Clouder

SSL Gratis Let's Encrypt: Panduan Lengkap HTTPS untuk Website

Oleh Tim Clouder ·

Browser menandai website Anda "Tidak aman", pengunjung ragu mengisi formulir, dan Anda bertanya-tanya apakah harus membeli sertifikat ratusan ribu rupiah per tahun. Kabar baiknya: untuk hampir semua website bisnis kecil, blog, dan toko online, SSL gratis dari Let's Encrypt sudah memberikan enkripsi yang sama kuatnya dengan sertifikat berbayar.

Panduan ini menjelaskan cara kerja HTTPS secara sederhana, kapan sertifikat berbayar memang diperlukan, berapa lama sertifikat Let's Encrypt berlaku (aturannya sedang berubah antara 2026 dan 2028), serta langkah teknis setelah SSL terpasang: redirect 301, memperbaiki mixed content, HSTS, dan record CAA. Di akhir ada checklist yang bisa Anda pakai untuk audit website sendiri.

Apa itu SSL/TLS dan bagaimana HTTPS bekerja

Istilah "SSL" sebenarnya sudah usang. Protokol yang dipakai sekarang adalah TLS (Transport Layer Security), umumnya versi 1.2 dan 1.3. Namun orang tetap menyebut "sertifikat SSL", jadi kedua istilah itu dipakai bergantian.

Secara sederhana, saat seseorang membuka https://tokoanda.id, terjadi tiga hal:

  1. Server menunjukkan sertifikat. Sertifikat berisi nama domain, kunci publik, dan tanda tangan dari Certificate Authority (CA) seperti Let's Encrypt.
  2. Browser memeriksa sertifikat. Apakah ditandatangani CA yang dipercaya, belum kedaluwarsa, dan memang untuk domain yang sedang dibuka?
  3. Kunci sesi disepakati. Browser dan server membuat kunci enkripsi sementara, lalu semua data (password, isi formulir, cookie login) dikirim terenkripsi.

Tanpa HTTPS, siapa pun yang berada di jalur jaringan, misalnya pengelola Wi-Fi publik di kafe, bisa membaca atau mengubah data yang lewat. Dengan HTTPS, mereka hanya melihat bahwa Anda terhubung ke tokoanda.id, bukan isi komunikasinya.

Yang dilindungi dan yang tidak

HTTPS melindungi data selama perjalanan. HTTPS tidak membuat website Anda kebal peretasan: plugin yang usang, password admin lemah, atau server yang tidak diperbarui tetap berbahaya. Gembok di browser juga tidak menjamin pemilik website itu jujur, karena situs phishing pun bisa memakai sertifikat yang sah.

Jenis sertifikat SSL: DV, OV, dan EV

Semua jenis sertifikat memberikan tingkat enkripsi yang sama. Bedanya ada pada apa yang diverifikasi oleh CA sebelum menerbitkan sertifikat.

  • Domain Validation (DV) — CA hanya memastikan Anda menguasai domain tersebut, biasanya lewat file di server atau record DNS. Proses otomatis, selesai dalam hitungan detik. Let's Encrypt hanya menerbitkan sertifikat DV.
  • Organization Validation (OV) — CA juga memeriksa keberadaan organisasi Anda (nama badan usaha, alamat). Nama organisasi tercantum di detail sertifikat, tetapi browser modern tidak menampilkannya di address bar.
  • Extended Validation (EV) — verifikasi paling ketat. Dulu browser menampilkan nama perusahaan berwarna hijau di address bar, tetapi Chrome dan Firefox sudah menghapus tampilan itu sejak 2019. Bagi pengunjung biasa, EV kini nyaris tidak terlihat bedanya dengan DV.

Kapan sertifikat berbayar masih masuk akal

Sertifikat berbayar tetap punya tempat, misalnya jika:

  • Ada kewajiban kontrak, tender, atau regulasi industri yang mensyaratkan OV/EV.
  • Anda butuh garansi (warranty) finansial dari CA.
  • Sistem lama di perusahaan Anda tidak bisa memperbarui sertifikat secara otomatis dan butuh masa berlaku lebih panjang (walau masa berlaku sertifikat berbayar pun terus dipersingkat oleh aturan industri).

Untuk blog, company profile, landing page, dan toko online UMKM, sertifikat DV gratis sudah cukup.

SSL gratis Let's Encrypt: masa berlaku dan perpanjangan otomatis

Let's Encrypt adalah CA nirlaba yang dikelola Internet Security Research Group (ISRG). Sertifikatnya dipercaya oleh semua browser utama dan diterbitkan lewat protokol otomatis bernama ACME. Karena prosesnya otomatis, panel hosting bisa memasang dan memperpanjang sertifikat tanpa campur tangan Anda.

