Berapa lama sertifikat SSL berlaku sekarang, dan bagaimana ini akan berubah?

Masa berlaku maksimum sertifikat SSL kini 200 hari, turun dari 398 hari yang berlaku hingga 15 Maret 2026. Pada 15 Maret 2027 angka itu turun menjadi 100 hari, dan pada 15 Maret 2029 menjadi 47 hari, berdasarkan Baseline Requirements yang ditetapkan CA/Browser Forum untuk setiap otoritas sertifikat di dunia. Let's Encrypt, penerbit sertifikat gratis terbesar, mengumumkan pada 7 Oktober 2026 bahwa sertifikatnya turun dari 90 hari menjadi 64 hari mulai 10 Februari 2027. Dalam praktiknya, sertifikat yang dulu diperpanjang perusahaan Anda sekali setahun kini perlu diperpanjang setidaknya dua kali, lalu empat kali, kemudian sekitar delapan kali. Jika perpanjangan tetap menjadi tugas yang harus diingat seseorang, suatu hari pelanggan akan membuka situs web Anda dan melihat peringatan bahwa koneksinya tidak aman.

Jadwalnya: dari 398 hari menjadi 47

Sertifikat diterbitkanMasa berlaku maksimumPenggunaan ulang maksimum validasi domain
Sebelum 15 Maret 2026398 hari398 hari
Sejak 15 Maret 2026200 hari200 hari
Sejak 15 Maret 2027100 hari100 hari
Sejak 15 Maret 202947 hari10 hari

Kolom terakhir lebih penting daripada kelihatannya. Validasi domain adalah langkah ketika Anda membuktikan kepada otoritas sertifikat bahwa Anda mengendalikan domain Anda, dengan menambahkan catatan DNS atau menaruh sebuah berkas di server Anda. Saat ini satu validasi bisa digunakan ulang selama 200 hari; mulai Maret 2029 validasi hanya berlaku 10 hari, sehingga hampir setiap perpanjangan akan memerlukan validasi baru. Forum mengadopsi jadwal ini pada 11 April 2025, dengan 25 otoritas sertifikat memberikan suara setuju dan tidak ada yang menolak, serta keempat pembuat peramban yang memiliki hak suara mendukungnya. Ini bukan usulan yang bisa mundur. Ini adalah aturan yang diikuti setiap otoritas sertifikat agar sertifikatnya tetap dipercaya oleh peramban.

Apa yang berubah untuk sertifikat gratis Let's Encrypt?

Banyak situs web kecil dan menengah berjalan dengan sertifikat gratis Let's Encrypt, sering kali tanpa diketahui pemiliknya. Menurut pengumuman resmi dan jadwal yang dipublikasikannya:

  • 14 Oktober 2026: lingkungan staging mulai menerbitkan sertifikat 64 hari, sehingga Anda bisa menguji sistem Anda sebelum tanggal sebenarnya.
  • 10 Februari 2027: setiap sertifikat yang diterbitkan atau diperpanjang sejak tanggal ini berlaku selama 64 hari, dan periode penggunaan ulang otorisasi turun dari 30 hari menjadi 10 hari.
  • 16 Februari 2028: masa berlaku turun menjadi 45 hari, dan satu validasi hanya berlaku 7 jam.

Let's Encrypt memperingatkan sebuah kesalahan umum: skrip dan tugas terjadwal yang ditulis untuk sertifikat 90 hari, dengan titik perpanjangan tetap seperti 83, 80 atau 60 hari. Semua itu perlu diubah. Rekomendasinya adalah memperpanjang pada sekitar dua pertiga masa berlaku sertifikat, kira-kira hari ke-42 dari 64. Jika klien perpanjangan Anda mendukung ACME Renewal Information (ARI), tidak ada yang perlu diubah, karena otoritas sertifikat sendiri yang memberi tahu klien kapan harus memperpanjang.

Satu detail lagi: Let's Encrypt berhenti mengirim email pengingat kedaluwarsa pada 4 Juni 2025. Jika Anda menunggu email yang mengingatkan Anda untuk memperpanjang, email itu tidak akan datang.

Apa yang terjadi pada bisnis Anda pada hari sertifikat kedaluwarsa?

