Sudah memasang sertifikat SSL, tetapi website masih menampilkan tulisan Not Secure di browser? Situasi seperti ini cukup membingungkan, terutama ketika proses instalasi SSL sudah selesai dan pengaturan HTTPS juga sudah dilakukan.
Padahal, pemasangan SSL bukan satu-satunya hal yang perlu diperhatikan agar website sepenuhnya dapat diakses melalui koneksi HTTPS. Masih ada beberapa konfigurasi yang harus dipastikan berjalan dengan benar, mulai dari alamat website, pengaturan server, hingga elemen-elemen yang dimuat di dalam halaman.
Masalah ini juga tidak selalu berarti sertifikat SSL gagal dipasang. Bisa saja sertifikat sebenarnya sudah aktif, tetapi website masih memuat gambar, script, atau file lain melalui koneksi HTTP yang tidak terenkripsi.
Lalu, apa saja penyebab website masih menampilkan Not Secure meskipun SSL sudah terpasang? Berikut penjelasan dan langkah-langkah untuk mengatasinya.
1. Website Masih Diakses Menggunakan HTTP
Salah satu penyebab paling sederhana adalah website masih dibuka menggunakan alamat HTTP, bukan HTTPS.
Sebagai contoh, ketika pengunjung mengetik:
http://namadomain.com
Browser akan mencoba mengakses website melalui koneksi HTTP. Padahal, sertifikat SSL digunakan untuk mengamankan koneksi melalui HTTPS.
Meskipun SSL sudah terpasang di server, pengunjung belum tentu otomatis diarahkan ke versi HTTPS. Hal ini biasanya terjadi ketika pengaturan redirect belum diterapkan.
Cara mengatasinya:
Pastikan website memiliki pengalihan otomatis dari HTTP ke HTTPS.
Jika menggunakan cPanel, Anda dapat memeriksa pengaturan Force HTTPS Redirect melalui menu Domains, apabila fitur tersebut tersedia.
Untuk website berbasis WordPress, pastikan alamat WordPress dan alamat situs sudah menggunakan HTTPS melalui menu:
Settings → General
Periksa bagian:
- WordPress Address (URL)
- Site Address (URL)
Keduanya seharusnya menggunakan format https://namadomain.com.
Pengaturan redirect juga dapat dilakukan melalui konfigurasi server, seperti .htaccess pada Apache atau konfigurasi server block pada Nginx.
Sebelum mengubah konfigurasi, pastikan Anda memiliki backup dan mengetahui aturan redirect yang sudah diterapkan agar tidak menimbulkan redirect loop.
2. Terjadi Mixed Content pada Website
Mixed content merupakan salah satu penyebab paling umum website masih menampilkan peringatan keamanan setelah pemasangan SSL.
Masalah ini terjadi ketika halaman website sudah dibuka melalui HTTPS, tetapi sebagian elemen di dalamnya masih dimuat menggunakan HTTP.
Contohnya:
- Gambar masih menggunakan alamat HTTP.
- File CSS dimuat melalui HTTP.
- JavaScript menggunakan koneksi HTTP.
- Font atau ikon berasal dari sumber yang belum menggunakan HTTPS.
- Video atau iframe mengambil konten dari alamat HTTP.
Misalnya, halaman utama website sudah menggunakan:
Namun, salah satu gambar di dalam halaman masih dipanggil melalui:
http://namadomain.com/wp-content/uploads/gambar.jpg
Kondisi tersebut menyebabkan halaman menggunakan dua jenis koneksi sekaligus, yaitu HTTPS dan HTTP.
Browser modern dapat memblokir sebagian konten yang tidak aman atau menampilkan peringatan terkait mixed content.
Cara mengatasinya:
Langkah pertama adalah menemukan elemen yang masih menggunakan HTTP.
Jika menggunakan Google Chrome, Anda dapat melakukan pemeriksaan berikut:
- Buka halaman website yang menampilkan peringatan.
- Tekan tombol F12 pada keyboard.
- Pilih tab Console.
- Periksa apakah terdapat pesan peringatan bertuliskan Mixed Content.
- Catat alamat file yang masih menggunakan HTTP.
