Ikon gembok di address bar hanya menandakan koneksi terenkripsi, bukan jaminan situs tersebut tepercaya. Situs penipuan pun bisa memasang sertifikat gratis dalam hitungan menit. Cara cek sertifikat HTTPS situs membantu kamu melihat siapa penerbitnya, untuk domain apa sertifikat itu berlaku, dan apakah masa berlakunya masih aktif sebelum kamu mengetik password atau nomor kartu.
Pemeriksaan ini butuh waktu kurang dari satu menit dan bisa dilakukan di Chrome, Edge, Firefox, maupun Safari tanpa aplikasi tambahan.
Kenapa Gembok Hijau Tidak Cukup
Sertifikat HTTPS bekerja seperti segel pada amplop: ia memastikan isi tidak dibaca orang lain di tengah jalan, tetapi tidak memberi tahu apakah pengirimnya jujur. Sertifikat domain tunggal bisa diperoleh siapa saja yang menguasai domain tersebut, termasuk pelaku phishing yang mendaftarkan nama mirip situs bank.
Yang perlu kamu periksa adalah kecocokan antara nama domain di address bar dan nama domain di dalam sertifikat. Kalau sertifikat dikeluarkan untuk paypal-secure-login.com sementara kamu mengira sedang di PayPal, enkripsi tetap berjalan, tetapi data tetap masuk ke pihak yang salah.
Cara Cek Sertifikat HTTPS di Chrome dan Edge
Kedua browser berbasis Chromium ini memakai tampilan panel yang sama.
- Buka situs yang ingin diperiksa.
- Klik ikon gembok atau ikon pengaturan di sebelah kiri address bar.
- Pilih Connection is secure, lalu klik Certificate is valid.
- Tab General menampilkan penerbit, masa berlaku, dan nama pemilik sertifikat.
- Tab Details menampilkan daftar domain yang dicakup sertifikat. Cari kolom Subject Alternative Name.
Di tab Details, pastikan domain yang kamu buka tercantum persis, termasuk subdomain. Sertifikat untuk www.contoh.com belum tentu berlaku untuk login.contoh.com kecuali domain itu ikut tercantum.
Kalau Muncul Peringatan “Not Secure”
Browser menampilkan peringatan penuh ketika sertifikat kedaluwarsa, diterbitkan untuk domain lain, atau tidak dikenali sistem. Jangan menekan tombol Advanced lalu Proceed pada halaman login, pembayaran, atau formulir data pribadi. Tutup tab dan cari sumber resmi lain.
Cara Cek Sertifikat HTTPS di Firefox
Firefox menaruh informasi sertifikat di panel yang berbeda.
- Klik ikon gembok di address bar.
- Pilih Connection secure, lalu More information.
- Pada jendela Page Info, buka tab Security.
- Klik View Certificate untuk melihat penerbit dan masa berlaku.
Firefox juga menandai situs yang memakai sertifikat dari otoritas tidak dikenal dengan halaman peringatan merah. Perlakukan halaman itu sebagai sinyal berhenti, terutama bila kamu tiba di sana lewat tautan dari email atau pesan singkat.
Cara Cek Sertifikat di Safari dan di HP
Di Safari desktop, klik ikon gembok, lalu pilih Show Certificate. Di iPhone dan iPad, buka Settings > General > About > Certificate Trust Settings hanya untuk melihat sertifikat yang dipasang manual, bukan sertifikat situs.
Untuk memeriksa sertifikat situs di HP, ketuk ikon gembok di address bar Safari atau Chrome Android, lalu pilih Connection details. Tampilan ini lebih ringkas, tetapi tetap memperlihatkan penerbit dan masa berlaku. Kalau tombolnya tidak muncul, ketuk nama domain di address bar.
Yang Perlu Diperiksa dari Sebuah Sertifikat
Empat hal berikut menentukan apakah sertifikat layak dipercaya untuk transaksi sensitif.
- Nama domain. Harus sama persis dengan alamat yang kamu ketik, tanpa tambahan kata seperti secure, login, atau verifikasi di depannya.
- Penerbit. Otoritas sertifikat publik ternama seperti Let’s Encrypt, DigiCert, atau GlobalSign normal ditemukan. Penerbit yang namanya tidak pernah kamu dengar pada situs bank patut dicurigai.
- Masa berlaku. Sertifikat kedaluwarsa membuat browser memutus koneksi atau menampilkan peringatan. Situs resmi umumnya memperbarui sertifikat jauh sebelum habis.
- Jenis validasi. Sertifikat Domain Validation hanya membuktikan pemilik domain. Sertifikat Extended Validation mencantumkan nama badan hukum, tetapi indikatornya kini tidak lagi ditampilkan menonjol di banyak browser.
