Cara Mengalihkan Situs Anda dari HTTP ke HTTPS

Mengalihkan situs dari HTTP ke HTTPS berarti menginstal sertifikat SSL di server Anda, mengarahkan situs Anda ke URL https-nya, dan mengalihkan URL http lama agar tidak ada yang tertinggal. Pekerjaan itu sendiri memakan waktu satu sore di sebagian besar situs. Berikut ini adalah keseluruhan prosesnya dalam enam langkah, ditambah lokasi pengaturan tersebut di lima platform yang paling sering ditanyakan orang.

Jawaban singkat: dapatkan sertifikat SSL (sebagian besar host menerbitkannya secara gratis), instal di server Anda, ubah URL situs Anda dari http ke https di pengaturan platform Anda, tambahkan pengalihan 301 agar tautan lama mengikuti, perbaiki apa pun yang masih dimuat melalui http, lalu tambahkan properti https di Google Search Console dan kirim ulang sitemap Anda.

SSL (singkatan dari Secure Sockets Layer, meskipun sertifikat yang diterbitkan saat ini semuanya menggunakan TLS) adalah yang membuat https menjadi mungkin. Jika Anda ingin mengetahui latar belakangnya terlebih dahulu, bacalah apa itu sertifikat SSL.

Cara beralih dari HTTP ke HTTPS dalam 6 langkah

1. Dapatkan sertifikat SSL. Gratis dari host Anda atau Let’s Encrypt, atau berbayar jika Anda memerlukan garansi, detail perusahaan yang terverifikasi, atau cakupan wildcard.
2. Instal di server Anda. Melalui panel hosting Anda, dengan Certbot, atau secara manual dari CSR.
3. Arahkan platform Anda ke URL https-nya. Setiap CMS menyimpan alamat situsnya sendiri, dan itu harus diperbarui.
4. Alihkan http ke https secara permanen dengan 301, di tingkat server.
5. Perbaiki apa yang masih dimuat melalui http: konten campuran, tautan absolut internal, cache, dan feed.
6. Beri tahu mesin pencari. Tambahkan properti https di Search Console, kirim ulang sitemap Anda, periksa kanonis Anda.

Setiap langkah dijelaskan lebih rinci di bawah ini. Jika Anda sudah memiliki sertifikat dan hanya memerlukan pengaturan platform, langsung ke langkah 3.

Sebelum Anda mulai: cadangkan situs Anda dan basis datanya, dan jika Anda memiliki lingkungan staging, jalankan perubahan tersebut di sana terlebih dahulu. Dua langkah di bawah ini dapat mengunci Anda dari admin Anda sendiri jika sertifikat ternyata tidak berfungsi, jadi cadangan adalah perbedaan antara perbaikan lima menit dan sore yang buruk. Pada toko, lakukan ini di luar jam sibuk: setiap menit checkout tidak tersedia adalah pesanan yang hilang.

Mengapa beralih sekarang: Chrome menjadikan HTTPS sebagai default pada Oktober 2026

Argumen yang biasa untuk HTTPS masih benar, tetapi sekarang ada tanggal yang menyertainya, yang mengubah perhitungan bagi siapa pun yang masih menunda hal ini.

Chrome mengaktifkan Always Use Secure Connections secara default, dalam dua tahap. Pada April 2026, Chrome 147 mengaktifkannya untuk semua orang yang menggunakan Enhanced Safe Browsing, yang jumlahnya lebih dari satu miliar orang. Pada Oktober 2026, Chrome 154 memperluasnya ke semua pengguna secara global. Dengan fitur ini aktif, Chrome mencoba https terlebih dahulu dan menampilkan peringatan sebelum memuat situs http publik yang belum pernah dikunjungi pengguna.

Dengan kata lain, jika situs Anda masih menggunakan http setelah Oktober 2026, sebagian besar pengunjung Anda akan menemui peringatan interstisial sebelum mencapainya. Alamat pribadi seperti router dan intranet diperlakukan secara berbeda dan tidak diperingatkan secara default.

