Cara Menyiapkan Sertifikat SSL di WordPress dan Beralih ke HTTPS

Memasang sertifikat SSL di situs WordPress membutuhkan tiga langkah: menginstal sertifikat di server Anda, mengarahkan WordPress ke versi HTTPS dari URL Anda, dan mengalihkan lalu lintas HTTP lama. Sebagian besar host sekarang menangani langkah pertama untuk Anda, dan sejak versi 5.7 WordPress menangani sebagian besar langkah kedua secara otomatis. Panduan ini mencakup ketiganya, untuk sertifikat gratis maupun berbayar, dan memperbaiki error yang biasanya muncul setelahnya.

Jawaban singkat: instal sertifikat SSL melalui panel kontrol hosting Anda, lalu buka Settings > General di WordPress dan ubah baik WordPress Address (URL) maupun Site Address (URL) ke versi https-nya. Selesaikan dengan menambahkan pengalihan 301 agar permintaan HTTP diarahkan ke HTTPS.

SSL (singkatan dari Secure Sockets Layer, meskipun setiap sertifikat yang diterbitkan saat ini sebenarnya menggunakan TLS) adalah yang mengubah http:// menjadi https:// dan menghilangkan label “Not Secure” dari bilah alamat. Jika Anda ingin memahami latar belakangnya terlebih dahulu, baca apa itu sertifikat SSL. Jika tidak, mulailah dengan tabel di bawah ini.

Metode mana yang cocok untuk konfigurasi Anda

Ada tiga cara untuk menambahkan SSL ke WordPress, dan cara yang tepat hampir sepenuhnya bergantung pada hosting Anda. Temukan konfigurasi Anda, lalu langsung ke metode tersebut.

Konfigurasi Anda	Gunakan metode ini	Perkiraan waktu
Managed WordPress hosting	Tidak perlu instalasi apa pun. Sertifikat biasanya sudah aktif, jadi langsung lanjut ke pengalihan WordPress ke HTTPS	5 menit
cPanel atau shared hosting sejenis	Metode 1, AutoSSL gratis dari host	10 menit
Host tanpa alat SSL, atau Anda ingin dilakukan otomatis	Metode 2, wizard plugin	10 sampai 15 menit
VPS, dedicated server, atau sertifikat berbayar	Metode 3, instalasi manual	30 menit ditambah waktu validasi
Cloudflare berada di depan situs Anda	Metode 1 atau 3, lalu atur SSL Cloudflare ke Full (strict). Lihat pemecahan masalah	15 menit

Apa pun jalur yang Anda pilih, cadangkan situs terlebih dahulu, dan jika Anda memiliki lingkungan staging, jalankan perubahan di sana sebelum menyentuh produksi.

Apakah Anda memerlukan sertifikat SSL untuk WordPress?

Ya, dan bagi kebanyakan orang alasannya adalah yang sudah bisa mereka lihat sendiri: Chrome, Firefox, Safari, dan Edge semuanya menandai halaman HTTP biasa sebagai Not Secure di bilah alamat. Label itu muncul di setiap halaman situs tanpa sertifikat, termasuk formulir login.

Tiga alasan praktis untuk memperbaikinya:

• Kredensial dan data formulir berjalan tanpa enkripsi. Tanpa sertifikat, siapa pun di jaringan yang sama dapat membaca apa yang dikirim pengunjung, termasuk kata sandi WordPress Anda sendiri.
• Pembayaran mewajibkannya. Jika Anda menjalankan WooCommerce, atau menerima data kartu apa pun, HTTPS bukan pilihan opsional. Gateway pembayaran akan menolak beroperasi melalui HTTP.
• Google menggunakan HTTPS sebagai sinyal peringkat. Ini sinyal yang nyata namun ringan, jadi anggap argumen SEO sebagai bonus, bukan alasan utama. Peringatan browser itulah alasannya.

Sertifikat SSL mana yang sebaiknya digunakan situs WordPress?