Pemeriksaan sertifikat menjadi langkah pertama sebelum kamu memutuskan mengisi formulir. Untuk situs yang baru pertama kali kamu kunjungi, cocokkan juga alamatnya dengan tautan resmi dari email konfirmasi atau halaman kontak perusahaan. Kalau kamu ingin mengurangi risiko sejak awal, atur browser agar memblokir situs berbahaya lewat panduan memblokir situs berbahaya di browser.
Kapan Sertifikat Valid Tetap Menyesatkan
Sertifikat yang sah tidak menghalangi penipuan berbasis domain mirip. Contohnya bankmandiri-verifikasi.net bisa memiliki sertifikat valid, padahal bukan milik bank tersebut. Karena itu, urutan pemeriksaan yang lebih aman adalah: cek dulu domain di address bar, baru cek sertifikat.
Halaman login palsu sering kali meniru tampilan situs asli dengan sangat rapi. Satu-satunya pembeda yang bisa kamu lihat adalah URL. Kalau kamu menerima tautan lewat WhatsApp atau email, ketik sendiri alamat situs resmi di address bar daripada mengklik tautan tersebut.
Browser modern menyembunyikan sebagian alamat demi kerapian tampilan. Klik address bar sekali untuk melihat URL lengkap sebelum menilai apakah situs itu asli.
Untuk situs yang meminta unggahan dokumen, kamu bisa memeriksa berkas yang kamu terima lebih dulu dengan cara cek file mencurigakan sebelum dibuka di Windows. Sertifikat situs dan pemindaian berkas menangani dua risiko berbeda dan sebaiknya dipakai bersama.
Langkah Lanjutan Setelah Sertifikat Terverifikasi
Domain cocok dan sertifikat aktif berarti koneksi aman ke server yang benar. Kamu masih perlu memastikan dua hal: kebiasaan password dan perangkat yang kamu pakai.
Periksa apakah situs menyediakan autentikasi dua faktor, dan jangan memakai password yang sama dengan akun lain. Panduan cek keamanan password sebelum dibobol menjelaskan cara menilai kekuatan password lama dan kapan sebaiknya menggantinya.
Di sisi perangkat, pastikan sistem operasi dan browser sudah diperbarui. Sertifikat palsu umumnya lolos hanya ketika sertifikat akar berbahaya terpasang di komputer, dan itu biasanya terjadi karena malware. Pemindai malware dari perbandingan aplikasi pemindai malware PC bisa membantu memeriksa apakah ada sertifikat asing yang ditanam tanpa sepengetahuanmu.
Kalau kamu juga mengelola layanan web sendiri, keamanan koneksi tidak berhenti di sertifikat. Pengelolaan basis data yang rapi ikut menentukan seberapa jauh data pengguna bisa bocor saat terjadi kesalahan konfigurasi. Prinsip serupa dibahas dalam tips mengelola database di Ruby on Rails untuk pemula, termasuk cara memisahkan kredensial dari kode yang bisa diakses publik.
Sertifikat HTTPS juga dipakai di layanan di luar web, termasuk aplikasi astronomi dan pengamatan langit yang menampilkan data waktu. Contohnya, situs yang menjelaskan cara memprediksi waktu terbit dan terbenamnya bintang memakai HTTPS untuk melindungi input lokasi pengguna, yang secara tidak langsung mengungkap posisi mereka.
Ringkasan
Cek sertifikat HTTPS dengan membuka detail sertifikat dari ikon gembok, lalu cocokkan nama domain, penerbit, dan masa berlakunya. Gembok hanya menjamin koneksi terenkripsi, jadi selalu baca URL lengkap sebelum mengisi data sensitif. Kalau ada peringatan sertifikat pada halaman login atau pembayaran, tutup halamannya dan akses situs lewat alamat resmi yang kamu ketik sendiri.
Pertanyaan yang Sering Diajukan
Apakah situs dengan HTTPS selalu aman?
Tidak. HTTPS mengenkripsi data antara browser dan server, tetapi tidak memverifikasi niat pemilik situs. Situs phishing bisa memakai sertifikat valid. Keamanan sebenarnya bergantung pada apakah domain itu benar milik pihak yang kamu percaya.
Bagaimana cara cepat tahu sertifikat situs kedaluwarsa?
Browser akan menampilkan halaman peringatan sebelum konten dimuat, biasanya dengan keterangan bahwa sertifikat tidak valid atau koneksinya tidak privat. Kamu juga bisa membuka detail sertifikat dan membaca tanggal Valid from serta Valid to.
Apa yang harus dilakukan kalau sudah terlanjur mengisi data di situs bersertifikat palsu?
Segera ganti password akun terkait dari perangkat lain, aktifkan autentikasi dua faktor, dan hubungi penyedia layanan resmi. Kalau data kartu yang bocor, hubungi bank untuk memblokir kartu tersebut. Simpan bukti tangkapan layar untuk keperluan pelaporan.