Cara Memperbaiki Error “This Site Can’t Provide a Secure Connection”

Kesalahan "This site can't provide a secure connection" berarti browser Anda gagal menyelesaikan TLS handshake dengan server target. Upaya koneksi dihentikan sebelum saluran terenkripsi dapat dibuat, sehingga browser tidak dapat memverifikasi identitas server atau menegosiasikan cipher suite.

Kesalahan ini muncul di Chrome, Firefox, Edge, dan Safari dan hampir selalu disertai dengan kode kesalahan tertentu — paling umum ERR_SSL_PROTOCOL_ERROR, ERR_SSL_VERSION_OR_CIPHER_MISMATCH, atau SSL_ERROR_HANDSHAKE_FAILURE_ALERT. Setiap kode menunjuk ke lapisan kegagalan yang berbeda: konfigurasi sertifikat server, tumpukan TLS klien, atau jalur jaringan di antara keduanya. Mengidentifikasi lapisan mana yang bertanggung jawab sebelum mengubah pengaturan apa pun akan menghemat waktu Anda secara signifikan.

Apa yang Sebenarnya Terjadi Selama TLS Handshake

Sebelum membahas solusi, memahami mekanisme kegagalan sangat penting. Ketika browser Anda terhubung ke situs HTTPS, browser melakukan TLS handshake dalam milidetik:

1. Browser mengirimkan pesan ClientHello yang mengiklankan versi TLS dan cipher suite yang didukung.
2. Server merespons dengan ServerHello, memilih versi protokol dan cipher, lalu menyajikan rantai sertifikatnya.
3. Browser memvalidasi sertifikat terhadap Certificate Authorities (CA) root tepercaya, memeriksa tanggal kedaluwarsa, memverifikasi domain cocok dengan Subject Alternative Name (SAN), dan mengonfirmasi sertifikat belum dicabut (melalui OCSP atau CRL).
4. Kedua sisi menurunkan kunci sesi dan memulai komunikasi terenkripsi.

Kegagalan pada salah satu dari empat langkah ini menghasilkan pesan "can't provide a secure connection". Kode kesalahan di panel detail browser memberi tahu Anda dengan tepat langkah mana yang gagal.

Penyebab Utama yang Dipetakan ke Kode Kesalahan

Jika kode kesalahan menempatkan tanggung jawab pada administrator server dan Anda tidak mengelola server tersebut, pilihan Anda terbatas pada menghubungi pemilik situs. Bagian selanjutnya berfokus pada kesalahan yang dapat Anda selesaikan di sisi klien, diikuti dengan remediasi sisi server untuk administrator.

Perbaikan Sisi Klien

1. Verifikasi Sertifikat Sebelum Mengubah Apa Pun

Klik gembok (atau ikon peringatan) di bilah alamat dan pilih Connection is secure > Certificate is valid. Periksa:

• Periode validitas: Tanggal "Not After" harus di masa mendatang.
• Diterbitkan untuk: Domain di bidang SAN sertifikat harus cocok dengan URL secara tepat, termasuk subdomain.
• Diterbitkan oleh: Rantai CA harus berakhir pada CA root yang dipercaya OS Anda.

Jika sertifikat kedaluwarsa atau tidak cocok dan Anda tidak memiliki server, berhenti di sini dan hubungi pemilik situs. Jika Anda mengelola server, langsung ke bagian sisi server di bawah.

2. Sinkronkan Tanggal dan Waktu Sistem

Validasi sertifikat sensitif terhadap waktu. Jam sistem yang bahkan beberapa menit saja meleset dapat menyebabkan browser menyimpulkan sertifikat yang valid sudah kedaluwarsa, atau bahwa sertifikat yang belum valid sedang digunakan terlalu dini.

Windows:

w32tm /resync /force

Atau, klik kanan jam sistem, pilih Adjust date/time, dan aktifkan Set time automatically dengan layanan Windows Time.

Linux (systemd):

timedatectl set-ntp true
timedatectl status

macOS: Buka System Settings > General > Date & Time dan aktifkan Set time and date automatically.