HTTPS sekarang juga menjadi keputusan kecepatan

Bagian ini tidak disebutkan di sebagian besar panduan migrasi. HTTP/2 secara formal tidak mewajibkan enkripsi, tetapi tidak ada browser utama yang pernah menerapkannya melalui koneksi tidak terenkripsi, sehingga dalam praktiknya Anda tidak dapat menggunakannya tanpa HTTPS. HTTP/3 bahkan lebih jauh: ia mewajibkan TLS 1.3 dan sama sekali tidak memiliki mode tidak terenkripsi. Tetap menggunakan http oleh karena itu mengunci situs Anda dari kedua protokol transport modern tersebut dan performa yang menyertainya.

Alasan yang sudah dikenal masih berlaku. Browser memberi label halaman http sebagai Not Secure, data formulir dan kata sandi berjalan tanpa enkripsi tanpa sertifikat, gerbang pembayaran menolak beroperasi melalui http, dan Google telah memperlakukan HTTPS sebagai sinyal peringkat sejak 2014. Yang terakhir itu adalah sinyal yang nyata tetapi ringan, jadi anggaplah itu sebagai bonus, bukan alasan utama.

Langkah 1: Dapatkan sertifikat SSL

Periksa panel hosting Anda terlebih dahulu. Sebagian besar host sekarang menerbitkan sertifikat Let’s Encrypt gratis melalui bagian SSL/TLS atau AutoSSL, dan banyak yang sudah menerbitkan sertifikat yang belum Anda gunakan. Sertifikat gratis mengenkripsi lalu lintas sama baiknya dengan yang berbayar; yang berbeda adalah apa yang diverifikasi oleh otoritas sertifikat sebelum menerbitkannya, dan apa yang mendukungnya ketika terjadi kesalahan.

Jenis	Apa yang diperiksa CA	Diterbitkan dalam	Cocok untuk
Domain Validation (DV)	Bahwa Anda mengendalikan domain	Beberapa menit	Blog, situs brosur, sebagian besar situs kecil
Organization Validation (OV)	Domain ditambah organisasi terdaftar Anda	1 hingga 3 hari kerja	Situs bisnis, area anggota, portal klien
Extended Validation (EV)	Pemeriksaan hukum dan operasional penuh terhadap perusahaan	1 hingga 3 hari kerja	Toko, keuangan, di mana pun identitas itu penting

Jika situs Anda menggunakan subdomain, sertifikat wildcard mencakup semuanya dengan satu sertifikat. Tidak yakin jenis mana yang sesuai? SSL Wizard mempersempit pilihannya hanya dengan beberapa pertanyaan, atau jelajahi sertifikatnya secara langsung.

Satu hal yang perlu direncanakan apa pun yang Anda pilih: sertifikat Let’s Encrypt berlaku selama 90 hari dan dimaksudkan untuk diperbarui secara otomatis sekitar 30 hari sebelum kedaluwarsa. Ketika otomatisasi itu rusak, dan itu memang terjadi, situs berfungsi selama berminggu-minggu dan kemudian menjadi tidak aman tanpa peringatan. Pastikan pembaruan otomatis aktif, dan periksa sertifikat sekali setelah tanggal pembaruan pertama yang diharapkan.

Langkah 2: Instal di server Anda

• Panel hosting. Rute tercepat. Pada cPanel, SSL/TLS berada di bawah Security. Terbitkan untuk domain apex dan versi www, atau mana pun yang Anda lewatkan akan menampilkan peringatan ketidakcocokan nama.
• Certbot pada VPS tanpa panel. Ia menerbitkan sertifikat, mengonfigurasi server, dan menginstal pengatur waktu pembaruannya sendiri.
• Secara manual untuk sertifikat berbayar: buat CSR dengan generator CSR atau salah satu dari lebih dari 70 tutorial kami tentang cara membuat CSR, selesaikan validasi, lalu instal sertifikat, kunci, dan intermediate. Kami memiliki lebih dari 80 panduan instalasi SSL, termasuk cPanel.