Setelah menemukan sumber masalah, ubah alamat resource tersebut menjadi HTTPS jika sumbernya mendukung koneksi aman.
Untuk pengguna WordPress, pemeriksaan dapat dilakukan pada:
- Konten artikel dan halaman.
- URL gambar di Media Library.
- Pengaturan tema.
- Plugin yang memuat file eksternal.
- Custom HTML dan kode tambahan.
Jangan langsung mengganti semua alamat HTTP secara manual tanpa backup. Pastikan setiap resource memang tersedia melalui HTTPS sebelum mengubah alamatnya.
3. Sertifikat SSL Tidak Mencakup Nama Domain yang Diakses
Sertifikat SSL diterbitkan untuk nama domain atau hostname tertentu. Karena itu, sertifikat harus sesuai dengan alamat website yang sedang dibuka pengunjung.
Misalnya, sertifikat SSL hanya mencakup:
www.namadomain.com
Sementara pengunjung membuka:
namadomain.com
Jika nama domain tanpa www tidak tercakup dalam sertifikat, browser dapat menampilkan peringatan bahwa sertifikat tidak sesuai dengan alamat website.
Hal serupa bisa terjadi pada subdomain, seperti:
blog.namadomain.comshop.namadomain.commail.namadomain.com
Sertifikat untuk domain utama tidak otomatis mencakup semua subdomain.
Cara mengatasinya:
Periksa nama domain yang tercantum pada sertifikat SSL.
Pastikan sertifikat mencakup seluruh hostname yang memang digunakan pengunjung, termasuk versi www dan non-www jika keduanya dapat diakses.
Jika ada domain atau subdomain yang belum tercakup, Anda dapat mempertimbangkan penerbitan ulang sertifikat dengan cakupan hostname yang sesuai atau menggunakan jenis sertifikat yang mendukung beberapa domain.
4. Sertifikat SSL Sudah Kedaluwarsa
Sertifikat SSL memiliki masa berlaku. Setelah melewati tanggal kedaluwarsa, browser tidak lagi menganggap sertifikat tersebut valid.
Kondisi ini dapat terjadi meskipun sebelumnya website sudah menggunakan HTTPS tanpa masalah.
Beberapa penyebab yang umum antara lain:
- Proses perpanjangan sertifikat tidak berjalan.
- Validasi domain gagal.
- Instalasi sertifikat baru belum selesai.
- Administrator lupa memperbarui sertifikat.
- Konfigurasi AutoSSL mengalami kendala.
Ketika sertifikat sudah kedaluwarsa, browser dapat menampilkan halaman peringatan seperti Your connection is not private.
Cara mengatasinya:
Periksa tanggal berlaku sertifikat melalui informasi keamanan di browser.
Jika sertifikat sudah kedaluwarsa, lakukan penerbitan atau perpanjangan sertifikat sesuai layanan yang digunakan.
Setelah sertifikat baru diterbitkan, pastikan sertifikat tersebut sudah terpasang pada server yang melayani website.
Untuk menghindari masalah serupa, sebaiknya lakukan pemantauan masa berlaku SSL secara berkala dan aktifkan mekanisme pembaruan otomatis jika tersedia.
5. Intermediate Certificate Belum Terpasang dengan Benar
Selain sertifikat utama, konfigurasi SSL juga dapat membutuhkan intermediate certificate.
Intermediate certificate berfungsi menghubungkan sertifikat website dengan root certificate milik Certificate Authority (CA).
Hubungan tersebut dikenal sebagai certificate chain.
Jika intermediate certificate tidak terpasang atau konfigurasi chain tidak lengkap, beberapa browser atau perangkat mungkin tidak dapat memverifikasi sertifikat website dengan benar.
Masalah ini terkadang tidak terlihat pada semua perangkat. Website mungkin bisa dibuka secara normal di satu browser, tetapi menampilkan peringatan di browser atau perangkat lain.
Cara mengatasinya:
Periksa konfigurasi certificate chain pada server.
Pastikan intermediate certificate yang sesuai dengan sertifikat utama sudah dipasang berdasarkan petunjuk dari penerbit sertifikat.
