Cara Memeriksa Sertifikat Dengan OpenSSL

Jika Anda mengelola situs web atau server, memeriksa sertifikat SSL/TLS secara berkala adalah salah satu tugas yang tidak boleh Anda lewatkan. Sertifikat yang kedaluwarsa atau salah konfigurasi berarti peringatan browser, hilangnya kepercayaan, dan potensi downtime.

OpenSSL — toolkit baris perintah open-source yang digunakan di hampir semua distribusi Linux, sistem macOS, dan tersedia juga di Windows — memberi Anda akses langsung dan tanpa filter ke detail sertifikat. Tidak perlu browser. Tidak perlu alat pihak ketiga. Cukup terminal dan beberapa perintah singkat.

Panduan ini membahas perintah-perintah OpenSSL yang paling sering Anda gunakan: melihat detail sertifikat, memeriksa tanggal kedaluwarsa, memeriksa server jarak jauh, memvalidasi rantai sertifikat, dan mengonfirmasi bahwa private key Anda cocok dengan sertifikat Anda. Setiap perintah siap untuk disalin-tempel dengan penjelasan yang jelas mengenai fungsinya.

Lebih suka bekerja lewat browser? SSL Checker menampilkan detail sertifikat yang sama: rantai sertifikat, tanggal kedaluwarsa, cipher suite, dan peringkat keamanan, hanya dengan memasukkan nama domain, tanpa memerlukan terminal, atau Anda bisa membaca sendiri sertifikatnya di Chrome, Firefox, Safari, atau Edge. Panduan ini mencakup semua hal yang lebih baik dilakukan melalui command line.

---

Daftar Isi

1. Prasyarat: Periksa Versi OpenSSL Anda
2. Melihat Detail Lengkap Sertifikat Dengan openssl x509
3. Memeriksa Sertifikat Server Jarak Jauh Dengan openssl s_client
4. Memverifikasi Tanggal Kedaluwarsa Sertifikat
5. Memvalidasi Rantai Sertifikat Dengan openssl verify
6. Mengonfirmasi Private Key Anda Cocok Dengan Sertifikat Anda
7. Mengonversi Antar Format Sertifikat
8. Mengatasi Kesalahan Sertifikat yang Umum Terjadi
9. Menjaga Sertifikat Anda Tetap Terkendali

---

---

Prasyarat: Periksa Versi OpenSSL Anda

Sebelum menjalankan perintah apa pun, pastikan OpenSSL sudah terinstal dan periksa versi yang Anda gunakan. Versi Anda menentukan protokol dan algoritma apa saja yang tersedia.

openssl version –a

Perintah ini menampilkan nomor versi, tanggal rilis, dan direktori sertifikat default (OPENSSLDIR). Sebagian besar sistem Linux sudah dilengkapi OpenSSL sejak awal. Di macOS, sistem menggunakan LibreSSL (fork dari OpenSSL), yang menangani perintah yang sama.

Jika Anda menggunakan Windows, Anda dapat mengakses OpenSSL melalui WSL (Windows Subsystem for Linux), Git Bash, atau build Windows mandiri.

Tips: Pastikan Anda menjalankan setidaknya OpenSSL 1.1.1 atau versi yang lebih baru. Versi yang lebih lama tidak mendukung TLS 1.2 dan TLS 1.3, yang diperlukan oleh server dan browser modern.

---

Melihat Detail Lengkap Sertifikat Dengan openssl x509

Perintah openssl x509 adalah kuda kerja untuk inspeksi sertifikat. Perintah ini membaca sertifikat X.509, format standar yang digunakan oleh semua sertifikat SSL/TLS, dan menampilkan detailnya dalam bentuk yang mudah dibaca manusia.

