungkinan adanya proxy, inspeksi HTTPS, atau kebijakan keamanan internal yang memengaruhi koneksi.
6. Waktu pada Perangkat atau Server Tidak Akurat
Terkadang, masalah tidak berasal dari sertifikat itu sendiri.
Jika tanggal, waktu, atau zona waktu pada perangkat pengguna tidak akurat, browser dapat salah menilai apakah sertifikat sudah berlaku atau sudah kedaluwarsa.
Konfigurasi waktu server yang tidak tepat juga dapat menimbulkan kendala pada sejumlah layanan yang bergantung pada validasi waktu.
Bagaimana cara mengatasinya?
Pastikan tanggal, waktu, dan zona waktu pada perangkat sudah benar. Aktifkan sinkronisasi waktu otomatis jika tersedia.
Jika masalah tetap terjadi pada banyak perangkat, periksa konfigurasi waktu server serta tanggal validitas sertifikat yang digunakan.
7. Sertifikat Sudah Diperbarui, tetapi Server Masih Menggunakan Sertifikat Lama
Pernah memperbarui SSL, tetapi peringatan keamanan tidak juga hilang?
Ada kemungkinan sertifikat baru sudah diterbitkan, tetapi belum digunakan oleh layanan yang melayani koneksi HTTPS.
Hal ini dapat terjadi karena:
- File sertifikat baru belum dipasang pada lokasi yang benar.
- Konfigurasi web server belum diperbarui.
- Layanan belum dimuat ulang setelah perubahan konfigurasi.
- Ada beberapa server atau load balancer yang masih menggunakan sertifikat lama.
- Layanan lain, seperti mail server atau reverse proxy, memiliki konfigurasi sertifikat tersendiri.
Bagaimana cara mengatasinya?
Periksa sertifikat yang benar-benar dikirim oleh server saat koneksi dilakukan, bukan hanya file sertifikat yang tersimpan di server.
Jika website menggunakan beberapa server, pastikan semuanya sudah menggunakan sertifikat dan konfigurasi yang sesuai. Setelah melakukan perubahan, uji kembali koneksi HTTPS dari sisi pengguna.
Cara Memeriksa Masalah HTTPS secara Bertahap
Jika website Anda masih menampilkan peringatan keamanan, tidak perlu langsung membeli sertifikat baru. Mulailah dengan mengidentifikasi jenis kesalahannya.
Berikut langkah pemeriksaan awal yang dapat dilakukan:
- Catat pesan kesalahan browser. Perhatikan apakah masalah berkaitan dengan masa berlaku, nama domain, atau kepercayaan sertifikat.
- Periksa sertifikat yang aktif. Pastikan domain, masa berlaku, penerbit, dan rantai sertifikatnya sesuai.
- Periksa konfigurasi website. Cari mixed content dan pastikan sumber daya dimuat dengan benar.
- Periksa server dan layanan terkait. Pastikan sertifikat terbaru sudah digunakan oleh layanan yang tepat.
- Uji kembali setelah perbaikan. Coba akses melalui browser dan perangkat berbeda untuk memastikan masalah sudah teratasi.
Jika membutuhkan pemeriksaan tambahan, Anda dapat menggunakan layanan pemeriksa konfigurasi SSL/TLS seperti Qualys SSL Labs SSL Server Test. Masukkan nama domain publik yang ingin diperiksa dan tinjau hasil pengujiannya.
Perlu diperhatikan bahwa hasil pemeriksaan dapat dipengaruhi oleh konfigurasi server yang berubah, pembatasan akses, atau kondisi jaringan. Gunakan hasil tersebut sebagai alat bantu diagnosis, bukan satu-satunya dasar penilaian keamanan website.
Apakah Berarti Harus Mengganti Sertifikat SSL?
Belum tentu.
Setiap peringatan memiliki penyebab yang berbeda. Sertifikat yang kedaluwarsa mungkin perlu diperbarui, sedangkan masalah mixed content dapat diselesaikan dengan memperbaiki URL sumber daya pada website.
Begitu pula jika masalahnya berasal dari rantai sertifikat atau konfigurasi server. Membeli sertifikat baru tanpa memperbaiki akar masalah belum tentu menyelesaikan kendala.
Karena itu, identifikasi penyebab terlebih dahulu sebelum memutuskan untuk mengganti atau membeli sertifikat SSL baru.
Langkah ini dapat membantu menghemat waktu dan biaya, sekaligus mengurangi risiko gangguan akses pada website.
Kesimpulan
Website yang sudah menggunakan HTTPS tetap bisa menampilkan peringatan keamanan jika sertifikat atau konfigurasi koneksinya bermasalah.
Penyebabnya bisa berupa sertifikat kedaluwarsa, nama domain yang tidak cocok, rantai sertifikat tidak lengkap, mixed content, sertifikat yang tidak dipercaya, waktu perangkat yang tidak akurat, atau server yang masih menggunakan sertifikat lama.
Kabar baiknya, tidak semua masalah tersebut mengharuskan Anda membeli sertifikat baru. Pemeriksaan yang tepat akan membantu menentukan solusi yang sesuai.
Jika Anda sedang memilih sertifikat SSL atau mengalami kendala dalam menentukan sertifikat yang cocok untuk domain dan server, SSLKita dapat membantu Anda memahami pilihan yang tersedia dan hal-hal yang perlu diperiksa sebelum pembelian.
Butuh bantuan memilih SSL untuk website Anda?
Kunjungi sslkita.com atau hubungi tim SSLKita melalui email sales@sslkita.com untuk mendiskusikan kebutuhan sertifikat SSL Anda.
SSLKita — Keamanan Website, Tanpa Ribet.
