Rizki NurPernah mengalami situasi di mana website Anda sudah terpasang SSL, tapi sebagian pengunjung dengan perangkat lawas tetap melihat peringatan “Not Secure” atau koneksi tidak terpercaya? Masalah ini sering muncul setiap kali otoritas penerbit sertifikat SSL memperbarui root certificate mereka, dan belum semua perangkat pengunjung mengenali root baru tersebut. Di sinilah pentingnya menambahkan Cross Certificate SSL.
Cross Certificate SSL berperan sebagai jembatan, supaya sertifikat Anda tetap tervalidasi meski root sertifikatnya berbeda. GlobalSign, salah satu otoritas penerbit sertifikat SSL yang produknya bisa Anda pesan lewat Rumahweb Indonesia, baru saja menyelesaikan transisi besar pada root certificate mereka.
Dalam artikel ini, kami akan membahas perubahan tersebut, apa itu cross certificate, dan cara memasangnya di server Anda, agar pengunjung dengan perangkat lawas tetap dapat mengakses website Anda dengan aman.
Ringkasan Cepat
- GlobalSign memindahkan seluruh produknya, termasuk AlphaSSL, ke root TLS baru bernama R46 (RSA) dan E46 (ECC), menggantikan root lama R3, R5, dan R6.
- Transisi ini rampung per 27 Juli 2026 untuk sebagian besar akun, dan 13 September 2026 untuk sisanya.
- Perangkat atau browser lawas yang belum mengenali root R46/E46 tetap bisa memvalidasi sertifikat Anda lewat cross certificate.
- Cross certificate perlu ditambahkan ke CA bundle saat install atau renewal SSL, terutama jika target pengunjung Anda masih memakai sistem operasi atau browser lama.
Kenapa GlobalSign Mengubah Root Certificate ke R46 dan E46
Perubahan ini bukan kebijakan sepihak GlobalSign, melainkan mengikuti aturan baru dari Chrome Root Program dan CA/Browser Forum. Mulai 2026, root certificate publik yang digunakan untuk TLS/SSL tidak lagi boleh dipakai bersamaan untuk keperluan lain seperti Secure Mail atau Code Signing. Root harus didedikasikan khusus untuk satu fungsi saja.
Sebelumnya, GlobalSign memakai root multi-fungsi seperti R3, R5, dan R6 untuk berbagai jenis sertifikat sekaligus. Untuk memenuhi aturan baru tersebut, GlobalSign membuat root khusus TLS bernama R46 (berbasis RSA) dan E46 (berbasis ECC), lalu memindahkan seluruh produk SSL/TLS mereka, termasuk AlphaSSL, DomainSSL, OrganisationSSL, dan ExtendedSSL, ke root baru ini.
Jadwal transisinya berlangsung bertahap. Pada 27 Juli 2026, sebagian besar akun pelanggan dan partner GlobalSign sudah dipindahkan ke root R46/E46. Sisa akun yang belum bermigrasi kemudian ikut dipindahkan pada 13 September 2026. Artinya, sertifikat GlobalSign atau AlphaSSL yang Anda terbitkan atau perpanjang setelah tanggal tersebut sudah otomatis memakai root R46 atau E46.
Dampak Transisi Root R46/E46 bagi Pengguna SSL
Root baru seperti R46 dan E46 memang sudah didaftarkan ke penyimpanan root tepercaya (root store) browser dan sistem operasi utama sejak beberapa tahun sebelum transisi ini berlaku. Namun, tidak semua perangkat, terutama yang sudah lama tidak diperbarui, otomatis memiliki root tersebut di root store-nya.
Akibatnya, pengunjung yang mengakses website Anda menggunakan sistem operasi lama, browser versi lama, atau perangkat embedded seperti mesin ATM dan perangkat IoT yang jarang diperbarui, berisiko mendapati peringatan sertifikat tidak terpercaya. Padahal, dari sisi Anda sebagai pemilik website, sertifikat SSL tersebut sudah sah dan valid.
Solusi yang disediakan GlobalSign untuk masalah ini adalah dengan menambahkan cross certificate pada CA bundle di sertifikat SSL yang Anda pasang.
Apa Itu Cross Certificate?
Cross certificate, atau bisa disebut sertifikat silang, adalah sertifikat tambahan yang menjembatani root certificate versi baru dengan root certificate versi lama. Dengan menambahkan cross certificate ke CA bundle, sertifikat SSL Anda punya dua jalur validasi sekaligus, satu jalur langsung ke root baru, dan satu jalur lagi lewat cross certificate menuju root lama yang sudah lebih dulu dikenali kebanyakan perangkat.
Sebagai gambaran, GlobalSign menyediakan beberapa varian cross certificate untuk transisi ke R46 dan E46, di antaranya:
| Cross Certificate | Fungsi |
|---|---|
| R3 signed by R1, R5 signed by R1, R6 signed by R1 | Menjembatani root lama R3, R5, R6 dengan root R1 yang lebih tua, untuk perangkat sangat lawas |
| R46 signed by R1 | Menjembatani root baru R46 dengan root R1 |
| R46 signed by R3 | Menjembatani root baru R46 dengan root R3, cocok untuk perangkat yang sudah mengenali R3 tapi belum mengenali R46 |
| R46 signed by R6 | Menjembatani root baru R46 dengan root R6, khusus pelanggan AlphaSSL dan produk lain yang sebelumnya berjalan di root R6 |
| E46 signed by R5 | Menjembatani root ECC baru E46 dengan root ECC lama R5 |
Untuk kebanyakan pengguna AlphaSSL yang sebelumnya sudah memakai root R6 sejak transisi Januari 2024, cross certificate yang paling relevan adalah R46 signed by R6. Sementara itu, jika perangkat pengunjung Anda hanya mengenali root R3, gunakan R46 signed by R3.
