Cara Mengaktifkan SSL HTTPS di WordPress: 5 Langkah Biar Website Aman dan Dipercaya

Pernah buka sebuah website lalu browser menampilkan peringatan “Not Secure” di bilah alamat? Sebagian besar pengunjung langsung was-was — apalagi kalau website itu toko online tempat mereka harus memasukkan nama, nomor HP, dan alamat. Pelanggan yang ragu biasanya batal belanja dan pindah ke kompetitor. Padahal solusinya sederhana: SSL alias sertifikat keamanan yang membuat alamat website Anda berubah dari http:// menjadi https:// dengan ikon gembok.

SSL bekerja seperti amplop tersegel untuk data yang dikirim antara browser pengunjung dan server website Anda. Tanpa SSL, data berjalan dalam keadaan “terbuka” dan bisa diintip pihak lain — misalnya saat Anda mengelola website dari WiFi kafe. Dengan SSL, semua data diacak (dienkripsi) sehingga tidak bisa dibaca orang lain. Google pun memberi nilai plus pada website HTTPS di hasil pencarian, sementara browser seperti Chrome aktif memberi label “Not Secure” pada website tanpa SSL. Artinya, SSL bukan lagi aksesori mewah — melainkan syarat dasar website yang dipercaya.

Kabar baiknya, mengaktifkan SSL di WordPress sekarang jauh lebih mudah. Sebagian besar hosting Indonesia sudah menyediakan sertifikat SSL gratis yang terpasang dan diperpanjang otomatis. Berikut 5 langkah lengkapnya.

Langkah 1: Pasang Sertifikat SSL Gratis di Hosting

Sebelum WordPress bisa memakai HTTPS, server hosting harus punya sertifikat SSL dulu. Hampir semua hosting Indonesia menyediakan sertifikat gratis dari Let’s Encrypt yang diperpanjang otomatis lewat fitur bernama AutoSSL.

Cara memeriksanya lewat cPanel:

1. Login ke cPanel (biasanya lewat namadomainanda.com/cpanel), buka bagian Security (Keamanan) → SSL/TLS Status.
2. Domain yang sudah aman ditandai ikon gembok hijau. Kalau domain Anda masih bertanda merah/terbuka, centang domain tersebut lalu klik Run AutoSSL.
3. Tunggu beberapa menit sampai status berubah menjadi sertifikat aktif.

Di sebagian hosting lain, menunya bernama Let’s Encrypt SSL: pilih domain lalu klik Issue atau Install. Prinsipnya sama — sertifikat diterbitkan gratis dalam hitungan menit. Kalau menunya tidak ketemu, tanyakan ke tim support hosting: “Apakah hosting saya mendukung SSL gratis AutoSSL/Let’s Encrypt?” Umumnya mereka bisa mengaktifkannya untuk Anda.

Uji dengan membuka https://namadomainanda.com: kalau sertifikat sudah terpasang, ikon gembok akan muncul di bilah alamat.

Langkah 2: Ubah Alamat Website Menjadi HTTPS di Dashboard WordPress

Sertifikat sudah terpasang, tetapi WordPress belum tahu alamat resminya kini memakai https:// — semua tautan internal masih menunjuk ke versi http:// yang tidak aman. Langkah ini memberitahu WordPress alamat barunya.

Caranya:

1. Login ke dashboard WordPress Anda (namadomainanda.com/wp-admin).
2. Buka menu Pengaturan → Umum (Settings → General).
3. Ubah dua kolom ini dari http:// menjadi https://:
   • Alamat WordPress (URL)
   • Alamat Situs (URL)
4. Klik Simpan Perubahan di bawah halaman.

Anda mungkin akan diminta login ulang — itu normal, karena sesi lama masih memakai alamat lama. Setelah login kembali, coba buka halaman depan website. Ikon gembok mungkin sudah muncul, tetapi sering kali belum sempurna karena ada konten lama yang masih memakai http:// (akan dibereskan di Langkah 4).

Catatan: langkah ini hanya mengubah alamat resmi menurut WordPress. Pengunjung yang mengetik http:// masih bisa mendarat di versi tidak aman tanpa pengalihan otomatis — itulah tugas Langkah 3.

Langkah 3: Paksa Semua Pengunjung Dialihkan ke HTTPS

Agar tak ada pengunjung yang tersesat di versi http://, Anda perlu redirect otomatis: setiap permintaan ke alamat lama langsung dilempar ke versi https://. Cara termudah bagi pemula adalah plugin gratis Really Simple Security (dulu bernama Really Simple SSL).

Caranya:

1. Di dashboard, buka Plugin → Tambah Baru, cari “Really Simple Security”, lalu klik Install Sekarang dan Aktifkan.
2. Ikuti panduan singkat (setup wizard) yang muncul — plugin akan mendeteksi sertifikat SSL Anda.
3. Klik tombol aktivasi. Selesai.

Di balik layar, plugin ini memasang redirect 301 (pengalihan permanen) dari HTTP ke HTTPS, mengamankan cookie login WordPress, dan mencegah “redirect loop” (halaman memantul terus-menerus antara http dan https).