  • Situs web dan toko online: peramban menampilkan peringatan satu halaman penuh sebagai ganti situs Anda, yang menyatakan bahwa koneksi tidak bersifat pribadi. Sebagian besar pengunjung menutup halaman dan tidak kembali, dan mereka yang melanjutkan melakukannya dengan rasa khawatir saat memasukkan data kartu.
  • Aplikasi seluler: aplikasi berkomunikasi dengan server Anda melalui koneksi terenkripsi dan menolak tersambung begitu sertifikat server kedaluwarsa. Pengguna melihat pesan galat umum atau layar kosong tanpa tahu penyebabnya.
  • Integrasi dengan sistem lain: notifikasi pembayaran, integrasi pengiriman, dan sistem akuntansi semuanya berjalan melalui tautan terenkripsi. Sertifikat yang kedaluwarsa menghentikannya diam-diam, dan Anda mungkin baru tahu ketika pelanggan yang sudah membayar mengeluh bahwa pesanannya tidak pernah dikonfirmasi.
  • Email dan dasbor internal: server email, panel admin, dan alat kerja staf juga memiliki sertifikat, dan biasanya paling sering terlupakan karena tidak ada yang melihatnya setiap hari.

Anda membeli sertifikat berbayar untuk satu tahun penuh. Apa yang berubah?

Membeli tidak lagi sama dengan memasang. Saat ini tidak ada otoritas sertifikat yang dapat menerbitkan sertifikat yang berlaku lebih dari 200 hari, sehingga mereka tetap menjual langganan tahunan dan menerbitkan ulang sertifikat di dalamnya. SSL.com, misalnya, menyatakan bahwa pembelian Anda tetap merupakan lisensi 12 bulan, bahwa kini mereka menerbitkan sertifikat yang berlaku 198 hari, dan bahwa penerbitan ulang dalam masa langganan Anda tidak dikenai biaya tambahan. Namun setiap penerbitan ulang berarti validasi domain baru dan pemasangan baru di server. Mulai Maret 2027 hal itu terjadi setidaknya 4 kali setahun, dan mulai Maret 2029 sekitar 8 kali. Pertanyaannya bukan lagi berapa harga sertifikat. Pertanyaannya adalah siapa yang memasangnya, seberapa sering, dan siapa yang bertanggung jawab ketika sertifikat itu terlupakan.

Rencana lima langkah untuk perusahaan Anda

  1. Inventarisasi semua sertifikat: situs web, toko online, server aplikasi seluler, email, panel admin, dan setiap subdomain. Catat penerbit, tanggal kedaluwarsa, dan penanggung jawab masing-masing.
  2. Otomatiskan perpanjangan: dengan klien perpanjangan di server, atau dengan sertifikat yang dikelola dan diperpanjang otomatis oleh penyedia cloud atau jaringan pengiriman konten Anda. Jika toko Anda berjalan di platform yang di-hosting, tanyakan secara tertulis: apakah platform memperpanjang sertifikat dengan sendirinya, dan siapa yang menindaklanjuti jika perpanjangan gagal?
  3. Pantau kedaluwarsa dengan alat independen: jangan berasumsi otomatisasi pasti berjalan. Layanan pemantauan memberi tahu Anda beberapa hari sebelum kedaluwarsa, dan ketika menghentikan email pengingatnya, Let's Encrypt merekomendasikan layanan pemantauan gratis yang mencakup hingga 250 sertifikat.
  4. Periksa skrip lama: cari angka tetap yang disusun untuk sertifikat 90 hari, dan uji perpanjangan pada lingkungan staging, yang mulai menerbitkan sertifikat 64 hari pada 14 Oktober.
  5. Sebutkan penanggung jawab dalam kontrak: tambahkan klausul yang jelas dalam kontrak hosting atau pemeliharaan Anda bahwa perpanjangan dan pemantauan sertifikat menjadi tanggung jawab penyedia, dengan waktu respons yang ditetapkan jika sebuah sertifikat kedaluwarsa.

Bagaimana Origami membantu

Pada situs web dan aplikasi yang kami bangun di Origami, perpanjangan sertifikat sudah otomatis sejak hari pertama, dan pemantauan independen memberi tahu kami sebelum ada yang kedaluwarsa, sehingga tidak ada yang bergantung pada ingatan seseorang. Jika Anda sudah memiliki situs web atau sistem, kami menginventarisasi sertifikatnya dan memindahkannya ke perpanjangan otomatis sebagai bagian dari layanan pemeliharaan pascapeluncuran yang kami jelaskan dalam artikel kami tentang pemeliharaan dan dukungan setelah peluncuran. Lihat juga dasar-dasar keamanan siber untuk usaha kecil dan menengah.

Sumber