Penyebab Sertifikat SSL Tidak Valid dan Cara Mengatasinya
Arti pesan ERR_CERT_DATE_INVALID, COMMON_NAME_INVALID, dan AUTHORITY_INVALID, penyebab sertifikat SSL tidak valid, dan cara memperbaikinya.
Jawaban singkat
Sertifikat SSL tidak valid bila kedaluwarsa, tidak mencakup nama domain yang dibuka, diterbitkan pihak yang tidak dipercaya browser, atau rantainya tidak lengkap. Kode error di browser menunjukkan penyebabnya, dan sebagian besar beres dengan menerbitkan ulang atau memasang ulang sertifikat.
Daftar isi
- Bagaimana cara membaca kode error di browser?
- Penyebab dan cara mengatasinya
- 1. Sertifikat sudah kedaluwarsa
- 2. Jam perangkat pengunjung salah
- 3. Nama domain tidak tercakup
- 4. Server mengirim sertifikat bawaan
- 5. Rantai sertifikat tidak lengkap
- 6. Sertifikat self-signed
- 7. Perangkat lama tidak mengenali root terbaru
- 8. Antivirus atau jaringan kantor menyisipkan sertifikat sendiri
- Cara memeriksa sertifikat dari terminal
- Bagaimana mencegah sertifikat tidak valid terulang?
- Pertanyaan yang sering diajukan
Sertifikat SSL tidak valid berarti browser menolak memercayai sertifikat yang dikirim server, biasanya karena kedaluwarsa, salah nama, atau penerbitnya tidak dikenali.
Ini penting karena halaman peringatan seperti "Your connection is not private" jauh lebih menakutkan bagi pengunjung daripada sekadar label "Not secure". Kebanyakan orang langsung menutup tab. Kabar baiknya, kode error yang tampil di bawah peringatan itu hampir selalu menunjuk langsung ke penyebabnya.
Bagaimana cara membaca kode error di browser?
Di Chrome dan browser berbasis Chromium, kode error tertulis kecil di bawah judul peringatan. Firefox memakai kode yang sedikit berbeda, tapi maknanya mirip.
| Kode error (Chrome) | Arti | Penyebab yang paling mungkin |
|---|---|---|
| NET::ERR_CERT_DATE_INVALID | Tanggal sertifikat tidak berlaku | Sertifikat kedaluwarsa, atau jam di perangkat pengunjung salah |
| NET::ERR_CERT_COMMON_NAME_INVALID | Nama domain tidak cocok | Sertifikat untuk domain lain, www tidak tercakup, atau server mengirim sertifikat bawaan |
| NET::ERR_CERT_AUTHORITY_INVALID | Penerbit tidak dipercaya | Sertifikat self-signed, atau rantai sertifikat tidak lengkap |
| NET::ERR_CERT_REVOKED | Sertifikat sudah dicabut | Sertifikat dibatalkan oleh penerbit, misalnya karena kunci bocor |
Di Firefox, padanan yang sering muncul antara lain SEC_ERROR_EXPIRED_CERTIFICATE, SSL_ERROR_BAD_CERT_DOMAIN, dan SEC_ERROR_UNKNOWN_ISSUER.
Penyebab dan cara mengatasinya
1. Sertifikat sudah kedaluwarsa
Penyebab paling umum. Biasanya perpanjangan otomatis gagal tanpa ada yang sadar, misalnya karena domain dipindah ke proxy lain, cron Certbot berhenti, atau folder validasi diblokir.
Perbaikannya: terbitkan ulang sertifikat. Di cPanel, buka SSL/TLS Status dan jalankan AutoSSL. Di VPS dengan Certbot, jalankan sudo certbot renew lalu muat ulang web server. Setelah itu cari tahu kenapa perpanjangan otomatis gagal, karena kalau tidak, masalah yang sama akan kembali.
2. Jam perangkat pengunjung salah
Kalau hanya satu orang yang melihat ERR_CERT_DATE_INVALID sementara yang lain normal, kemungkinan jam atau tanggal di perangkat orang itu yang keliru. Minta mereka mengaktifkan pengaturan waktu otomatis.
3. Nama domain tidak tercakup
Sertifikat hanya berlaku untuk nama-nama yang tercantum di dalamnya. Sertifikat untuk domainkamu.com tidak otomatis berlaku untuk www.domainkamu.com, dan wildcard *.domainkamu.com tidak mencakup domain utamanya sendiri. Periksa detail sertifikat (klik ikon di sebelah alamat situs) dan pastikan semua nama yang dipakai tercantum. Terbitkan ulang dengan menambahkan nama yang kurang.