Masa berlaku sertifikat Let's Encrypt (2026–2028)

Sejak awal, sertifikat Let's Encrypt berlaku 90 hari. Aturan ini sedang dipersingkat secara bertahap, sesuai pengumuman resmi di blog Let's Encrypt:

  • Saat ini (akhir 2026) — profil default (classic) masih menerbitkan sertifikat 90 hari. Sejak 13 Mei 2026 tersedia profil opsional tlsserver dengan masa berlaku 45 hari, serta profil shortlived sekitar 6 hari.
  • 10 Februari 2027 — profil default turun menjadi 64 hari.
  • 16 Februari 2028 — profil default menjadi 45 hari.

Perubahan ini mengikuti arah CA/Browser Forum yang membatasi masa berlaku maksimum sertifikat publik menjadi 47 hari mulai 2029. Alasannya: sertifikat yang berumur pendek mengurangi risiko jika kunci privat bocor, dan memaksa semua pihak mengotomatisasi perpanjangan.

Apa dampaknya bagi Anda

Jika hosting Anda sudah memperpanjang sertifikat otomatis, perubahan ini praktis tidak terasa. Masalah baru muncul pada setup manual atau skrip lama:

  • Jangan perpanjang dengan interval tetap. Let's Encrypt menyarankan perpanjangan sekitar dua pertiga masa berlaku, atau mengikuti ACME Renewal Information (ARI). Cron yang memperbarui "setiap 60 hari" akan gagal begitu sertifikat hanya berlaku 45 hari.
  • Jangan andalkan email pengingat. Layanan email notifikasi kedaluwarsa Let's Encrypt sudah dihentikan sejak 4 Juni 2025. Gunakan monitoring sendiri atau andalkan fitur pemantauan di panel hosting.
  • Hindari menyalin sertifikat secara manual ke perangkat lain (load balancer, CDN dengan sertifikat custom). Setiap salinan manual adalah titik yang suatu hari akan kedaluwarsa tanpa ketahuan.

Di paket hosting kami, sertifikat Let's Encrypt dipasang dan diperpanjang otomatis untuk setiap domain dan subdomain yang mengarah ke server, jadi Anda tidak perlu menjalankan perintah apa pun.

Memasang Let's Encrypt di VPS sendiri

Jika Anda mengelola VPS dengan Nginx, cara paling umum adalah memakai Certbot:

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d tokoanda.id -d www.tokoanda.id
sudo certbot renew --dry-run

Perintah terakhir menguji apakah perpanjangan otomatis berjalan. Paket Certbot di distribusi Linux umumnya sudah memasang timer systemd yang menjalankan perpanjangan dua kali sehari dan hanya memperbarui sertifikat yang mendekati kedaluwarsa.

Syarat agar penerbitan berhasil

Kegagalan penerbitan paling sering disebabkan oleh DNS, bukan oleh Let's Encrypt:

  • Record A/AAAA domain harus sudah mengarah ke server yang meminta sertifikat.
  • Jika ada record AAAA (IPv6) yang mengarah ke server lama, validasi bisa gagal karena Let's Encrypt mengutamakan IPv6 bila record AAAA tersedia.
  • Proxy Cloudflare (awan oranye) dan aturan firewall bisa menghalangi validasi HTTP-01. Gunakan validasi DNS-01 atau matikan proxy sementara saat penerbitan pertama.
  • Record CAA yang tidak mengizinkan Let's Encrypt akan menolak penerbitan (dibahas di bawah).

Untuk pemahaman lebih dalam soal record-record tersebut, baca panduan DNS record.

HTTPS sebagai faktor ranking Google

Google mengumumkan HTTPS sebagai sinyal ranking sejak 2014, dan kini HTTPS menjadi bagian dari sinyal page experience. Bobotnya kecil: konten yang relevan tetap jauh lebih menentukan. Namun dampak tidak langsungnya besar:

  • Chrome menandai halaman HTTP sebagai "Not secure", yang menurunkan kepercayaan dan konversi.
  • Fitur browser modern seperti HTTP/2, HTTP/3, service worker, dan geolokasi hanya berjalan di HTTPS. HTTP/2 dan HTTP/3 berpengaruh pada kecepatan, yang juga dibahas di artikel cara mempercepat website WordPress.
  • Data referral dari situs HTTPS ke situs HTTP sering hilang, sehingga laporan analytics Anda tidak akurat.

Yang paling penting untuk SEO saat pindah ke HTTPS adalah memastikan Google melihat satu versi kanonik dari setiap halaman.

