Apa Itu HTTPS dan SSL? Cara Kerja Situs Web Aman, Dijelaskan Sederhana
HTTPS adalah versi aman dari HTTP, protokol yang digunakan browser untuk berbicara dengan situs web. HTTPS membungkus setiap permintaan dan respons dalam koneksi terenkripsi memakai TLS (Transport Layer Security), sehingga tidak ada pihak di antara pengunjung dan situs web yang bisa membaca atau mengubah data yang dikirim. SSL adalah nama lama untuk gagasan yang sama — protokol pendahulu yang digantikan TLS — itulah sebabnya orang masih menyebut “sertifikat SSL”.
Mengapa HTTPS penting saat membangun dengan AI
Setiap aplikasi yang Anda publikasikan sebaiknya disajikan lewat HTTPS. Itu bukan sekadar praktik baik:
- Browser mengharapkannya. Situs yang memakai HTTP biasa diberi label “Not secure”, dan beberapa fitur browser — seperti akses lokasi, kamera dan mikrofon, serta service worker untuk aplikasi offline — umumnya hanya berfungsi di halaman yang aman (HTTPS).
- Login dan formulir. Tanpa HTTPS, kata sandi, cookie sesi, dan data formulir berpindah dalam bentuk teks yang bisa dibaca. Siapa pun di Wi-Fi kafe yang sama berpotensi menangkapnya.
- Pembayaran dan pihak ketiga. Penyedia pembayaran, login OAuth, dan banyak API mewajibkan URL redirect dan callback berupa HTTPS.
- Kepercayaan dan pencarian. Pengunjung memperhatikan peringatan, dan Google sudah menyatakan bahwa HTTPS menjadi sinyal peringkat.
Kabar baiknya: di sebagian besar platform hosting modern, HTTPS diatur secara otomatis. Yang biasanya perlu Anda pahami adalah bagian-bagiannya, cukup untuk memperbaikinya saat domain kustom atau peringatan mixed content bermasalah.
Analogi sehari-hari
Mengirim data lewat HTTP biasa seperti mengirim kartu pos: setiap petugas pos yang menanganinya bisa membaca pesannya, bahkan bisa mengubahnya.
HTTPS seperti mengirim amplop tersegel yang tidak bisa diubah tanpa ketahuan — dan lebih dulu memeriksa KTP penerimanya. Sertifikat adalah KTP itu, yang diterbitkan oleh otoritas tepercaya (certificate authority) yang sudah memastikan bahwa situs web benar-benar mengendalikan domainnya. Enkripsi adalah amplop tersegelnya. KTP membuktikan Anda menulis ke alamat yang benar; amplop menjaga isinya tetap pribadi.
Cara kerja HTTPS, secara sederhana
Ketika browser membuka https://shop.example.com:
- Sapaan. Browser terhubung dan menyebutkan metode enkripsi apa saja yang didukungnya.
- Sertifikat. Server mengirim sertifikatnya, yang menyatakan “kunci ini milik
shop.example.com” dan ditandatangani oleh certificate authority. - Pemeriksaan. Browser memverifikasi tanda tangan terhadap otoritas yang sudah dipercayainya, memeriksa bahwa sertifikat belum kedaluwarsa, dan memeriksa bahwa domainnya cocok.
- Kunci. Browser dan server menyepakati rahasia kunci baru untuk sesi ini, tanpa pernah mengirimkannya secara terbuka.
- Percakapan terenkripsi. Semua permintaan dan respons — halaman, data formulir, cookie — kini berpindah dalam keadaan terenkripsi.
Handshake TLS ini memakan waktu beberapa milidetik dan terjadi secara otomatis. Pengunjung hanya melihat ikon gembok (atau, di beberapa browser, ikon informasi situs yang netral).
