Apa Itu SSL dan Kenapa Website Wajib Pakai HTTPS?

Bayangkan calon pelanggan membuka website tokomu dari Wi-Fi kafe, mengisi formulir pemesanan, lalu melihat tulisan kecil "Not secure" di sebelah alamat situs. Sebagian orang tetap lanjut. Sebagian lain menutup tab dan mencari toko lain yang terlihat lebih meyakinkan. Tulisan itu muncul karena website belum memakai HTTPS.

SSL adalah sertifikat digital yang membuat koneksi antara browser pengunjung dan servermu terenkripsi. Begitu sertifikat terpasang, alamat website berubah dari http:// menjadi https://, dan peringatan tadi hilang. Saat ini memasang SSL tidak lagi butuh biaya besar, bahkan banyak hosting menyediakannya gratis, jadi tidak ada alasan kuat untuk menunda.

SSL sebenarnya sudah diganti TLS

Nama "SSL" bertahan karena kebiasaan. Protokol SSL yang asli sudah lama dianggap tidak aman dan dihentikan. Penggantinya bernama TLS (Transport Layer Security), dan versi yang dianjurkan sekarang adalah TLS 1.2 dan TLS 1.3. Versi terbaru, TLS 1.3, dibakukan dalam RFC 8446 pada 2018.

Jadi saat penyedia hosting menjual "sertifikat SSL", yang sebenarnya kamu dapatkan adalah sertifikat yang dipakai oleh protokol TLS. Istilahnya berbeda, fungsinya sama. Di artikel ini kedua istilah dipakai bergantian, mengikuti kebiasaan pasar.

Bagaimana SSL bekerja melindungi data?

Sertifikat SSL punya dua tugas utama.

Pertama, membuktikan identitas. Sertifikat diterbitkan oleh lembaga tepercaya yang disebut Certificate Authority (CA) setelah memeriksa bahwa pemohon benar-benar menguasai domain tersebut. Browser menyimpan daftar CA yang dipercaya, sehingga bisa memastikan bahwa tokokamu.com yang dibuka memang server yang sah, bukan server palsu yang menyamar.

Kedua, membuka jalur terenkripsi. Saat browser tersambung, terjadi proses jabat tangan (handshake) untuk menyepakati kunci enkripsi sementara. Setelah itu semua data, termasuk password, nomor telepon, isi formulir, dan cookie login, dikirim dalam bentuk acak yang tidak bisa dibaca pihak lain di jaringan yang sama.

Tanpa enkripsi, siapa pun yang berada di jalur koneksi (misalnya pemilik Wi-Fi publik yang tidak bertanggung jawab) bisa melihat atau bahkan menyisipkan konten ke halaman yang dikirim. HTTPS juga mencegah penyisipan iklan atau skrip oleh pihak di tengah jalan.

Kenapa website kecil pun wajib HTTPS?

Banyak pemilik usaha berpikir HTTPS hanya penting untuk toko online atau bank. Kenyataannya, hampir setiap website punya bagian yang sensitif: formulir kontak, halaman login admin, kolom pencarian, atau tautan WhatsApp yang membawa nomor pelanggan. Halaman login WordPress tanpa HTTPS berarti password admin dikirim tanpa enkripsi setiap kali kamu masuk.

Alasan lain bersifat praktis. Browser utama menampilkan peringatan untuk halaman HTTP, dan peringatan itu makin mencolok saat pengunjung mengetik di formulir. Fitur seperti HTTP/2, notifikasi push, akses lokasi, dan aplikasi web progresif hanya berjalan di HTTPS. Google sudah menyatakan HTTPS sebagai sinyal peringkat sejak 2014. Bobotnya kecil, tapi pengunjung yang langsung kabur karena peringatan jelas merugikan.

Terakhir, kepercayaan. Pengunjung awam mungkin tidak paham enkripsi, tapi mereka paham kata "tidak aman". Peringatan itu juga ikut terbawa saat tautan websitemu dibagikan, misalnya ketika calon pelanggan membukanya dari pesan WhatsApp atau email. Kesan pertama yang terbentuk adalah situs yang kurang terawat, padahal isinya mungkin sudah bagus. Memperbaiki kesan seperti itu jauh lebih sulit daripada memasang sertifikat sejak awal.

Hal yang perlu diperhatikan saat memasang SSL

Pilihan sertifikat dibedakan menurut tingkat validasi: DV (cukup bukti kepemilikan domain), OV (organisasi ikut diperiksa), dan EV (pemeriksaan paling ketat). Untuk sebagian besar website bisnis kecil, sertifikat DV sudah memberikan enkripsi yang sama kuatnya. Perbedaan jenis-jenisnya dibahas di jenis sertifikat SSL, sedangkan pertimbangan gratis atau berbayar ada di SSL gratis Let's Encrypt atau berbayar.

Setelah sertifikat terpasang, ada tiga pekerjaan lanjutan yang sering terlewat. Arahkan semua akses HTTP ke HTTPS agar pengunjung tidak lagi membuka versi lama, misalnya lewat redirect HTTP ke HTTPS di .htaccess. Periksa gambar, skrip, dan font yang masih dipanggil lewat http:// karena itu memicu peringatan mixed content. Pastikan juga sertifikat diperpanjang otomatis, karena masa berlaku sertifikat makin pendek dan sertifikat kedaluwarsa justru memunculkan peringatan yang lebih menakutkan daripada HTTP biasa.

Cara mengecek HTTPS di websitemu sendiri

Pemeriksaan dasar bisa dilakukan tanpa alat khusus. Buka websitemu di browser dengan mengetik alamat berawalan http://. Kalau browser langsung berpindah ke https://, pengalihan sudah berjalan. Kalau tetap di HTTP, pengunjung lama dan tautan lama masih membuka versi yang tidak terenkripsi.

Berikutnya, klik ikon di sebelah kiri alamat situs untuk membuka detail koneksi. Di sana terlihat apakah koneksi aman, siapa penerbit sertifikat, dan sampai kapan sertifikat berlaku. Tanggal kedaluwarsa ini penting dicatat, terutama bila sertifikat dipasang manual dan tidak diperpanjang otomatis.

Lalu buka beberapa halaman penting, bukan hanya beranda: halaman produk, formulir kontak, halaman login, dan halaman checkout bila ada. Peringatan sering muncul di halaman tertentu saja, misalnya karena satu gambar lama atau satu skrip pihak ketiga masih memakai alamat HTTP.

Untuk pemilik server atau VPS, perintah berikut menampilkan penerbit dan masa berlaku sertifikat dari terminal:

openssl s_client -connect domainkamu.com:443 -servername domainkamu.com </dev/null 2>/dev/null | openssl x509 -noout -issuer -dates

Kalau hasilnya menunjukkan tanggal notAfter yang sudah lewat atau nama domain yang tidak sesuai, sertifikat perlu diperbaiki sebelum pengunjung melihat peringatan.

Ringkasnya

SSL, atau lebih tepatnya TLS, mengenkripsi lalu lintas dan membuktikan bahwa website-mu asli. HTTPS kini adalah standar dasar, bukan fitur tambahan. Pasang sertifikat, alihkan semua lalu lintas ke HTTPS, dan pastikan perpanjangannya berjalan otomatis. Setelah itu, sisihkan waktu beberapa menit setiap bulan untuk membuka website dari browser dan memastikan gembok masih tampil normal di halaman-halaman penting.