Cara Memasang SSL Gratis Let's Encrypt dan Memastikan Website Sudah HTTPS

Browser modern menandai website tanpa HTTPS sebagai "tidak aman", dan label itu membuat pengunjung ragu mengisi formulir atau berbelanja. Sertifikat SSL kini bisa didapat gratis lewat Let's Encrypt, dan di kebanyakan hosting pemasangannya cukup beberapa klik. Panduan ini menjelaskan cara kerjanya, cara memasang sertifikat, cara memaksa semua pengunjung ke HTTPS, sampai memperbaiki mixed content yang sering membuat ikon gembok tidak muncul.

SSL, TLS, dan HTTPS

SSL (Secure Sockets Layer) adalah nama protokol enkripsi lama yang sudah digantikan oleh TLS (Transport Layer Security). Istilah "SSL" tetap dipakai sehari-hari, misalnya dalam frasa "sertifikat SSL", walaupun koneksinya sekarang memakai TLS. HTTPS adalah HTTP yang berjalan di atas TLS.

Sertifikat SSL/TLS berfungsi seperti kartu identitas website. Sertifikat diterbitkan oleh otoritas sertifikat (certificate authority atau CA) setelah CA memverifikasi bahwa Anda mengendalikan domain tersebut. Dengan sertifikat yang valid, koneksi HTTPS:

• Mengenkripsi data antara pengunjung dan server, sehingga kata sandi, isi formulir, dan cookie tidak bisa dibaca pihak di tengah jalan.
• Memastikan pengunjung terhubung ke server yang berhak memakai nama domain itu.
• Mendeteksi bila data diubah selama perjalanan.

Google juga sudah lama menyebut HTTPS sebagai salah satu sinyal peringkat, meskipun bobotnya kecil dibanding kualitas konten.

Mengenal Let's Encrypt

Let's Encrypt adalah CA nirlaba yang menerbitkan sertifikat gratis secara otomatis. Beberapa hal yang perlu Anda ketahui:

• Jenis sertifikat: Let's Encrypt hanya menerbitkan sertifikat domain validation (DV). Sertifikat ini memvalidasi kendali atas domain, bukan identitas perusahaan, tetapi tingkat enkripsinya tidak berbeda dengan sertifikat berbayar.
• Masa berlaku pendek: saat artikel ini ditulis, masa berlaku standarnya 90 hari. Let's Encrypt sudah mengumumkan rencana memperpendeknya secara bertahap hingga 45 hari dalam beberapa tahun ke depan, jadi cek pengumuman terbaru di situs resminya.
• Perpanjangan otomatis: masa berlaku pendek tidak menjadi masalah karena perpanjangan dijalankan otomatis oleh perangkat lunak di server melalui protokol ACME. Di hosting dengan panel, penyedia yang mengurusnya.
• Validasi domain: CA memeriksa kendali Anda atas domain, umumnya lewat file khusus yang diakses melalui HTTP atau lewat catatan TXT di DNS. Sertifikat wildcard (*.domainanda.com) hanya bisa diterbitkan lewat validasi DNS.

Cara memasang SSL Let's Encrypt

Lewat AutoSSL di cPanel

Banyak hosting cPanel sudah mengaktifkan AutoSSL, fitur yang menerbitkan dan memperpanjang sertifikat DV gratis secara otomatis. Penerbitnya bisa Let's Encrypt atau CA lain, tergantung pengaturan penyedia, dan bagi Anda fungsinya sama.

1. Pastikan domain sudah mengarah ke server hosting. AutoSSL tidak bisa memvalidasi domain yang DNS-nya masih mengarah ke tempat lain.
2. Login ke cPanel dan buka SSL/TLS Status.
3. Periksa daftar domain dan subdomain beserta status sertifikatnya. Pastikan domain yang Anda pakai tidak dikecualikan dari AutoSSL.
4. Klik Run AutoSSL untuk menjalankan pemeriksaan sekarang, tanpa menunggu jadwal otomatis.
5. Tunggu prosesnya selesai lalu muat ulang halaman. Domain yang berhasil akan berstatus valid lengkap dengan tanggal kedaluwarsanya.
6. Bila gagal, baca pesan errornya. Penyebab yang paling umum adalah DNS yang belum mengarah ke server, subdomain seperti www yang belum punya catatan DNS, atau catatan CAA yang tidak mengizinkan CA tersebut.

Lewat panel hosting lain

Panel lain atau panel buatan penyedia biasanya punya menu bernama SSL, Let's Encrypt, atau Keamanan. Pilih domain, sertakan juga varian www, lalu aktifkan. Bila menu ini tidak ada, tanyakan ke dukungan teknis, karena sebagian penyedia memasangkan sertifikat atas permintaan.