Setelah sinkronisasi, restart browser dan uji kembali.

3. Hapus Status SSL dan Cache Browser

Browser menyimpan cache hasil validasi sertifikat dan kebijakan HSTS (HTTP Strict Transport Security). Entri cache yang usang dapat memblokir akses bahkan setelah masalah sertifikat sisi server telah diselesaikan.

Chrome — hapus data penjelajahan:

Navigasikan ke chrome://settings/clearBrowserData, pilih All time, centang Cookies and other site data dan Cached images and files, lalu klik Clear data.

Chrome — hapus entri HSTS untuk domain tertentu:

Navigasikan ke chrome://net-internals/#hsts, masukkan domain di bawah Delete domain security policies, dan klik Delete. Ini sangat berguna ketika domain sebelumnya hanya HTTPS dan sekarang salah dikonfigurasi.

Windows — hapus status SSL tingkat OS:

Control Panel > Network and Internet > Internet Options > Content tab > Clear SSL State

Ini menghapus cache sertifikat yang digunakan oleh Internet Explorer, Edge (lama), dan beberapa aplikasi Windows.

Firefox: Navigasikan ke about:preferences#privacy, gulir ke Cookies and Site Data, dan klik Clear Data.

4. Nonaktifkan Inspeksi HTTPS Antivirus

Produk keamanan dari vendor termasuk Avast, AVG, Kaspersky, ESET, dan Bitdefender melakukan intersepsi SSL/TLS — mereka bertindak sebagai proxy man-in-the-middle lokal, menandatangani ulang sertifikat dengan CA root mereka sendiri. Ketika CA root mereka tidak terpasang dengan benar di penyimpanan kepercayaan browser, atau ketika modul intersepsi mengalami bug, setiap koneksi HTTPS gagal.

Untuk menguji apakah ini penyebabnya:

1. Nonaktifkan sementara fitur Web Shield, HTTPS Scanning, atau SSL Filtering di pengaturan antivirus Anda.
2. Muat ulang halaman yang gagal.
3. Jika kesalahan hilang, antivirus adalah penyebabnya.

Perbaikan permanen adalah menambahkan domain yang terpengaruh ke daftar pengecualian antivirus daripada menonaktifkan pemindaian HTTPS secara global, yang akan mengurangi postur keamanan Anda.

5. Perbarui Browser

TLS modern memerlukan dukungan browser untuk TLS 1.2 minimal, dan TLS 1.3 untuk keamanan optimal. Browser yang lebih lama dari sekitar Chrome 70, Firefox 63, atau Edge 79 mungkin tidak memiliki dukungan TLS 1.3 atau memiliki bug handshake yang diketahui.

Chrome:

Navigasikan ke chrome://settings/help. Chrome memeriksa pembaruan secara otomatis dan menginstalnya saat restart.

Firefox:

Navigasikan ke about:support, lalu Check for Updates di bawah menu Help.

Menjaga browser tetap terkini juga memastikan penyimpanan CA root bawaan browser selalu diperbarui, yang penting untuk sertifikat yang diterbitkan oleh CA yang lebih baru.

6. Audit Pengaturan Protokol TLS di Browser

Chrome dan Edge (berbasis Chromium):

Browser ini tidak mengekspos toggle versi TLS di UI sejak Chrome 84. TLS 1.0 dan 1.1 dinonaktifkan secara permanen. Jika sebuah situs memerlukan TLS 1.0 atau 1.1, situs tersebut harus diperbarui — tidak ada solusi sisi klien, dan memang seharusnya tidak ada.

Untuk memeriksa flag TLS eksperimental, navigasikan ke chrome://flags dan cari TLS. Pada sebagian besar build produksi, tidak ada flag yang dapat ditindaklanjuti yang akan muncul.

Firefox:

Navigasikan ke about:config dan cari security.tls.version.min. Nilainya harus 3 (sesuai dengan TLS 1.2). Mengaturnya ke 1 atau 2 untuk mengakomodasi server yang rusak adalah risiko keamanan dan hanya boleh dilakukan di lingkungan pengujian yang terisolasi.