Verifikasi sebelum Anda melanjutkan. Jalankan SSL Checker terhadap domain Anda. Kegagalan diam-diam yang paling umum adalah rantai sertifikat yang tidak lengkap: situs menampilkan gembok pada browser desktop Anda, karena browser tersebut telah menyimpan cache sertifikat intermediate dari tempat lain, sementara browser seluler dan gerbang pembayaran gagal. Pemeriksa akan melaporkannya.

Langkah 3: Arahkan platform Anda ke URL HTTPS-nya

Sertifikat yang berfungsi membuat https tersedia. Situs Anda akan terus menghasilkan tautan http hingga Anda memberi tahu sebaliknya, karena setiap CMS menyimpan alamatnya sendiri. Berikut di mana pengaturan itu berada.

Platform	Di mana pengaturan itu berada
WordPress	Settings > General, ubah baik WordPress Address (URL) maupun Site Address (URL). Sejak versi 5.7, inti juga menulis ulang URL yang tidak aman dalam konten Anda setelah keduanya menggunakan https, dan Site Health menawarkan peralihan satu klik
Joomla	System > Global Configuration > Server, atur Force HTTPS ke Entire Site
PrestaShop	Shop Parameters > General, jalankan pemeriksaan HTTPS, atur Enable SSL ke Yes, lalu Enable SSL on all pages, kemudian Save. Sakelar kedua tetap terkunci hingga yang pertama disimpan
Magento 2	Stores > Configuration > General > Web, buka Base URLs (Secure), atur base URL aman ke https, lalu atur Use Secure URLs on Storefront dan Use Secure URLs in Admin ke Yes dan tekan Save Config, lalu bersihkan cache. Kedua pengaturan tersebut membuat Magento menghasilkan URL https; hanya yang admin yang menegakkan pengalihan, sehingga storefront masih memerlukan langkah 4
Drupal	Tidak ada pengaturan inti, dan tidak ada apa pun dalam .htaccess untuk diaktifkan: aturan yang dikomentari yang disertakan Drupal di sana mengalihkan antara www dan non-www, bukan http ke https. Tambahkan aturan tingkat server dari langkah 4 ke file yang sama itu
Shopify, Wix, Squarespace	Tidak ada yang perlu dilakukan. HTTPS otomatis dan tidak dapat dinonaktifkan

Baris Drupal itu layak dibaca dua kali, karena banyak panduan yang salah memahaminya. .htaccess Drupal memang berisi aturan pengalihan yang dikomentari, sehingga mudah untuk mengasumsikan bahwa itu adalah aturan HTTPS. Padahal bukan. Inilah yang sebenarnya ada di sana, dan itu hanya memilih antara www dan non-www:

# RewriteCond %{HTTP_HOST} .
# RewriteCond %{HTTP_HOST} !^www. [NC]
# RewriteRule ^ http%{ENV:protossl}://www.%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Perhatikan variabel protossl pada baris terakhir itu: variabel ini mempertahankan protokol mana pun yang digunakan permintaan saat tiba, sehingga menghilangkan tanda komentar pada aturan tersebut membuat pengunjung http tetap berada di http. Gunakan aturan Apache biasa dari langkah 4 sebagai gantinya.

Jika platform Anda tidak tercantum, jangan khawatir untuk mencari pengaturan yang setara. Pengalihan tingkat server pada langkah berikutnya berfungsi terlepas dari apa yang berjalan di atasnya.

Langkah 4: Alihkan HTTP ke HTTPS secara permanen

Halaman Anda sekarang merespons pada https, tetapi masih merespons pada http juga, dan setiap tautan lama, bookmark, dan URL yang terindeks mengarah ke sana. Pengalihan permanen memperbaiki hal itu.