4. Server mengirim sertifikat bawaan
Di server yang melayani banyak website, kalau konfigurasi domainmu belum punya sertifikat, server bisa mengirim sertifikat default milik hostname server. Hasilnya error nama tidak cocok. Ini sering terjadi tepat setelah domain baru ditambahkan atau baru dipindah hosting, sebelum AutoSSL sempat berjalan.
5. Rantai sertifikat tidak lengkap
Sertifikat website ditandatangani oleh sertifikat perantara (intermediate), yang ditandatangani oleh root yang dipercaya browser. Bila server hanya mengirim sertifikat website tanpa intermediate, sebagian browser dan aplikasi gagal memverifikasinya. Gejalanya khas: website normal di satu browser, tapi error di HP tertentu, aplikasi, atau perintah curl.
Perbaikannya: pasang file fullchain (sertifikat beserta intermediate), bukan hanya file sertifikat. Di Nginx, arahkan ssl_certificate ke fullchain.pem. Saat memasang manual di cPanel, isi kolom CA Bundle dengan file intermediate dari penerbit.
6. Sertifikat self-signed
Sertifikat yang dibuat sendiri tanpa CA tidak dipercaya browser. Cocok untuk uji coba internal, tidak untuk website publik. Ganti dengan sertifikat dari CA, yang gratis sekalipun.
7. Perangkat lama tidak mengenali root terbaru
Perangkat yang sangat tua mungkin tidak memiliki root certificate yang lebih baru di daftar tepercayanya. Let's Encrypt menerbitkan daftar kompatibilitas perangkat di dokumentasinya. Untuk kasus ini, solusinya biasanya memperbarui sistem operasi atau browser di sisi pengguna.
8. Antivirus atau jaringan kantor menyisipkan sertifikat sendiri
Beberapa antivirus dan perangkat keamanan jaringan kantor memeriksa lalu lintas HTTPS dengan cara menyisipkan sertifikat mereka sendiri. Kalau sertifikat root perangkat itu tidak terpasang di komputer pengguna, semua website bisa tampak tidak valid, bukan hanya websitemu. Cirinya, penerbit yang tampil di detail sertifikat adalah nama produk keamanan, bukan CA yang kamu pakai. Masalah ini diselesaikan di sisi jaringan pengguna, bukan di servermu.
Cara memeriksa sertifikat dari terminal
Untuk melihat masa berlaku, nama, dan rantai yang benar-benar dikirim server, jalankan:
openssl s_client -connect domainkamu.com:443 -servername domainkamu.com -showcerts </dev/nullPerhatikan jumlah blok sertifikat yang tampil (minimal dua bila intermediate terkirim) dan baris Verify return code. Nilai 0 (ok) berarti rantai terverifikasi.
Bagaimana mencegah sertifikat tidak valid terulang?
- Pastikan perpanjangan berjalan otomatis, dan uji sesekali, misalnya dengan
sudo certbot renew --dry-rundi VPS. - Setelah memindah DNS atau mengaktifkan proxy seperti Cloudflare, cek ulang validasi sertifikat di server asal. Panduan mengatur proxy ada di proxy oranye Cloudflare.
- Sertakan domain utama dan
wwwsekaligus dalam satu sertifikat. - Catat semua domain dan subdomain yang memakai HTTPS beserta lokasi servernya.
Kalau sertifikat sudah valid tapi gembok masih bermasalah, penyebabnya biasanya konten campuran. Cara mengatasinya dibahas di mixed content setelah pasang SSL. Untuk hosting cPanel, langkah penerbitan ulang ada di cara pasang SSL gratis di cPanel dengan AutoSSL.
Pertanyaan yang sering diajukan
Apakah aman mengklik "Lanjutkan ke situs" saat muncul peringatan sertifikat?
Untuk website orang lain, sebaiknya tidak, terutama bila kamu akan memasukkan password atau data pembayaran. Untuk website sendiri yang sedang diperbaiki, boleh sebatas mengecek isi.
Kenapa website error di HP tapi normal di laptop?
Biasanya karena rantai sertifikat tidak lengkap atau perangkatnya terlalu lama. Laptop kadang sudah menyimpan intermediate dari kunjungan sebelumnya sehingga tidak terlihat error.
Berapa lama perbaikan sertifikat terlihat oleh pengunjung?
Begitu sertifikat baru terpasang dan web server dimuat ulang, perubahan langsung berlaku. Bila memakai CDN atau proxy, pastikan sertifikat di sisi proxy juga sudah benar.