Untuk melihat detail lengkap dari file sertifikat yang tersimpan secara lokal:

openssl x509 -in certificate.crt -text -noout

Berikut fungsi masing-masing flag:

• -in certificate.crt — Menentukan file sertifikat input. Ganti dengan nama file Anda yang sebenarnya (misalnya, yourdomain.crt atau server.pem).
• -text — Menampilkan sertifikat dalam format teks yang dapat dibaca, bukan data mentah yang dienkode.
• -noout — Mencegah OpenSSL menampilkan blok PEM berformat Base64 di samping output teks.

Perintah ini menampilkan segala sesuatu tentang sertifikat:

• Ekstensi — Termasuk Subject Alternative Names (SAN), Key Usage, dan Authority Information Access.
• Penerbit (Issuer) — Certificate Authority (CA) yang menandatanganinya (misalnya, DigiCert, Let’s Encrypt, Sectigo).
• Subjek — Domain atau organisasi yang menerima sertifikat tersebut.
• Masa berlaku — Tanggal “Not Before” dan “Not After” yang menunjukkan kapan sertifikat tersebut aktif.
• Algoritma dan ukuran kunci publik — Biasanya RSA 2048-bit atau ECDSA P-256.
• Algoritma tanda tangan — Biasanya sha256WithRSAEncryption untuk sertifikat modern.

Memeriksa Hanya Penerbit atau Subjek

Jika Anda tidak memerlukan output lengkap, Anda dapat menarik kolom (field) tertentu saja:

openssl x509 -in certificate.crt -noout -issuer
openssl x509 -in certificate.crt -noout -subject

Perintah satu baris ini sangat berguna ketika Anda sedang membuat skrip atau hanya perlu konfirmasi cepat.

Catatan: Secara default, OpenSSL mengharapkan format PEM — ini adalah file teks yang dimulai dengan —–BEGIN CERTIFICATE—–. Jika sertifikat Anda berformat DER (biner), tambahkan flag -inform der:

openssl x509 -in certificate.der -inform der -text -noout

---

Memeriksa Sertifikat Server Jarak Jauh Dengan openssl s_client

Anda tidak selalu memiliki file sertifikat yang tersimpan di mesin lokal Anda. Seringkali, Anda perlu memeriksa sertifikat yang terpasang pada server aktif. Di sinilah openssl s_client berperan.

openssl s_client -connect yourdomain.com:443 -servername yourdomain.com

Perintah ini membuka koneksi TLS ke server pada port 443 (port default HTTPS) dan menampilkan rantai sertifikat, versi protokol, cipher suite, dan detail sesi.

Flag -servername mengaktifkan Server Name Indication (SNI), yang sangat penting saat server tersebut menampung banyak domain pada satu alamat IP yang sama. Tanpa flag ini, Anda mungkin menerima sertifikat yang salah.

Tekan CTRL+C untuk menutup koneksi setelah melihat outputnya.

Tidak punya terminal, atau ingin cara yang lebih cepat? SSL Checker kami memungkinkan Anda memeriksa sertifikat tanpa OpenSSL. Tempelkan domainnya dan dapatkan detail rantai sertifikat, kedaluwarsa, dan cipher langsung di browser Anda.

Menggunakan Pipe untuk Output yang Lebih Rapi

Output mentah dari s_client cukup panjang dan detail. Untuk mengekstrak hanya detail sertifikatnya, alirkan (pipe) ke openssl x509:

echo | openssl s_client -servername yourdomain.com -connect yourdomain.com:443 2>/dev/null | openssl x509 -noout -text

echo | di awal mengirimkan input kosong sehingga koneksi tertutup secara otomatis. 2>/dev/null menekan pesan kesalahan, memberi Anda output yang bersih.

Anda juga dapat mempersempitnya ke kolom tertentu:

echo | openssl s_client -servername yourdomain.com -connect yourdomain.com:443 2>/dev/null | openssl x509 -noout -issuer -subject -dates

Perintah satu baris ini adalah favorit yang praktis bagi para sysadmin. Perintah ini menampilkan penerbit, subjek, dan tanggal masa berlaku sekaligus dalam satu kali proses.

