udienz blog

Penyadapan Presiden Bukan Hal Baru: Menelusuri Jejaknya dari Watergate hingga Istana

2026-11-06T00:00:03+00:00

Pada 3 November 2026, Bareskrim Polri menetapkan mantan Kapolri Jenderal Listyo Sigit Prabowo dan dua perwira tinggi, Irjen Ahrie Sonta dan Irjen Eko Hadi Santoso, sebagai tersangka penyadapan ilegal. Menurut Kabareskrim Komjen Asep Safrudin, sasarannya adalah “Presiden RI, pejabat negara, tokoh politik, media, tokoh ormas, LSM” (Kompas, 3 November 2026). Sehari kemudian Mensesneg Prasetyo Hadi menyebut perbuatan itu “mengarah ke perbuatan makar” (Kompas, 4 November 2026).

Penyadapan kepala negara sudah berkali-kali terjadi. Presiden Indonesia sendiri pernah menjadi sasaran pada 2009, waktu itu oleh intelijen Australia, dan Perdana Menteri Yunani disadap lewat sistem penyadapan sah operator seluler pada 2004. Kanselir Jerman dan Presiden Brasil menjadi sasaran NSA yang terungkap pada 2013, dan nomor Presiden Prancis masuk daftar calon sasaran spyware Pegasus pada 2021. Di Amerika Serikat, skandal penyadapan paling terkenal dalam sejarah menjatuhkan seorang presiden. Tulisan ini menjajarkan kasus-kasus itu dengan kasus 2026 untuk melihat apa yang berulang dan apa yang berbeda.

Poin Penting

Kasus 2026 berbeda dari kasus SBY, Merkel, dan Macron karena pelakunya diduga orang dalam negeri sendiri yang memegang akses sah ke sistem penyadapan, bukan dinas intelijen negara lain.

Penyadapan kepala negara oleh negara sekutu atau mitra lazimnya berakhir tanpa pengadilan. Kasus Merkel ditutup jaksa Jerman pada 2015 karena kurang bukti, dan krisis SBY diselesaikan dengan kode etik intelijen pada 2014.

Kasus yang terjadi di dalam negeri sendiri bisa dibawa ke pengadilan, seperti Watergate yang berujung pada pengunduran diri Nixon pada 1974. Bisa juga dikubur, seperti kasus Moorer-Radford pada 1971.

Status Listyo Sigit dan dua perwira lain masih tersangka. Tuduhan makar baru disebut pejabat pemerintah dan belum diuji di pengadilan.

Delapan kasus dalam satu tabel

Kasus	Terungkap	Sasaran	Pelaku yang dituduh	Hubungan pelaku dan sasaran	Ujungnya
Moorer-Radford (pencurian dokumen, bukan penyadapan)	1971	Dewan Keamanan Nasional AS di bawah Nixon	Staf militer yang melapor ke Ketua Gabungan Kepala Staf	Bawahan dari lembaga sendiri	Tak seorang pun dipenjara
Watergate	1972	Markas Partai Demokrat	Orang-orang suruhan tim kampanye Nixon	Kubu presiden terhadap lawan politik	Nixon mundur, 1974
SBY dan lingkarannya	2013 (kejadian 2009)	Presiden, Ibu Negara, Wapres, menteri	Intelijen sinyal Australia (DSD)	Negara tetangga dan mitra	Dubes ditarik, kode etik 2014
Merkel	2013	Ponsel Kanselir Jerman	NSA Amerika Serikat	Sekutu NATO	Penyidikan ditutup, 2015
Rousseff	2013	Komunikasi Presiden Brasil	NSA Amerika Serikat	Mitra diplomatik	Kunjungan kenegaraan ditunda
Macron	2021	Nomor ponsel Presiden Prancis	Dinas intelijen Maroko (dibantah)	Mitra diplomatik	Tidak terbukti ada infeksi
Athens Affair	2005 (kejadian 2004)	PM Yunani, menteri, sekitar 100 nomor	Tidak dipastikan dalam penyidikan resmi	Tidak diketahui	Vodafone Yunani didenda
Kasus 2026	2026	Presiden Prabowo, pejabat, tokoh, media	Mantan Kapolri dan dua jenderal polisi (tersangka)	Pejabat dalam negeri	Proses hukum berjalan

Kasus yang pelakunya negara lain hampir semuanya selesai lewat jalur politik dan diplomasi, karena pelakunya berada di luar jangkauan hukum negara korban. Kasus yang terjadi di dalam negeri punya pilihan jalur pidana, meski pilihan itu tidak selalu diambil. Bagian-bagian berikut menelusuri kasus-kasus itu satu per satu. Kasus Yunani sengaja ditaruh terakhir sebelum kasus 2026 karena modusnya paling dekat.

Watergate dan Moorer-Radford: ketika Gedung Putih jadi medan pengintaian

Dini hari 17 Juni 1972, lima orang ditangkap di dalam kantor Komite Nasional Partai Demokrat di kompleks Watergate, Washington. Mereka datang untuk membetulkan alat sadap yang sudah dipasang sebelumnya dan memotret dokumen. Penyelidikan kemudian menelusuri uang dan perintahnya sampai ke tim kampanye pemilihan ulang Presiden Richard Nixon (National Archives).

Arah penyadapan Watergate berlawanan dengan kasus-kasus lain di tulisan ini, karena kubu presiden yang menyadap lawan politiknya. Ironinya, bukti yang akhirnya menjatuhkan Nixon justru berasal dari sistem perekam yang ia pasang sendiri di Gedung Putih. Pada 24 Juli 1974, Mahkamah Agung AS dalam perkara United States v. Nixon memutuskan 8-0 bahwa presiden wajib menyerahkan rekaman itu, karena klaim umum hak istimewa eksekutif tidak bisa mengalahkan kebutuhan akan bukti dalam perkara pidana (Oyez). Sejumlah rekaman tersebut kini dibuka untuk publik oleh Perpustakaan Kepresidenan Nixon. Nixon mengundurkan diri pada 9 Agustus 1974.

Kasus yang lebih mirip dengan situasi 2026 dari sisi hubungan pelaku dan sasaran terjadi sekitar setengah tahun sebelum Watergate dan jauh kurang dikenal. Pada Desember 1971, penyelidik Gedung Putih yang memburu sumber bocoran untuk kolumnis Jack Anderson menemukan bahwa Yeoman Charles Radford, juru steno Angkatan Laut yang bertugas di Dewan Keamanan Nasional, selama berbulan-bulan menyalin dokumen rahasia dan meneruskannya ke Ketua Gabungan Kepala Staf, Laksamana Thomas Moorer. Militer AS, dengan kata lain, memata-matai presidennya sendiri (Federation of American Scientists).

Cara kasus ini diselesaikan menunjukkan dilema yang muncul setiap kali pelakunya orang dalam. Pada akhirnya tidak seorang pun dipenjara (Federation of American Scientists). Rincian lengkapnya baru bisa dipelajari puluhan tahun kemudian, setelah rekaman Gedung Putih dan dokumen terkait dideklasifikasi (History News Network). Membuka kasus orang dalam berarti mengakui bahwa lingkaran terdekat kekuasaan bisa ditembus, dan pertimbangan semacam itu bisa ikut menentukan apakah sebuah kasus dibawa ke pengadilan.

SBY 2009: ponsel presiden dalam daftar intelijen tetangga

Pada 18 November 2013, ABC dan Guardian Australia menerbitkan dokumen dari arsip Edward Snowden yang menunjukkan bahwa Defence Signals Directorate (DSD), badan intelijen sinyal Australia, melacak aktivitas ponsel Presiden Susilo Bambang Yudhoyono selama 15 hari pada Agustus 2009. Daftar sasarannya juga memuat Ibu Negara Ani Yudhoyono, Wakil Presiden Boediono, mantan Wakil Presiden Jusuf Kalla, dan sejumlah menteri (jabatan per 2013; pada Agustus 2009 Kalla masih menjabat wapres). Satu slide berjudul “Indonesian President voice events” berisi catatan data panggilan, yaitu siapa menelepon siapa dan berapa lama, tanpa isi percakapan (ABC, 18 November 2013; The Guardian, 18 November 2013).

Jakarta bereaksi keras. Indonesia menarik duta besarnya dari Canberra dan menghentikan sementara kerja sama latihan militer, pertukaran intelijen, dan penanganan penyelundupan manusia (Al Jazeera, 21 November 2013). Perdana Menteri Tony Abbott menolak mengomentari urusan intelijen. Krisis baru reda setelah kedua menteri luar negeri, Marty Natalegawa dan Julie Bishop, menandatangani kode etik di Nusa Dua, Bali, pada 28 Agustus 2014. Isinya janji bahwa kedua negara tidak akan memakai sumber daya intelijennya untuk merugikan kepentingan pihak lain (The Jakarta Post, 29 Agustus 2014).

Kasus SBY memperlihatkan pola yang juga muncul di kasus-kasus internasional lain. Pelakunya negara mitra, buktinya datang dari kebocoran, dan tidak ada seorang pun yang diadili. Krisis 2013 itu sendiri diselesaikan dengan dokumen diplomatik.

Merkel dan Rousseff 2013: “memata-matai teman itu tidak bisa diterima”

Sebulan sebelum dokumen SBY terbit, majalah Der Spiegel bertanya kepada kantor Kanselir Jerman soal nomor ponsel Angela Merkel yang muncul dalam daftar sasaran NSA. Merkel menelepon Presiden Barack Obama pada 23 Oktober 2013. Gedung Putih menjawab bahwa Amerika Serikat “tidak sedang dan tidak akan” memantau komunikasi Kanselir, jawaban yang tidak menyinggung masa lalu (NPR, 23 Oktober 2013). Esoknya di Brussel, Merkel mengucapkan kalimat yang paling sering dikutip dari skandal itu: “Ausspähen unter Freunden, das geht gar nicht”, memata-matai teman itu sama sekali tidak bisa diterima (The Local, 24 Oktober 2013).

Jaksa Agung Federal Jerman membuka penyidikan pada 2014, lalu menutupnya pada 12 Juni 2015 karena tidak menemukan bukti yang bisa bertahan di pengadilan (APR/AP, 12 Juni 2015). Enam tahun kemudian kasus ini muncul lagi dari arah yang tak terduga. Penyiar publik Denmark DR melaporkan bahwa dinas intelijen pertahanan Denmark membantu NSA menyadap lewat kabel bawah laut Denmark pada 2012 sampai 2014, dengan sasaran antara lain Merkel, Menteri Luar Negeri Frank-Walter Steinmeier, dan tokoh oposisi Peer Steinbrück (Al Jazeera, 31 Mei 2021). Dalam versi ini, ada dua negara sekutu Jerman yang terlibat.

Brasil mengalami hal serupa pada tahun yang sama. Setelah muncul laporan bahwa NSA menyadap komunikasi Presiden Dilma Rousseff, ia menunda kunjungan kenegaraan ke Washington yang dijadwalkan 23 Oktober 2013, sebuah penolakan diplomatik yang jarang terjadi terhadap Gedung Putih (Foreign Policy, 17 September 2013).

Macron 2021: dari kabel ke spyware

Juli 2021, konsorsium media Pegasus Project memberitakan daftar sekitar 50.000 nomor telepon yang diduga dipilih sebagai calon sasaran spyware Pegasus buatan NSO Group dari Israel. Le Monde melaporkan bahwa salah satu nomor Presiden Emmanuel Macron, yang dipakai rutin sejak 2017, masuk daftar yang dipilih dinas intelijen Maroko. Maroko membantah dan menyebut tuduhan itu “tidak berdasar dan palsu”, NSO menyebut laporan itu penuh asumsi keliru, dan Istana Élysée menyatakan bahwa jika benar, fakta itu “sangat serius” (Al Jazeera, 20 Juli 2021).

Laporan itu hanya menyebut nomor Macron sebagai calon sasaran dan tidak memuat bukti bahwa ponselnya benar-benar terinfeksi. Meski begitu, kasus ini menandai pergeseran teknologi. Pada 1972 penyadap harus masuk ke sebuah gedung. Pada 2009 dan 2013 penyadapan berlangsung di jaringan operator dan kabel. Pada 2021, alatnya cukup sebuah pesan atau tautan yang mendarat di ponsel sasaran.

Yunani 2004-2005: fitur penyadapan sah yang dibajak

Dari sisi modus, kasus yang paling dekat dengan 2026 justru terjadi di Eropa dan tidak berkaitan dengan bocoran Snowden. Menjelang Olimpiade Athena Agustus 2004, seseorang memasang perangkat lunak gelap di sentral telepon Ericsson milik Vodafone Yunani. Perangkat lunak itu menumpang pada fungsi lawful interception, fitur yang memang disediakan agar aparat bisa menyadap secara sah, lalu menyembunyikan jejaknya dari sistem audit. Sekitar 100 ponsel disadap, termasuk milik Perdana Menteri Kostas Karamanlis dan istrinya, menteri pertahanan, menteri luar negeri, dan menteri kehakiman. Penyadapan itu baru ketahuan pada awal 2005, dan penyidikan resmi saat itu tidak berhasil memastikan pelakunya (IEEE Spectrum, 29 Juni 2007). Vodafone Yunani kemudian dijatuhi denda.

Athens Affair, begitu kasus ini dikenal, menunjukkan risiko yang melekat pada setiap sistem penyadapan sah: pintu yang dibuat untuk penegak hukum bisa dipakai oleh siapa pun yang menguasai kuncinya. Bedanya dengan kasus 2026, di Yunani pembajaknya masuk lewat jalur gelap tanpa identitas yang dipastikan secara resmi, sedangkan di Indonesia yang diduga menyalahgunakan sistem adalah pejabat yang memegang akses resminya.

Kasus 2026: alat sah dan akses dari dalam

Kasus 2026 menggabungkan dua unsur dari kasus-kasus di atas: alat penyadapan modern dan terduga pelaku dari dalam lingkar kekuasaan. Menurut keterangan Bareskrim yang dikutip Kompas, sejumlah nomor ponsel dimasukkan ke Lawful Interception Management System tanpa verifikasi, lalu disadap padahal tidak ada proses penegakan hukum yang berjalan. Sekitar Oktober 2026 tersangka diduga memerintahkan penghapusan file hasil sadapan dari komputer sistem itu. Petugas yang mengetahuinya membuat laporan polisi pada 30 Oktober 2026, dan penyidik kemudian memeriksa 10 saksi serta 3 ahli dan menyita 11 ponsel, 1 iPad, dan 4 flashdisk (Kompas, 4 November 2026).

Detik mencatat penyadapan diduga berlangsung sejak 2025 sampai Oktober 2026. Sangkaan awalnya adalah Pasal 258 dan Pasal 332 KUHP nasional (UU 1/2023, berlaku sejak Januari 2026) serta Pasal 32 ayat 1 UU ITE, dengan ancaman maksimal antara 6 dan 10 tahun penjara. Ketiga tersangka ditahan (Detik, 4 November 2026). Listyo, yang sejak 1 Oktober 2026 menjabat Kepala Staf Kepresidenan (Kompas, 4 November 2026), diberhentikan Presiden dari jabatan itu pada 4 November (Detik, 5 November 2026).

