Chrome Kini Kasih Peringatan Sebelum Buka Situs Tanpa HTTPS, Ini Cara Pasang SSL Gratis

Google Chrome sekarang akan meminta izin dulu sebelum membuka situs publik yang belum memakai HTTPS. Perubahan ini diumumkan tim keamanan Chrome pada 21 Oktober 2026 dan berlaku untuk semua pengguna secara default, setelah sebelumnya hanya aktif untuk pengguna mode Enhanced Protection.

Dulu, situs HTTP cuma diberi label kecil "Not Secure" di address bar. Sekarang, sebelum halaman terbuka, Chrome akan menampilkan layar peringatan penuh dan bertanya apakah pengguna tetap mau lanjut. Buat pengunjung, ini adalah lapisan perlindungan tambahan. Buat pemilik website yang belum pasang SSL, ini bisa berarti pengunjung kabur sebelum sempat melihat isi halaman.

Artikel ini akan menjelaskan bagaimana peringatan baru ini bekerja, situs apa saja yang terkena dan yang tidak, cara mematikannya kalau memang perlu, serta langkah praktis memasang SSL gratis supaya website tidak ikut kena peringatan. Ada juga catatan khusus untuk pemilik website UMKM, sekolah, dan instansi di Indonesia.

Apa yang berubah di Chrome

Fitur yang sekarang aktif secara default bernama Always Use Secure Connections. Setting ini sebenarnya sudah ada sejak 2022, tapi dulu sifatnya opsional dan harus dinyalakan sendiri lewat pengaturan.

Begini perubahan utamanya:

1. Chrome selalu mencoba HTTPS lebih dulu. Saat pengguna mengetik alamat atau mengklik tautan, Chrome akan mencoba versi aman (HTTPS) situs tersebut.
2. Kalau HTTPS tidak tersedia, muncul peringatan. Chrome berhenti sejenak dan menampilkan layar yang menjelaskan bahwa koneksi ke situs itu tidak terenkripsi.
3. Pengguna tetap bisa lanjut. Peringatan ini bisa dilewati. Ini bukan pemblokiran total, melainkan permintaan izin.
4. Keputusan diingat. Setelah pengguna mengizinkan sebuah situs HTTP, Chrome tidak akan memperingatkan lagi selama situs itu masih rutin dikunjungi.

Rencana ini sebenarnya sudah diumumkan Google sejak 28 Oktober 2025. Saat itu Google menyebut targetnya adalah Chrome 154 pada Oktober 2026. Sebagai tahap awal, fitur ini lebih dulu diaktifkan pada Chrome 147 (April 2026) untuk lebih dari 1 miliar pengguna yang memakai Enhanced Safe Browsing.

Catatan: Peringatan untuk sertifikat SSL yang kedaluwarsa atau salah konfigurasi tidak berubah. Yang baru hanya peringatan untuk situs yang memang tidak punya HTTPS sama sekali.

Kenapa Google sampai seketat ini

Menurut Google, masalah HTTP bukan sekadar label "Not Secure". Koneksi HTTP tidak terenkripsi, jadi siapa pun yang berada di jaringan yang sama bisa membajak atau mengubah isi halaman. Penyerang cukup memanfaatkan satu navigasi HTTP untuk menyisipkan malware, halaman phishing, atau iklan berbahaya.

Ada tiga kelemahan label "Not Secure" yang disebut tim Chrome:

• Gampang terlewat. Riset menunjukkan peringatan pasif di address bar sering tidak diperhatikan.
• Tidak muncul di redirect. Banyak situs memakai HTTP hanya sesaat lalu langsung mengalihkan ke HTTPS. Pengguna tidak sempat melihat labelnya, padahal datanya sudah terekspos.
• Terlambat. Label baru muncul setelah koneksi terjadi, jadi pengguna tidak punya kesempatan mencegahnya.

Data transparansi Google menunjukkan penggunaan HTTPS di Chrome naik dari sekitar 30–45% pada 2015 menjadi 95–99% sekitar 2020, lalu cenderung mandek. Sisa beberapa persen itu terdengar kecil, tapi kalau dihitung dari miliaran kunjungan per hari, jumlahnya tetap sangat besar. Karena itulah Google memutuskan perlu dorongan yang lebih tegas.

Seberapa sering peringatan ini muncul

Banyak orang khawatir browser jadi penuh pop-up. Google sudah menguji fitur ini di Chrome 141 pada sebagian kecil pengguna, dan hasilnya cukup menenangkan.