Menyimpan Sertifikat Secara Lokal

Jika Anda ingin menyimpan sertifikat jarak jauh ke dalam file untuk analisis lebih lanjut:

echo | openssl s_client -servername yourdomain.com -connect yourdomain.com:443 2>/dev/null | openssl x509 > yourdomain.pem

Sekarang Anda dapat menjalankan perintah openssl x509 apa pun terhadap file yang telah disimpan.

---

Memverifikasi Tanggal Kedaluwarsa Sertifikat

Sertifikat yang kedaluwarsa adalah salah satu penyebab paling umum dari kesalahan SSL. OpenSSL memberi Anda beberapa cara untuk memeriksa tanggal kedaluwarsa.

Pemeriksaan Tanggal Cepat

openssl x509 -in certificate.crt -noout -dates

Perintah ini menampilkan tanggal “Not Before” (tanggal mulai) dan “Not After” (tanggal berakhir). Jika Anda hanya memerlukan tanggal kedaluwarsa:

openssl x509 -in certificate.crt -noout -enddate

Untuk Server Jarak Jauh

Gabungkan s_client dan x509 untuk memeriksa tanggal kedaluwarsa sertifikat server aktif:

echo | openssl s_client -servername yourdomain.com -connect yourdomain.com:443 2>/dev/null | openssl x509 -noout -enddate

Otomatiskan Peringatan Kedaluwarsa Dengan -checkend

Flag -checkend adalah sesuatu yang sering dilewatkan oleh sebagian besar panduan, tetapi sangat berguna untuk otomatisasi. Flag ini memeriksa apakah sertifikat akan kedaluwarsa dalam jumlah detik tertentu dan mengembalikan kode keluar (exit code):

openssl x509 -in certificate.crt -noout -checkend 2592000

Nilai 2592000 setara dengan 30 hari dalam detik. Jika sertifikat kedaluwarsa dalam waktu 30 hari, perintah tersebut mengembalikan kode keluar bukan nol (non-zero exit code) dan menampilkan peringatan. Jika sertifikat masih berlaku melebihi jangka waktu tersebut, perintah tersebut mengembalikan nol.

Hal ini memudahkan integrasi ke dalam cron job, skrip pemantauan (monitoring scripts), atau pipeline CI/CD:

if ! openssl x509 -in certificate.crt -noout -checkend 2592000 > /dev/null 2>&1; then
    echo "WARNING: Certificate expires within 30 days!"
fi

Mengapa ini penting: Dengan CA/Browser Forum yang bergerak menuju masa berlaku sertifikat 47 hari pada tahun 2029, pemantauan kedaluwarsa otomatis bukan lagi sekadar opsi, melainkan sebuah keharusan. Membangun pemeriksaan ini ke dalam infrastruktur Anda sekarang akan menyelamatkan Anda dari gangguan layanan (outage) di kemudian hari.

---

Memvalidasi Rantai Sertifikat Dengan openssl verify

Sebuah sertifikat tidak berfungsi secara terpisah. Browser dan klien memvalidasi seluruh rantai sertifikat (certificate chain), yaitu urutan yang dimulai dari sertifikat server Anda, melewati satu atau lebih sertifikat CA perantara (intermediate), dan berakhir pada sertifikat root CA tepercaya.

Jika rantai tersebut terputus atau tidak lengkap, pengunjung akan melihat kesalahan “tidak dipercaya” meskipun sertifikat itu sendiri sebenarnya valid.

Untuk memvalidasi sertifikat terhadap penyimpanan CA tepercaya milik sistem:

openssl verify certificate.crt

Jika hasilnya menampilkan certificate.crt: OK, berarti rantai sertifikat tersebut lengkap dan valid.