Apa yang dilindungi HTTPS dan apa yang tidak
| Dilindungi | Tidak dilindungi |
|---|---|
| Data yang berpindah antara browser dan server | Data setelah berada di server Anda atau di database |
| Penyadapan di Wi-Fi publik | Situs web jahat atau penipuan |
| Perubahan halaman di tengah perjalanan | Bug di aplikasi Anda, seperti tidak adanya pemeriksaan izin |
| Cookie dan kata sandi saat dikirim | Kata sandi lemah atau API key yang bocor |
HTTPS mengenkripsi isi permintaan, termasuk path halaman dan query string. Namun nama domain yang Anda kunjungi biasanya tetap terlihat oleh jaringan di sepanjang rute. Itu salah satu alasan untuk tidak pernah menaruh data pribadi di URL — URL juga berakhir di log dan riwayat browser.
Contoh nyata: menghubungkan domain kustom
Bayangkan Anda mempublikasikan aplikasi booking dan ingin menempatkannya di book.myyogastudio.com:
- Anda menambahkan record DNS yang mengarahkan
book.myyogastudio.comke host Anda. Lihat cara kerja domain dan DNS. - Host membuktikan kepada certificate authority bahwa ia mengendalikan nama tersebut — biasanya dengan menjawab tantangan di domain itu — lalu menerima sertifikat.
- Host memasang sertifikat tersebut dan memperpanjangnya secara otomatis sebelum kedaluwarsa. Sertifikat sengaja dibuat berumur pendek, jadi perpanjangan otomatis itu penting.
- Pengunjung yang membuka
http://book.myyogastudio.comdialihkan kehttps://.
Jika langkah 1 keliru — record mengarah ke tempat lain, atau ada proxy di tengah — langkah 2 bisa gagal dan pengunjung melihat error sertifikat. Itulah masalah HTTPS yang paling sering dialami orang saat menghubungkan domain kustom.
Istilah kunci
| Istilah | Arti |
|---|---|
| TLS | Transport Layer Security, protokol enkripsi di balik HTTPS. |
| SSL | Secure Sockets Layer, pendahulu TLS yang sudah usang. Namanya masih tertinggal. |
| Sertifikat | File bertanda tangan yang menghubungkan domain dengan public key. |
| Certificate authority (CA) | Organisasi yang dipercaya browser untuk menerbitkan sertifikat, misalnya Let's Encrypt. |
| Domain validation (DV) | Sertifikat yang membuktikan kendali atas domain — yang digunakan hampir semua situs. |
| Wildcard certificate | Mencakup semua subdomain satu tingkat di bawahnya, seperti *.example.com. |
| Mixed content | Halaman HTTPS yang memuat sebagian resource lewat HTTP biasa. Browser memblokir atau memberi peringatan. |
| HSTS | Header yang memberi tahu browser untuk selalu memakai HTTPS di situs Anda mulai saat itu. |
| Port 443 | Port standar untuk HTTPS (HTTP memakai port 80). |
Kesalahpahaman umum
- “Gembok berarti situs itu dapat dipercaya.” Gembok berarti koneksinya pribadi dan domainnya cocok. Penipu juga bisa mendapatkan sertifikat.
- “HTTPS hanya perlu untuk halaman pembayaran.” Halaman mana pun dengan login, formulir, atau cookie memerlukannya — dan itu hampir setiap aplikasi. Gunakan di mana saja.
- “Sertifikat itu mahal.” Sertifikat gratis dan tepercaya sudah menjadi standar, dan sebagian besar host mengelolanya untuk Anda.
- “HTTPS membuat aplikasi saya aman.” HTTPS hanya mengamankan koneksinya. Aplikasi Anda tetap membutuhkan pemeriksaan izin di sisi server, penanganan rahasia yang aman, dan validasi input. Lihat daftar periksa keamanan untuk aplikasi buatan AI.
- “HTTPS membuat situs lambat.” TLS modern menambah sangat sedikit overhead, dan fitur seperti HTTP/2 yang membuat situs lebih cepat umumnya memang memerlukan HTTPS di browser.
