Sertifikat SSL Localhost - Kenapa Website Not Secure di Jaringan Internet? Hacker? Spam? Random kah?
Pernah mengalami situasi di mana tiba-tiba banyak website yang tidak bisa diakses karena sertifikat SSL invalid, padahal kemarin masih normal? Atau melihat pesan "Your connection is not secure" dengan issuer bertuliskan "localhost"? Kalau iya, kamu tidak sendirian. Fenomena ini cukup sering terjadi di jaringan sekolah, universitas, kantor, rumah atau tempat umum lainnya yang menggunakan security appliance.
Dan yang menarik: website besar seperti Google, Bing, atau Cloudflare tetap berjalan normal. Hanya situs-situs tertentu yang bermasalah — dan itu terjadi secara intermittent, kadang bisa diakses, kadang tidak. Ini yang membuat banyak orang bingung, bahkan menganggapnya sebagai masalah sepele.
Tulisan ini akan membahas apa yang sebenarnya terjadi di balik layar, dari sisi teknis yang mudah dipahami.
Gejala yang Muncul
Berdasarkan pengamatan di lapangan, pola yang muncul biasanya seperti ini:
- Cert mismatch — browser menampilkan peringatan NET::ERR_CERT_AUTHORITY_INVALID
- Issuer aneh — bukan Let's Encrypt, Cloudflare, atau DigiCert, tapi tertulis "localhost"
- Whitelist behavior — Google, Bing, Cloudflare selalu aman, sisanya random
- Intermittent — kadang error, kadang tidak, tanpa pola yang jelas
- Redirect tidak wajar — jika dipaksa lanjut, browser malah mengarah ke situs mencurigakan
- VPN bypass — kalau pakai VPN, semua website normal kembali
Poin terakhir ini penting: jika VPN menyelesaikan masalah, maka kemungkinan besar sumber masalah ada di jaringan lokal — bukan di website yang dikunjungi.
Kenapa Google Selalu Aman?
Ini adalah petunjuk terbesar untuk memahami akar masalah. Google, Bing, dan Cloudflare selalu bisa diakses tanpa error sertifikat. Kenapa?
Ada beberapa kemungkinan:
- Domain reputation filtering — security appliance biasanya memiliki daftar domain bereputasi tinggi yang otomatis di-bypass dari inspeksi. Google dan Cloudflare jelas masuk daftar ini.
- SNI-based bypass — appliance melewatkan inspeksi untuk domain populer demi mengurangi beban komputasi.
- Scale issue — sertifikat layanan besar seperti Google menggunakan algoritma dan certificate chain yang sangat kompleks. Kadang appliance gagal meng-inspeksi dan memilih fallback ke bypass daripada memblokir.
Sementara situs Indonesia seperti portal berita, universitas, atau layanan hosting lokal — dengan traffic SSL yang lebih sederhana — tetap di-inspeksi. Dan karena konfigurasi CA internal tidak sempurna, hasilnya error.
Ironi: Website Sendiri Juga Kena
Ini yang paling konyol. Website yang aku hosted di server ini — adammuiz.com — saat diakses dari jaringan internal (WiFi rumah/lokal), muncul peringatan "not secure". Padahal server ini ada di dalam jaringan yang sama, beberapa meter dari tempat dudukku.
Tapi saat aku matikan WiFi dan pakai koneksi SIM Card (mobile data) dari HP, semua normal. Website bisa diakses dengan sertifikat valid, tanpa error, tanpa warning.
Bahkan website lain di internet — yang seharusnya bermasalah — bisa diakses normal dari luar jaringan. Artinya: masalahnya murni ada di jaringan lokal ini sendiri. Outbound traffic kena inspeksi. Inbound traffic dari luar (via internet) normal karena tidak melalui security appliance yang sama.
Ironis sekali. Jaringan ini adalah tempat server berada, tempat development dilakukan, tapi justru di sini aksesnya yang paling bermasalah. Ini menunjukkan bahwa security appliance diterapkan secara sepihak pada traffic internal, sementara traffic dari luar masuk tanpa inspeksi.
Kenapa Bisa Intermittent?
Ini bagian yang paling membingungkan. Satu menit website bisa diakses, semenit kemudian error. Lalu kembali normal. Pola ini bikin frustrasi karena sulit direproduksi.
Penjelasannya: security appliance modern tidak berjalan di satu titik. Arsitektur internalnya kurang lebih seperti ini:
Jika node proxy yang menangani request memiliki konfigurasi CA yang benar, website terbuka normal. Tapi jika request jatuh ke node yang salah CA, error muncul. Inilah mengapa gejalanya tampak random — tergantung node mana yang melayani request pada saat itu.
Ditambah lagi policy engine dan DNS filter yang ikut memutuskan apakah request di-inspeksi, di-bypass, atau diblokir. Kombinasi ini menciptakan gejala probabilistik yang sulit dilacak.
Apa yang Sebenarnya Terjadi?
Fenomena ini biasanya disebabkan oleh fitur yang dikenal sebagai HTTPS Inspection, SSL Bump, TLS Proxy, atau Deep Packet Inspection (DPI) — namanya tergantung vendor. Fitur ini memungkinkan firewall atau security appliance untuk "mengintip" isi traffic HTTPS yang seharusnya terenkripsi.
Cara kerjanya:
- Firewall mencegat koneksi HTTPS antara client dan server tujuan
- Firewall membuat sertifikat palsu secara real-time untuk domain yang diminta
- Sertifikat palsu ini ditandatangani oleh Certificate Authority (CA) internal milik organisasi
- Browser client menerima sertifikat palsu ini — dan jika CA internal sudah dipercaya, browser tidak akan marah
Masalah muncul saat CA internal tidak terdistribusi dengan benar ke semua device di jaringan. Atau saat infrastruktur proxy tidak seragam — misalnya ada beberapa node proxy dengan CA berbeda.
Redirect ke Situs Tidak Jelas
Ini gejala yang paling mengkhawatirkan. Saat pengguna memaksa browser untuk lanjut mengabaikan peringatan sertifikat, terkadang browser malah diarahkan ke situs yang tidak dikenal — biasanya domain judi atau scam.
Ini bukan berarti jaringan diretas. Kemungkinan besar ini adalah efek samping dari DNS reputation filtering atau captive portal yang salah konfigurasi. Policy engine menganggap sertifikat invalid sebagai ancaman dan mengarahkan ke halaman blokir — tapi halaman blokirnya sendiri bermasalah (misalnya SSL-nya juga invalid, atau domainnya kena suspend).
Yang menarik: jika VPN digunakan, semua gejala ini lenyap. Karena traffic HTTPS tidak lagi melewati security appliance, melainkan langsung ke internet melalui tunnel terenkripsi.
Kesimpulan
Fenomena sertifikat localhost dan "not secure" di jaringan tertentu bukanlah bug atau serangan hacker. Ini adalah efek samping dari implementasi HTTPS Inspection yang tidak sempurna — terutama masalah distribusi CA internal dan inkonsistensi konfigurasi antar node proxy.
Beberapa hal yang bisa dilakukan jika mengalami ini:
- Install CA certificate yang disediakan oleh tim jaringan ke device masing-masing
- Coba pakai VPN — jika semua normal, sudah pasti masalahnya di jaringan lokal
Dan bagi yang mengelola jaringan sendiri: pastikan PKI maturity sudah matang sebelum mengaktifkan fitur HTTPS Inspection. Karena fitur ini, sekaliber apapun appliance-nya, akan bermasalah jika CA tidak dikelola dengan benar.