Ketika Sertifikat Perantara Terpisah

Jika sertifikat CA perantara Anda berada dalam file terpisah (umum terjadi pada banyak penyedia CA, termasuk DigiCert), gunakan flag -untrusted:

openssl verify -untrusted intermediate.crt certificate.crt

Flag -untrusted memberi tahu OpenSSL untuk menggunakan sertifikat perantara yang disediakan selama proses pembangunan rantai, tanpa menambahkannya secara permanen ke dalam penyimpanan tepercaya (trust store).

Melihat Rantai Lengkap Dari Server Jarak Jauh

Untuk melihat setiap sertifikat dalam rantai dari server aktif:

openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -showcerts

Flag -showcerts menampilkan setiap sertifikat dalam rantai dalam format PEM. Ini adalah perintah andalan untuk mendiagnosis masalah rantai sertifikat, seperti sertifikat perantara yang hilang atau urutan yang salah.

Lebih suka pemeriksaan visual dengan satu klik saja? SSL Checker kami akan memverifikasi rantai sertifikat untuk domain apa pun dan secara otomatis menandai bila ada sertifikat perantara yang hilang.

---

Mengonfirmasi Private Key Anda Cocok Dengan Sertifikat Anda

Setelah menginstal sertifikat, salah satu kesalahan paling umum adalah ketidakcocokan private key (private key mismatch). Server web tidak akan bisa berjalan (atau akan menyajikan koneksi yang rusak) jika private key tidak sesuai dengan public key milik sertifikat.

Berikut cara memverifikasi kecocokannya. Kedua perintah ini mengekstrak modulus, sebuah nilai matematis bersama, lalu melakukan hash terhadapnya:

openssl x509 -noout -modulus -in certificate.crt | openssl md5
openssl rsa -noout -modulus -in privatekey.key | openssl md5

Jika hash MD5-nya identik, berarti private key dan sertifikat merupakan pasangan yang valid. Jika berbeda, ada yang salah. Anda mungkin memiliki key yang salah, atau sertifikat telah diterbitkan ulang dengan pasangan key yang baru.

Anda juga dapat memperluas pemeriksaan ini agar mencakup CSR (Certificate Signing Request) Anda:

openssl req -noout -modulus -in request.csr | openssl md5

Pemeriksaan modulus memberi tahu Anda apakah ketiga file tersebut saling terkait, tetapi tidak menunjukkan apa yang sebenarnya tercantum dalam CSR. Untuk membaca kolom-kolomnya sendiri, jalankan openssl req -in yourCSR.csr -noout -text, atau tempelkan permintaannya ke dalam CSR decoder kami.

Ketiganya: sertifikat, private key, dan CSR seharusnya menghasilkan hash yang sama.

Tidak sedang berada di komputer yang memiliki OpenSSL? Certificate Key Matcher kami melakukan perbandingan yang sama langsung di browser Anda, dan alat ini juga berfungsi untuk key ECDSA, di mana pemeriksaan modulus tidak berlaku.

---

Mengonversi Antar Format Sertifikat

Server dan platform yang berbeda memerlukan format sertifikat yang berbeda pula. Apache dan Nginx menggunakan PEM, sedangkan Windows IIS dan Tomcat biasanya membutuhkan PKCS#12 (.pfx). Berikut konversi yang paling umum dilakukan:

DER ke PEM:

openssl x509 -inform der -in certificate.der -out certificate.pem

PEM ke DER:

openssl x509 -outform der -in certificate.pem -out certificate.der

PEM ke PKCS#12 (.pfx):

openssl pkcs12 -export -out certificate.pfx -inkey privatekey.key -in certificate.crt -certfile ca-bundle.crt

PKCS#12 ke PEM:

openssl pkcs12 -in certificate.pfx -out certificate.pem -nodes

Flag -nodes mengekspor private key tanpa enkripsi kata sandi. Hapus flag ini jika Anda menginginkan output yang dilindungi oleh passphrase.