Ini angka dari eksperimen tersebut:

Alasannya, Chrome hanya memperingatkan saat pengguna membuka situs HTTP yang baru atau sudah lama tidak dikunjungi. Menurut dokumentasi Chromium, keputusan pengguna diingat selama 15 hari dan diperpanjang setiap kali situs itu dibuka lagi. Blog Google merangkumnya sebagai "tidak akan memperingatkan lagi sampai situs itu tidak dikunjungi minimal dua minggu".

Jadi, kalau ada satu situs HTTP yang dipakai tiap hari, kemungkinan besar peringatannya hanya muncul sekali.

Situs apa yang tidak kena peringatan

Google sengaja memakai versi khusus situs publik. Artinya, ada beberapa jenis alamat yang dikecualikan secara default:

• Alamat IP lokal, misalnya 192.168.0.1 atau 192.168.1.1 yang biasa dipakai untuk masuk ke pengaturan router WiFi.
• Nama host satu kata seperti intranet/ yang lazim dipakai di jaringan kantor.
• Shortlink internal di jaringan perusahaan atau kampus.

Alasannya masuk akal. Situs privat seperti itu sulit mendapatkan sertifikat HTTPS yang dipercaya publik, karena alamat seperti 192.168.0.1 tidak punya satu pemilik yang bisa diverifikasi. Risikonya juga lebih kecil, karena penyerang harus berada di jaringan lokal yang sama.

Ada juga dua kondisi teknis yang perlu diketahui. Kalau pengguna sengaja membuka alamat https:// dan gagal, Chrome langsung menampilkan halaman error biasa tanpa mencoba HTTP. Begitu juga untuk situs yang sudah memasang HSTS, Chrome tidak akan mundur ke HTTP.

Cara mematikan atau menyalakan peringatan

Peringatan ini bisa dimatikan, walaupun Google menyarankan untuk tetap membiarkannya aktif. Caranya cukup singkat:

1. Buka Chrome, lalu ketik chrome://settings/security di address bar.
2. Cari opsi Always use secure connections (Selalu gunakan koneksi aman).
3. Matikan toggle-nya kalau ingin kembali ke perilaku lama.
4. Kalau ingin perlindungan lebih ketat, pilih opsi yang juga memperingatkan situs privat, bukan hanya situs publik.

Tips: Kalau sebelumnya setting ini sudah pernah diubah secara manual, Chrome akan tetap memakai pilihan lama tersebut. Perubahan default hanya berlaku bagi yang belum pernah mengutak-atiknya.

Untuk admin IT di kantor atau sekolah, Chrome juga menyediakan kebijakan enterprise. Lewat kebijakan itu, organisasi bisa membuat daftar situs internal yang diizinkan memakai HTTP supaya karyawan tidak terus-terusan melihat peringatan.

Baca juga Google Docs Live Resmi Hadir, Bikin Dokumen Cukup Pakai Suara dari HP

Dampaknya untuk website di Indonesia

Bagian ini paling penting buat pemilik website. Masih ada website kecil di Indonesia yang belum memakai HTTPS, misalnya situs toko UMKM lama, blog pribadi yang dibuat bertahun-tahun lalu, situs sekolah, atau portal layanan daerah yang jarang diperbarui.

Dengan perubahan ini, pengunjung baru dari Chrome akan melihat layar peringatan lebih dulu. Akibatnya bisa terasa langsung:

• Pengunjung ragu dan menutup tab. Orang awam cenderung panik saat melihat layar peringatan keamanan.
• Calon pembeli batal checkout. Untuk toko online, kesan "tidak aman" jelas merugikan.
• Kepercayaan merek turun. Situs instansi atau sekolah bisa dianggap tidak profesional.
• Iklan dan tautan dari media sosial jadi kurang efektif. Orang yang mengklik tautan dari Instagram, WhatsApp, atau iklan berbayar akan langsung bertemu peringatan.

Kabar baiknya, memasang HTTPS untuk situs publik sekarang gratis dan relatif gampang. Google sendiri menyebut banyak situs yang masih HTTP sebenarnya tidak kesulitan pindah, hanya saja belum sempat diurus.

Peringatan: Jangan anggap aman hanya karena situs bisa dibuka lewat https://. Pastikan versi http:// otomatis dialihkan ke HTTPS, karena tautan lama di internet masih banyak yang memakai http://.