Dari penyadapan ilegal ke dugaan makar

Pernyataan pejabat pemerintah menggeser perbincangan dari pasal penyadapan ke pasal makar. Menko Kumham Imipas Yusril Ihza Mahendra menyebut ada “indikasi-indikasi yang mengarah kepada tindakan makar” sebagaimana diatur dalam Pasal 191 dan 193 KUHP (Detik, 4 November 2026). Ia juga menyebut penyidik mendalami kemungkinan adanya keinginan “untuk melumpuhkan” presiden, sambil menegaskan bahwa hal itu “masih dalam proses pendalaman” (Kompas, 4 November 2026).

Rumusan pasalnya menjelaskan kenapa kata “melumpuhkan” penting. Pasal 191 UU 1/2023 mengancam makar yang dilakukan dengan maksud membunuh atau merampas kemerdekaan presiden dan/atau wakil presiden, atau menjadikan mereka tidak mampu menjalankan pemerintahan, dengan pidana mati, penjara seumur hidup, atau penjara paling lama 20 tahun. Pasal 193 mengatur makar untuk menggulingkan pemerintah yang sah (UU 1/2023, JDIH BPK). Penyadapan ilegal sendiri sudah merupakan tindak pidana. Agar bisa dijerat sebagai makar, penyidik perlu membuktikan maksud yang lebih jauh dari sekadar mengumpulkan informasi. Per 6 November 2026, maksud itu belum diuji di pengadilan, media yang dikutip di sini belum memuat tanggapan Listyo Sigit atas sangkaan itu, dan seluruh tersangka berhak atas asas praduga tak bersalah.

Perbandingan dengan kasus asing memperlihatkan satu perbedaan penting. Merkel, SBY, dan Macron tidak punya jalur pidana yang realistis terhadap NSA, DSD, atau dinas intelijen Maroko, karena pelakunya badan negara lain yang berada di luar jangkauan hukum domestik. Kasus 2026 terjadi sepenuhnya di dalam yurisdiksi Indonesia, dengan sistem, komputer, dan saksi yang bisa diperiksa penyidik. Dalam hal ini, kasus 2026 lebih dekat ke Watergate dan Moorer-Radford daripada ke kasus Merkel.

Pelakunya sekutu, mitra, atau orang dalam

Daftar di atas juga menunjukkan bahwa pelaku penyadapan kepala negara sering kali bukan musuh. Australia adalah tetangga dan mitra keamanan Indonesia. Amerika Serikat adalah sekutu NATO Jerman, dan Denmark adalah anggota NATO sekaligus Uni Eropa. Maroko adalah mitra dekat Prancis di Afrika Utara. Dalam kasus Moorer-Radford, pelakunya bagian dari aparat negara yang dipimpin sang presiden sendiri, dan dalam kasus 2026 terduga pelakunya juga demikian. Sebagian kasus asing ini diketahui publik lewat bocoran, misalnya dokumen Snowden dan daftar Pegasus, sehingga yang tercatat terbuka cenderung operasi yang kebetulan bocor, belum tentu gambaran lengkapnya.

Ada logika sederhana di balik pola ini. Badan intelijen bertugas mengurangi ketidakpastian bagi pemerintahnya, dan sekutu tetap punya kepentingan yang tidak selalu sama, misalnya soal perdagangan, perundingan iklim, atau posisi di forum internasional. Bagi orang dalam, insentifnya lain: informasi tentang apa yang dipikirkan dan direncanakan atasan adalah modal kekuasaan. Kesempatan juga lebih besar bagi pihak yang dekat. Mitra intelijen berbagi jaringan dan kabel, dan pejabat keamanan dalam negeri memegang kunci sistem penyadapan yang sah.

Kenapa terus berulang

Lebih dari lima puluh tahun memisahkan Watergate dari kasus 2026, dan dalam rentang itu ada tiga pola yang terus berulang.

Pertama, nilai informasinya. Percakapan seorang kepala negara memuat keputusan yang belum diumumkan, sikap dalam perundingan, dan hubungan personal yang tidak tercatat di dokumen resmi. Selama keputusan besar masih dibuat lewat telepon dan pesan singkat, perangkat kepala negara akan tetap menjadi sasaran bernilai tinggi.

Kedua, biaya teknisnya terus turun. Tim Watergate harus menyusup ke sebuah gedung dan tertangkap basah. DSD cukup mengambil data panggilan dari jaringan. Pegasus hanya butuh nomor telepon. Dalam kasus 2026, menurut penyidik, caranya adalah memasukkan nomor ke sistem yang memang dibangun untuk menyadap.

Ketiga, akibatnya jarang setimpal, terutama bila pelakunya negara lain. Dari kasus SBY, Merkel, Rousseff, dan Macron, tidak ada satu pun pejabat intelijen yang diadili. Yang terjadi adalah penarikan duta besar, kunjungan yang ditunda, dan penyidikan yang ditutup karena kurang bukti. Hukuman nyata hanya mungkin bila pelakunya berada dalam jangkauan hukum negara sendiri, seperti di Watergate. Itu pun bukan jaminan, seperti terlihat dari kasus Moorer-Radford yang diselesaikan diam-diam.

Kasus 2026 akan menguji poin ketiga itu di Indonesia. Pertanyaannya adalah apakah pengadilan bisa membuktikan siapa memerintahkan apa, dengan maksud apa, berdasarkan sistem yang sebagian file hasil sadapannya diduga sudah dihapus. Sejarah Watergate menunjukkan bahwa jawabannya sering ditentukan oleh rekaman dan catatan yang tersisa, dan oleh lembaga yang bersedia memintanya dibuka.

Tulisan ini disusun berdasarkan pemberitaan per 6 November 2026. Kasus ini masih dalam penyidikan; koreksi dan pembaruan akan dicatat di bagian ini. Penulis: Mahyuddin Susanto (tentang penulis, kontak). Tulisan ini dibantu oleh AI.

Menghidupkan Planet Ubuntu-ID dengan Python 3 dan Cloudflare

2026-11-06T00:00:00+00:00

Planet Ubuntu-ID adalah agregator blog anggota komunitas Ubuntu Indonesia. Saya dulu memelihara repositorinya, ubuntu-id/planet, dan commit terakhir di sana bertanggal Februari 2020. Awal November 2026 saya ingin menghidupkannya lagi. Domain planet.ubuntu-id.org waktu itu sudah tidak resolve di DNS, dan kodenya tidak bisa dijalankan.

Poin Penting

Planet Venus, mesin lama Planet Ubuntu-ID, berbasis Python 2 dan tidak punya commit baru sejak 2017. Saya menggantinya dengan satu skrip Python 3, build.py.

Hasilnya situs statis, jadi cukup di Cloudflare tanpa server sendiri. Isinya diperbarui tiap 6 jam lewat Deploy Hook yang dipanggil GitHub Actions.

Dari 73 feed lama, 35 yang masih bisa diambil. Satu feed ternyata sudah berisi iklan judi slot.

Kenapa kode lama tidak bisa dipakai

README lama menyuruh memasang python-libxslt1, python-genshi, dan sejenisnya, lalu menjalankan python planet.py. Semuanya Python 2. Mesinnya, Planet Venus, tidak punya commit baru sejak Maret 2017 (riwayat cabang dev); cabang master berhenti pada Februari 2011. Daripada menghidupkan Python 2 di mesin baru, saya menulis ulang pembangunnya dengan feedparser dan Jinja2. config.ini tetap dipakai apa adanya, dan template tema Ubuntu hanya berpindah dari format htmltmpl ke Jinja2, jadi tampilannya sama.

build.py membaca config.ini, mengambil semua feed secara paralel, mengambil maksimal 5 entri per feed dan 20 entri untuk halaman utama, lalu menulis index.html, rss20.xml, dan opml.xml ke folder public/.

feedparser.parse(url) (feedparser 6.0.14) macet saat menyambung ke beberapa host blogspot, padahal curl dan urllib lancar di mesin yang sama. Jalan keluarnya, unduh feed sendiri dengan timeout eksplisit, lalu serahkan isinya ke feedparser:

AGENT = "PlanetUbuntuID/2.0 (+https://github.com/ubuntu-id/planet)"

req = urllib.request.Request(url, headers={"User-Agent": AGENT})
with urllib.request.urlopen(req, timeout=15) as r:
    d = feedparser.parse(r.read(), response_headers={"content-location": r.geturl()})

Feed yang gagal dilewati dan dicatat di stderr, jadi satu blog yang mati tidak menggagalkan seluruh build.

Membersihkan daftar feed

Pada 6 November 2026 saya mengambil ke-73 feed di config.ini satu per satu lewat build.py. Saat pemeriksaan pertama, 38 dari 73 gagal diambil. Satu di antaranya blog saya sendiri, yang domainnya sudah pindah, jadi alamat feed-nya saya ganti dan sekarang berhasil. Itu menyisakan 37 yang gagal. Satu feed lain berhasil diambil tetapi kini berisi iklan judi slot, jadi saya keluarkan dari config.ini. Hasil akhirnya, dari 73 feed: 35 berhasil, 37 gagal, 1 dikeluarkan.

Hasil	Jumlah feed
Berhasil diambil	35
Domain tidak resolve (DNS)	14
Bukan feed XML yang valid	7
HTTP 404, 410, atau 503	7
Timeout	6
Server tidak terjangkau	2
Respons tanpa Content-Type atau feed kosong	1
Dikeluarkan karena iklan judi slot	1
Total	73

Feed yang error tidak saya hapus. Ini data komunitas, dan sebagian mungkin hanya timeout sementara. Setiap bagiannya saya komentari lengkap dengan alasannya:

# ERROR (cek 2026-11-06): domain tidak resolve (DNS)
# [http://feeds.fajran.web.id/all/feed.xml]
# name = Fajran Iman Rusadi

Dari 35 feed yang aktif, hanya 2 yang punya tulisan sejak 2025. Sisanya, 33 feed, terakhir menulis antara 2009 dan 2024, jadi isi Planet Ubuntu-ID saat ini didominasi tulisan lama. Umur feed saya hitung dari tanggal entri terbaru di tiap feed.

Deploy ke Cloudflare

Karena hasilnya statis, saya pakai static assets di Cloudflare Workers. Satu file wrangler.jsonc cukup untuk menunjuk folder yang diunggah:

{
  "name": "planet-ubuntu-id",
  "compatibility_date": "2026-11-06",
  "assets": { "directory": "./public" }
}

Pengaturan build-nya: pip install -r requirements.txt && python build.py sebagai build command, npx wrangler deploy sebagai deploy command, dan Python 3.13 lewat file .python-version (versi bawaan lingkungan build Workers bisa diganti dengan cara itu). Nama project hanya boleh huruf kecil, angka, dan tanda hubung, jadi spasi di nama awal saya harus diganti.

Build pertama gagal dalam 11 detik, saat master belum berisi build.py. Setelah pull request #1 di-merge, build berikutnya lolos.

Kalau Anda lebih suka menjalankan server sendiri daripada memakai Cloudflare, hasil public/ bisa disajikan nginx biasa. Atur TLS-nya dengan panduan A+ di SSL Labs untuk nginx.

Situs statis tidak ikut berubah saat blog anggota memposting sesuatu. Karena itu pull request #2 menambah workflow GitHub Actions yang memanggil Deploy Hook Cloudflare tiap 6 jam. URL hook-nya disimpan sebagai secret repositori, tidak pernah masuk ke kode. Run manual pertamanya sukses.

Pendaftaran anggota baru

Alur lama lewat tiket Launchpad saya ganti dengan pull request yang mengubah config.ini. Template PR meminta:

nama lengkap dan profil Launchpad,
alamat feed,
pernyataan bahwa pemohon sudah menandatangani Ubuntu Code of Conduct.

Pernyataan itu tetap diperiksa manual lewat profil Launchpad sebelum PR di-merge. Selain itu, CI di setiap PR memeriksa sintaks, menjalankan build, dan memastikan rss20.xml serta opml.xml valid.

Planet Ubuntu-ID sekarang hidup lagi di planet.ubuntu-id.org, dan kodenya terbuka di GitHub. Kalau Anda punya blog tentang Ubuntu atau Linux dan sudah menandatangani Ubuntu Code of Conduct, silakan kirim pull request.

Penulis: Mahyuddin Susanto, penulis blog ini dan mantan pemelihara repositori Planet Ubuntu-ID (tentang penulis, kontak). Foto sampul oleh Cong Long Vu di Unsplash. Tulisan ini dibantu oleh AI.

Cara Mendapat A+ di SSL Labs dengan Apache (Panduan 2026)

2026-11-05T00:00:00+00:00

Untuk dapat A+ di SSL Labs Server Test dari Qualys dengan Apache httpd, syaratnya sama dengan web server lain: hanya TLS 1.2 dan TLS 1.3, cipher ECDHE dengan AEAD (GCM atau ChaCha20-Poly1305), sertifikat dikirim bersama chain lengkapnya, header HSTS dengan max-age minimal enam bulan, dan konfigurasi yang sama di semua alamat IP hostname tersebut. Di Apache, ada dua hal yang menentukan berhasil atau tidaknya: header HSTS harus memakai Header always set, bukan Header set, dan virtual host yang punya SSLProtocol atau SSLCipherSuite sendiri akan diam-diam mengalahkan pengaturan global.

Tulisan ini memberi konfigurasi yang bisa langsung dipasang di Apache Debian atau Ubuntu, menjelaskan tiap barisnya, dan menunjukkan cara mengecek hasilnya sebelum menjalankan SSL Labs.

Konfigurasi di bawah sudah diuji di Apache 2.4.69 dengan OpenSSL 3.5.7, memakai layout /etc/apache2 bawaan Debian 13 dengan modul, tls.conf, dan file site dari tulisan ini diaktifkan, lalu dicek dengan openssl s_client dan curl.

Read in English: How to Get an A+ on SSL Labs with Apache httpd. Pakai nginx? Lihat Cara Mendapat A+ di SSL Labs dengan nginx.