Baik untuk diketahui: File sertifikat dengan ekstensi .crt, .cer, dan .pem semuanya bisa berupa format PEM. Ekstensi saja tidak menunjukkan jenis pengodeannya, periksalah isi filenya. Jika dimulai dengan —–BEGIN, berarti itu PEM. Jika berupa data biner yang tidak terbaca, berarti itu DER.

Untuk konversi sekali pakai pada komputer yang tidak memiliki OpenSSL,  SSL Converter menangani PEM, DER, PFX, dan P7B langsung di browser serta dapat memisahkan file PFX menjadi sertifikat, rantai sertifikat, dan key.

---

Mengatasi Kesalahan Sertifikat yang Umum Terjadi

Ketika terjadi kesalahan, output dari OpenSSL biasanya menunjukkan di mana letak masalahnya. Berikut referensi cepat untuk masalah-masalah yang paling sering muncul:

“unable to get local issuer certificate”. Rantai sertifikat tidak lengkap. Sertifikat perantara hilang dari konfigurasi server Anda. Dapatkan CA bundle yang benar dari penyedia sertifikat Anda dan konfigurasikan bersama dengan sertifikat server Anda.

“certificate has expired”. Persis seperti yang tertulis. Tanggal “Not After” pada sertifikat sudah terlewati. Segera perbarui dan gantikan sertifikat tersebut.

“certificate signature failure”. Sertifikat telah dimodifikasi atau rusak setelah proses penandatanganan. Unduh ulang dari penyedia CA Anda atau terbitkan ulang sertifikat tersebut.

“key values mismatch”. Private key dan sertifikat tidak saling sesuai. Jalankan perbandingan modulus dari bagian di atas untuk memastikannya, lalu temukan key yang benar atau buat CSR baru.

“self-signed certificate”. OpenSSL tidak dapat menelusuri sertifikat tersebut kembali ke root CA tepercaya. Hal ini wajar terjadi pada sertifikat self-signed yang digunakan dalam pengembangan. Untuk lingkungan produksi, pastikan Anda memiliki sertifikat yang diterbitkan oleh Certificate Authority yang tepercaya secara publik.

“hostname mismatch”. Domain yang Anda hubungi tidak sesuai dengan Common Name (CN) atau Subject Alternative Name (SAN) yang tercantum dalam sertifikat. Periksa SAN-nya dengan:

openssl x509 -in certificate.crt -noout -ext subjectAltName

---

Menjaga Sertifikat Anda Tetap Terkendali

Memeriksa sertifikat dengan OpenSSL adalah sesuatu yang akan Anda lakukan berulang kali sepanjang siklus hidup sertifikat, saat instalasi, setelah pembaruan, dan setiap kali ada yang bermasalah. Perintah-perintah ini adalah cara tercepat untuk mendiagnosis masalah dan memverifikasi bahwa semuanya telah dikonfigurasi dengan benar.

Untuk pemeriksaan cepat tanpa perlu membuka terminal, jalankan domain Anda melalui SSL Checker kami dan dapatkan peringkat keamanan SSL beserta rincian lengkap sertifikat, rantai, dan cipher hanya dalam hitungan detik.

Namun, pemeriksaan manual hanya dapat diandalkan sampai batas tertentu. Jika Anda mengelola banyak sertifikat di berbagai server, Anda memerlukan proses manajemen sertifikat yang andal, terutama karena masa berlaku sertifikat terus semakin singkat dan ruang untuk kesalahan pun semakin kecil.

Butuh sertifikat SSL yang tepercaya? SSL Dragon menawarkan pilihan lengkap sertifikat SSL/TLS dari Certificate Authority terkemuka seperti DigiCert, Sectigo, dan Thawte, dengan harga bersaing, penerbitan cepat, dan dukungan khusus. Baik Anda memerlukan sertifikat satu domain maupun solusi multi-domain tingkat enterprise, Anda akan menemukan pilihan yang tepat.