Mulailah dengan opsi gratis, karena bagi sebagian besar situs WordPress itu memang jawaban yang tepat. Sebagian besar host menerbitkan sertifikat Let’s Encrypt gratis secara otomatis, dan sertifikat gratis mengenkripsi lalu lintas persis sama baiknya dengan yang berbayar. Enkripsinya identik. Yang membedakan satu sertifikat SSL WordPress dengan yang lain adalah apa yang diverifikasi oleh otoritas sertifikat sebelum menerbitkannya, dan apa yang Anda dapatkan ketika ada sesuatu yang salah.

Tingkat validasi

Jenis	Apa yang diperiksa CA	Diterbitkan dalam	Cocok untuk
Domain Validation (DV)	Bahwa Anda mengendalikan domain	Beberapa menit	Blog, situs brosur, sebagian besar instalasi WordPress
Organization Validation (OV)	Domain ditambah organisasi terdaftar Anda	1 sampai 3 hari kerja	Situs bisnis, area keanggotaan, portal klien
Extended Validation (EV)	Pemeriksaan hukum dan operasional penuh terhadap perusahaan	1 sampai 5 hari kerja	Toko yang menangani pembayaran, keuangan, apa pun yang identitasnya penting

Jika situs Anda berjalan pada subdomain, misalnya toko di store.example.com dan blog di blog.example.com, sertifikat wildcard mencakup semuanya dengan satu sertifikat, bukan satu per subdomain. Tidak yakin jenis mana yang cocok? SSL Wizard dapat mempersempit pilihan hanya dengan beberapa pertanyaan.

Kapan sertifikat gratis tidak lagi cukup

Sertifikat gratis hanya DV, berlaku 90 hari, dan tidak disertai dukungan maupun garansi. Itu tidak masalah untuk blog pribadi. Ini menjadi masalah dalam empat situasi:

• Anda menerima pembayaran. Sertifikat berbayar membawa garansi yang menanggung kerugian jika sertifikat itu sendiri gagal. Sertifikat gratis tidak membawa apa pun.
• Pengunjung Anda perlu tahu siapa Anda. Sertifikat DV hanya membuktikan bahwa seseorang mengendalikan domain. OV dan EV memasukkan detail organisasi Anda yang telah diverifikasi ke dalam sertifikat.
• Anda menjalankan subdomain. Penerbitan wildcard gratis dimungkinkan tapi rumit, dan biasanya memerlukan otomasi DNS yang mungkin tidak disediakan host Anda.
• Pembaruan tidak diotomatisasi. Sertifikat 90 hari yang tidak diperbarui siapa pun akan membuat situs down sama pastinya seperti tanpa sertifikat sama sekali. Jika host Anda tidak memperbarui otomatis, sertifikat berbayar dengan masa berlaku lebih lama justru mengurangi pekerjaan, bukan menambahnya.

Metode 1: dapatkan sertifikat SSL gratis dari host Anda

Ini adalah rute tercepat dan yang harus dicoba terlebih dahulu. Hampir semua host sekarang menawarkan sertifikat Let’s Encrypt gratis, sering kali sudah aktif secara otomatis.

• Buka panel kontrol hosting Anda dan cari SSL/TLS, Let’s Encrypt, atau AutoSSL. Di cPanel, ini berada di bawah Security.
• Pilih domain Anda dan terbitkan sertifikatnya. Sertakan baik domain apex maupun versi www, jika tidak salah satunya akan menampilkan peringatan ketidakcocokan nama.
• Pastikan pembaruan otomatis diaktifkan. Ini langkah yang sering dilewatkan orang.

Tidak punya panel hosting sama sekali karena Anda menjalankan VPS atau dedicated server sendiri? Gunakan Certbot, klien Let’s Encrypt, yang menerbitkan sertifikat dari baris perintah dan mengatur jadwal pembaruannya sendiri.