Daftar isi

Cara SSL Labs memberi nilai
Cek versi Apache dan OpenSSL dulu
Langkah 1: Sertifikat dan full chain
Langkah 2: Aktifkan modul dan atur TLS secara global
Langkah 3: Virtual host, HSTS, dan redirect HTTP
- Kenapa harus Header always set
Langkah 4: Waspadai virtual host yang menimpa pengaturan global
Langkah 5: OCSP stapling dan Let’s Encrypt
Langkah 6: Jebakan configtest
Langkah 7: Uji di lokal, lalu jalankan SSL Labs
Troubleshooting: arti pesan di laporan dan cara memperbaikinya
Opsional: HSTS preload
Konfigurasi lengkap
Sumber

Cara SSL Labs memberi nilai

SSL Labs menilai dukungan protokol (30%), key exchange (30%), dan kekuatan cipher (40%), lalu memberlakukan batas atas (cap) untuk masalah tertentu. A+ adalah bonus untuk server ber-grade A tanpa warning. Aturan yang berlaku sekarang adalah versi 2009r dari SSL Server Rating Guide, tertanggal 16 Mei 2025. Batas-batas yang relevan untuk server Apache pada umumnya:

Masalah	Grade maksimal
SSLv2, SSLv3 sebagai protokol terbaik, cipher export, bug sekelas Heartbleed	F
Tidak mendukung TLS 1.2	C
TLS 1.0 atau TLS 1.1 aktif	B
Tanpa forward secrecy (tanpa ECDHE/DHE)	B
Tanpa cipher AEAD (GCM atau ChaCha20-Poly1305)	B
Chain sertifikat tidak lengkap	B
Key atau parameter DH di bawah 2048 bit	B
Tidak mendukung TLS 1.3	A-
HSTS tidak ada atau tidak valid	A-

Untuk A+, panduan itu mensyaratkan konfigurasi tanpa warning dan HSTS dengan max-age minimal enam bulan (15768000 detik). Sejak revisi Mei 2025, sekadar dapat A pun butuh TLS 1.3 sekaligus header HSTS yang valid, dan TLS_FALLBACK_SCSV tidak dihitung lagi.

Sertifikat ECDSA P-256 atau RSA 2048 sudah cukup. Nilai key exchange-nya 90 dan tetap dapat A+.

Cek versi Apache dan OpenSSL dulu

apache2 -v
apache2ctl -M | grep -e ssl -e headers -e rewrite -e http2

Versi OpenSSL yang dipakai Apache tercetak di error log saat start, di baris seperti Apache/2.4.69 (Debian) OpenSSL/3.5.7 configured -- resuming normal operations.

Fitur	Butuh
TLS 1.3 (dan baris `SSLCipherSuite TLSv1.3 ...`)	Apache 2.4.37+ dengan OpenSSL 1.1.1+ (dukungan TLS 1.3 tercatat di 2.4.36, versi yang tidak pernah dirilis)
Intermediate di `SSLCertificateFile` (tanpa `SSLCertificateChainFile`)	Apache 2.4.8+
`SSLOpenSSLConfCmd` (dipakai di sini untuk mengatur kurva)	Apache 2.4.8+ dengan OpenSSL 1.0.2+
`Protocols h2 http/1.1` (HTTP/2)	Apache 2.4.17+
`SSLProtocol` per virtual host dihormati saat ada SNI	Apache 2.4.42+ dengan OpenSSL 1.1.1+
Grup hybrid post-quantum `X25519MLKEM768`	OpenSSL 3.5+

Langkah 1: Sertifikat dan full chain

Dengan Let’s Encrypt dan Certbot, ambil sertifikatnya saja, lalu tulis konfigurasi TLS sendiri:

sudo certbot certonly --apache -d example.com -d www.example.com

Certbot 2.0 ke atas membuat key ECDSA secara default.

Arahkan Apache ke fullchain.pem:

SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

Sejak Apache 2.4.8, SSLCertificateFile boleh berisi sertifikat intermediate setelah sertifikat utama, dan dokumentasi mod_ssl menyebut SSLCertificateChainFile sudah usang. Kalau SSLCertificateFile diarahkan ke cert.pem dan chain file dibuang, intermediate-nya hilang. Browser sering melengkapinya sendiri, tapi SSL Labs akan menulis “Chain issues: Incomplete” dan membatasi grade di B.

Kalau memakai installer Certbot (certbot --apache tanpa certonly), ia menambahkan Include /etc/letsencrypt/options-ssl-apache.conf di dalam virtual host. File itu mengatur protokol dan cipher sendiri, dan karena letaknya di virtual host, ia mengalahkan file global dari Langkah 2. Hapus baris include itu, tapi lihat dulu apa lagi yang diatur file tersebut: options-ssl-apache.conf versi sekarang diawali SSLEngine on. Cek dengan grep -n SSLEngine /etc/letsencrypt/options-ssl-apache.conf dan, kalau ada, tambahkan SSLEngine on ke virtual host itu sendiri. Tanpa baris itu, Apache melayani HTTP biasa di port 443 tanpa pesan error.

Langkah 2: Aktifkan modul dan atur TLS secara global

Aktifkan modul yang dipakai di tulisan ini:

sudo a2enmod ssl headers rewrite http2

a2enmod ssl sekaligus mengaktifkan socache_shmcb untuk session cache. Di Debian 13, /etc/apache2/mods-available/ssl.conf bawaan lalu berisi baris-baris ini (komentar dibuang):

SSLSessionCache     shmcb:${APACHE_RUN_DIR}/ssl_scache(512000)
SSLSessionCacheTimeout  300
SSLCipherSuite HIGH:!aNULL
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
SSLSessionTickets off

Protokolnya sudah benar. Daftar cipher-nya yang terlalu longgar. Dengan pengaturan bawaan saja, server tes masih menerima suite CBC, key exchange RSA biasa tanpa forward secrecy, dan DHE:

-cipher 'ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA'  ->  Cipher is ECDHE-ECDSA-AES128-SHA
-cipher 'AES256-GCM-SHA384'                            ->  Cipher is AES256-GCM-SHA384
-cipher 'DHE-RSA-AES256-GCM-SHA384'                    ->  Cipher is DHE-RSA-AES256-GCM-SHA384

SSL Labs menandai suite CBC dan RSA biasa dengan label WEAK di daftar cipher-nya, dan TLSRef tidak memasukkan DHE sama sekali. Tidak ada alasan untuk tetap menawarkan semuanya. Rilis lain bisa punya nilai bawaan berbeda, jadi cek punya Anda dengan grep -v '^\s*#' /etc/apache2/mods-available/ssl.conf.

Biarkan ssl.conf apa adanya, lalu taruh pengaturan di /etc/apache2/conf-available/tls.conf:

# Pengaturan TLS untuk semua virtual host HTTPS (konteks server config)
SSLProtocol             -all +TLSv1.2 +TLSv1.3

# OpenSSL 3.5+: grup hybrid post-quantum di depan.
# Di OpenSSL 3.0-3.4, hapus X25519MLKEM768 dari daftar ini.
SSLOpenSSLConfCmd       Curves X25519MLKEM768:X25519:prime256v1:secp384r1

# TLS 1.2: hanya key exchange ECDHE + AEAD. TLS 1.3: tiga suite standar.
SSLCipherSuite          ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLCipherSuite          TLSv1.3 TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
SSLHonorCipherOrder     off
SSLSessionTickets       off

Aktifkan:

sudo a2enconf tls

apache2.conf di Debian membaca mods-enabled/*.conf lebih dulu dan conf-enabled/*.conf belakangan. Untuk directive-directive ini, nilai global yang datang belakangan menggantikan yang sebelumnya, jadi tls.conf menang atas ssl.conf tanpa perlu mengedit file itu. Di server tes, ketiga suite lemah di atas ditolak begitu tls.conf aktif.

Penjelasan per baris:

SSLProtocol -all +TLSv1.2 +TLSv1.3 mulai dari kosong dan hanya mengizinkan TLS 1.2 dan 1.3. TLS 1.0 atau 1.1 membuat grade mentok di B; tanpa TLS 1.3 mentok di A-.
SSLOpenSSLConfCmd Curves meneruskan daftar grup key exchange ke OpenSSL. Daftarnya diambil dari TLSRef guideline 6.0, penerus Server Side TLS guidelines dari Mozilla, dan sama dengan yang dihasilkan TLSRef Configurator untuk Apache. X25519MLKEM768 menggabungkan X25519 dengan algoritma post-quantum ML-KEM; klien yang belum mendukungnya turun ke X25519.
SSLCipherSuite pertama hanya berisi suite ECDHE dengan GCM atau ChaCha20-Poly1305: forward secrecy dan AEAD, tidak ada yang lain. Menurut TLSRef, klien tertua yang masih bisa tersambung adalah Firefox 31, Chrome 49, Safari 9, Android 4.4.2, IE 11 di Windows 10, dan Java 8u161.
SSLCipherSuite TLSv1.3 ... mengatur suite TLS 1.3. Ketiganya memang default OpenSSL; baris ini membuatnya eksplisit.
SSLHonorCipherOrder off membiarkan klien memilih dari daftar. Semua pilihan sudah kuat, dan ponsel tanpa akselerasi AES di hardware akan memilih ChaCha20.
SSLSessionTickets off. Dokumentasi mod_ssl memperingatkan bahwa ticket yang dipakai tanpa me-restart web server secara berkala (misalnya harian) merusak forward secrecy. Apache tidak merotasi key ticket sendiri, jadi TLSRef mematikannya. Session resumption tetap jalan lewat session cache shmcb dari ssl.conf.
Tanpa parameter DH. Daftar cipher tidak berisi suite DHE, jadi parameter DH tidak perlu ditambahkan ke file sertifikat.

Langkah 3: Virtual host, HSTS, dan redirect HTTP

Buat /etc/apache2/sites-available/example.com.conf:

<VirtualHost *:80>
    ServerName example.com
    ServerAlias www.example.com

    RewriteEngine On
    RewriteCond %{REQUEST_URI} !^/\.well-known/acme-challenge/
    RewriteRule ^.*$ https://%{HTTP_HOST}%{REQUEST_URI} [R=308,QSA,L]
</VirtualHost>

<VirtualHost *:443>
    ServerName example.com
    ServerAlias www.example.com
    DocumentRoot /var/www/example.com

    SSLEngine on
    SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

    Protocols h2 http/1.1

    # HSTS: 2 tahun. "always" juga mengirimnya di redirect dan halaman error.
    Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"
</VirtualHost>

Lalu aktifkan site-nya dan reload:

sudo a2ensite example.com
sudo apache2ctl configtest && sudo systemctl reload apache2

Baris RewriteCond membiarkan /.well-known/acme-challenge/ tetap di HTTP biasa, supaya validasi HTTP-01 Let’s Encrypt dijawab langsung di port 80, tanpa bergantung pada redirect dan konfigurasi HTTPS. Redirect-nya 308, sama dengan config TLSRef.

Kenapa harus `Header always set`

mod_headers menyimpan dua daftar header respons. Daftar default (onsuccess) dipakai untuk respons normal; dokumentasi mod_headers menyebut bahwa untuk respons non-2xx yang dibuat server sendiri, seperti redirect, hanya daftar always yang dipakai.

Di server tes, dengan Header set alih-alih Header always set dan baris Redirect 302 /old / di virtual host *:443:

GET /      ->  HTTP/2 200   strict-transport-security: max-age=63072000; includeSubDomains
GET /old   ->  HTTP/2 302   (tanpa header HSTS)
GET /nope  ->  HTTP/2 404   (tanpa header HSTS)

Dengan Header always set, ketiga respons membawa header itu. Ini paling terasa kalau halaman utama Anda me-redirect, misalnya / ke /en/ atau ke halaman login: respons HTTPS pertama yang diterima pengunjung adalah redirect itu, dan tanpa always ia tidak membawa HSTS.

Catatan HSTS lainnya:

max-age=63072000 sama dengan dua tahun, nilai dari TLSRef. SSL Labs butuh minimal 15768000 (enam bulan) untuk A+.
includeSubDomains membuat semua subdomain wajib HTTPS di browser yang pernah menerima header ini. Jangan dipasang sebelum itu benar untuk semua subdomain.
Header ini hanya di virtual host *:443. Browser mengabaikan HSTS lewat HTTP biasa, dan RFC 6797 bagian 7.2 melarang server mengirimnya di sana.

Apache tidak punya masalah pewarisan add_header seperti nginx. Header set Cache-Control ... di dalam blok <Location> ditambahkan ke header dari virtual host; di server tes, header HSTS tetap ada di respons tersebut.

Langkah 4: Waspadai virtual host yang menimpa pengaturan global

tls.conf mengatur nilai default untuk seluruh server. Virtual host yang punya SSLProtocol, SSLCipherSuite sendiri, atau meng-Include file yang mengaturnya, akan memakai nilai itu. Sejak Apache 2.4.42 dengan OpenSSL 1.1.1 ke atas, dokumentasi SSLProtocol menyebut SSLProtocol milik tiap virtual host name-based dihormati kalau klien mengirim SNI. Sebelum itu, protokol dari virtual host pertama di IP dan port tersebut berlaku untuk semuanya.

Cari semua tempat yang mengatur opsi TLS:

grep -rn -e SSLProtocol -e SSLCipherSuite -e SSLHonorCipherOrder -e options-ssl-apache /etc/apache2/
apache2ctl -S

Perintah pertama seharusnya hanya menampilkan mods-available/ssl.conf dan tls.conf Anda. Perintah kedua menunjukkan virtual host mana yang menjawab di alamat mana, berguna kalau SSL Labs memberi nilai berbeda untuk IP yang berbeda.

Langkah 5: OCSP stapling dan Let’s Encrypt

SSLUseStapling mati secara default di Apache, dan untuk sertifikat Let’s Encrypt sebaiknya tetap begitu. Let’s Encrypt menghentikan dukungan OCSP: sejak 7 Mei 2025 sertifikatnya tidak lagi memuat URL OCSP, dan responder-nya dimatikan pada 6 Agustus 2025. Tidak ada yang bisa di-staple. (Tulisan saya tahun 2015, OCSP Stapling di nginx, ditulis sebelum perubahan ini.) OCSP stapling juga tidak memengaruhi grade SSL Labs.

Untuk sertifikat dari CA yang masih menjalankan OCSP, aktifkan di server config (di luar <VirtualHost>), misalnya di akhir tls.conf:

SSLUseStapling          on
SSLStaplingCache        "shmcb:${APACHE_RUN_DIR}/ssl_stapling(32768)"

Langkah 6: Jebakan configtest

apache2ctl configtest hanya mengecek sintaks, bukan apakah OpenSSL menerima nilai yang Anda tulis. Di server tes, nama kurva yang tidak dikenal OpenSSL lolos cek sintaks lalu menghentikan Apache:

$ apache2ctl configtest
Syntax OK
$ apache2ctl graceful
# error log:
[ssl:emerg] AH02407: "SSLOpenSSLConfCmd Curves FakeGroup999:X25519:prime256v1:secp384r1" failed for example.test:443
[ssl:emerg] AH02312: Fatal error initialising mod_ssl, exiting.
[:emerg] AH00020: Configuration Failed, exiting

Graceful reload tidak menyelamatkan Anda di sini. Setelah reload itu, tidak ada satu pun proses Apache yang tersisa, jadi HTTP biasa ikut mati. OpenSSL sebelum 3.5 tidak mengenal X25519MLKEM768, jadi nama itu bisa memicu kegagalan yang sama.

Karena itu, cek nama grup ke OpenSSL sebelum reload. Di server tes (OpenSSL 3.5.7):

openssl list -tls-groups | tr ':' '\n' | grep -x X25519MLKEM768

Kalau tidak ada output, atau openssl Anda tidak mengenal opsi -tls-groups, hapus X25519MLKEM768 dari tls.conf. Debian dan Ubuntu membangun Apache dengan OpenSSL sistem, jadi perintah openssl mengecek library yang sama; untuk build sendiri, bandingkan dengan versi di baris log saat Apache start. Setiap kali mengubah TLS, reload lalu pastikan situs masih menjawab (curl -sI https://example.com/) sebelum logout.