Memperbaiki masalah HTTPS yang umum
| Gejala | Kemungkinan penyebab |
|---|---|
| “Your connection is not private” | Sertifikat tidak mencakup domain yang tepat ini, sudah kedaluwarsa, atau belum diterbitkan |
Berfungsi di www. tetapi tidak di domain utama (atau sebaliknya) | Hanya salah satu nama yang memiliki DNS dan sertifikat |
| Gembok hilang, “Not secure” di sebagian halaman | Mixed content: gambar, script, atau font dimuat lewat http:// |
| Error sertifikat tepat setelah menghubungkan domain | DNS masih menyebar, atau proxy di depan memblokir pemeriksaan sertifikat |
Yang sebaiknya Anda tanyakan ke pembuat aplikasi AI
- “Pastikan setiap gambar, script, dan font dimuat lewat HTTPS atau URL relatif — tidak ada link
http://.” - “Arahkan semua trafik HTTP ke HTTPS.”
- “Atur cookie sesi dengan flag
SecuredanHttpOnly.” - “Gunakan
https://untuk setiap URL callback OAuth, pembayaran, dan webhook.” - “Domain kustom saya menampilkan error sertifikat — record DNS apa yang diharapkan host?”
HTTPS di Mythex
Saat Anda menghubungkan domain kustom di Mythex (fitur Pro), Anda menambahkan record CNAME yang mengarah ke target slug.mythex.ai yang ditampilkan Mythex, klik Verify, dan Mythex menerbitkan HTTPS untuk domain tersebut secara otomatis. Dokumentasi membahas dua kendala paling umum: jika DNS Anda ada di Cloudflare, atur record ke “DNS only” (awan abu-abu) alih-alih proxied, agar Mythex bisa menerbitkan sertifikat; dan DNS bisa lolos verifikasi sebelum HTTPS sepenuhnya siap, jadi tunggu beberapa menit lalu verifikasi lagi. Lihat custom domain di dokumentasi dan panduan kami tentang menghubungkan domain kustom.
Pertanyaan
Apa perbedaan antara HTTP dan HTTPS?
HTTP mengirim data antara browser dan situs web sebagai teks yang bisa dibaca. HTTPS adalah HTTP yang dikirim melalui koneksi TLS terenkripsi, sehingga orang di jaringan yang sama atau di sepanjang rute tidak bisa membaca atau mengubah data yang dikirim, dan browser bisa memastikan bahwa ia benar-benar berbicara dengan situs yang asli.
Apakah SSL dan TLS itu sama?
TLS adalah penerus modern dari SSL. Semua versi SSL sudah usang dan tidak aman, dan situs web aman masa kini menggunakan TLS. Banyak orang masih menyebut “sertifikat SSL” karena kebiasaan, tetapi sertifikatnya dipakai bersama TLS.
Apakah gembok berarti situs web aman?
Tidak. Gembok berarti koneksinya terenkripsi dan sertifikatnya cocok dengan domainnya. Situs penipuan pun bisa memiliki sertifikat yang valid. Gembok hanya memberi tahu bahwa tidak ada yang bisa mengintip koneksi itu, bukan bahwa pemilik situsnya dapat dipercaya.
Apakah saya harus membayar untuk sertifikat SSL?
Biasanya tidak. Certificate authority gratis dan otomatis seperti Let's Encrypt menerbitkan sertifikat yang dipercaya browser, dan sebagian besar platform hosting mendapatkan serta memperpanjangnya untuk Anda. Sertifikat berbayar terutama menambahkan dukungan atau pemeriksaan identitas tambahan.
Mengapa situs saya bertuliskan Not Secure?
Penyebab umumnya adalah membuka situs lewat http:// alih-alih https://, sertifikat yang sudah kedaluwarsa atau tidak mencakup domain yang tepat itu, atau halaman yang memuat gambar atau script lewat http:// biasa (mixed content).