Sertifikat Let’s Encrypt berlaku selama 90 hari, dan pembaruan seharusnya terjadi secara otomatis, biasanya sekitar 30 hari sebelum kedaluwarsa. Ketika otomasi itu gagal, dan memang bisa gagal, biasanya setelah domain dipindahkan atau catatan DNS berubah, situs akan tetap baik-baik saja selama beberapa minggu lalu tiba-tiba menjadi “Not Secure” tanpa peringatan. Buat pengingat di kalender Anda untuk tanggal pembaruan pertama yang diharapkan dan periksa sertifikat dengan SSL Checker setelah tanggal itu lewat. Jika tanggal kedaluwarsa maju, berarti pembaruan berfungsi.

Metode 2: instal SSL di WordPress dengan plugin

Plugin yang paling banyak digunakan orang adalah Really Simple Security. Sebelumnya bernama Really Simple SSL hingga September 2024, ketika versi 9 mengganti namanya karena fitur gratisnya berkembang melampaui pengaturan SSL. Plugin ini memiliki lebih dari tiga juta instalasi aktif.

Yang berubah bersama nama tersebut cukup penting di sini: plugin ini tidak lagi hanya memaksa pengalihan, tapi juga bisa memperoleh sertifikat untuk Anda melalui wizard Let’s Encrypt. Jadi ia mencakup seluruh pekerjaan ketika host Anda tidak melakukannya.

• Instal dan aktifkan Really Simple Security dari Plugins > Add New Plugin.
• Ikuti proses onboarding yang terbuka, atau buka item Security baru yang ditambahkan plugin ke sidebar admin. Tutorial lama menyebutkan Settings > SSL, yang merupakan lokasi plugin sebelum penggantian nama. Jika sertifikat sudah terinstal di server, plugin akan mendeteksinya.
• Jika belum ada sertifikat, pilih Install SSL certificate dan ikuti wizard untuk mendapatkan sertifikat Let’s Encrypt gratis.
• Pilih Activate SSL. Plugin akan memperbarui URL situs Anda, mengatur pengalihan, dan memuat ulang dasbor melalui HTTPS.

Satu peringatan yang layak diketahui sebelum Anda memutuskan. Plugin yang memaksa HTTPS melakukannya di PHP, pada setiap permintaan. Pengalihan yang ditulis dalam konfigurasi server terjadi sebelum WordPress dimuat, yang lebih cepat dan tetap berfungsi jika plugin tersebut suatu saat dinonaktifkan. Jika Anda nyaman mengedit file server, lakukan pengalihan secara manual dan jaga agar plugin tidak berada di jalur kritis.

Metode 3: instal sertifikat SSL secara manual

Ini adalah rute untuk sertifikat berbayar, atau untuk server mana pun yang tidak memiliki alat sekali klik. Pada shared hosting, periksa dulu apakah paket Anda mengizinkan instalasi sertifikat pihak ketiga; beberapa host murah masih membatasi hal ini atau mengenakan biaya untuk itu.

• Buat CSR. Certificate signing request membawa detail domain dan organisasi Anda ke otoritas sertifikat. Gunakan CSR generator kami, atau ikuti panduan CSR untuk server spesifik Anda.
• Kirimkan CSR ke otoritas sertifikat dan selesaikan validasi. DV selesai dalam hitungan menit, OV dan EV membutuhkan waktu beberapa hari.
• Instal file-filenya. Anda akan menerima sertifikat itu sendiri ditambah satu atau lebih sertifikat perantara. Di cPanel, tempelkan di bawah SSL/TLS > Manage SSL sites, mengikuti panduan instalasi cPanel. Platform lain dibahas dalam panduan instalasi SSL.
• Verifikasi dengan SSL Checker sebelum menyentuh WordPress.

Perhatikan sertifikat perantara. Jika Anda menginstal sertifikat utama tapi melewatkan rantainya, sebagian besar browser desktop tetap akan menampilkan gembok, karena mereka menyimpan cache sertifikat perantara yang pernah mereka lihat di tempat lain. Browser seluler, gateway pembayaran, dan apa pun yang memanggil situs Anda melalui API akan gagal. Situs yang “berfungsi di Chrome tapi checkout-nya rusak” hampir selalu disebabkan oleh rantai yang tidak lengkap, dan SSL Checker akan melaporkannya.