Cara pasang SSL gratis supaya tidak kena peringatan

Berikut langkah umum yang bisa dicoba, sesuai jenis hosting yang dipakai.

Hosting dengan cPanel atau panel serupa

Sebagian besar penyedia hosting di Indonesia sudah menyediakan SSL gratis lewat AutoSSL atau Let's Encrypt di panel.

1. Login ke cPanel atau panel hosting.
2. Cari menu SSL/TLS Status, AutoSSL, atau Let's Encrypt.
3. Pilih domain dan subdomain yang ingin diamankan, lalu jalankan penerbitan sertifikat.
4. Tunggu beberapa menit sampai status sertifikat aktif.

VPS dengan Nginx atau Apache

Untuk yang mengelola server sendiri, cara paling umum adalah memakai Certbot dari Let's Encrypt.

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d contohtoko.id -d www.contohtoko.id
sudo certbot renew --dry-run

Perintah terakhir dipakai untuk memastikan perpanjangan otomatis berjalan, karena sertifikat Let's Encrypt masa berlakunya pendek dan perlu diperbarui rutin.

Memakai Cloudflare

Cara lain yang populer adalah mengarahkan DNS domain ke Cloudflare, lalu mengaktifkan SSL di dasbornya. Pilih mode Full (strict) kalau server asal sudah punya sertifikat, supaya koneksi aman dari ujung ke ujung.

Langkah setelah SSL aktif

Setelah sertifikat terpasang, masih ada beberapa hal yang wajib dicek:

1. Paksa redirect HTTP ke HTTPS lewat pengaturan hosting, .htaccess, atau konfigurasi server.
2. Ubah alamat situs di WordPress (menu Settings > General) menjadi https://.
3. Perbaiki mixed content, yaitu gambar atau skrip yang masih dimuat lewat http://.
4. Pertimbangkan HSTS setelah semuanya stabil, agar browser selalu memakai HTTPS.
5. Uji sendiri dengan menyalakan Always Use Secure Connections di Chrome, lalu buka semua halaman penting.

Catatan untuk router, printer, dan perangkat lokal

Banyak orang khawatir tidak bisa lagi masuk ke halaman pengaturan router seperti 192.168.1.1. Untuk alamat IP lokal semacam itu, Chrome tidak menampilkan peringatan secara default, jadi aktivitas seperti ganti password WiFi tetap berjalan seperti biasa.

Google juga menambahkan izin baru bernama local network access. Izin ini mencegah situs sembarangan mengakses perangkat di jaringan rumah tanpa persetujuan. Di sisi lain, izin ini juga memungkinkan portal konfigurasi berbasis HTTPS untuk berkomunikasi dengan perangkat lokal setelah pengguna mengizinkannya. Dengan begitu, produsen perangkat tidak punya alasan lagi untuk menaruh portal konfigurasinya di HTTP.

Checklist

• Cek apakah website sudah bisa dibuka lewat https://
• Pastikan http:// otomatis dialihkan ke https://
• Aktifkan SSL gratis lewat AutoSSL, Let's Encrypt, atau Cloudflare
• Perbaiki gambar dan skrip yang masih memakai http://
• Pastikan perpanjangan sertifikat berjalan otomatis
• Uji situs dengan Always Use Secure Connections menyala di Chrome

Poin penting

• Chrome kini meminta izin sebelum membuka situs publik tanpa HTTPS untuk semua pengguna.
• Peringatan hanya muncul untuk situs baru atau yang lama tidak dikunjungi.
• IP lokal dan nama host internal tidak kena peringatan secara default.
• Peringatan bisa dimatikan di chrome://settings/security.
• SSL untuk situs publik bisa dipasang gratis, jadi tidak ada alasan menunda.

Referensi

1. Google Blog (2026). Chrome Now Warns Before Insecure HTTP Connections
2. Google Online Security Blog (2025). HTTPS by default
3. Chromium Docs (2026). Adapting your website for Chrome's "Ask-before-HTTP" warning
4. The Verge (2026). Google Chrome's new HTTPS warning rolls out today
5. BleepingComputer (2025). Google Chrome to warn users before opening insecure HTTP sites
6. Google (2026). HTTPS encryption on the web, Transparency Report
7. Let's Encrypt (2026). Getting Started
8. Certbot (2026). Certbot Instructions