Masa Berlaku SSL Makin Pendek: Dampak dan Persiapan

Di banyak kantor, perpanjangan sertifikat SSL masih bergantung pada satu pengingat di kalender: setahun sekali seseorang membuat CSR, memasang sertifikat baru, lalu melupakannya sampai tahun berikutnya. Kebiasaan itu sudah tidak bisa dipertahankan. Aturan industri kini memangkas masa berlaku sertifikat secara bertahap, dan pada 2029 sertifikat publik hanya boleh berlaku paling lama 47 hari.

Per 4 November 2026, batas yang berlaku adalah 200 hari untuk sertifikat yang diterbitkan sejak 15 Maret 2026. Artinya, sertifikat yang dulu cukup diperbarui setahun sekali kini harus diganti minimal dua kali setahun, dan frekuensinya akan terus naik.

Jadwal resmi dari CA/Browser Forum

Aturan ini berasal dari CA/Browser Forum, forum yang menyusun Baseline Requirements, yaitu standar wajib bagi otoritas sertifikat (CA) yang sertifikatnya dipercaya browser. Usulan bernama Ballot SC-081v3 disetujui dalam pemungutan suara yang ditutup pada 11 April 2025. Isinya menurunkan dua batas sekaligus: masa berlaku maksimal sertifikat, dan berapa lama hasil validasi domain boleh dipakai ulang tanpa diperiksa lagi.

Jadwal di bawah dikutip dari bagian 6.3.2 dan 4.2.1 Baseline Requirements yang dipublikasikan di repositori resmi forum tersebut.

Untuk data identitas organisasi yang dipakai pada sertifikat OV dan EV, batas pemakaian ulangnya turun dari 825 hari menjadi 398 hari untuk sertifikat yang diterbitkan sejak 15 Maret 2026.

Baseline Requirements juga menghitung satu hari sebagai 86.400 detik, dan kelebihan sedikit pun dihitung sebagai hari tambahan. Karena itu, dokumen tersebut menyarankan CA tidak menerbitkan sertifikat tepat di batas maksimal secara default. Dalam praktik, kamu mungkin melihat sertifikat yang berlaku satu hari lebih pendek dari angka di tabel.

Apa artinya bagi pemilik website?

Dampak paling langsung terasa pada perpanjangan manual. Dengan batas 200 hari, satu domain perlu dua kali perpanjangan per tahun. Mulai Maret 2027 menjadi sekitar empat kali, dan mulai Maret 2029 sekitar delapan kali atau lebih. Kalikan dengan jumlah domain, subdomain, dan server yang kamu kelola, dan risikonya jelas: makin sering pekerjaan manual dilakukan, makin besar peluang ada yang terlewat. Sertifikat yang kedaluwarsa membuat browser menampilkan peringatan keamanan, dan banyak pengunjung akan langsung pergi.

Validasi domain juga makin sering. Mulai 2029, hasil pembuktian kepemilikan domain hanya boleh dipakai ulang selama 10 hari. Kalau proses validasimu masih manual, misalnya menambah record DNS atau mengunggah file setiap kali, pekerjaan itu ikut berulang.

Perangkat yang sertifikatnya dipasang manual paling rawan: panel admin perangkat jaringan, server email, load balancer, atau aplikasi lama yang tidak mendukung pemasangan otomatis. Inventarisasikan semuanya sekarang, selagi batas 200 hari masih memberi ruang bernapas.

Sertifikat untuk jaringan internal yang diterbitkan CA privat milik perusahaan sendiri tidak terikat aturan ini, karena Baseline Requirements mengatur sertifikat dari CA yang dipercaya publik. Tapi pastikan kamu benar-benar tahu sertifikat mana yang publik dan mana yang privat.

Kenapa otomatisasi ACME menjadi jawabannya

ACME (Automatic Certificate Management Environment) adalah protokol standar yang memungkinkan server meminta, memvalidasi, dan memasang sertifikat sendiri tanpa campur tangan manusia. Klien ACME seperti Certbot, acme.sh, atau fitur bawaan web server tertentu berjalan terjadwal dan memperbarui sertifikat jauh sebelum kedaluwarsa. Bagi server yang sudah memakai ACME, batas masa berlaku yang lebih pendek hampir tidak terasa.

Let's Encrypt, CA gratis yang sepenuhnya berbasis ACME, bahkan bergerak lebih cepat dari jadwal forum. Dalam pengumumannya pada Desember 2025, Let's Encrypt menyebut jadwal berikut:

• 13 Mei 2026: profil tlsserver yang bersifat opsional mulai menerbitkan sertifikat 45 hari.
• 10 Februari 2027: profil default classic turun dari 90 hari ke 64 hari, dengan masa pemakaian ulang otorisasi domain 10 hari.
• 16 Februari 2028: profil classic turun ke 45 hari, dengan masa pemakaian ulang otorisasi 7 jam.

Let's Encrypt juga mengingatkan bahwa jadwal perpanjangan tetap setiap 60 hari tidak akan cukup lagi. Saran mereka: pakai ACME Renewal Information (ARI) bila klienmu mendukung, sehingga server CA yang memberi tahu kapan sebaiknya memperpanjang. Bila belum didukung, perpanjang saat sekitar dua pertiga masa berlaku sertifikat sudah lewat.

Sertifikat berbayar dari CA komersial juga bisa diotomatiskan. Banyak CA dan penjual sertifikat menyediakan akses ACME untuk sertifikat DV, dan sebagian untuk OV atau EV. Cara kerjanya berbeda per penyedia, jadi cek dokumentasi resmi penyediamu.

Persiapan yang bisa dikerjakan sekarang

Mulailah dengan daftar. Catat semua domain dan subdomain yang memakai sertifikat publik, di mana sertifikat itu dipasang, siapa yang memperbaruinya, dan apakah prosesnya sudah otomatis. Perangkat yang paling sering terlupa justru yang jarang disentuh.

Setelah itu, pindahkan sebanyak mungkin ke ACME. Untuk server web biasa, ini sering hanya soal memasang klien ACME dan menyalakan pembaruan terjadwal. Untuk perangkat yang tidak mendukung ACME, pertimbangkan menaruh reverse proxy di depannya agar sertifikat diurus di satu tempat. Konsepnya ada di apa itu reverse proxy.

Lalu pasang pemantauan masa berlaku sertifikat. Otomatisasi bisa gagal diam-diam, misalnya karena record DNS berubah atau port 80 tertutup firewall. Alat pemantau uptime umumnya bisa memberi peringatan beberapa hari sebelum sertifikat kedaluwarsa, seperti dibahas di memantau server dengan Uptime Kuma.

Terakhir, tinjau kebutuhan jenis sertifikat. Perubahan ini berlaku untuk semua jenis sertifikat publik, baik DV, OV, maupun EV. Bedanya hanya pada validasi identitas organisasi yang tetap bisa dipakai ulang sampai 398 hari. Kalau kamu belum yakin jenis mana yang dibutuhkan, perbandingannya ada di jenis sertifikat SSL.

Ringkasnya

Batas masa berlaku sertifikat publik sudah turun ke 200 hari sejak 15 Maret 2026, akan menjadi 100 hari pada 15 Maret 2027, lalu 47 hari pada 15 Maret 2029. Perpanjangan manual setahun sekali sudah tidak mungkin, dan perpanjangan manual dalam bentuk apa pun akan makin melelahkan. Waktu terbaik untuk beralih ke otomatisasi ACME, mencatat semua sertifikat, dan memasang pemantauan adalah sekarang, sebelum tahap berikutnya berlaku.