Menjalankan WordPress Multisite menambahkan beberapa langkah, dibahas dalam panduan SSL Multisite.

Alihkan situs WordPress Anda dari HTTP ke HTTPS

Sertifikat sudah ada di server. WordPress masih belum mengetahuinya. Di sinilah banyak panduan mengarahkan Anda untuk menjalankan pencarian dan penggantian database sebelum melakukan apa pun, dan bagi kebanyakan situs itu sudah tidak diperlukan lagi selama bertahun-tahun.

Apa yang dilakukan WordPress secara otomatis

Sejak WordPress 5.7, dirilis Maret 2021, inti WordPress mendeteksi apakah lingkungan Anda mendukung HTTPS dan melaporkannya di Tools > Site Health > Status, di bagian HTTPS status. Ketika HTTPS tersedia, bagian tersebut menawarkan tombol yang mengalihkan situs dengan satu klik.

Yang lebih penting, setelah Site Address (URL) dan WordPress Address (URL) keduanya menggunakan https, WordPress menulis ulang URL yang tidak aman dalam konten Anda saat merender halaman. Gambar, tautan, dan embed yang disimpan dengan alamat http pada domain Anda sendiri disajikan melalui https tanpa Anda perlu mengedit database sama sekali. Itulah langkah yang diminta tutorial lama untuk dilakukan secara manual.

Layak dipahami dengan tepat, karena hal ini menentukan apa yang masih perlu Anda lakukan: penulisan ulang ini terjadi pada saat output, melalui filter yang terpasang pada konten saat ditampilkan. Database Anda masih menyimpan URL http lama. Bagi pengunjung, hasilnya identik, itulah sebabnya migrasi berhasil tanpa pencarian dan penggantian, tapi data yang tersimpan tidak berubah. Ini menjadi penting pada hari Anda mengekspor situs, memindahkannya ke host lain, atau melakukan query langsung ke database, dan itulah alasan mengapa pencarian dan penggantian masih layak dijalankan pada akhirnya, meski bukan segera.

Ubah kedua pengaturan URL

Jika Site Health tidak menawarkan tombol sekali klik, atau Anda lebih suka melakukannya secara eksplisit, buka Settings > General. Ada dua kolom dan keduanya harus diubah:

• WordPress Address (URL), tempat file WordPress berada.
• Site Address (URL), alamat yang diketik pengunjung.

Ubah http:// menjadi https:// pada keduanya, lalu simpan. Mengubah hanya satu saja adalah cara paling umum untuk mengunci diri Anda dari dasbor. Jika itu terjadi, Anda dapat mengatur keduanya dari wp-config.php melalui FTP:

define( 'WP_HOME', 'https://example.com' );
define( 'WP_SITEURL', 'https://example.com' );

Tambahkan baris-baris tersebut di atas baris yang bertuliskan “That’s all, stop editing”, dan ganti example.com dengan domain Anda. Perhatikan bahwa selama konstanta ini didefinisikan, kolom di Settings > General menjadi hanya-baca.

Kapan Anda masih perlu pencarian dan penggantian

Penulisan ulang inti WordPress mencakup konten yang dirender. Ini tidak menjangkau semua tempat, jadi pencarian dan penggantian masih menjadi solusi untuk:

• URL yang di-hardcode dalam file tema atau di functions.php.
• Pengaturan plugin yang disimpan sebagai data serial, itulah sebabnya Anda tidak boleh pernah menjalankan pencarian dan penggantian SQL biasa.
• Baris opsi, kolom kustom, dan konten widget yang ditulis oleh page builder.

Gunakan Better Search Replace, yang menangani data serial dengan benar dan memiliki mode dry-run, atau WP-CLI:

wp search-replace 'http://example.com' 'https://example.com' --all-tables --dry-run

Baca hasil dry run, lalu ulangi perintah tanpa –dry-run untuk menerapkannya. Cadangkan database terlebih dahulu.