Redirect 301 dari HTTP ke HTTPS

Setelah sertifikat aktif, website Anda bisa diakses lewat empat alamat: http://tokoanda.id, http://www.tokoanda.id, https://tokoanda.id, dan https://www.tokoanda.id. Pilih satu sebagai versi utama, lalu arahkan ketiga lainnya dengan redirect 301 (permanen) agar nilai SEO terkumpul di satu URL.

Contoh konfigurasi Nginx dengan versi utama https://tokoanda.id:

server {
    listen 80;
    server_name tokoanda.id www.tokoanda.id;
    return 301 https://tokoanda.id$request_uri;
}

server {
    listen 443 ssl;
    http2 on;
    server_name www.tokoanda.id;
    # ssl_certificate dan ssl_certificate_key di sini
    return 301 https://tokoanda.id$request_uri;
}

Untuk hosting berbasis Apache, padanannya di .htaccess:

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} ^www\. [NC]
RewriteRule ^ https://tokoanda.id%{REQUEST_URI} [L,R=301]

Kesalahan umum saat redirect

  • Redirect 302 (sementara) alih-alih 301. Google akhirnya bisa memahami, tetapi 301 adalah sinyal yang jelas.
  • Rantai redirect: http://www → https://www → https://. Usahakan setiap URL langsung menuju tujuan akhir dalam satu lompatan.
  • Redirect loop saat memakai Cloudflare dengan mode SSL "Flexible": Cloudflare menghubungi server lewat HTTP, server mengarahkan ke HTTPS, dan seterusnya. Gunakan mode "Full (strict)" jika server sudah punya sertifikat sah.
  • Lupa memperbarui pengaturan aplikasi. Di WordPress, ubah WordPress Address dan Site Address di Settings → General menjadi https://.

Cek hasilnya dengan perintah:

curl -sI http://www.tokoanda.id | grep -i location

Setelah itu, perbarui properti di Google Search Console dan pastikan sitemap berisi URL https://.

Memperbaiki mixed content

Mixed content terjadi ketika halaman HTTPS memuat sumber daya (gambar, script, CSS, iframe) lewat http://. Browser modern memblokir script dan iframe HTTP, serta mencoba meng-upgrade gambar ke HTTPS secara otomatis. Akibatnya bisa berupa tata letak rusak, slider tidak jalan, atau gembok yang hilang.

Cara menemukan mixed content

  1. Buka halaman di Chrome, tekan F12, lihat tab Console. Peringatan "Mixed Content" menyebutkan URL penyebabnya.
  2. Untuk WordPress, cari URL lama langsung di database. Dengan WP-CLI:
wp search-replace 'http://tokoanda.id' 'https://tokoanda.id' --dry-run
wp search-replace 'http://tokoanda.id' 'https://tokoanda.id' --all-tables

Jalankan --dry-run dahulu untuk melihat berapa baris yang terpengaruh, dan selalu buat backup database sebelum perintah kedua. WP-CLI menangani data serialized dengan benar, berbeda dengan query SQL REPLACE biasa yang bisa merusak pengaturan plugin.

  1. Periksa juga file tema, widget HTML, dan URL yang di-hardcode oleh plugin.

Sebagai pengaman tambahan, Anda bisa mengirim header Content-Security-Policy: upgrade-insecure-requests agar browser otomatis meminta versi HTTPS dari setiap sumber daya. Ini membantu, tetapi tetap perbaiki sumbernya: jika server tujuan tidak mendukung HTTPS, sumber daya itu akan tetap gagal dimuat.

HSTS: memaksa browser selalu memakai HTTPS

Redirect 301 masih menyisakan satu celah: permintaan pertama ke http:// dikirim tanpa enkripsi sebelum diarahkan. HTTP Strict Transport Security (HSTS), yang didefinisikan di RFC 6797, menyuruh browser untuk langsung memakai HTTPS untuk domain Anda selama periode tertentu.

Di Nginx, tambahkan di blok server HTTPS:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Terapkan HSTS secara bertahap

HSTS sulit dibatalkan, karena browser pengunjung sudah menyimpan instruksinya. Jika suatu saat sertifikat bermasalah, pengunjung tidak bisa menekan "lanjutkan saja". Karena itu:

  1. Mulai dengan max-age=300 (5 menit) dan pastikan semua halaman berjalan normal.
  2. Naikkan bertahap ke satu minggu, satu bulan, lalu satu tahun (31536000).
  3. Tambahkan includeSubDomains hanya jika semua subdomain, termasuk mail., cpanel., atau subdomain lama, sudah mendukung HTTPS.
  4. Opsi preload (mendaftarkan domain ke daftar bawaan browser di hstspreload.org) sebaiknya hanya untuk yang benar-benar yakin. Keluar dari daftar preload butuh waktu lama.

