Cyber RoadmapINDONESIAFondasi · Fase 0
HTTP vs HTTPS: Perbedaan Nyata dan Kenapa Penting
Apa yang sebenarnya dilindungi gembok di browser, dan apa yang tidak. Penjelasan sederhana tentang HTTP, HTTPS, sertifikat, jabat tangan TLS, serta cara membaca nama domain agar tidak tertipu situs phishing.
Kamu sedang di kafe, tersambung ke Wi-Fi gratis, lalu login ke sebuah situs. Pernahkah terpikir siapa saja yang bisa melihat data yang kamu kirim? Jawabannya bergantung pada lima huruf di awal alamat situs: http atau https.
Perbedaan satu huruf "s" itu menentukan apakah password, pesan, dan data pribadimu berjalan di internet seperti kartu pos yang bisa dibaca siapa saja, atau seperti surat di dalam amplop tersegel. Artikel ini membahas perbedaannya, cara kerjanya secara sederhana, dan salah kaprah yang paling sering membuat orang tertipu.
HTTP: bahasa browser dan server
HTTP (Hypertext Transfer Protocol) adalah aturan komunikasi antara browser dan server web. Browser mengirim permintaan (request), misalnya "tolong kirim halaman beranda", lalu server membalas dengan respons berisi halaman, gambar, atau data lain.
Masalahnya, HTTP dirancang di masa awal internet, saat keamanan belum menjadi perhatian utama. Semua isinya dikirim sebagai teks biasa (plain text). Siapa pun yang berada di jalur data, misalnya pengelola Wi-Fi publik, penyerang di jaringan yang sama, atau perangkat jaringan yang disusupi, bisa membaca bahkan mengubah isinya.
HTTPS: HTTP di dalam amplop tersegel
HTTPS adalah HTTP yang dibungkus lapisan pengaman bernama TLS (Transport Layer Security). Kamu mungkin pernah mendengar istilah SSL. SSL adalah pendahulu TLS yang sudah usang, tetapi namanya masih sering dipakai, misalnya dalam istilah "sertifikat SSL".
HTTPS memberi tiga perlindungan sekaligus:
- Kerahasiaan: isi komunikasi dienkripsi, sehingga penyadap hanya melihat data acak.
- Integritas: data tidak bisa diubah diam-diam di perjalanan. Kalau ada yang mengutak-atik, koneksinya gagal.
- Autentikasi: sertifikat membuktikan bahwa kamu benar-benar tersambung ke server pemilik domain tersebut, bukan ke perantara palsu.
| Aspek | HTTP | HTTPS |
|---|---|---|
| Awalan alamat | http:// | https:// |
| Port bawaan | 80 | 443 |
| Isi komunikasi | Teks biasa, bisa dibaca di perjalanan | Terenkripsi dengan TLS |
| Bisa diubah di tengah jalan? | Bisa, misalnya disisipi iklan atau skrip | Tidak, perubahan akan terdeteksi |
| Bukti identitas server | Tidak ada | Ada, lewat sertifikat digital |
| Tampilan di browser | Label "Not secure" atau "Tidak aman" | Ikon gembok atau ikon pengaturan situs |
| Fitur browser modern | Banyak yang dibatasi, misalnya akses lokasi dan kamera | Tersedia |
| Biaya sertifikat | Tidak perlu | Bisa gratis, misalnya dari Let's Encrypt |
Apa yang terjadi sebelum gembok muncul
Setiap kali kamu membuka situs HTTPS, browser dan server melakukan "jabat tangan" TLS (TLS handshake) terlebih dahulu. Prosesnya selesai dalam sepersekian detik, jadi kamu tidak merasakannya.
- Browser menyapa server dan menyebutkan cara enkripsi yang ia dukung.
- Server mengirim sertifikat digital berisi nama domain, lembaga penerbitnya (Certificate Authority atau CA), dan masa berlakunya.
- Browser memeriksa sertifikat: apakah penerbitnya tepercaya, apakah domain di sertifikat cocok dengan alamat yang kamu buka, dan apakah masa berlakunya belum habis. Kalau salah satu gagal, browser menampilkan peringatan.
- Keduanya menyepakati kunci sesi, kunci rahasia yang hanya diketahui browser dan server itu.