Jika menggunakan cPanel, periksa bagian SSL/TLS atau hubungi penyedia hosting untuk memastikan konfigurasi certificate chain sudah benar.
Jangan memasang intermediate certificate secara sembarangan. Gunakan file chain yang diberikan oleh CA sesuai sertifikat yang diterbitkan.
6. Sertifikat SSL Terpasang di Server yang Berbeda
Website yang menggunakan CDN, reverse proxy, load balancer, atau beberapa server memiliki konfigurasi SSL yang lebih kompleks.
Sertifikat SSL mungkin sudah dipasang pada server utama, tetapi pengunjung sebenarnya menerima koneksi melalui server atau layanan perantara yang berbeda.
Sebagai contoh:
- SSL sudah terpasang pada hosting utama.
- Website menggunakan layanan CDN.
- CDN masih menggunakan sertifikat lama atau konfigurasi yang belum benar.
- Pengunjung menerima sertifikat dari CDN, bukan langsung dari server utama.
Akibatnya, meskipun sertifikat di hosting sudah diperbarui, browser tetap dapat menerima sertifikat yang berbeda.
Cara mengatasinya:
Periksa seluruh titik yang menangani koneksi HTTPS.
Jika website menggunakan CDN atau reverse proxy, pastikan konfigurasi SSL pada layanan tersebut juga sudah benar.
Periksa pula apakah sertifikat yang digunakan pada server asal (origin server) sesuai dengan pengaturan koneksi antara CDN dan server utama.
Jika tidak yakin bagian mana yang perlu diperbarui, mintalah bantuan administrator server atau penyedia layanan CDN.
7. Pengaturan URL WordPress Belum Menggunakan HTTPS
Bagi website berbasis WordPress, masalah Not Secure juga dapat muncul karena pengaturan alamat website masih menggunakan HTTP.
WordPress menyimpan alamat website dalam pengaturannya. Jika alamat tersebut belum diperbarui setelah pemasangan SSL, beberapa tautan dan resource mungkin masih dibuat menggunakan HTTP.
Contohnya, pengaturan website masih menggunakan:
http://namadomain.com
Padahal website seharusnya menggunakan:
Kondisi ini dapat menyebabkan gambar, file, atau tautan internal masih mengarah ke versi HTTP.
Cara mengatasinya:
Jika menggunakan WordPress, buka:
Dashboard → Settings → General
Periksa bagian WordPress Address (URL) dan Site Address (URL).
Pastikan keduanya sudah menggunakan HTTPS.
Selanjutnya, periksa konten lama dan database WordPress apabila masih terdapat URL HTTP yang digunakan untuk memuat resource website.
Untuk perubahan URL dalam database, gunakan metode yang mendukung penggantian URL secara aman dan lakukan backup terlebih dahulu. Perubahan langsung pada database tanpa memperhatikan format data tersimpan dapat menyebabkan masalah pada website.
8. Cache Browser atau CDN Masih Menyimpan Konfigurasi Lama
Setelah melakukan perubahan konfigurasi SSL, hasilnya terkadang tidak langsung terlihat karena browser atau layanan cache masih menyimpan data sebelumnya.
Cache dapat berasal dari beberapa tempat, seperti:
- Browser pengunjung.
- Plugin cache WordPress.
- Cache server hosting.
- CDN.
- Reverse proxy.
Akibatnya, pengunjung mungkin masih melihat versi halaman atau resource yang menggunakan konfigurasi lama.
Cara mengatasinya:
Lakukan beberapa pemeriksaan berikut:
- Buka website menggunakan mode Incognito atau Private Browsing.
- Coba akses melalui browser lain.
- Bersihkan cache browser.
- Hapus cache dari plugin WordPress jika digunakan.
- Bersihkan cache CDN apabila website menggunakannya.
- Muat ulang halaman dan periksa kembali status HTTPS.
Jika masalah hanya muncul pada satu browser atau perangkat, kemungkinan terdapat perbedaan cache atau konfigurasi lokal yang perlu diperiksa lebih lanjut.
Cara Memeriksa Penyebab Website Masih Menampilkan Not Secure
Daripada langsung mengubah konfigurasi server, sebaiknya lakukan pemeriksaan secara bertahap untuk menemukan sumber masalah yang sebenarnya.