Ini harus berupa 301, bukan 302 sementara. 301 memberi tahu mesin pencari bahwa perpindahan itu permanen. Google menyatakan bahwa 301 dan pengalihan permanen lainnya tidak menyebabkan kehilangan PageRank, yang penting untuk diketahui, karena ketakutan akan kehilangan peringkat adalah yang membuat sebagian besar situs tetap menggunakan http lebih lama dari seharusnya.

Pada Apache, tambahkan ini di dekat bagian atas .htaccess di root situs Anda:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Kondisinya harus berbunyi off, yang berarti “alihkan ketika permintaan belum aman”. Jika ditulis sebagai “on”, yang muncul dalam banyak cuplikan yang dipublikasikan, ini hanya berlaku pada permintaan yang sudah https dan mengirimkannya ke https lagi, yang menciptakan loop.

Pada Nginx tidak ada .htaccess. Edit blok server:

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

Uji dengan nginx -t, lalu muat ulang dengan systemctl reload nginx.

Jika Anda mendapatkan ERR_TOO_MANY_REDIRECTS tepat setelah menambahkan ini, penyebab yang biasa adalah proksi seperti Cloudflare yang diatur ke SSL Flexible: proksi tersebut berbicara ke server Anda melalui http sementara server Anda mengalihkan ke https, sehingga keduanya saling memantulkan permintaan. Atur mode enkripsi ke Full (strict) dan pertahankan sertifikat yang valid pada origin.

Langkah 5: Perbaiki apa yang masih dimuat melalui HTTP

Konten campuran. Halaman yang disajikan melalui https tetapi masih menarik gambar, skrip, atau lembar gaya melalui http adalah konten campuran. Browser diam-diam meningkatkan beberapa sumber daya, sebagian besar gambar dan media, dan menolak yang lain sepenuhnya, itulah sebabnya halaman yang terpengaruh bisa muncul sama sekali tanpa gaya. Konsol browser menyebutkan nama file yang bermasalah. Panduan kami tentang cara memperbaiki konten campuran membahas diagnosisnya.

Tautan absolut internal. Tautan mana pun pada situs Anda sendiri yang ditulis sebagai alamat http lengkap masih mengarah ke http, dan sekarang membutuhkan lompatan pengalihan tambahan pada setiap klik. Tautan relatif tidak memerlukan apa pun. Langkah ini hampir selalu dilewatkan, dan itu adalah perbedaan antara migrasi yang benar-benar selesai dan yang hanya sekadar berfungsi.

Cache, CDN, dan feed. Bersihkan cache halaman dan CDN Anda, atau salinan cache dari halaman http akan terus menyajikan markup lama dan membuat migrasi yang sudah selesai terlihat rusak. Kemudian periksa tempat-tempat yang tidak terjangkau oleh pencarian dan penggantian basis data: templat email, faktur, feed produk, dan apa pun yang disimpan oleh layanan pihak ketiga tentang situs Anda.

Cara mengetahui bahwa itu berhasil

Empat pemeriksaan, secara berurutan.

1. Ketik alamat http Anda ke dalam browser dan konfirmasikan bahwa itu mendarat pada https, bukan dimuat sebagai http.
2. Lakukan hal yang sama untuk versi www dan non-www dari domain Anda, karena sertifikat yang hanya mencakup salah satunya akan menampilkan ketidakcocokan nama pada yang lain.
3. Buka beberapa halaman internal, bukan hanya halaman beranda, dan konfirmasikan gembok tetap ada pada masing-masing.
4. Kemudian jalankan SSL Checker sekali lagi, yang menangkap masalah rantai dan kedaluwarsa yang akan disembunyikan oleh browser dari Anda.

Langkah 6: Beri tahu mesin pencari

• Tambahkan properti https di Google Search Console. Properti http tidak melaporkan URL https. Tambahkan yang baru dan pertahankan yang lama, atau gunakan properti Domain, yang mencakup kedua protokol sekaligus.
• Kirim ulang sitemap Anda dengan URL https. Google mencatat bahwa mengirimkan sitemap mempercepat penemuan selama perpindahan.
• Periksa tag kanonis Anda mengarah ke https. Sebagian besar plugin SEO memperbarui secara otomatis setelah URL situs berubah, tetapi konfirmasikan hal ini pada sumber halaman.
• Perbarui analitik, platform iklan, dan layanan pihak ketiga apa pun yang menyimpan URL situs Anda.