Langkah 7: Uji di lokal, lalu jalankan SSL Labs

Ganti example.com dengan host Anda:

# TLS 1.1 harus ditolak. SECLEVEL=0 supaya klien modern mau mencobanya.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_1 -cipher 'DEFAULT@SECLEVEL=0' </dev/null 2>&1 | grep -E 'alert|Cipher is'

# TLS 1.3 harus jalan. Dengan OpenSSL 3.5+ di kedua sisi, grupnya X25519MLKEM768.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_3 </dev/null 2>&1 | grep -E 'Negotiated TLS1.3 group|Cipher is'

# Suite CBC, RSA biasa, dan DHE harus ditolak.
for c in 'ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA' AES256-GCM-SHA384 DHE-RSA-AES256-GCM-SHA384; do
  openssl s_client -connect example.com:443 -servername example.com -tls1_2 \
    -cipher "$c" </dev/null 2>&1 | grep -E 'alert|Cipher is' | head -1
done

# Full chain: server harus mengirim minimal 2 sertifikat (milik Anda + intermediate).
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'

# HSTS di halaman normal dan halaman error, plus redirect HTTP.
curl -sI https://example.com/ | grep -i strict-transport-security
curl -sI https://example.com/does-not-exist | grep -i -e '^HTTP' -e strict-transport-security
curl -sI http://example.com/ | grep -i -e '^HTTP' -e '^location'

Di server tes, hasilnya seperti ini (diringkas):

tls1_1 :  tlsv1 alert protocol version ... Cipher is (NONE)
tls1_3 :  Negotiated TLS1.3 group: X25519MLKEM768
          New, TLSv1.3, Cipher is TLS_AES_256_GCM_SHA384
CBC    :  ssl/tls alert handshake failure
RSA    :  ssl/tls alert handshake failure
DHE    :  ssl/tls alert handshake failure
404    :  HTTP/2 404 + strict-transport-security: max-age=63072000; includeSubDomains
HTTP   :  HTTP/1.1 308 Permanent Redirect

Setelah itu buka ssllabs.com/ssltest, masukkan hostname, dan centang “Do not show the results on the boards” kalau tidak ingin hasilnya tampil di daftar publik. Setelah mengubah konfigurasi, klik “Clear cache” di halaman hasil supaya scan diulang.

Troubleshooting: arti pesan di laporan dan cara memperbaikinya

Yang muncul	Penyebab	Perbaikan
Grade B, “This server supports TLS 1.0 and TLS 1.1”	Ada virtual host atau include yang mengatur `SSLProtocol` sendiri	Jalankan `grep` dari Langkah 4; hapus pengaturan itu
Suite WEAK (CBC, `TLS_RSA_*`) di daftar cipher	`SSLCipherSuite` bawaan distro, atau pengaturan di virtual host	Aktifkan `tls.conf`; cek dengan `grep` dari Langkah 4
Grade B, “Chain issues: Incomplete”	`SSLCertificateFile` mengarah ke `cert.pem`	Pakai `fullchain.pem`
Grade A-, “This server does not support TLS 1.3”	Apache sebelum 2.4.37, OpenSSL sebelum 1.1.1, atau `SSLProtocol` tanpa `+TLSv1.3`	Upgrade; cek kedua versi di baris log saat Apache start
Grade A-, HSTS tidak terdeteksi padahal sudah dipasang	`mod_headers` belum aktif, header dipasang di virtual host yang salah, atau `Header set` tanpa `always` di halaman yang me-redirect	`a2enmod headers`; pasang `Header always set` di virtual host `*:443`
`Invalid command 'Header'` atau `'RewriteEngine'`	Modul belum aktif	`a2enmod headers rewrite`
Apache berhenti setelah reload padahal `configtest` bilang Syntax OK (`AH02407`, `AH02312`)	OpenSSL menolak suatu nilai, sering `X25519MLKEM768` di OpenSSL sebelum 3.5	Hapus grup itu, start Apache lagi; lihat Langkah 6
A+ di satu IP, A- di IP lain	IPv6 dilayani virtual host atau mesin lain	Cek `apache2ctl -S` dan record AAAA
Grade tidak berubah walau Apache sudah diubah	Yang diuji CDN, bukan server Anda	Lihat di bawah

Pakai Cloudflare atau CDN lain? Kalau proxy aktif, SSL Labs menguji edge CDN, bukan Apache Anda. Grade-nya bergantung pada pengaturan CDN (versi TLS minimum, TLS 1.3, HSTS). Tetap pasang konfigurasi di atas di server origin dan pakai mode “Full (strict)” di Cloudflare supaya koneksi ke server Anda juga diverifikasi.

Opsional: HSTS preload

HSTS preload memasukkan domain Anda ke daftar yang ditanam di dalam browser. SSL Labs tidak mensyaratkannya untuk A+. hstspreload.org mensyaratkan max-age minimal satu tahun, includeSubDomains, preload, HTTPS di semua subdomain, dan redirect HTTP ke HTTPS di host yang sama. Keluar dari daftar itu butuh berbulan-bulan sampai ke pengguna, jadi daftarkan hanya domain yang pasti tetap HTTPS-only di semua subdomain.

Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"

Konfigurasi lengkap

# /etc/apache2/conf-available/tls.conf   (a2enconf tls)
SSLProtocol             -all +TLSv1.2 +TLSv1.3
SSLOpenSSLConfCmd       Curves X25519MLKEM768:X25519:prime256v1:secp384r1
SSLCipherSuite          ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLCipherSuite          TLSv1.3 TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
SSLHonorCipherOrder     off
SSLSessionTickets       off

# /etc/apache2/sites-available/example.com.conf   (a2ensite example.com)
<VirtualHost *:80>
    ServerName example.com
    ServerAlias www.example.com
    RewriteEngine On
    RewriteCond %{REQUEST_URI} !^/\.well-known/acme-challenge/
    RewriteRule ^.*$ https://%{HTTP_HOST}%{REQUEST_URI} [R=308,QSA,L]
</VirtualHost>

<VirtualHost *:443>
    ServerName example.com
    ServerAlias www.example.com
    DocumentRoot /var/www/example.com
    SSLEngine on
    SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
    Protocols h2 http/1.1
    Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"
</VirtualHost>

Modul: a2enmod ssl headers rewrite http2.

Untuk melayani sertifikat ECDSA dan RSA sekaligus, ulangi pasangan sertifikat di virtual host yang sama; mod_ssl memilih yang cocok untuk tiap klien:

# Pasangan ECDSA, dari Langkah 1
SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
# Pasangan RSA
SSLCertificateFile    /etc/letsencrypt/live/example.com-rsa/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com-rsa/privkey.pem

Di server tes, klien TLS 1.2 yang hanya menawarkan ECDHE-RSA-AES128-GCM-SHA256 menerima sertifikat RSA 2048 bit, sementara klien lain mendapat ECDSA. Dengan Certbot, jalankan sekali lagi dengan --key-type rsa --cert-name example.com-rsa untuk mendapat pasangan RSA.

Mahyuddin Susanto adalah sysadmin Linux dan jaringan yang mengelola server sendiri dan menulis soal Apache di blog ini sejak 2007, dimulai dari Apache server dengan module OpenSSL. Tentang penulis · Kontak

Sumber

Qualys SSL Labs, SSL Server Rating Guide, versi 2009r, 16 Mei 2025
TLSRef, Server Side TLS guideline 6.0 dan TLS Configurator
Apache HTTP Server 2.4, mod_ssl dan mod_headers
Let’s Encrypt, Ending OCSP Support in 2025
HSTS Preload List Submission
IETF, RFC 6797: HTTP Strict Transport Security

How to Get an A+ on SSL Labs with Apache httpd (2026 Guide)

2026-11-05T00:00:00+00:00

To get an A+ on the Qualys SSL Labs server test with Apache httpd, you need the same five things as on any web server: TLS 1.2 and TLS 1.3 only, ECDHE key exchange with AEAD ciphers (GCM or ChaCha20-Poly1305), a certificate served with its full chain, an HSTS header with a max-age of at least six months, and the same setup on every IP address your hostname resolves to. On Apache, two details decide whether you get there: the HSTS header needs Header always set, not Header set, and a virtual host with its own SSLProtocol or SSLCipherSuite silently overrides your global settings.

This guide gives you a config you can paste into a Debian or Ubuntu Apache, explains each line, and shows how to check the result before you run SSL Labs.

The configuration below was tested on Apache 2.4.69 with OpenSSL 3.5.7, using the stock Debian 13 /etc/apache2 layout with the modules, tls.conf and site file from this guide enabled, and checked with openssl s_client and curl.

Baca dalam Bahasa Indonesia: Cara Mendapat A+ di SSL Labs dengan Apache. Running nginx? See How to Get an A+ on SSL Labs with nginx.

Contents

How SSL Labs grades your server
Check your Apache and OpenSSL versions first
Step 1: Get a certificate and serve the full chain
Step 2: Enable the modules and set TLS globally
Step 3: The virtual hosts, HSTS and the HTTP redirect
- Why Header always set matters
Step 4: Watch for virtual hosts that override the global settings
Step 5: OCSP stapling and Let’s Encrypt
Step 6: The configtest trap
Step 7: Test locally, then run SSL Labs
Troubleshooting: what the report says and how to fix it
Optional: HSTS preload
The complete config
Sources

How SSL Labs grades your server

SSL Labs scores protocol support (30%), key exchange (30%) and cipher strength (40%), then applies caps for specific problems. The A+ is a bonus on top of an A with no warnings. The current rules are version 2009r of the SSL Server Rating Guide, dated 16 May 2025. The caps that matter for a typical Apache server:

Problem	Grade limit
SSLv2, SSLv3 as the best protocol, export ciphers, Heartbleed-class bugs	F
TLS 1.2 not supported	C
TLS 1.0 or TLS 1.1 enabled	B
No forward secrecy (no ECDHE/DHE)	B
No AEAD cipher (GCM or ChaCha20-Poly1305)	B
Incomplete certificate chain	B
Key or DH parameters under 2048 bits	B
TLS 1.3 not supported	A-
HSTS missing or invalid	A-

For the A+, the guide asks for a configuration with no warnings and HSTS with a max-age of at least six months (15768000 seconds). Since the May 2025 revision, a plain A needs both TLS 1.3 and a valid HSTS header, and TLS_FALLBACK_SCSV no longer counts.

An ECDSA P-256 or RSA 2048 certificate is enough. It scores 90 on key exchange and still gets an A+.

Check your Apache and OpenSSL versions first

apache2 -v
apache2ctl -M | grep -e ssl -e headers -e rewrite -e http2

The OpenSSL version that Apache uses is printed in the error log at startup, in a line like Apache/2.4.69 (Debian) OpenSSL/3.5.7 configured -- resuming normal operations.

Feature	Needs
TLS 1.3 (and the `SSLCipherSuite TLSv1.3 ...` line)	Apache 2.4.37+ with OpenSSL 1.1.1+ (TLS 1.3 support is listed under 2.4.36, which was never released)
Intermediates in `SSLCertificateFile` (no `SSLCertificateChainFile`)	Apache 2.4.8+
`SSLOpenSSLConfCmd` (used here to set curves)	Apache 2.4.8+ with OpenSSL 1.0.2+
`Protocols h2 http/1.1` (HTTP/2)	Apache 2.4.17+
Per-virtual-host `SSLProtocol` honored with SNI	Apache 2.4.42+ with OpenSSL 1.1.1+
Hybrid post-quantum group `X25519MLKEM768`	OpenSSL 3.5+

Step 1: Get a certificate and serve the full chain

With Let’s Encrypt and Certbot, get the certificate only and write the TLS config yourself:

sudo certbot certonly --apache -d example.com -d www.example.com

Certbot 2.0 and newer create an ECDSA key by default.

Point Apache at fullchain.pem:

SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

Since Apache 2.4.8, SSLCertificateFile can hold the intermediate certificates after your own certificate, and the mod_ssl documentation marks SSLCertificateChainFile as obsolete. If you point SSLCertificateFile at cert.pem and drop the chain file, the intermediate is missing. Browsers often fill it in themselves, but SSL Labs reports “Chain issues: Incomplete” and caps the grade at B.

If you use Certbot’s installer (certbot --apache without certonly), it adds Include /etc/letsencrypt/options-ssl-apache.conf inside your virtual host. That file sets its own protocols and ciphers, and because it sits in the virtual host, it wins over the global file from Step 2. Remove the include, but first look at what else the file sets: the current options-ssl-apache.conf starts with SSLEngine on. Check with grep -n SSLEngine /etc/letsencrypt/options-ssl-apache.conf and, if it is there, add SSLEngine on to the virtual host itself. Without it, Apache serves plain HTTP on port 443 and reports no error.

Step 2: Enable the modules and set TLS globally

Enable the modules this guide uses:

sudo a2enmod ssl headers rewrite http2

a2enmod ssl also enables socache_shmcb for the session cache. On Debian 13, the stock /etc/apache2/mods-available/ssl.conf then contains these lines (comments removed):

SSLSessionCache     shmcb:${APACHE_RUN_DIR}/ssl_scache(512000)
SSLSessionCacheTimeout  300
SSLCipherSuite HIGH:!aNULL
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
SSLSessionTickets off

The protocols are already fine. The cipher list is wider than it needs to be. With only these defaults, the test server accepted CBC suites, plain RSA key exchange without forward secrecy, and DHE:

-cipher 'ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA'  ->  Cipher is ECDHE-ECDSA-AES128-SHA
-cipher 'AES256-GCM-SHA384'                            ->  Cipher is AES256-GCM-SHA384
-cipher 'DHE-RSA-AES256-GCM-SHA384'                    ->  Cipher is DHE-RSA-AES256-GCM-SHA384

SSL Labs marks CBC and plain RSA suites as WEAK in its cipher list, and TLSRef leaves DHE out entirely. There is no reason to keep offering any of them. Other releases may ship different defaults, so check yours with grep -v '^\s*#' /etc/apache2/mods-available/ssl.conf.

Leave ssl.conf as it is and put your settings in /etc/apache2/conf-available/tls.conf:

# TLS settings for every HTTPS virtual host (server config context)
SSLProtocol             -all +TLSv1.2 +TLSv1.3

# OpenSSL 3.5+: hybrid post-quantum group first.
# On OpenSSL 3.0-3.4, remove X25519MLKEM768 from this list.
SSLOpenSSLConfCmd       Curves X25519MLKEM768:X25519:prime256v1:secp384r1

# TLS 1.2: ECDHE key exchange + AEAD only. TLS 1.3: the three standard suites.
SSLCipherSuite          ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLCipherSuite          TLSv1.3 TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
SSLHonorCipherOrder     off
SSLSessionTickets       off

Enable it:

sudo a2enconf tls

Debian’s apache2.conf reads mods-enabled/*.conf first and conf-enabled/*.conf later. For these directives, the later global value replaces the earlier one, so tls.conf wins over ssl.conf without any edits there. On the test server, the three weak suites above were refused once tls.conf was enabled.