Apa yang Harus Dilakukan Pemilik SSL GlobalSign dan AlphaSSL
Jika sertifikat SSL GlobalSign atau AlphaSSL Anda diterbitkan atau diperpanjang setelah tanggal transisi di atas, sertifikat tersebut otomatis memakai root R46 atau E46. Untuk memastikan kompatibilitasnya tetap terjaga di perangkat lawas, tambahkan cross certificate yang sesuai ke CA bundle Anda saat proses install atau renewal SSL di server.
Langkah ini terutama penting jika target pengunjung website Anda mencakup pengguna dengan perangkat atau sistem operasi yang jarang diperbarui. Sebaliknya, jika mayoritas pengunjung Anda memakai browser dan sistem operasi modern, dampaknya kemungkinan besar tidak akan terasa, karena root R46 dan E46 sudah lebih dari cukup dikenali sejak lama.
Cara Membuat Cross Certificate
Cross certificate ditambahkan pada Chain SSL atau CA Bundle yang berisi file root certificate dan intermediate certificate. Anda bisa melihat daftar lengkap cross certificate GlobalSign, termasuk versi terbaru untuk R46 dan E46, lewat halaman GlobalSign Cross Certificates.
Pada halaman tersebut, pilih cross certificate yang sesuai dengan root lama yang ingin Anda jembatani, misalnya R46 signed by R6 untuk pengguna AlphaSSL. Sementara itu, file intermediate certificate dan root certificate terbaru bisa Anda unduh lewat halaman Clientzone, dengan panduan yang bisa Anda pelajari di artikel cara download sertifikat SSL.
Setelah mendapatkan ketiga file tersebut, susun CA bundle dengan urutan berikut.
-----intermediate cert-----
-----cross certificate-----
Simpan file gabungan tersebut dengan format namadomain.ca.crt. File inilah yang akan Anda gunakan sebagai CA bundle atau chain SSL saat proses install maupun renewal SSL di server.
Cara Install SSL dengan Cross Certificate
Proses instalasi SSL dengan cross certificate pada dasarnya sama seperti instalasi SSL biasa. Perbedaannya hanya terletak pada file CA bundle atau chain SSL yang sudah ditambahkan cross certificate.
Panduan install SSL di masing-masing control panel atau server bisa Anda pelajari di artikel berikut.
- Cara install SSL di cPanel
- Cara install SSL di Plesk Obsidian
- Cara install SSL certificate di Ubuntu
- Cara install SSL di Nginx
- Cara install SSL di Xampp Windows Server
- Cara install SSL di IIS
Penutup
Transisi root certificate GlobalSign ke R46 dan E46 adalah bagian dari standar baru industri sertifikat SSL, dan bukan sesuatu yang perlu dikhawatirkan berlebihan selama Anda menambahkan cross certificate yang tepat pada CA bundle. Dengan begitu, sertifikat SSL Anda tetap bisa divalidasi baik oleh perangkat modern yang sudah mengenali root R46/E46, maupun perangkat lawas yang masih mengandalkan root lama seperti R3 atau R6.
Jika Anda butuh bantuan memasang cross certificate atau ingin memastikan konfigurasi SSL Anda sudah sesuai standar terbaru, tim support Rumahweb siap membantu, termasuk untuk pelanggan yang menggunakan SSL GlobalSign dan AlphaSSL.
FAQ
Berikut adalah beberapa pertanyaan popular tentang transisi cross certificate di GlobalSign.
Apakah SSL AlphaSSL saya perlu diganti karena transisi ke root R46?
Tidak perlu diganti dari awal. Sertifikat yang sudah aktif tetap berfungsi normal, dan sertifikat baru yang diterbitkan atau diperpanjang setelah tanggal transisi akan otomatis memakai root R46 atau E46. Yang perlu Anda lakukan hanyalah memastikan CA bundle sudah menyertakan cross certificate yang sesuai jika target pengunjung Anda memakai perangkat lawas.
Cross certificate mana yang harus saya pakai untuk AlphaSSL?
Untuk pelanggan AlphaSSL yang sebelumnya memakai root R6, cross certificate yang relevan adalah R46 signed by R6. Jika perangkat pengunjung Anda hanya mengenali root R3, gunakan R46 signed by R3.
Apa yang terjadi jika saya tidak menambahkan cross certificate?
Sebagian besar pengunjung dengan perangkat modern tetap bisa mengakses website Anda dengan normal, karena root R46 dan E46 sudah dikenali browser dan sistem operasi utama. Namun, pengunjung dengan perangkat atau sistem operasi lawas berisiko melihat peringatan sertifikat tidak terpercaya.
Apakah perubahan root certificate ini hanya berlaku untuk GlobalSign?
Tidak. Perubahan ke root TLS khusus ini merupakan aturan baru dari Chrome Root Program dan CA/Browser Forum yang berlaku untuk seluruh otoritas penerbit sertifikat SSL publik, sehingga otoritas lain seperti Sectigo dan DigiCert juga melakukan transisi serupa dengan jadwal masing-masing.