Memang ada cara manual lewat file .htaccess, tetapi satu baris kode yang salah di file itu bisa membuat seluruh website error. Untuk pemilik usaha yang fokusnya jualan — bukan ngoprek server — plugin ini pilihan yang jauh lebih aman.

Contoh untuk UMKM: toko hijab online di Bandung yang pelanggannya memesan lewat tombol WhatsApp. Tanpa redirect, browser menampilkan “Not Secure” tepat saat calon pembeli hendak percaya. Dengan redirect aktif, alamat apa pun yang diklik otomatis berubah menjadi versi aman.

Langkah 4: Bereskan “Mixed Content” yang Masih Memakai HTTP

Ini langkah yang paling sering terlewat. Mixed content artinya halaman sudah dimuat lewat HTTPS, tetapi sebagian isinya — biasanya gambar atau file CSS/JS — masih dipanggil lewat http://, sehingga ikon gembok hilang padahal sertifikat Anda sudah benar.

Gejalanya: gembok tidak muncul di halaman tertentu, biasanya yang gambarnya diunggah sebelum SSL dipasang.

Cara membereskannya:

1. Plugin dari Langkah 3 biasanya sudah memperbaiki sebagian besar mixed content otomatis — ia menulis ulang alamat http:// menjadi https:// saat halaman ditampilkan.
2. Periksa halaman-halaman penting satu per satu: halaman depan, halaman produk/jasa, dan halaman kontak. Pastikan ikon gembok muncul di semuanya.
3. Kalau ada gambar yang masih “bandel” (biasanya yang disisipkan manual lewat URL di widget atau page builder), buka editor halaman tersebut, hapus gambarnya, lalu unggah ulang dari Media Library. Gambar yang diunggah setelah alamat website diganti otomatis memakai https://.
4. Periksa juga tautan di widget teks, footer, atau menu yang mungkin masih ditulis manual dengan http://, lalu ganti menjadi https://.

Luangkan 15 menit untuk mengecek 5–10 halaman utama — terutama halaman produk yang paling sering dibuka pelanggan — dan masalah mixed content umumnya selesai.

Langkah 5: Uji, Pantau, dan Beritahu Google

Langkah terakhir: pastikan semuanya bekerja dan tetap aman ke depannya.

Uji sekarang:

• Buka https:// website Anda — pastikan ikon gembok muncul.
• Buka versi lama http:// — pastikan browser otomatis melompat ke https:// (kalau tidak, ulangi Langkah 3).
• Buka halaman login /wp-admin — pastikan gembok muncul di sana, karena di sinilah username dan password dikirim.
• Gunakan tool checker SSL online (cukup cari “SSL checker” di Google) untuk memastikan sertifikat terpasang benar dan belum kedaluwarsa.

Pantau ke depannya:

• Sertifikat gratis Let’s Encrypt berlaku 90 hari, tetapi fitur AutoSSL di hosting memperpanjangnya otomatis. Meski begitu, sesekali cek ikon gembok website Anda — kalau tiba-tiba hilang, kemungkinan perpanjangan otomatis gagal dan Anda perlu menghubungi support hosting.
• Bersihkan cache setelah semua langkah selesai. Kalau memakai plugin cache, kosongkan cache-nya; kalau tidak, pengunjung bisa masih melihat versi lama yang belum aman.
• Beritahu Google: buka Google Search Console, tambahkan properti versi https://, dan minta Google mengindeks ulang halaman utama agar peringkat pencarian pindah mulus ke alamat aman.

Hal Penting yang Perlu Diingat

Agar tidak salah langkah, perhatikan beberapa hal ini:

• Backup dulu sebelum mulai. Biasakan mencadangkan website (banyak hosting menyediakan backup sekali klik di cPanel) sebelum mengubah pengaturan penting.
• Jangan panik kalau website sempat “redirect loop”. Jarang terjadi dengan plugin, tetapi kalau halaman memuat terus tanpa henti setelah aktivasi, nonaktifkan plugin lewat File Manager di cPanel (ubah nama folder really-simple-ssl di wp-content/plugins), lalu hubungi support hosting.
• Satu sertifikat untuk satu domain. Kalau punya subdomain (misalnya blog.namadomainanda.com), pastikan ikut tercakup saat menjalankan AutoSSL di Langkah 1.
• HTTPS bukan pengganti keamanan lain. SSL mengacak data di perjalanan, tetapi Anda tetap perlu password admin yang kuat dan update rutin WordPress, tema, dan plugin.

Kesimpulan

Mengaktifkan SSL di WordPress hanya butuh 5 langkah: pasang sertifikat gratis di hosting, ubah alamat website menjadi HTTPS di dashboard, pasang redirect otomatis dengan plugin Really Simple Security, bereskan mixed content, lalu uji dan pantau. Totalnya biasanya kurang dari 30 menit.

Bagi pemilik usaha kecil, SSL adalah investasi termurah untuk kepercayaan pelanggan: tanpa biaya sertifikat dan tanpa coding, label “Not Secure” yang mengusir calon pembeli hilang, data pelanggan terlindungi, dan Google memberi nilai tambah di hasil pencarian. Kalau website Anda masih memakai http://, inilah momen yang tepat memperbaikinya.