Line by line:

SSLProtocol -all +TLSv1.2 +TLSv1.3 starts from nothing and allows only TLS 1.2 and 1.3. TLS 1.0 or 1.1 would cap you at B; missing TLS 1.3 caps you at A-.
SSLOpenSSLConfCmd Curves passes the key exchange groups to OpenSSL. The list comes from the TLSRef guideline 6.0, the successor of Mozilla’s Server Side TLS guidelines, and matches what the TLSRef Configurator generates for Apache. X25519MLKEM768 combines X25519 with the ML-KEM post-quantum algorithm; clients without it fall back to X25519.
The first SSLCipherSuite lists only ECDHE suites with GCM or ChaCha20-Poly1305: forward secrecy and AEAD, nothing else. TLSRef lists the oldest clients this still serves as Firefox 31, Chrome 49, Safari 9, Android 4.4.2, IE 11 on Windows 10 and Java 8u161.
SSLCipherSuite TLSv1.3 ... sets the TLS 1.3 suites. These three are OpenSSL’s defaults anyway; the line makes them explicit.
SSLHonorCipherOrder off lets the client choose from the list. Every option is strong, and phones without AES hardware pick ChaCha20.
SSLSessionTickets off. The mod_ssl documentation warns that tickets used “without restarting the web server with an appropriate frequency (e.g. daily)” compromise forward secrecy. Apache does not rotate the ticket key on its own, so TLSRef turns tickets off. Session resumption still works through the shmcb session cache from ssl.conf.
No DH parameters. The list has no DHE suites, so you do not need to append DH parameters to the certificate file.

Step 3: The virtual hosts, HSTS and the HTTP redirect

Create /etc/apache2/sites-available/example.com.conf:

<VirtualHost *:80>
    ServerName example.com
    ServerAlias www.example.com

    RewriteEngine On
    RewriteCond %{REQUEST_URI} !^/\.well-known/acme-challenge/
    RewriteRule ^.*$ https://%{HTTP_HOST}%{REQUEST_URI} [R=308,QSA,L]
</VirtualHost>

<VirtualHost *:443>
    ServerName example.com
    ServerAlias www.example.com
    DocumentRoot /var/www/example.com

    SSLEngine on
    SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

    Protocols h2 http/1.1

    # HSTS: 2 years. "always" also sends it on redirects and error pages.
    Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"
</VirtualHost>

Then enable the site and reload:

sudo a2ensite example.com
sudo apache2ctl configtest && sudo systemctl reload apache2

The RewriteCond line keeps /.well-known/acme-challenge/ on plain HTTP, so Let’s Encrypt HTTP-01 validation is answered directly on port 80 and does not depend on the redirect or the HTTPS setup. The redirect is a 308, as in the TLSRef config.

Why `Header always set` matters

mod_headers keeps two lists of response headers. The default one (onsuccess) is used for normal responses; the mod_headers documentation says that for a locally generated non-2xx response, “such as a redirect”, only the always list is used.

On the test server, with Header set instead of Header always set and a Redirect 302 /old / line in the *:443 virtual host:

GET /      ->  HTTP/2 200   strict-transport-security: max-age=63072000; includeSubDomains
GET /old   ->  HTTP/2 302   (no HSTS header)
GET /nope  ->  HTTP/2 404   (no HSTS header)

With Header always set, all three responses carried the header. This matters most when your home page redirects, for example / to /en/ or to a login page: the first HTTPS response a visitor gets is that redirect, and without always it has no HSTS header.

Other HSTS notes:

max-age=63072000 is two years, the TLSRef value. SSL Labs needs at least 15768000 (six months) for the A+.
includeSubDomains makes every subdomain HTTPS-only in browsers that have seen the header. Leave it out until that is true for all of them.
The header belongs only in the *:443 virtual host. Browsers ignore HSTS on plain HTTP, and RFC 6797, section 7.2 says servers must not send it there.

Apache does not have nginx’s add_header inheritance problem. A Header set Cache-Control ... inside a <Location> block is added to the headers from the virtual host; on the test server the HSTS header stayed on those responses.

Step 4: Watch for virtual hosts that override the global settings

tls.conf sets the server-wide default. Any virtual host that has its own SSLProtocol, SSLCipherSuite or an Include of a file that sets them uses those values instead. Since Apache 2.4.42 with OpenSSL 1.1.1 or newer, the SSLProtocol documentation says each name-based virtual host’s own SSLProtocol is honored when the client sends SNI. Before that, the protocol of the first virtual host on the IP and port applied to all of them.

Find every place that sets TLS options:

grep -rn -e SSLProtocol -e SSLCipherSuite -e SSLHonorCipherOrder -e options-ssl-apache /etc/apache2/
apache2ctl -S

The first command should show only mods-available/ssl.conf and your tls.conf. The second lists which virtual host answers on which address, which helps when SSL Labs grades one IP differently from another.

Step 5: OCSP stapling and Let’s Encrypt

SSLUseStapling is off by default in Apache, and for Let’s Encrypt certificates it should stay off. Let’s Encrypt ended OCSP support: from 7 May 2025 its certificates no longer contain an OCSP URL, and the responders were switched off on 6 August 2025. There is nothing to staple. (My 2015 post on OCSP stapling in nginx predates this change.) OCSP stapling has no effect on the SSL Labs grade.

For a certificate from a CA that still runs OCSP, enable it in the server config (outside any <VirtualHost>), for example at the end of tls.conf:

SSLUseStapling          on
SSLStaplingCache        "shmcb:${APACHE_RUN_DIR}/ssl_stapling(32768)"

Step 6: The configtest trap

apache2ctl configtest checks the syntax, not whether OpenSSL accepts your values. On the test server, a curve name that OpenSSL does not know passed the syntax check and then stopped Apache:

$ apache2ctl configtest
Syntax OK
$ apache2ctl graceful
# error log:
[ssl:emerg] AH02407: "SSLOpenSSLConfCmd Curves FakeGroup999:X25519:prime256v1:secp384r1" failed for example.test:443
[ssl:emerg] AH02312: Fatal error initialising mod_ssl, exiting.
[:emerg] AH00020: Configuration Failed, exiting

A graceful reload does not protect you here. After that reload, no Apache process was left running, so plain HTTP was down too. OpenSSL older than 3.5 does not know X25519MLKEM768, so that name can cause the same failure there.

So check the group names against OpenSSL before you reload. On the test server (OpenSSL 3.5.7):

openssl list -tls-groups | tr ':' '\n' | grep -x X25519MLKEM768

If that prints nothing, or your openssl does not know the -tls-groups option, remove X25519MLKEM768 from tls.conf. Debian and Ubuntu build Apache against the system OpenSSL, so the openssl command checks the same library; on a custom build, compare with the version in Apache’s startup log line. After any TLS change, reload and then confirm the site still answers (curl -sI https://example.com/) before you log out.

Step 7: Test locally, then run SSL Labs

Replace example.com with your host:

# TLS 1.1 must be refused. SECLEVEL=0 lets a modern client even try it.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_1 -cipher 'DEFAULT@SECLEVEL=0' </dev/null 2>&1 | grep -E 'alert|Cipher is'

# TLS 1.3 must work. With OpenSSL 3.5+ on both sides the group is X25519MLKEM768.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_3 </dev/null 2>&1 | grep -E 'Negotiated TLS1.3 group|Cipher is'

# CBC, plain RSA and DHE suites must be refused.
for c in 'ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA' AES256-GCM-SHA384 DHE-RSA-AES256-GCM-SHA384; do
  openssl s_client -connect example.com:443 -servername example.com -tls1_2 \
    -cipher "$c" </dev/null 2>&1 | grep -E 'alert|Cipher is' | head -1
done

# Full chain: the server must send at least 2 certificates (yours + intermediate).
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'

# HSTS on a normal page and on an error page, plus the HTTP redirect.
curl -sI https://example.com/ | grep -i strict-transport-security
curl -sI https://example.com/does-not-exist | grep -i -e '^HTTP' -e strict-transport-security
curl -sI http://example.com/ | grep -i -e '^HTTP' -e '^location'

On the test setup, the output looked like this (condensed):

tls1_1 :  tlsv1 alert protocol version ... Cipher is (NONE)
tls1_3 :  Negotiated TLS1.3 group: X25519MLKEM768
          New, TLSv1.3, Cipher is TLS_AES_256_GCM_SHA384
CBC    :  ssl/tls alert handshake failure
RSA    :  ssl/tls alert handshake failure
DHE    :  ssl/tls alert handshake failure
404    :  HTTP/2 404 + strict-transport-security: max-age=63072000; includeSubDomains
HTTP   :  HTTP/1.1 308 Permanent Redirect

Then open ssllabs.com/ssltest, enter your hostname, and tick “Do not show the results on the boards” if you do not want the result listed. After a config change, use “Clear cache” on the results page to force a new scan.

Troubleshooting: what the report says and how to fix it

What you see	Cause	Fix
Grade B, “This server supports TLS 1.0 and TLS 1.1”	A virtual host or include sets its own `SSLProtocol`	Run the `grep` from Step 4; remove the override
WEAK suites (CBC, `TLS_RSA_*`) in the cipher list	Distribution default `SSLCipherSuite`, or an override in a virtual host	Enable `tls.conf`; check with the `grep` from Step 4
Grade B, “Chain issues: Incomplete”	`SSLCertificateFile` points to `cert.pem`	Use `fullchain.pem`
Grade A-, “This server does not support TLS 1.3”	Apache older than 2.4.37, OpenSSL older than 1.1.1, or `SSLProtocol` without `+TLSv1.3`	Upgrade; check both versions in the startup line of the error log
Grade A-, HSTS missing although it is configured	`mod_headers` not enabled, the header set in the wrong virtual host, or `Header set` without `always` on a redirecting page	`a2enmod headers`; put `Header always set` in the `*:443` virtual host
`Invalid command 'Header'` or `'RewriteEngine'`	Module not enabled	`a2enmod headers rewrite`
Apache stops after a reload although `configtest` said Syntax OK (`AH02407`, `AH02312`)	OpenSSL rejects a value, often `X25519MLKEM768` on OpenSSL older than 3.5	Remove that group, start Apache again; see Step 6
A+ on one IP, A- on another	IPv6 served by another virtual host or machine	Check `apache2ctl -S` and the AAAA record
Grade does not change after you edit Apache	You are testing a CDN, not your server	See below

Behind Cloudflare or another CDN? With the proxy on, SSL Labs tests the CDN’s edge, not your Apache. The grade then depends on the CDN settings (minimum TLS version, TLS 1.3, HSTS). Keep the setup above on the origin and use Cloudflare’s “Full (strict)” mode so the connection to your server is checked too.

Optional: HSTS preload

HSTS preload puts your domain on a list built into browsers. SSL Labs does not need it for an A+. hstspreload.org requires a max-age of at least one year, includeSubDomains, preload, HTTPS on every subdomain, and an HTTP to HTTPS redirect on the same host. Removal takes months to reach users, so only submit a domain that will stay HTTPS-only everywhere.

Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"

The complete config

# /etc/apache2/conf-available/tls.conf   (a2enconf tls)
SSLProtocol             -all +TLSv1.2 +TLSv1.3
SSLOpenSSLConfCmd       Curves X25519MLKEM768:X25519:prime256v1:secp384r1
SSLCipherSuite          ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLCipherSuite          TLSv1.3 TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
SSLHonorCipherOrder     off
SSLSessionTickets       off

# /etc/apache2/sites-available/example.com.conf   (a2ensite example.com)
<VirtualHost *:80>
    ServerName example.com
    ServerAlias www.example.com
    RewriteEngine On
    RewriteCond %{REQUEST_URI} !^/\.well-known/acme-challenge/
    RewriteRule ^.*$ https://%{HTTP_HOST}%{REQUEST_URI} [R=308,QSA,L]
</VirtualHost>

<VirtualHost *:443>
    ServerName example.com
    ServerAlias www.example.com
    DocumentRoot /var/www/example.com
    SSLEngine on
    SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
    Protocols h2 http/1.1
    Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"
</VirtualHost>

Modules: a2enmod ssl headers rewrite http2.

To serve both ECDSA and RSA certificates, repeat the certificate pair in the same virtual host; mod_ssl picks the right one per client:

# ECDSA pair, from Step 1
SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
# RSA pair
SSLCertificateFile    /etc/letsencrypt/live/example.com-rsa/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com-rsa/privkey.pem

On the test server, a TLS 1.2 client that only offered ECDHE-RSA-AES128-GCM-SHA256 received the 2048-bit RSA certificate, and other clients got ECDSA. With Certbot, run it again with --key-type rsa --cert-name example.com-rsa for the RSA pair.

Mahyuddin Susanto is a Linux and networking sysadmin who runs his own servers and has written about Apache on this blog since 2007, starting with Apache server dengan module OpenSSL. About · Contact

Sources

Qualys SSL Labs, SSL Server Rating Guide, version 2009r, 16 May 2025
TLSRef, Server Side TLS guideline 6.0 and TLS Configurator
Apache HTTP Server 2.4, mod_ssl and mod_headers
Let’s Encrypt, Ending OCSP Support in 2025
HSTS Preload List Submission
IETF, RFC 6797: HTTP Strict Transport Security

Cara Mendapat A+ di SSL Labs dengan nginx (Panduan 2026)

2026-11-05T00:00:00+00:00

Untuk dapat A+ di SSL Labs Server Test dari Qualys dengan nginx, ada lima syarat: hanya TLS 1.2 dan TLS 1.3, cipher ECDHE dengan AEAD (GCM atau ChaCha20-Poly1305), sertifikat dikirim bersama chain lengkapnya, header HSTS dengan max-age minimal enam bulan, dan konfigurasi yang sama di semua alamat IP hostname tersebut. Tanpa TLS 1.3 atau tanpa HSTS, nilainya mentok di A-. Kalau TLS 1.0 atau 1.1 masih aktif, nilainya mentok di B.

Tulisan ini membahas tiap syarat itu satu per satu, lengkap dengan konfigurasi yang bisa langsung dipakai. Ada juga dua perubahan yang bikin banyak tutorial lama jadi usang: Let’s Encrypt mematikan OCSP di 2025, dan SSL Labs mengubah aturan penilaiannya di Mei 2025.

Konfigurasi di bawah sudah diuji di nginx 1.26.3 dengan OpenSSL 3.5.7, memakai nginx.conf bawaan Debian 13 (dua baris SSL-nya diberi #) ditambah file-file dari tulisan ini, lalu dicek dengan openssl s_client dan curl.

Read in English: How to Get an A+ on SSL Labs with nginx. Pakai Apache? Lihat Cara Mendapat A+ di SSL Labs dengan Apache.