Jangan gunakan alat Change of Address. Ini adalah hal yang sering menjebak orang-orang yang berhati-hati, karena mengajukan perubahan alamat adalah persis apa yang Anda kira harus dilakukan. Google mengklasifikasikan peralihan http ke https sebagai perpindahan situs dengan perubahan URL, jadi ikuti panduan perpindahan situs Google. Panduan tersebut menyatakan dengan jelas bahwa jika Anda beralih dari HTTP ke HTTPS, Anda tidak perlu menggunakan alat Change of Address. Simpan alat itu untuk berpindah ke domain yang berbeda.

Apa yang diharapkan setelahnya

Berapa lama pekerjaan itu berlangsung. Pada host terkelola di mana sertifikat sudah diterbitkan, sekitar lima belas menit. Menerbitkan sertifikat gratis dan mengonfigurasi platform, setengah jam. Sertifikat berbayar menambahkan waktu tunggu validasi: beberapa menit untuk Domain Validation, satu hingga tiga hari kerja untuk Organization atau Extended Validation. Memperbaiki konten campuran adalah bagian yang bervariasi dan tergantung pada seberapa banyak konten Anda yang membawa tautan hardcode.

Berapa lama Google membutuhkan waktu. Lebih lama dari pekerjaan itu sendiri. Panduan Google tentang perpindahan situs menyebutkan bahwa situs berukuran sedang membutuhkan waktu beberapa minggu bagi sebagian besar halaman untuk berpindah dalam indeks, dan situs yang lebih besar membutuhkan waktu lebih lama. Selama periode itu, impresi Anda tampak terbagi antara properti http dan https, dan peringkat berfluktuasi. Itu adalah perilaku yang diharapkan untuk perpindahan situs, bukan tanda bahwa ada yang rusak.

Setelah https stabil untuk sementara waktu, pertimbangkan HSTS, yang memberi tahu browser untuk menolak http biasa untuk domain Anda sama sekali dan menutup celah antara permintaan pertama dan pengalihan. Biarkan direktif preload dinonaktifkan pada awalnya: sulit untuk dibalik, dan ini akan membuat subdomain mana pun yang masih menggunakan http menjadi tidak dapat dijangkau.

Jika masih ada yang tidak beres, panduan kesalahan SSL menangani kode kesalahan browser tertentu.

Bisakah Anda beralih kembali dari HTTPS ke HTTP?

Secara teknis bisa, dengan menghapus pengalihan dan mengembalikan URL situs Anda. Namun dalam praktiknya Anda hampir tidak pernah boleh melakukannya. Ini adalah perpindahan situs kedua, dengan putaran kedua pergolakan indeks, dan peringatan browser akan kembali muncul, yang setelah Oktober 2026 berarti peringatan interstisial bagi sebagian besar pengunjung. Jika Anda telah mengaktifkan HSTS, browser akan menolak http untuk domain Anda hingga kebijakan tersebut kedaluwarsa, sehingga pembatalan pun tidak akan berfungsi dengan bersih.

Satu pengecualian rutin adalah pengembangan lokal, di mana sertifikat yang ditandatangani sendiri atau http biasa pada mesin yang tidak dapat dijangkau orang lain adalah hal yang normal. Jika situs langsung berperilaku buruk pada https, penyebabnya hampir selalu adalah sertifikat, konten campuran, atau loop pengalihan, dan memperbaiki salah satu dari itu jauh lebih murah daripada membalikkan migrasi.

Pertanyaan yang Sering Diajukan

Menjalankan platform tertentu? Kami memiliki panduan terperinci untuk WordPress, Joomla, dan PrestaShop.