Berikut urutan pemeriksaan yang dapat dilakukan.
Langkah 1: Pastikan Website Dibuka Menggunakan HTTPS
Buka website dengan alamat yang diawali https://.
Jika versi HTTPS dapat dibuka, tetapi versi HTTP masih menampilkan Not Secure, periksa konfigurasi redirect dari HTTP ke HTTPS.
Langkah 2: Periksa Informasi Sertifikat SSL
Klik ikon informasi atau kontrol keamanan di sebelah alamat website, lalu buka informasi sertifikat jika tersedia.
Periksa beberapa hal berikut:
- Nama domain yang tercakup.
- Penerbit sertifikat.
- Tanggal mulai berlaku.
- Tanggal kedaluwarsa.
- Status validasi sertifikat.
Jika browser menampilkan peringatan sertifikat, catat pesan kesalahan yang muncul.
Langkah 3: Periksa Mixed Content
Buka Developer Tools dengan menekan F12, kemudian pilih tab Console.
Cari pesan yang mengandung kata Mixed Content.
Jika ditemukan, periksa alamat gambar, script, stylesheet, atau resource lain yang masih menggunakan HTTP.
Langkah 4: Periksa Versi www dan Non-www
Coba buka kedua alamat berikut:
https://namadomain.comhttps://www.namadomain.com
Pastikan keduanya dapat diakses dengan benar atau salah satunya diarahkan ke alamat utama yang sudah ditentukan.
Pastikan pula sertifikat mencakup hostname yang digunakan pada kedua versi tersebut.
Langkah 5: Periksa Konfigurasi Server dan CDN
Jika sertifikat terlihat valid, tetapi masalah masih muncul, periksa konfigurasi server, CDN, reverse proxy, atau load balancer.
Pastikan setiap titik yang menangani koneksi HTTPS menggunakan sertifikat yang sesuai.
Langkah 6: Uji Kembali Setelah Perbaikan
Setelah melakukan perubahan, buka kembali website menggunakan browser berbeda atau mode Incognito.
Periksa halaman utama, halaman login, formulir, dan halaman lain yang memuat resource eksternal.
Pastikan tidak ada peringatan sertifikat maupun mixed content yang tersisa.
Checklist Mengatasi Website Not Secure Padahal SSL Sudah Terpasang
Sebelum menganggap masalah selesai, gunakan checklist berikut:
- Website sudah dapat diakses melalui HTTPS.
- HTTP sudah diarahkan ke HTTPS.
- Sertifikat SSL masih berlaku.
- Nama domain sesuai dengan sertifikat.
- Seluruh subdomain yang digunakan sudah tercakup.
- Intermediate certificate sudah terpasang dengan benar.
- Tidak ada mixed content pada halaman website.
- Pengaturan URL WordPress sudah menggunakan HTTPS.
- Konfigurasi SSL pada CDN atau reverse proxy sudah benar.
- Cache browser, server, dan CDN sudah diperiksa.
- Halaman penting sudah diuji kembali menggunakan beberapa browser.
Kapan Harus Menghubungi Penyedia Hosting atau SSL?
Tidak semua masalah SSL dapat diselesaikan melalui dashboard website.
Jika Anda sudah melakukan pemeriksaan dasar tetapi website masih menampilkan peringatan, sebaiknya hubungi penyedia hosting, administrator server, atau penyedia sertifikat SSL.
Terutama jika menemukan kondisi berikut:
- Sertifikat sudah diterbitkan tetapi tidak terbaca oleh server.
- Nama domain pada sertifikat tidak sesuai.
- Intermediate certificate tidak tersedia.
- Server masih mengirimkan sertifikat lama.
- HTTPS mengalami kegagalan koneksi.
- Konfigurasi CDN dan origin server tidak sesuai.
Saat menghubungi tim dukungan, sertakan alamat website, pesan error yang muncul, browser yang digunakan, dan waktu ketika masalah terjadi. Informasi tersebut akan membantu proses pemeriksaan menjadi lebih cepat.