Internet Explorer / Legacy Edge:

Navigasikan ke Internet Options > Advanced > Security dan pastikan Use TLS 1.2 dan Use TLS 1.3 dicentang. Hapus centang Use SSL 3.0, Use TLS 1.0, dan Use TLS 1.1.

7. Nonaktifkan atau Audit Ekstensi Browser

Ekstensi dengan akses jaringan — khususnya VPN, pemblokir iklan, alat privasi, dan pengalih proxy — dapat mencegat atau memodifikasi koneksi TLS. Untuk mengisolasi konflik ekstensi:

Navigasikan ke chrome://extensions/ dan nonaktifkan semua ekstensi. Muat ulang halaman yang gagal. Jika kesalahan teratasi, aktifkan kembali ekstensi satu per satu, muat ulang setelah masing-masing, hingga ekstensi yang bermasalah teridentifikasi.

8. Ganti Resolver DNS

DNS tidak secara langsung memengaruhi TLS, tetapi resolver DNS yang mengembalikan alamat IP yang salah (karena keracunan, pemfilteran, atau interferensi ISP) dapat mengarahkan browser Anda ke server yang menyajikan sertifikat untuk domain yang salah, menyebabkan kesalahan ERR_CERT_COMMON_NAME_INVALID.

Beralih ke resolver publik menghilangkan manipulasi DNS tingkat ISP:

Windows — ubah DNS melalui PowerShell:

Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses ("1.1.1.1","1.0.0.1")

Ganti "Ethernet" dengan nama antarmuka Anda yang sebenarnya (gunakan Get-NetAdapter untuk mencantumkan antarmuka).

Linux:

sudo nano /etc/resolv.conf

Tambahkan:

nameserver 1.1.1.1
nameserver 8.8.8.8

Resolver publik yang direkomendasikan:

9. Reset Tumpukan Jaringan (Windows)

Katalog Winsock yang rusak atau tumpukan TCP/IP dapat menyebabkan kegagalan TLS intermiten yang tampaknya tidak terkait dengan sertifikat. Jalankan perintah berikut sebagai Administrator:

netsh int ip reset
netsh winsock reset
ipconfig /release
ipconfig /renew
ipconfig /flushdns

Restart mesin setelah menjalankan semua lima perintah. Jangan lewati restart — netsh winsock reset khususnya memerlukan reboot agar berlaku.

Perbaikan Sisi Server untuk Administrator

Jika Anda mengelola server web yang menyajikan sertifikat, berikut adalah penyebab sisi server yang paling umum dan remediasinya.

Sertifikat SSL Kedaluwarsa atau Salah Dikonfigurasi

Sertifikat yang kedaluwarsa adalah penyebab paling umum dari kesalahan ini di tingkat server. Jika Anda menjalankan situs di lingkungan VPS Hosting, pembaruan sertifikat harus diotomatisasi.

Periksa kedaluwarsa sertifikat dari baris perintah:

echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -dates

Otomatiskan pembaruan dengan Certbot (Let's Encrypt):

sudo certbot renew --dry-run

Tambahkan cron job atau systemd timer untuk menjalankan certbot renew dua kali sehari — sertifikat Let's Encrypt kedaluwarsa setiap 90 hari, dan Certbot hanya memperbarui ketika tersisa kurang dari 30 hari.

0 0,12 * * * root certbot renew --quiet

Jika Anda memerlukan sertifikat yang divalidasi secara komersial dengan validasi diperluas atau cakupan wildcard, SSL Certificates dari CA tepercaya menyediakan rantai kepercayaan yang diperlukan untuk semua browser utama.

Rantai Sertifikat Tidak Lengkap

Miskonfigurasi yang sangat umum: server hanya menyajikan sertifikat entitas akhir tanpa sertifikat CA perantara. Browser tidak dapat membangun jalur kepercayaan ke CA root yang dikenalinya, menghasilkan ERR_CERT_AUTHORITY_INVALID.

Diagnosis dengan SSL Labs:

Jalankan domain Anda melalui SSL Labs Server Test (alat eksternal). Masalah rantai akan segera ditandai.