Record CAA: membatasi siapa yang boleh menerbitkan sertifikat

Record CAA (Certification Authority Authorization, RFC 8659) adalah record DNS yang memberitahu CA mana saja yang boleh menerbitkan sertifikat untuk domain Anda. Semua CA publik wajib memeriksanya sebelum menerbitkan sertifikat. Ini mengurangi risiko sertifikat palsu diterbitkan oleh CA lain.

Contoh yang hanya mengizinkan Let's Encrypt:

tokoanda.id.  3600  IN  CAA  0 issue "letsencrypt.org"
tokoanda.id.  3600  IN  CAA  0 issuewild "letsencrypt.org"
tokoanda.id.  3600  IN  CAA  0 iodef "mailto:admin@tokoanda.id"

Hal yang perlu diperhatikan:

  • Jika domain tidak punya record CAA sama sekali, semua CA boleh menerbitkan. Ini kondisi default dan tidak salah.
  • Begitu Anda menambahkan satu record CAA, CA yang tidak tercantum akan ditolak. Jika Cloudflare atau CDN Anda menerbitkan sertifikat edge dari CA lain (misalnya Google Trust Services), CA itu juga harus dicantumkan.
  • Record CAA diwarisi ke subdomain kecuali subdomain punya record CAA sendiri.

Anda bisa memeriksa record CAA domain mana pun lewat alat DNS lookup kami dengan memilih tipe CAA.

Checklist SSL dan HTTPS

Gunakan daftar ini setelah memasang SSL gratis:

  • Sertifikat terpasang untuk domain utama dan www, tanpa peringatan di browser.
  • Perpanjangan otomatis berjalan dan tidak bergantung pada interval tetap atau email pengingat.
  • Semua varian HTTP dan www mengarah ke satu URL kanonik dengan redirect 301 satu lompatan.
  • Pengaturan URL di CMS sudah https://.
  • Tidak ada peringatan mixed content di Console.
  • Sitemap dan canonical tag memakai URL https://; Search Console sudah diperbarui.
  • HSTS aktif dengan max-age yang dinaikkan bertahap.
  • Record CAA (jika dipakai) mencantumkan semua CA yang Anda gunakan, termasuk milik CDN.
  • Record A/AAAA tidak ada yang mengarah ke server lama.

Pertanyaan yang sering diajukan

Apakah SSL gratis Let's Encrypt aman dipakai untuk toko online?

Ya. Enkripsi Let's Encrypt sama kuatnya dengan sertifikat DV berbayar dan dipercaya semua browser utama. Untuk pembayaran, standar keamanan seperti PCI DSS lebih bergantung pada cara Anda mengelola server dan data kartu, bukan pada merek sertifikat.

Berapa lama masa berlaku sertifikat Let's Encrypt?

Per akhir 2026, profil default masih 90 hari. Mulai 10 Februari 2027 menjadi 64 hari, lalu 45 hari mulai 16 Februari 2028. Dengan perpanjangan otomatis, Anda tidak perlu melakukan apa pun.

Apakah Let's Encrypt mendukung sertifikat wildcard untuk semua subdomain?

Ya, tetapi sertifikat wildcard hanya bisa diterbitkan lewat validasi DNS-01, yaitu dengan menambahkan record TXT _acme-challenge. Karena itu wildcard paling praktis jika DNS Anda dikelola lewat penyedia yang mendukung API, sehingga perpanjangan tetap otomatis.

Apakah pindah ke HTTPS akan menurunkan ranking sementara?

Fluktuasi kecil bisa terjadi selama Google merayapi ulang URL baru. Dengan redirect 301 yang benar, sitemap yang diperbarui, dan tanpa rantai redirect, ranking biasanya stabil kembali dalam beberapa minggu.

Kenapa website masih "Tidak aman" padahal SSL sudah terpasang?

Penyebab paling umum adalah mixed content, sertifikat yang tidak mencakup www, atau sertifikat yang sudah kedaluwarsa. Periksa Console di DevTools dan detail sertifikat dengan mengklik ikon di address bar.

Langkah berikutnya

HTTPS kini adalah standar minimum, bukan fitur tambahan. Jika Anda tidak ingin mengurus Certbot, cron, dan konfigurasi redirect sendiri, pilih paket hosting yang memasang dan memperpanjang SSL Let's Encrypt secara otomatis untuk setiap domain. Belum punya domain? Cek ketersediaannya di halaman domain, lalu aktifkan HTTPS sejak hari pertama.