Daftar isi

Cara SSL Labs memberi nilai
Cek versi nginx dan OpenSSL dulu
Langkah 1: Sertifikat dan full chain
Langkah 2: Taruh pengaturan TLS di satu file bersama
Langkah 3: Server block, HSTS, dan redirect HTTP
Langkah 4: OCSP stapling dan Let’s Encrypt
Langkah 5: Hindari jebakan add_header
Langkah 6: Uji di lokal, lalu jalankan SSL Labs
Troubleshooting: arti pesan di laporan dan cara memperbaikinya
Opsional: HSTS preload
Konfigurasi lengkap
Sumber

Cara SSL Labs memberi nilai

SSL Labs menilai tiga kategori: dukungan protokol (30%), key exchange (30%), dan kekuatan cipher (40%). Skor 80 ke atas berarti A. Setelah itu berlaku batas atas (cap): masalah tertentu membatasi grade setinggi apa pun skornya. A+ adalah bonus untuk server ber-grade A yang tidak punya warning.

Aturan yang berlaku sekarang adalah versi 2009r dari SSL Server Rating Guide, tertanggal 16 Mei 2025. Ini batas-batas yang relevan untuk server nginx pada umumnya:

Masalah	Grade maksimal
SSLv2, SSLv3 sebagai protokol terbaik, cipher export, bug sekelas Heartbleed	F
Tidak mendukung TLS 1.2	C
TLS 1.0 atau TLS 1.1 aktif	B
Tanpa forward secrecy (tanpa ECDHE/DHE)	B
Tanpa cipher AEAD (GCM atau ChaCha20-Poly1305)	B
RC4 aktif	B
Chain sertifikat tidak lengkap	B
Key atau parameter DH di bawah 2048 bit	B
Tidak mendukung TLS 1.3	A-
HSTS tidak ada atau tidak valid	A-

Untuk A+, panduan itu mensyaratkan konfigurasi tanpa warning dan HSTS dengan max-age minimal enam bulan (15768000 detik).

Ada dua perubahan di 2025: sekadar dapat A sekarang butuh TLS 1.3 sekaligus header HSTS yang valid, dan TLS_FALLBACK_SCSV tidak dihitung lagi. Kalau ada artikel lama yang menyuruh mengurus fallback SCSV, bagian itu bisa dilewati.

Nilai 100 di semua kategori tidak diperlukan. Sertifikat ECDSA P-256 atau RSA 2048 dapat 90 di key exchange, dan selama AES-128 masih ditawarkan, kekuatan cipher juga 90. Keduanya tetap dapat A+. Pindah ke RSA 4096 cuma bikin handshake lebih lambat.

Cek versi nginx dan OpenSSL dulu

Beberapa directive bergantung pada versi yang terpasang:

nginx -V 2>&1 | head -3
openssl version

Fitur	Butuh
TLS 1.3 (`TLSv1.3` di `ssl_protocols`)	OpenSSL 1.1.1+; jadi default sejak nginx 1.23.4
`http2 on;` sebagai directive terpisah	nginx 1.25.1+ (versi lama: `listen 443 ssl http2;`)
Rotasi otomatis key session ticket	nginx 1.23.2+ dengan `ssl_session_cache` shared
Grup hybrid post-quantum `X25519MLKEM768`	OpenSSL 3.5+
`add_header_inherit merge;`	nginx 1.29.3+

Yang penting di output nginx -V adalah baris built with OpenSSL .... Itu library yang benar-benar dipakai nginx, dan bisa berbeda dengan perintah openssl di server yang sama.

Langkah 1: Sertifikat dan full chain

Sertifikat apa pun yang dipercaya publik bisa dipakai. Dengan Let’s Encrypt dan Certbot, ambil sertifikatnya saja, lalu tulis konfigurasi TLS sendiri:

sudo certbot certonly --nginx -d example.com -d www.example.com

Certbot versi baru sudah memakai key ECDSA secara default, dan itu yang dibutuhkan. Arahkan nginx ke fullchain.pem, bukan cert.pem:

ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

cert.pem hanya berisi sertifikat leaf. Browser sering melengkapi intermediate yang hilang sendiri, jadi situs terlihat normal, tapi SSL Labs akan menulis “Chain issues: Incomplete” dan membatasi grade di B. Dokumentasi nginx juga bilang begitu: sertifikat server ditaruh paling atas di file, diikuti sertifikat intermediate.

Kalau memakai installer Certbot (certbot --nginx tanpa certonly), ia menambahkan include /etc/letsencrypt/options-ssl-nginx.conf; ke server block. File itu juga mengatur protokol dan cipher. Hapus baris include tersebut supaya hanya pengaturan dari tulisan ini yang berlaku.

Langkah 2: Taruh pengaturan TLS di satu file bersama

Debian dan Ubuntu memuat semua file di /etc/nginx/conf.d/ di dalam blok http, jadi satu file di sana berlaku untuk semua situs HTTPS.

Pertama, bereskan dulu baris SSL yang sudah dipasang paket di /etc/nginx/nginx.conf. File bawaan Debian 13 punya blok ini di dalam http { }:

##
# SSL Settings
##

ssl_protocols TLSv1.2 TLSv1.3; # Dropping SSLv3 (POODLE), TLS 1.0, 1.1
ssl_prefer_server_ciphers off; # Don't force server cipher order.

File di conf.d/ masuk ke blok http yang sama, jadi baris-baris ini akan bentrok. nginx menolak ssl_prefer_server_ciphers kedua di level yang sama:

nginx: [emerg] "ssl_prefer_server_ciphers" directive is duplicate in /etc/nginx/conf.d/tls.conf

ssl_protocols kedua juga tidak menimpa yang pertama. nginx menggabungkan kedua daftar dan hanya memberi peringatan seperti [warn] duplicate value "TLSv1.2", bukan error. Beri tanda # pada kedua baris itu (isinya bisa berbeda di rilis lain), lalu pastikan tidak ada file lain yang mengaturnya:

grep -rn -e ssl_protocols -e ssl_prefer_server_ciphers -e ssl_ciphers /etc/nginx/

Sekarang buat /etc/nginx/conf.d/tls.conf:

# Pengaturan TLS untuk semua server block (konteks http)
ssl_protocols TLSv1.2 TLSv1.3;

# OpenSSL 3.5+: grup hybrid post-quantum di depan.
# Di OpenSSL 3.0-3.4, hapus X25519MLKEM768 dari daftar ini.
ssl_ecdh_curve X25519MLKEM768:X25519:prime256v1:secp384r1;

# Cipher TLS 1.2: hanya key exchange ECDHE + AEAD.
# Suite TLS 1.3 diatur OpenSSL dan semuanya AEAD.
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;

ssl_session_timeout 1d;
ssl_session_cache shared:TLS:10m;   # sekitar 40000 sesi

Penjelasan per baris:

ssl_protocols TLSv1.2 TLSv1.3 mematikan TLS 1.0 dan 1.1 (penyebab cap B) dan mengaktifkan TLS 1.3 (tanpanya grade mentok di A-). Ini sudah default sejak nginx 1.23.4, tapi ditulis eksplisit supaya jelas. Baris ini tidak menimpa ssl_protocols lain di blok yang sama, karena itu baris lama tadi harus dimatikan.
ssl_ecdh_curve menentukan grup key exchange. Daftarnya diambil dari TLSRef guideline 6.0, penerus Server Side TLS guidelines dari Mozilla. X25519MLKEM768 menggabungkan X25519 klasik dengan algoritma post-quantum ML-KEM. Klien yang belum mendukungnya otomatis turun ke X25519.
ssl_ciphers hanya berisi suite ECDHE, yang memberi forward secrecy, dan hanya GCM atau ChaCha20-Poly1305, yang termasuk AEAD. Tidak ada CBC, tidak ada key exchange RSA, tidak ada 3DES. Menurut TLSRef, klien tertua yang masih bisa tersambung dengan profil ini adalah Firefox 31, Chrome 49, Safari 9, Android 4.4.2, IE 11 di Windows 10, dan Java 8u161. Daftar ini sekaligus menggantikan daftar cipher di tulisan saya tahun 2015, ssl_cipher di nginx, yang sudah usang.
ssl_prefer_server_ciphers off membiarkan klien yang memilih. Karena semua pilihan di daftar sudah kuat, klien paling tahu mana yang cocok: ponsel tanpa akselerasi AES di hardware akan memilih ChaCha20.
Tanpa ssl_dhparam. Daftar cipher tidak berisi suite DHE, jadi file parameter DH tidak diperlukan. Risiko lama “parameter DH di bawah 2048 bit” ikut hilang.
Session ticket dibiarkan default (on). Sejak nginx 1.23.2, key ticket dirotasi otomatis selama ssl_session_cache memakai shared memory, seperti di file di atas. Karena itu TLSRef hanya menambahkan ssl_session_tickets off; untuk versi yang lebih lama.

Mozilla SSL Configuration Generator sekarang dialihkan ke TLSRef Configurator. File di atas sama dengan profil “Intermediate” di sana, pilihan yang tepat untuk website publik. Profil “Modern” (hanya TLS 1.3) juga dapat A+, tapi memutus klien lama seperti Android 4.4 dan IE 11.

Langkah 3: Server block, HSTS, dan redirect HTTP

Sekarang konfigurasi situsnya, misalnya /etc/nginx/sites-available/example.com yang di-link ke sites-enabled/:

# Port 80: semua dialihkan ke HTTPS
server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;

    return 308 https://$host$request_uri;
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;                       # nginx < 1.25.1: "listen 443 ssl http2;"
    server_name example.com www.example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    # HSTS: 2 tahun. "always" juga mengirimnya di respons 3xx/4xx/5xx.
    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;

    root /var/www/example.com;
    index index.html;
}

Catatan soal baris HSTS:

max-age=63072000 sama dengan dua tahun, nilai dari TLSRef. SSL Labs butuh minimal 15768000 (enam bulan) untuk A+. Nilai yang lebih pendek atau salah ketik membuat grade turun ke A-.
always penting. Tanpa itu, nginx hanya menambahkan header di respons 200, 201, 204, 206, 301, 302, 303, 304, 307, dan 308. Dengan always, halaman error juga membawa header ini.
includeSubDomains memberi tahu browser bahwa semua subdomain juga wajib HTTPS. Jangan dipasang sebelum yakin itu benar. Kalau intranet.example.com masih HTTP biasa, browser yang pernah menerima header ini akan menolak membukanya.
Header hanya dipasang di server HTTPS. Browser mengabaikan HSTS yang dikirim lewat HTTP biasa, dan spesifikasi HSTS (RFC 6797 bagian 7.2) melarang server mengirimnya di sana.

Dua baris listen di tiap blok memang disengaja. Kalau domain punya record AAAA tapi nginx hanya listen di IPv4, SSL Labs akan menguji alamat IPv6 dan mendapat jawaban berbeda. Penjelasannya ada di tabel troubleshooting.

Langkah 4: OCSP stapling dan Let’s Encrypt

Banyak panduan A+ masih menyuruh menambahkan ssl_stapling on;, termasuk tulisan saya sendiri tahun 2015, OCSP Stapling di nginx. Untuk sertifikat Let’s Encrypt, baris itu sebaiknya dibuang.

Let’s Encrypt menghentikan dukungan OCSP: sejak 7 Mei 2025 sertifikatnya tidak lagi memuat URL OCSP, dan responder OCSP dimatikan pada 6 Agustus 2025. Pengecekan revokasi sekarang lewat CRL. Dengan stapling aktif dan sertifikat Let’s Encrypt yang baru, nginx menulis peringatan seperti ini setiap kali reload:

[warn] "ssl_stapling" ignored, no OCSP responder URL in the certificate

Situs tetap jalan, tapi log jadi kotor. Hapus ssl_stapling dan ssl_stapling_verify. OCSP stapling tidak memengaruhi grade SSL Labs.

Kalau sertifikat berasal dari CA yang masih menjalankan OCSP, stapling tetap berguna. Yang dibutuhkan adalah resolver dan chain penerbit:

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/ssl/certs/ca-chain.pem;   # root + intermediate
resolver 127.0.0.53 valid=300s;   # contoh: systemd-resolved; ganti dengan resolver server Anda

Langkah 5: Hindari jebakan add_header

Di nginx, add_header hanya diwarisi dari blok luar kalau blok saat ini tidak punya add_header sendiri. Begitu satu header ditambahkan di sebuah location, semua header dari blok server hilang di location itu, termasuk HSTS. Kalau location itu /, grade turun ke A-. Kalau di path lain, laporan tetap A+ padahal sebagian situs jalan tanpa header itu.

Ini hasil uji di server tes (port 8443) dengan konfigurasi di atas ditambah satu location:

location /assets/ {
    add_header Cache-Control "public, max-age=3600";
}

$ curl -sk -D- -o /dev/null https://127.0.0.1:8443/ | grep -i strict
strict-transport-security: max-age=63072000; includeSubDomains

$ curl -sk -D- -o /dev/null https://127.0.0.1:8443/assets/x | grep -i -e strict -e cache
cache-control: public, max-age=3600

Respons kedua tidak punya HSTS.

Ada tiga cara memperbaikinya, urut dari yang paling disarankan:

nginx 1.29.3 ke atas: pasang add_header_inherit merge; di blok http. Header dari level luar akan ditambahkan ke header yang diset di blok dalam (dokumentasi).
nginx lama: pindahkan header keamanan ke snippet, lalu include di setiap tempat yang memakai add_header (contoh di bawah).
Kalau hanya untuk cache: pakai expires 1h;, bukan add_header Cache-Control. Directive ini mengirim Cache-Control dan Expires sendiri, dan berbeda dengan add_header, tidak memutus header warisan dari blok server.

Cara snippet kira-kira seperti ini:

# /etc/nginx/snippets/security-headers.conf
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;

location /assets/ {
    include snippets/security-headers.conf;
    add_header Cache-Control "public, max-age=3600";
}

Dan hasil location /assets/ { expires 1h; } di server tes yang sama:

$ curl -sk -D- -o /dev/null https://127.0.0.1:8443/assets/x.css
HTTP/2 200
expires: Thu, 05 Nov 2026 01:41:51 GMT
cache-control: max-age=3600
strict-transport-security: max-age=63072000; includeSubDomains

Aturan pewarisan yang sama berlaku untuk blok if dan location bertingkat.