Paksa HTTPS di WordPress dengan pengalihan 301

Situs Anda sekarang merespons melalui https, tapi masih merespons melalui http juga, dan setiap tautan lama serta bookmark mengarah ke sana. Pengalihan HTTPS permanen mengirim pengunjung dan mesin pencari ke versi aman dan meneruskan sinyal peringkat dari URL lama. Atur di tingkat server, bukan di PHP, jika memungkinkan.

Apache

Tambahkan ini di bagian atas file .htaccess di root WordPress Anda, di atas blok WordPress:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Flag R=301 adalah yang membuatnya permanen. Aturan yang ditulis sebagai [R,L] justru menerbitkan pengalihan sementara 302, kesalahan yang perlu diperiksa jika Anda menyalin pengalihan dari panduan lama.

Nginx

Nginx tidak memiliki .htaccess dan tidak memahami aturan rewrite yang ditulis untuk Apache. Edit blok server di konfigurasi situs Anda sebagai gantinya:

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

Uji konfigurasinya dengan nginx -t, lalu muat ulang dengan systemctl reload nginx.

Paksa HTTPS hanya untuk dasbor

Untuk mengamankan login dan area admin secara khusus, tambahkan ini ke wp-config.php:

define( 'FORCE_SSL_ADMIN', true );

Ini mencakup wp-admin dan halaman login. Tidak mengalihkan bagian depan situs, jadi ini melengkapi pengalihan tingkat server, bukan menggantikannya.

HSTS, setelah semuanya berfungsi

HSTS memberi tahu browser untuk sepenuhnya menolak HTTP biasa pada domain Anda, yang menutup celah antara permintaan pertama dan pengalihan. Pada Apache:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

Tambahkan ini hanya setelah HTTPS stabil selama beberapa waktu, dan biarkan direktif preload nonaktif pada awalnya. Preloading sulit dibalikkan dengan cepat, dan jika ada sesuatu pada subdomain yang belum menggunakan HTTPS, subdomain itu akan menjadi tidak dapat diakses.

Perbaiki sisa-sisa dari pengalihan ini

Konten campuran

Konten campuran (mixed content) adalah halaman yang disajikan melalui HTTPS tapi masih memuat gambar, skrip, stylesheet, atau font melalui HTTP. Browser sekarang membaginya menjadi dua: sumber daya yang dapat ditingkatkan, sebagian besar gambar dan media, yang secara diam-diam ditingkatkan ke HTTPS sebelum diminta, dan sumber daya yang dapat diblokir seperti skrip dan stylesheet, yang sama sekali ditolak untuk dimuat. Itulah sebabnya halaman dengan konten campuran mungkin hanya terlihat tanpa gembok, atau bisa muncul sepenuhnya tanpa gaya.

Di WordPress, sumber yang biasa terjadi adalah URL gambar yang di-hardcode dalam file tema, skrip eksternal yang dimuat melalui HTTP, dan CDN yang masih dikonfigurasi untuk HTTP. Buka konsol browser, yang akan menyebutkan sumber daya yang bermasalah, dan perbaiki dari sumbernya. Panduan kami tentang cara memperbaiki konten campuran membahas diagnosisnya secara rinci.

Cache dan CDN

Bersihkan cache halaman dan CDN Anda setelah pengalihan. Salinan cache dari halaman HTTP akan terus menyajikan markup lama dan membuat migrasi yang sudah selesai tampak rusak.

Email dan template transaksional

Ini hampir selalu terlewatkan. Email pesanan WooCommerce, pesan reset kata sandi, template faktur, dan footer newsletter sering membawa tautan HTTP yang di-hardcode, dan mereka berada di luar tabel yang disentuh pencarian dan penggantian biasa. Kirimkan pesanan uji dan reset kata sandi uji untuk diri Anda sendiri, lalu periksa ke mana tautan itu sebenarnya mengarah.