Di VPS yang Anda kelola sendiri

Di VPS tanpa panel, Anda perlu memasang klien ACME sendiri. Klien yang paling dikenal adalah Certbot, yang bisa sekaligus mengonfigurasi web server dan memasang jadwal perpanjangan otomatis. Daftar klien lain tersedia di dokumentasi Let's Encrypt. Setelah instalasi, uji proses perpanjangan dengan mode simulasi (certbot renew --dry-run) agar Anda tahu perpanjangan akan berhasil sebelum sertifikat benar-benar habis.

Memaksa semua pengunjung ke HTTPS

Sertifikat yang sudah terpasang tidak otomatis membuat pengunjung memakai HTTPS. Alamat http:// harus dialihkan secara permanen ke https://.

1. Di cPanel: buka menu Domains dan aktifkan opsi Force HTTPS Redirect untuk domain Anda.
2. Lewat .htaccess (server Apache atau yang kompatibel): tambahkan aturan berikut di bagian atas file.

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [L,R=301]

3. Di WordPress: buka Pengaturan > Umum, ubah Alamat WordPress (URL) dan Alamat Situs (URL) menjadi https://, simpan, lalu login ulang.

Pakai satu cara pengalihan saja di tingkat server agar tidak terjadi pengalihan berantai atau loop. Bila website berada di balik CDN atau reverse proxy, aturan .htaccess di atas bisa memicu loop karena server melihat koneksi dari proxy sebagai HTTP biasa. Dalam kasus itu, atur pengalihan HTTPS di pengaturan CDN.

Memperbaiki mixed content

Mixed content terjadi ketika halaman HTTPS memuat sumber daya lewat HTTP, misalnya gambar, skrip, atau file CSS dengan alamat http://. Browser modern memblokir skrip dan stylesheet HTTP di halaman HTTPS. Untuk gambar, browser umumnya mencoba memuatnya lewat HTTPS dan memblokirnya bila gagal. Akibatnya ikon gembok hilang atau tampilan halaman rusak.

Cara menemukannya:

1. Buka halaman yang bermasalah, tekan F12 untuk membuka Developer Tools, lalu lihat tab Console. Peringatan mixed content menyebutkan alamat file yang dimuat lewat HTTP.
2. Catat asal file tersebut: dari isi artikel, dari tema, atau dari layanan pihak ketiga.

Cara memperbaikinya:

1. Ganti URL lama di database. Pada WordPress, gambar yang diunggah sebelum HTTPS aktif masih tersimpan dengan alamat http://. Buat backup database, lalu jalankan pencarian dan penggantian dari http://domainanda.com ke https://domainanda.com. Dengan WP-CLI, perintahnya wp search-replace 'http://domainanda.com' 'https://domainanda.com'; tambahkan opsi --dry-run terlebih dahulu untuk melihat hasilnya tanpa mengubah data. Jangan mengedit file SQL secara langsung dengan editor teks, karena data serial WordPress bisa rusak.
2. Periksa file tema dan widget. Logo, ikon, atau skrip yang ditulis langsung di tema dengan http:// perlu diubah.
3. Periksa layanan pihak ketiga. Pastikan embed, font, dan skrip eksternal dimuat lewat HTTPS. Bila penyedianya tidak mendukung HTTPS, ganti atau hapus.
4. Bersihkan cache di plugin cache, panel hosting, dan CDN, lalu periksa ulang.

Memeriksa hasil pemasangan

Let's Encrypt sudah berhenti mengirim email pengingat kedaluwarsa sejak 2025, jadi jangan mengandalkan email untuk mengetahui sertifikat yang gagal diperpanjang. Catat tanggal kedaluwarsa dan periksa secara berkala, atau gunakan layanan pemantauan uptime yang juga memeriksa sertifikat.

Ikon gembok hanya membuktikan bahwa koneksi ke domain tersebut terenkripsi. Gembok tidak menjamin website bebas malware atau dapat dipercaya, sehingga pengamanan lain tetap perlu dilakukan, dimulai dari langkah dasar keamanan website.

Setelah HTTPS aktif, pastikan versi HTTPS situs Anda terdaftar di Google Search Console; caranya ada di panduan Google Search Console untuk pemula. Bila suatu saat Anda pindah hosting, sertifikat perlu diterbitkan ulang di server baru, dan urutan langkahnya kami bahas di checklist pindah hosting tanpa downtime.

Sumber dan referensi

• Let's Encrypt: Getting Started: penjelasan resmi cara mendapatkan sertifikat dan pilihan klien ACME.
• web.dev: What is mixed content?: penjelasan jenis mixed content dan cara browser menanganinya.
• Dokumentasi cPanel: panduan resmi fitur cPanel, termasuk SSL/TLS Status dan AutoSSL.