- Data dikirim terenkripsi memakai kunci sesi tersebut sampai kamu menutup koneksi.
Langkah ke-3 adalah yang paling penting untuk kamu perhatikan sebagai pengguna. Peringatan seperti "Your connection is not private" berarti pemeriksaan sertifikat gagal. Bisa jadi sertifikatnya kedaluwarsa, salah pasang, atau ada pihak yang mencoba menyamar di tengah koneksi. Di Wi-Fi publik, jangan pernah melanjutkan ke situs yang menampilkan peringatan seperti ini, terutama untuk login atau transaksi.
Salah kaprah tentang gembok
Ini bagian yang paling sering disalahpahami. Gembok hanya menjamin satu hal: koneksimu ke domain itu terenkripsi. Gembok tidak menjamin bahwa pemilik domain itu jujur.
Sertifikat HTTPS kini bisa didapat gratis dan otomatis, termasuk oleh penipu. Akibatnya, sebagian besar situs phishing juga tampil dengan gembok. Yang membedakan situs asli dan palsu adalah nama domainnya.
Cara membacanya: lihat bagian alamat sebelum garis miring pertama setelah https://, lalu baca dari kanan. Nama yang berada tepat di depan akhiran (.com, .id, .co.id, .xyz, dan sebagainya) adalah domain sebenarnya. Pada contoh di gambar, domainnya adalah akun-aman.xyz, bukan bank. Tulisan login.bank-contoh.id di depannya hanyalah subdomain yang bisa dibuat bebas oleh pemilik akun-aman.xyz.
| Salah kaprah | Faktanya |
|---|---|
| "Ada gembok, berarti situsnya asli dan aman." | Gembok hanya berarti koneksi terenkripsi. Situs phishing pun bisa memilikinya. Selalu periksa nama domain. |
| "HTTPS menyembunyikan situs apa yang aku buka." | Isi halaman dan alamat lengkapnya memang terenkripsi, tetapi nama domain yang kamu kunjungi umumnya masih bisa terlihat oleh penyedia jaringan. |
| "HTTPS melindungi dari virus." | Tidak. File berbahaya yang diunduh lewat HTTPS tetap berbahaya. HTTPS hanya melindungi perjalanannya. |
| "Situs yang tidak punya form login tidak butuh HTTPS." | Tetap butuh. Tanpa HTTPS, pihak di tengah jalan bisa menyisipkan iklan, skrip berbahaya, atau tautan palsu ke halaman yang kamu baca. |
Kenapa ini penting untuk keamanan siber
HTTPS adalah salah satu perlindungan paling dasar di internet, dan setiap peran di bidang keamanan berurusan dengannya dari sisi yang berbeda:
| Peran | Yang perlu diperhatikan |
|---|---|
| Pengguna | Periksa nama domain sebelum login, dan jangan abaikan peringatan sertifikat. |
| Developer dan admin server | Pasang sertifikat, alihkan semua akses HTTP ke HTTPS, aktifkan HSTS agar browser selalu memakai HTTPS, dan pastikan sertifikat diperpanjang otomatis. |
| Pentester dan auditor | Memeriksa konfigurasi TLS: versi protokol yang usang, sertifikat yang salah, atau halaman yang masih bisa diakses lewat HTTP. |
| Analis SOC | Memantau sertifikat yang mencurigakan dan domain tiruan yang mirip nama organisasi, yang sering menjadi tanda awal kampanye phishing. |
Ringkasan
- HTTP mengirim data sebagai teks biasa, sehingga bisa dibaca dan diubah di perjalanan.
- HTTPS adalah HTTP yang dilindungi TLS, dan memberi kerahasiaan, integritas, serta bukti identitas server.
- Sebelum data dikirim, browser memeriksa sertifikat server. Kalau muncul peringatan, jangan dilanjutkan.
- Gembok bukan jaminan situs asli. Situs phishing juga memakai HTTPS, jadi selalu baca nama domainnya.
- Untuk pemilik situs, HTTPS adalah kewajiban dasar, bukan fitur tambahan.
Tonton juga
Materi berikutnya di modul ini membahas browser, cookie, cache, dan jejak digital yang kamu tinggalkan saat berselancar. Buka di roadmap untuk melanjutkan.