Perbaikan di Nginx:

Direktif ssl_certificate harus menunjuk ke file yang berisi rantai lengkap — sertifikat Anda diikuti oleh semua sertifikat perantara:

cat your_domain.crt intermediate.crt > fullchain.crt

ssl_certificate /etc/nginx/ssl/fullchain.crt;
ssl_certificate_key /etc/nginx/ssl/your_domain.key;

Perbaikan di Apache:

SSLCertificateFile /etc/apache2/ssl/your_domain.crt
SSLCertificateKeyFile /etc/apache2/ssl/your_domain.key
SSLCertificateChainFile /etc/apache2/ssl/intermediate.crt

Versi TLS yang Sudah Tidak Digunakan dan Cipher Suite yang Lemah

Browser telah menghapus dukungan untuk TLS 1.0 dan TLS 1.1. Jika server Anda hanya menawarkan versi protokol ini, browser modern akan menolak koneksi sepenuhnya.

Konfigurasi TLS Nginx yang direkomendasikan:

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256;
ssl_prefer_server_ciphers off;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
ssl_stapling on;
ssl_stapling_verify on;

Konfigurasi TLS Apache yang direkomendasikan:

SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
SSLHonorCipherOrder off
SSLSessionTickets off

Setelah memodifikasi konfigurasi server, uji dengan:

openssl s_client -connect yourdomain.com:443 -tls1_2
openssl s_client -connect yourdomain.com:443 -tls1_3

Ketidakcocokan Domain Sertifikat

Jika sertifikat Anda mencakup www.example.com tetapi pengguna mengakses example.com (atau sebaliknya), browser akan melaporkan ketidakcocokan domain. Perbaikan yang benar adalah menerbitkan sertifikat dengan kedua nama di bidang SAN, atau menggunakan sertifikat wildcard (*.example.com).

Saat menyiapkan domain baru di lingkungan Dedicated Servers, selalu verifikasi bidang SAN mencakup setiap varian hostname yang akan direspons server sebelum ditayangkan.

Pemblokiran Konten Campuran

Halaman yang dimuat melalui HTTPS yang mereferensikan sumber daya HTTP (gambar, skrip, stylesheet) memicu peringatan mixed content. Meskipun ini tidak langsung menghasilkan kesalahan "can't provide a secure connection", ini dapat menyebabkan kegagalan halaman parsial yang salah didiagnosis sebagai kesalahan TLS.

Audit mixed content dengan:

curl -s https://yourdomain.com | grep -Eo 'src="http://[^"]*"|href="http://[^"]*"'

Membandingkan Penyebab Sisi Klien vs. Sisi Server

Pertimbangan Lingkungan Hosting

Lingkungan hosting yang Anda jalankan secara langsung memengaruhi seberapa mudah Anda dapat menyelesaikan masalah TLS sisi server.

Pada Shared Web Hosting, manajemen sertifikat biasanya ditangani melalui panel kontrol. Sebagian besar platform shared hosting modern menyertakan integrasi Let's Encrypt gratis, tetapi Anda memiliki kontrol terbatas atas pengaturan protokol TLS seluruh server.

Pada VPS dengan cPanel, Anda mendapatkan akses ke AutoSSL untuk penyediaan sertifikat otomatis dan dapat mengonfigurasi pengaturan TLS Apache atau Nginx secara langsung. Ini adalah lingkungan yang direkomendasikan untuk situs di mana presisi konfigurasi TLS sangat penting.

Pada Dedicated Servers bare-metal, Anda memiliki kendali penuh atas seluruh tumpukan TLS — versi OpenSSL, pemilihan cipher suite, OCSP stapling, HSTS preloading, dan certificate pinning — tetapi Anda juga sepenuhnya bertanggung jawab untuk menjaga konfigurasi tetap terkini.

Daftar Periksa Keputusan Praktis

Gunakan daftar periksa ini untuk melakukan triase kesalahan secara sistematis daripada menerapkan perbaikan secara acak:

• Apakah kesalahan muncul di semua situs HTTPS atau hanya satu?
• Semua situs: fokus pada jam sistem, pemindaian HTTPS antivirus, pembaruan browser, penyimpanan CA root OS.
• Satu situs: masalahnya hampir pasti sisi server.