Langkah 6: Uji di lokal, lalu jalankan SSL Labs

Cek sintaks lalu reload:

sudo nginx -t && sudo systemctl reload nginx

Sebelum ke SSL Labs, cek poin-poin penting dari terminal sendiri. Ganti example.com dengan host Anda:

# TLS 1.1 harus ditolak. SECLEVEL=0 supaya klien modern mau mencobanya.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_1 -cipher 'DEFAULT@SECLEVEL=0' </dev/null 2>&1 | grep -E 'alert|Cipher is'

# TLS 1.3 harus jalan. Dengan OpenSSL 3.5+ di kedua sisi, grupnya X25519MLKEM768.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_3 </dev/null 2>&1 | grep -E 'Negotiated TLS1.3 group|Cipher is'

# Suite CBC harus ditolak (berlaku untuk sertifikat ECDSA maupun RSA).
openssl s_client -connect example.com:443 -servername example.com -tls1_2 \
  -cipher 'ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA' </dev/null 2>&1 | grep -E 'alert|Cipher is'

# Full chain: harus ada baris "depth=1" (intermediate yang dikirim server).
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>&1 | grep depth

# Header HSTS dan redirect.
curl -sI https://example.com/ | grep -i strict-transport-security
curl -sI http://example.com/  | grep -i -e '^HTTP' -e '^location'

Di server tes, hasilnya seperti ini (diringkas):

tls1_1 :  tlsv1 alert protocol version ... Cipher is (NONE)
tls1_3 :  Negotiated TLS1.3 group: X25519MLKEM768
          New, TLSv1.3, Cipher is TLS_AES_256_GCM_SHA384
CBC    :  ssl/tls alert handshake failure ... Cipher is (NONE)
HSTS   :  strict-transport-security: max-age=63072000; includeSubDomains
HTTP   :  HTTP/1.1 308 Permanent Redirect

Kalau semuanya sudah sesuai, buka ssllabs.com/ssltest, masukkan hostname, dan centang “Do not show the results on the boards” kalau tidak ingin hasilnya tampil di daftar publik. SSL Labs menyimpan hasil scan untuk beberapa waktu. Setelah mengubah konfigurasi, klik tautan “Clear cache” di halaman hasil supaya scan diulang. Satu scan penuh butuh beberapa menit, lebih lama kalau hostname punya beberapa alamat IP.

Troubleshooting: arti pesan di laporan dan cara memperbaikinya

Yang muncul	Penyebab	Perbaikan
Grade B, “This server supports TLS 1.0 and TLS 1.1”	Ada baris `ssl_protocols` lama, sering di `nginx.conf` atau include dari Certbot	Jalankan `grep` dari Langkah 2 dan sisakan hanya `tls.conf`
`nginx -t`: `"ssl_prefer_server_ciphers" directive is duplicate`	`nginx.conf` bawaan masih mengaturnya di blok `http` yang sama	Beri tanda `#` di `nginx.conf` (Langkah 2)
Grade B, “Chain issues: Incomplete”	`ssl_certificate` mengarah ke `cert.pem`	Pakai `fullchain.pem`
Grade B, warning cipher soal forward secrecy atau CBC	Daftar `ssl_ciphers` lama	Pakai daftar dari Langkah 2
Grade A-, “This server does not support TLS 1.3”	OpenSSL lebih lama dari 1.1.1, atau `ssl_protocols` tanpa `TLSv1.3`	Upgrade OS atau build nginx; cek `nginx -V`
Grade A-, warning HSTS atau “HSTS not set”	Header tidak ada di halaman yang diuji, `max-age` terlalu pendek, atau kena jebakan add_header	Cek dengan `curl -sI`; lihat Langkah 5
A+ di satu IP, A- di IP lain	IPv6 dilayani server block lain atau mesin lain	Tambahkan `listen [::]:443 ssl;` di semua blok, atau perbaiki record AAAA
Grade tidak berubah walau nginx sudah diubah	Yang diuji CDN, bukan server Anda	Lihat di bawah
`nginx -t` menulis `SSL_CTX_set1_curves_list(...) failed`	OpenSSL di balik nginx tidak mengenal salah satu grup di `ssl_ecdh_curve`, biasanya `X25519MLKEM768` di OpenSSL sebelum 3.5	Hapus grup itu dari daftar

Pakai Cloudflare atau CDN lain? Kalau proxy Cloudflare (awan oranye) aktif, SSL Labs menguji edge Cloudflare, bukan nginx Anda. Grade-nya bergantung pada pengaturan di Cloudflare: versi TLS minimum, TLS 1.3, dan HSTS di menu SSL/TLS > Edge Certificates. Konfigurasi nginx tetap penting untuk koneksi antara Cloudflare dan server origin, jadi pakai mode “Full (strict)” dan tetap pasang konfigurasi di atas di origin. (Blog ini juga ada di belakang Cloudflare; ceritanya ada di Migrasi ke Cloudflare.)

Opsional: HSTS preload

Dengan HSTS preload, domain Anda masuk ke daftar HTTPS-only yang ditanam di dalam browser, jadi kunjungan pertama pun tidak pernah lewat HTTP. SSL Labs tidak mensyaratkannya untuk A+. Syarat di hstspreload.org lebih ketat daripada syarat A+:

max-age minimal 31536000 (satu tahun), includeSubDomains, dan preload di header
semua subdomain dilayani lewat HTTPS, termasuk subdomain internal
HTTP dialihkan ke HTTPS di host yang sama terlebih dulu

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

Keluar dari daftar itu butuh waktu berbulan-bulan sampai ke pengguna lewat update browser, dan browser lain belum tentu ikut menghapus. Daftarkan hanya domain yang pasti tetap HTTPS-only di semua subdomain.

Konfigurasi lengkap

Sebagai rujukan, ini dua file yang dipakai saat pengujian di atas (sesuaikan path dan nama). Ditambah dua baris yang diberi # di nginx.conf pada Langkah 2, itulah seluruh perubahannya:

# /etc/nginx/conf.d/tls.conf
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ecdh_curve X25519MLKEM768:X25519:prime256v1:secp384r1;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;
ssl_session_timeout 1d;
ssl_session_cache shared:TLS:10m;
# add_header_inherit merge;   # nginx 1.29.3+

# /etc/nginx/sites-available/example.com
server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    return 308 https://$host$request_uri;
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;
    server_name example.com www.example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;

    root /var/www/example.com;
    index index.html;
}

Kalau perlu melayani klien ECDSA dan RSA sekaligus, nginx bisa memuat dua sertifikat di server block yang sama dan memilih yang cocok untuk tiap klien:

ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;       # ECDSA, dari Langkah 1
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_certificate     /etc/letsencrypt/live/example.com-rsa/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com-rsa/privkey.pem;

Mahyuddin Susanto adalah sysadmin Linux dan jaringan yang mengelola server sendiri dan menulis soal nginx di blog ini sejak 2009, dimulai dari nginx, dari nol. Tentang penulis · Kontak

Sumber

Qualys SSL Labs, SSL Server Rating Guide, versi 2009r, 16 Mei 2025
TLSRef, Server Side TLS guideline 6.0 dan TLS Configurator
nginx, ngx_http_ssl_module, ngx_http_headers_module, dan CHANGES
Let’s Encrypt, Ending OCSP Support in 2025
HSTS Preload List Submission
IETF, RFC 6797: HTTP Strict Transport Security

How to Get an A+ on SSL Labs with nginx (2026 Guide)

2026-11-05T00:00:00+00:00

To get an A+ on the Qualys SSL Labs server test with nginx, you need five things: TLS 1.2 and TLS 1.3 only, ECDHE key exchange with AEAD ciphers (GCM or ChaCha20-Poly1305), a certificate served with its full chain, an HSTS header with a max-age of at least six months, and the same setup on every IP address your hostname resolves to. Miss TLS 1.3 or HSTS and you land on A-. Leave TLS 1.0 or 1.1 on and you are stuck at B.

This guide walks through each piece, gives you a config you can paste, and covers the two changes that break older tutorials: Let’s Encrypt shutting down OCSP in 2025, and the grading update SSL Labs shipped in May 2025.

The configuration below was tested on nginx 1.26.3 with OpenSSL 3.5.7, using the stock Debian 13 nginx.conf with its two SSL lines commented out and the files from this guide added, and checked with openssl s_client and curl.

Baca dalam Bahasa Indonesia: Cara Mendapat A+ di SSL Labs dengan nginx. Running Apache? See How to Get an A+ on SSL Labs with Apache httpd.

Contents

How SSL Labs grades your server
Check your nginx and OpenSSL versions first
Step 1: Get a certificate and serve the full chain
Step 2: Put the TLS settings in one shared file
Step 3: The server blocks, HSTS and the HTTP redirect
Step 4: OCSP stapling and Let’s Encrypt
Step 5: Avoid the add_header trap
Step 6: Test locally, then run SSL Labs
Troubleshooting: what the report says and how to fix it
Optional: HSTS preload
The complete config
Sources

How SSL Labs grades your server

SSL Labs scores three categories: protocol support (30%), key exchange (30%) and cipher strength (40%). A score of 80 or more is an A. Then it applies caps: specific problems limit the grade no matter how high the score is. The A+ is a bonus on top of an A with no warnings.

The current rules are version 2009r of the SSL Server Rating Guide, dated 16 May 2025. These are the caps that matter for a typical nginx server:

Problem	Grade limit
SSLv2, SSLv3 as the best protocol, export ciphers, Heartbleed-class bugs	F
TLS 1.2 not supported	C
TLS 1.0 or TLS 1.1 enabled	B
No forward secrecy (no ECDHE/DHE)	B
No AEAD cipher (GCM or ChaCha20-Poly1305)	B
RC4 enabled	B
Incomplete certificate chain	B
Key or DH parameters under 2048 bits	B
TLS 1.3 not supported	A-
HSTS missing or invalid	A-

For the A+, the guide asks for a configuration with no warnings and HSTS with a max-age of at least six months (15768000 seconds).

Two things changed in 2025: a plain A now needs both TLS 1.3 and a valid HSTS header, and TLS_FALLBACK_SCSV no longer counts. If an older article tells you to chase fallback SCSV, skip that part.

You do not need 100 in every category. An ECDSA P-256 or RSA 2048 certificate scores 90 on key exchange, and offering AES-128 keeps cipher strength at 90. Both still get an A+. Switching to RSA 4096 only makes handshakes slower.

Check your nginx and OpenSSL versions first

A few directives depend on the version you run:

nginx -V 2>&1 | head -3
openssl version

Feature	Needs
TLS 1.3 (`TLSv1.3` in `ssl_protocols`)	OpenSSL 1.1.1+; default since nginx 1.23.4
`http2 on;` as a separate directive	nginx 1.25.1+ (older: `listen 443 ssl http2;`)
Automatic session ticket key rotation	nginx 1.23.2+ with a shared `ssl_session_cache`
Hybrid post-quantum group `X25519MLKEM768`	OpenSSL 3.5+
`add_header_inherit merge;`	nginx 1.29.3+

The nginx -V line that matters is built with OpenSSL .... That is the library nginx actually uses, and it can differ from the openssl command on the same box.

Step 1: Get a certificate and serve the full chain

Any publicly trusted certificate works. With Let’s Encrypt and Certbot, get the certificate only and write the TLS config yourself:

sudo certbot certonly --nginx -d example.com -d www.example.com

Recent Certbot releases issue ECDSA keys by default, which is what you want. Point nginx at fullchain.pem, not cert.pem:

ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

cert.pem holds only your leaf certificate. Browsers often fill in the missing intermediate on their own, so the site looks fine, but SSL Labs reports “Chain issues: Incomplete” and caps the grade at B. The nginx docs say the same: the server certificate comes first in the file, followed by the intermediates.

If you use Certbot’s own installer (certbot --nginx without certonly), it adds include /etc/letsencrypt/options-ssl-nginx.conf; to your server block. That file sets protocols and ciphers too. Remove the include so your own settings are the only ones in play.

Step 2: Put the TLS settings in one shared file

Debian and Ubuntu load every file in /etc/nginx/conf.d/ inside the http block, so a single file there applies to all your HTTPS sites.

First, clear the SSL lines that the package already put in /etc/nginx/nginx.conf. The stock Debian 13 file has this block inside http { }:

##
# SSL Settings
##

ssl_protocols TLSv1.2 TLSv1.3; # Dropping SSLv3 (POODLE), TLS 1.0, 1.1
ssl_prefer_server_ciphers off; # Don't force server cipher order.

Your conf.d/ file lands in the same http block, so these lines would collide with it. nginx refuses a second ssl_prefer_server_ciphers at the same level:

nginx: [emerg] "ssl_prefer_server_ciphers" directive is duplicate in /etc/nginx/conf.d/tls.conf

A second ssl_protocols does not replace the first one either. nginx merges the two lists and only prints warnings such as [warn] duplicate value "TLSv1.2", not an error. Comment out both lines with # (your release may have different values there), then check that nothing else sets them:

grep -rn -e ssl_protocols -e ssl_prefer_server_ciphers -e ssl_ciphers /etc/nginx/

Now create /etc/nginx/conf.d/tls.conf:

# TLS settings for every server block (http context)
ssl_protocols TLSv1.2 TLSv1.3;

# OpenSSL 3.5+: hybrid post-quantum group first.
# On OpenSSL 3.0-3.4, remove X25519MLKEM768 from this list.
ssl_ecdh_curve X25519MLKEM768:X25519:prime256v1:secp384r1;

# TLS 1.2 ciphers: ECDHE key exchange + AEAD only.
# TLS 1.3 suites are managed by OpenSSL and are all AEAD.
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;

ssl_session_timeout 1d;
ssl_session_cache shared:TLS:10m;   # about 40000 sessions

Line by line:

ssl_protocols TLSv1.2 TLSv1.3 turns off TLS 1.0 and 1.1 (the B cap) and turns on TLS 1.3 (without it you stop at A-). It is the default since nginx 1.23.4, but writing it here makes the intent clear. It does not override other ssl_protocols lines in the same block, which is why you removed them above.
ssl_ecdh_curve sets the key exchange groups. The list comes from the TLSRef guideline 6.0, the successor of Mozilla’s Server Side TLS guidelines. X25519MLKEM768 combines classic X25519 with the ML-KEM post-quantum algorithm. Clients that do not support it fall back to X25519.
ssl_ciphers lists only ECDHE suites, which gives forward secrecy, and only GCM or ChaCha20-Poly1305, which are AEAD. No CBC, no RSA key exchange, no 3DES. TLSRef lists the oldest clients this profile still serves as Firefox 31, Chrome 49, Safari 9, Android 4.4.2, IE 11 on Windows 10 and Java 8u161. It also replaces the cipher list from my 2015 post on ssl_cipher in nginx (in Indonesian), which is out of date now.
ssl_prefer_server_ciphers off lets the client pick. With an all-strong list, the client knows best: phones without AES hardware choose ChaCha20.
No ssl_dhparam. The list has no DHE suites, so you do not need a DH parameters file. That also removes the old “DH parameters under 2048 bits” risk.
Session tickets stay at the default (on). Since nginx 1.23.2 the ticket keys rotate automatically when ssl_session_cache uses shared memory, as it does here. That is why TLSRef only adds ssl_session_tickets off; for older versions.

The Mozilla SSL Configuration Generator now redirects to the TLSRef Configurator. This file matches its “Intermediate” profile, which is the right choice for public websites. The “Modern” profile (TLS 1.3 only) also gets an A+, but cuts off older clients such as Android 4.4 and IE 11.