Mengatasi masalah SSL WordPress

Gejala	Penyebab umum	Perbaikan
Loop pengalihan tanpa henti, ERR_TOO_MANY_REDIRECTS	SSL Cloudflare diatur ke Flexible. Cloudflare berkomunikasi dengan server Anda melalui HTTP, server Anda mengalihkan ke HTTPS, Cloudflare mengirimkannya kembali	Atur mode enkripsi SSL/TLS Cloudflare ke Full (strict) dan pertahankan sertifikat yang valid di origin
Terkunci dari wp-admin setelah pengalihan	Hanya satu dari dua kolom URL yang diubah	Atur WP_HOME dan WP_SITEURL di wp-config.php melalui FTP
Gembok hilang hanya pada beberapa halaman	Konten campuran pada halaman-halaman tersebut	Temukan sumber daya HTTP di konsol browser, perbaiki dari sumbernya
Situs baik-baik saja, menjadi “Not Secure” beberapa minggu kemudian	Sertifikat Let’s Encrypt kedaluwarsa karena pembaruan gagal	Terbitkan ulang, lalu konfirmasi pembaruan otomatis di panel kontrol Anda
Berfungsi di browser, gagal untuk aplikasi atau gateway pembayaran	Sertifikat perantara hilang dari rantai	Instal bundel CA lengkap, lalu periksa ulang dengan SSL Checker
Peringatan ketidakcocokan nama pada www atau domain apex	Sertifikat hanya mencakup salah satu dari keduanya	Terbitkan ulang sertifikat agar mencakup kedua nama; pengalihan saja tidak dapat memperbaiki ini, peringatan muncul sebelum pengalihan apa pun dijalankan

Jika sertifikat sudah terinstal dan situs masih dilaporkan tidak aman, panduan error SSL membahas kode error browser yang spesifik.

Setelah migrasi: daftar periksa SEO dan apa yang perlu diperkirakan

• Tambahkan properti HTTPS di Google Search Console. Properti HTTP tidak melaporkan URL HTTPS. Tambahkan yang baru dan pertahankan yang lama, atau gunakan properti Domain, yang mencakup keduanya. Jika Anda menggunakan Bing Webmaster Tools, perbarui juga di sana.
• Kirim ulang sitemap XML Anda dengan URL https.
• Periksa tag canonical agar mengarah ke https. Sebagian besar plugin SEO memperbarui secara otomatis setelah URL situs berubah, tapi konfirmasikan di sumber halaman.
• Perbarui pengaturan properti Google Analytics dan Ads, serta layanan pihak ketiga mana pun yang menyimpan URL situs Anda.
• Perbarui tautan internal jika bersifat absolut. Tautan relatif tidak perlu diubah.

Kondisi normal setelahnya, karena ini mengkhawatirkan orang yang belum pernah melakukannya: Search Console akan menampilkan impresi Anda terbagi antara properti HTTP dan HTTPS untuk sementara waktu saat Google melakukan crawl ulang, dan peringkat sering berfluktuasi selama beberapa minggu sebelum stabil. Google memperlakukan perpindahan dari HTTP ke HTTPS sebagai perpindahan situs dengan perubahan URL, jadi sedikit fluktuasi memang diperkirakan, bukan tanda ada yang rusak. Selama pengalihan 301 sudah terpasang dan setiap halaman dapat diakses, tidak ada yang perlu dilakukan selain menunggu.

Satu hal yang perlu dikatakan dengan jelas: kembali dari HTTPS ke HTTP hampir tidak pernah menjadi solusi yang tepat untuk suatu masalah. Itu berarti perpindahan situs kedua, gangguan peringkat putaran lain, dan peringatan browser akan kembali. Jika HTTPS menyebabkan masalah, penyebabnya hampir selalu salah satu dari entri di tabel pemecahan masalah, dan memperbaikinya jauh lebih murah daripada membatalkan migrasi.

Pertanyaan yang Sering Diajukan

Memindahkan platform lain ke HTTPS, atau menginginkan prosedur umumnya? Lihat panduan kami tentang cara mengalihkan situs dari HTTP ke HTTPS.