• Apa yang dikatakan kode kesalahan spesifik?
• ERR_CERT_DATE_INVALID: periksa jam sistem terlebih dahulu, lalu kedaluwarsa sertifikat.
• ERR_CERT_AUTHORITY_INVALID: periksa kelengkapan rantai sertifikat.
• ERR_SSL_VERSION_OR_CIPHER_MISMATCH: server menjalankan TLS yang sudah tidak digunakan atau cipher yang tidak didukung.
• ERR_CERT_COMMON_NAME_INVALID: SAN sertifikat tidak cocok dengan domain.

• Apakah kesalahan hilang di jaringan yang berbeda?
• Ya: firewall, proxy, atau inspeksi TLS tingkat ISP adalah penyebabnya.

• Apakah kesalahan hilang dengan antivirus dinonaktifkan?
• Ya: konfigurasikan pengecualian untuk domain di pengaturan pemindaian HTTPS antivirus.

• Apakah Anda administrator server?
• Jalankan diagnostik openssl s_client dan uji SSL Labs sebelum menyentuh file konfigurasi apa pun.
• Otomatiskan pembaruan sertifikat segera setelah menyelesaikan masalah langsung.

FAQ

Mengapa "This site can't provide a secure connection" hanya muncul di satu situs web?

Ketika kesalahan terisolasi pada satu domain, penyebab utamanya hampir selalu sisi server: sertifikat yang kedaluwarsa, rantai sertifikat yang tidak lengkap, ketidakcocokan nama domain di bidang SAN sertifikat, atau server yang dikonfigurasi untuk hanya menggunakan versi TLS yang sudah tidak digunakan (1.0 atau 1.1) yang tidak lagi diterima oleh browser modern.

Apakah VPN dapat menyebabkan kesalahan ini?

Ya. Beberapa klien VPN merutekan kueri DNS melalui resolver mereka sendiri atau melakukan inspeksi lalu lintas yang mengganggu TLS handshake. Jika kesalahan hanya muncul saat VPN aktif, nonaktifkan fitur "split tunneling" atau "SSL inspection" VPN, atau tambahkan domain yang terpengaruh sebagai pengecualian.

Apakah menghapus cache selalu memperbaiki kesalahan SSL?

Tidak. Menghapus cache menyelesaikan kesalahan yang disebabkan oleh kebijakan HSTS yang usang atau respons sertifikat tidak valid yang di-cache. Ini tidak berpengaruh pada masalah sertifikat sisi server, masalah jam sistem, atau intersepsi antivirus. Gunakan penghapusan cache sebagai langkah pertama, bukan solusi universal.

Bagaimana cara memeriksa apakah sertifikat SSL server saya dikonfigurasi dengan benar tanpa browser?

Gunakan OpenSSL dari mesin mana pun dengan akses jaringan:

openssl s_client -connect yourdomain.com:443 -servername yourdomain.com

Output menampilkan rantai sertifikat lengkap, versi TLS yang dinegosiasikan, cipher suite yang dipilih, dan kesalahan verifikasi apa pun. Ini adalah metode diagnostik paling andal untuk masalah TLS sisi server.

Apa perbedaan antara ERR_SSL_PROTOCOL_ERROR dan ERR_SSL_VERSION_OR_CIPHER_MISMATCH?

ERR_SSL_PROTOCOL_ERROR menunjukkan server mengirimkan respons yang tidak sesuai dengan format rekaman TLS yang dikenali — sering disebabkan oleh server yang mengirimkan respons HTTP di port 443, load balancer yang salah dikonfigurasi, atau firewall yang menghentikan koneksi di tengah handshake. ERR_SSL_VERSION_OR_CIPHER_MISMATCH berarti handshake dimulai dengan benar tetapi klien dan server tidak dapat menyepakati versi TLS atau cipher suite yang didukung bersama, biasanya karena server hanya mendukung protokol yang sudah tidak digunakan.