Kesimpulan
Website yang masih menampilkan Not Secure meskipun SSL sudah terpasang tidak selalu berarti proses instalasi sertifikat gagal. Masalahnya bisa berasal dari pengaturan HTTPS, mixed content, ketidaksesuaian nama domain, sertifikat kedaluwarsa, certificate chain, hingga konfigurasi server atau CDN.
Karena itu, penting untuk memeriksa sumber masalah terlebih dahulu sebelum melakukan perubahan konfigurasi.
Pastikan website benar-benar menggunakan HTTPS, seluruh resource dimuat melalui koneksi yang aman, dan sertifikat SSL terpasang dengan benar pada server yang melayani pengunjung.
Dengan konfigurasi yang tepat dan pemeriksaan berkala, website dapat memberikan koneksi HTTPS yang lebih konsisten serta meningkatkan kepercayaan pengunjung.
Jika Anda membutuhkan sertifikat SSL untuk website, pastikan memilih sertifikat yang sesuai dengan kebutuhan domain dan lingkungan server. Tim SSLKita dapat menjadi salah satu tempat untuk mencari informasi mengenai pilihan sertifikat SSL yang tersedia.
FAQ (Pertanyaan yang Sering Diajukan)
1. Mengapa website masih Not Secure padahal SSL sudah aktif?
Penyebabnya bisa berupa website yang masih diakses melalui HTTP, adanya mixed content, sertifikat tidak mencakup nama domain yang digunakan, atau konfigurasi SSL pada server yang belum benar.
2. Apakah mixed content berarti sertifikat SSL tidak berfungsi?
Tidak selalu. Sertifikat SSL bisa saja sudah valid, tetapi halaman website masih memuat beberapa resource melalui HTTP. Kondisi tersebut dapat menyebabkan browser memberikan peringatan keamanan.
3. Apakah memasang SSL otomatis mengubah website menjadi HTTPS?
Tidak selalu. Pemasangan SSL menyediakan kemampuan koneksi HTTPS, tetapi pengaturan URL website dan redirect HTTP ke HTTPS mungkin masih perlu dikonfigurasi secara terpisah.
4. Apakah website WordPress perlu konfigurasi tambahan setelah memasang SSL?
Ya. Selain memasang sertifikat, pemilik website perlu memastikan alamat WordPress dan Site Address menggunakan HTTPS, memperbaiki mixed content, serta memeriksa konfigurasi redirect.
5. Bagaimana cara mengetahui apakah SSL website sudah benar?
Periksa informasi sertifikat melalui browser, pastikan nama domain dan masa berlakunya sesuai, lalu periksa apakah halaman website masih memuat resource melalui HTTP. Anda juga dapat menggunakan alat pemeriksaan SSL untuk mengevaluasi sertifikat dan konfigurasi server.
6. Apakah menghapus cache bisa mengatasi Not Secure?
Menghapus cache dapat membantu jika browser atau CDN masih menyimpan versi lama setelah perubahan konfigurasi. Namun, cache bukan solusi untuk sertifikat yang kedaluwarsa, nama domain yang tidak sesuai, atau mixed content yang masih ada.
7. Apakah website yang menggunakan HTTPS pasti sepenuhnya aman?
Tidak. HTTPS membantu mengenkripsi komunikasi antara browser dan server serta memverifikasi identitas server melalui sertifikat. Namun, HTTPS tidak otomatis melindungi website dari malware, celah keamanan aplikasi, pencurian akun, atau kesalahan konfigurasi lainnya.
Butuh bantuan memilih SSL untuk website Anda?
Kunjungi sslkita.com atau hubungi tim SSLKita melalui email sales@sslkita.com untuk mendiskusikan kebutuhan sertifikat SSL Anda.
Referensi
- MDN – Mixed Content: penjelasan tentang mixed content, risikonya, dan cara mengidentifikasinya.
- Cloudflare – Mixed Content Errors: penyebab dan penanganan mixed content, termasuk pada WordPress.
- cPanel – SSL Sites Showing as Insecure Due to Mixed Content: masalah website yang tetap menampilkan peringatan meskipun SSL telah dipasang.
- Pressidium – Troubleshoot SSL and HTTPS Errors: pemeriksaan sertifikat, hostname, redirect, cache, dan konfigurasi HTTPS.