Step 3: The server blocks, HSTS and the HTTP redirect

Now the site itself, for example /etc/nginx/sites-available/example.com, linked into sites-enabled/:

# Port 80: redirect everything to HTTPS
server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;

    return 308 https://$host$request_uri;
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;                       # nginx < 1.25.1: "listen 443 ssl http2;"
    server_name example.com www.example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    # HSTS: 2 years. "always" also sends it on 3xx/4xx/5xx responses.
    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;

    root /var/www/example.com;
    index index.html;
}

Notes on the HSTS line:

max-age=63072000 is two years, the TLSRef value. SSL Labs needs at least 15768000 (six months) for the A+. A shorter value or a typo drops you to A-.
always matters. Without it, nginx adds the header only to 200, 201, 204, 206, 301, 302, 303, 304, 307 and 308 responses. With always, error pages carry it too.
includeSubDomains tells browsers that every subdomain is HTTPS-only as well. Leave it out until you are sure that is true. If intranet.example.com still serves plain HTTP, browsers that have seen the header will refuse to load it.
The header goes only on the HTTPS server. Browsers ignore HSTS on plain HTTP, and the HSTS spec (RFC 6797, section 7.2) says servers must not send it there.

Both listen lines in each block are deliberate. If your domain has an AAAA record and nginx listens only on IPv4, SSL Labs tests the IPv6 address and gets a different answer. More on that in the troubleshooting table.

Step 4: OCSP stapling and Let’s Encrypt

Many A+ guides still tell you to add ssl_stapling on;, including my own OCSP stapling post from 2015. For Let’s Encrypt certificates, drop it.

Let’s Encrypt ended OCSP support: from 7 May 2025 its certificates no longer contain an OCSP URL, and the OCSP responders were switched off on 6 August 2025. Revocation now goes through CRLs. With stapling on and a current Let’s Encrypt certificate, nginx logs a warning like this on every reload:

[warn] "ssl_stapling" ignored, no OCSP responder URL in the certificate

The site keeps working, but the line is noise. Remove ssl_stapling and ssl_stapling_verify. OCSP stapling has no effect on the SSL Labs grade.

If your certificate comes from a CA that still runs OCSP, stapling is still useful. You need a resolver and the issuer chain:

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/ssl/certs/ca-chain.pem;   # root + intermediates
resolver 127.0.0.53 valid=300s;   # e.g. systemd-resolved; use your server's resolver

Step 5: Avoid the add_header trap

In nginx, add_header is inherited from the outer block only if the current block has no add_header of its own. Add one header in a location and every header from the server block disappears in that location, HSTS included. If that location is /, the grade drops to A-. If it is another path, the report stays A+ while part of the site runs without the header.

Here is the result on the test server (port 8443) with the config above plus one extra location:

location /assets/ {
    add_header Cache-Control "public, max-age=3600";
}

$ curl -sk -D- -o /dev/null https://127.0.0.1:8443/ | grep -i strict
strict-transport-security: max-age=63072000; includeSubDomains

$ curl -sk -D- -o /dev/null https://127.0.0.1:8443/assets/x | grep -i -e strict -e cache
cache-control: public, max-age=3600

The second response has no HSTS.

Three fixes, in order of preference:

nginx 1.29.3 or newer: put add_header_inherit merge; in the http block. Headers from outer levels are then added to the ones you set in the inner block (docs).
Older nginx: move the security headers into a snippet and include it wherever you use add_header (example below).
For caching only: use expires 1h; instead of add_header Cache-Control. It sets Cache-Control and Expires itself and, unlike add_header, does not cancel the headers inherited from the server block.

The snippet approach looks like this:

# /etc/nginx/snippets/security-headers.conf
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;

location /assets/ {
    include snippets/security-headers.conf;
    add_header Cache-Control "public, max-age=3600";
}

And location /assets/ { expires 1h; } on the same test server:

$ curl -sk -D- -o /dev/null https://127.0.0.1:8443/assets/x.css
HTTP/2 200
expires: Thu, 05 Nov 2026 01:41:51 GMT
cache-control: max-age=3600
strict-transport-security: max-age=63072000; includeSubDomains

The same inheritance rule applies to if blocks and nested locations.

Step 6: Test locally, then run SSL Labs

Check the syntax and reload:

sudo nginx -t && sudo systemctl reload nginx

Before you go to SSL Labs, check the important points from your own terminal. Replace example.com with your host:

# TLS 1.1 must be refused. SECLEVEL=0 lets a modern client even try it.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_1 -cipher 'DEFAULT@SECLEVEL=0' </dev/null 2>&1 | grep -E 'alert|Cipher is'

# TLS 1.3 must work. With OpenSSL 3.5+ on both sides the group is X25519MLKEM768.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_3 </dev/null 2>&1 | grep -E 'Negotiated TLS1.3 group|Cipher is'

# CBC suites must be refused (covers both ECDSA and RSA certificates).
openssl s_client -connect example.com:443 -servername example.com -tls1_2 \
  -cipher 'ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA' </dev/null 2>&1 | grep -E 'alert|Cipher is'

# Full chain: there must be a "depth=1" line (the intermediate sent by the server).
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>&1 | grep depth

# HSTS header and redirect.
curl -sI https://example.com/ | grep -i strict-transport-security
curl -sI http://example.com/  | grep -i -e '^HTTP' -e '^location'

On the test setup, the output looked like this (condensed):

tls1_1 :  tlsv1 alert protocol version ... Cipher is (NONE)
tls1_3 :  Negotiated TLS1.3 group: X25519MLKEM768
          New, TLSv1.3, Cipher is TLS_AES_256_GCM_SHA384
CBC    :  ssl/tls alert handshake failure ... Cipher is (NONE)
HSTS   :  strict-transport-security: max-age=63072000; includeSubDomains
HTTP   :  HTTP/1.1 308 Permanent Redirect

When all of that looks right, open ssllabs.com/ssltest, enter your hostname, and tick “Do not show the results on the boards” if you do not want the result listed publicly. SSL Labs caches results for a while. After a config change, use the “Clear cache” link on the results page to force a new scan. A full scan takes a few minutes, longer when the hostname has several IP addresses.

Troubleshooting: what the report says and how to fix it

What you see	Cause	Fix
Grade B, “This server supports TLS 1.0 and TLS 1.1”	Old `ssl_protocols` line somewhere, often in `nginx.conf` or a Certbot include	Run the `grep` from Step 2 and keep only `tls.conf`
`nginx -t`: `"ssl_prefer_server_ciphers" directive is duplicate`	The stock `nginx.conf` still sets it in the same `http` block	Comment it out in `nginx.conf` (Step 2)
Grade B, “Chain issues: Incomplete”	`ssl_certificate` points to `cert.pem`	Use `fullchain.pem`
Grade B, cipher warnings about forward secrecy or CBC	Old `ssl_ciphers` list	Use the list from Step 2
Grade A-, “This server does not support TLS 1.3”	OpenSSL older than 1.1.1, or `ssl_protocols` without `TLSv1.3`	Upgrade the OS or nginx build; check `nginx -V`
Grade A-, HSTS warning or “HSTS not set”	Header missing on the tested page, `max-age` too short, or the add_header trap	Check with `curl -sI`; see Step 5
A+ on one IP, A- on another	IPv6 handled by a different server block or a different machine	Add `listen [::]:443 ssl;` everywhere, or fix the AAAA record
Grade does not change after you edit nginx	You are testing a CDN, not your server	See below
`nginx -t` says `SSL_CTX_set1_curves_list(...) failed`	The OpenSSL behind nginx does not know a group in `ssl_ecdh_curve`, usually `X25519MLKEM768` on OpenSSL older than 3.5	Remove that group from the list

Behind Cloudflare or another CDN? If the orange cloud is on, SSL Labs tests Cloudflare’s edge, not your nginx. The grade then depends on your Cloudflare settings: minimum TLS version, TLS 1.3, and HSTS under SSL/TLS > Edge Certificates. Your nginx config still matters for the connection between Cloudflare and your origin, so use “Full (strict)” mode and keep the setup above on the origin. (This blog sits behind Cloudflare too; the move is described in Migrasi ke Cloudflare, in Indonesian.)

Optional: HSTS preload

With HSTS preload, browsers ship with your domain on a built-in HTTPS-only list, so even the very first visit never uses HTTP. SSL Labs does not need it for an A+. The requirements on hstspreload.org are stricter than the A+ ones:

max-age of at least 31536000 (one year), includeSubDomains, and preload in the header
every subdomain served over HTTPS, including internal ones
HTTP redirected to HTTPS on the same host first

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

Getting off the list takes months to reach users through browser updates, and other browsers are not guaranteed to follow. Only submit a domain you know will stay HTTPS-only on every subdomain.

The complete config

For reference, here are the two files used in the test above (adjust paths and names). Together with the two commented lines in nginx.conf from Step 2, that is the whole change:

# /etc/nginx/conf.d/tls.conf
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ecdh_curve X25519MLKEM768:X25519:prime256v1:secp384r1;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;
ssl_session_timeout 1d;
ssl_session_cache shared:TLS:10m;
# add_header_inherit merge;   # nginx 1.29.3+

# /etc/nginx/sites-available/example.com
server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    return 308 https://$host$request_uri;
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;
    server_name example.com www.example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;

    root /var/www/example.com;
    index index.html;
}

If you need to support both ECDSA and RSA clients, nginx can load two certificates in the same server block, and it picks the right one per client:

ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;       # ECDSA, from Step 1
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_certificate     /etc/letsencrypt/live/example.com-rsa/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com-rsa/privkey.pem;

On the test server, a TLS 1.2 client that only offered ECDHE-RSA-AES128-GCM-SHA256 received the 2048-bit RSA certificate, and everyone else got ECDSA. With Certbot, run it a second time with --key-type rsa --cert-name example.com-rsa to get the RSA pair.

Mahyuddin Susanto is a Linux and networking sysadmin who runs his own servers and has written about nginx on this blog since 2009, starting with nginx, dari nol. About · Contact

Sources

Qualys SSL Labs, SSL Server Rating Guide, version 2009r, 16 May 2025
TLSRef, Server Side TLS guideline 6.0 and TLS Configurator
nginx, ngx_http_ssl_module, ngx_http_headers_module and CHANGES
Let’s Encrypt, Ending OCSP Support in 2025
HSTS Preload List Submission
IETF, RFC 6797: HTTP Strict Transport Security

Mobil Listrik (1/3): Pengertian dan Jenis-Jenisnya

2026-11-04T00:00:03+00:00

Pada September 2026, BYD Atto 1 tercatat 4.840 unit dalam data Gaikindo, peringkat kedua dalam daftar 20 model terlaris di seluruh pasar mobil Indonesia bulan itu dan yang tertinggi di antara mobil listrik (Gaikindo, 25 Oktober 2026). Gaikindo sendiri menulis bahwa mobil listrik “mulai menembus jajaran model terlaris”. Harga mobil listrik terlaris sekarang mulai dari sekitar Rp150 jutaan, yaitu VinFast VF 3 dengan sewa baterai. Data di tulisan ini diperiksa pada 4 November 2026, dan tanggal terbit tiap sumber ada di sampingnya.

Tulisan ini menjelaskan apa itu mobil listrik dan apa bedanya dengan hybrid, bagaimana mobil itu bekerja dari colokan sampai roda, dan mobil listrik mana yang paling banyak tercatat penjualannya di Indonesia sepanjang 2026, lengkap dengan harga, kapasitas baterai, dan klaim jarak tempuhnya. Setiap harga dan angka penjualan saya beri tanggal sumbernya, karena angkanya berubah cepat dan beberapa media menulis angka berbeda untuk model yang sama.

Foto: JUICE di Unsplash.

Poin Penting

Mobil listrik murni (BEV) bergerak dengan motor listrik yang disuplai baterai besar dan diisi dari colokan. Hybrid biasa dan plug-in hybrid masih punya mesin bensin, jadi bukan mobil listrik murni.

Mobil listrik mengubah lebih dari 77% energi listrik menjadi tenaga di roda, sedangkan mobil bensin hanya 12% sampai 30% dari energi bensinnya (U.S. Department of Energy).

Pengisian di rumah dengan tarif listrik rumah tangga Rp1.444,70 per kWh menghabiskan sekitar Rp60 ribu sampai Rp67 ribu untuk mengisi baterai 38,88 kWh dari kosong sampai penuh, menurut hitungan di tulisan ini. Di SPKLU umum tarifnya sampai Rp2.475 per kWh.

Sepuluh mobil listrik dengan penjualan terbesar pada Januari sampai September 2026 berharga dari Rp152 juta (VinFast VF 3 dengan sewa baterai) sampai Rp950 juta (Denza D9). Tiga yang terlaris, yaitu Jaecoo J5 EV, BYD Atto 1, dan Geely EX2, berada di kisaran Rp200 jutaan sampai Rp300 jutaan.

Insentif PPN ditanggung pemerintah dan keringanan bea masuk untuk mobil listrik tidak berlanjut pada 2026. Penggantinya masih dikaji pada Juni 2026, jadi harga bisa berubah lagi.

Daftar isi bagian ini

Apa itu mobil listrik?
- Kenapa orang beralih
- Skala globalnya
Jenis-jenis mobil listrik

Apa itu mobil listrik?

Mobil listrik adalah mobil yang digerakkan oleh motor listrik, bukan mesin pembakaran. Departemen Energi Amerika Serikat menyebut jenis yang paling murni sebagai all-electric vehicle atau battery electric vehicle (BEV): mobilnya punya baterai yang diisi dengan mencolokkan kendaraan ke peralatan pengisian, dan selalu berjalan dalam mode listrik penuh (U.S. DOE, Alternative Fuels Data Center). Tidak ada tangki bensin, pompa bahan bakar, atau saluran bahan bakar. Kendaraan seperti ini juga tidak mengeluarkan gas buang dari knalpot (U.S. DOE).

Dalam aturan Indonesia, istilah resminya Kendaraan Bermotor Listrik Berbasis Baterai atau KBLBB. Istilah itu dipakai dalam Perpres 55 Tahun 2019 tentang percepatan program KBLBB untuk transportasi jalan, yang kemudian diubah dengan Perpres 79 Tahun 2023. Di dealer dan di media otomotif, kamu akan lebih sering mendengar singkatan BEV atau sebutan “mobil listrik” saja.

Kenapa orang beralih

Alasan pertama adalah efisiensi. Menurut U.S. Department of Energy, mobil listrik mengubah lebih dari 77% energi listrik dari jaringan menjadi tenaga di roda. Mobil bensin konvensional hanya mengubah sekitar 12% sampai 30% energi tersimpan dalam bensin menjadi tenaga di roda (FuelEconomy.gov). Angka itu berasal dari konteks Amerika Serikat, tetapi prinsip fisikanya sama di mana pun: motor listrik membuang jauh lebih sedikit energi sebagai panas dibanding mesin bensin.

Alasan kedua adalah biaya energi per kilometer. Listrik rumah tangga di Indonesia dihargai Rp1.352 sampai Rp1.699,53 per kWh, tergantung golongan, untuk triwulan IV 2026 (Metro TV, 29 Oktober 2026). Bagian hitung-hitungan ada di bawah, di bagian pengisian daya.

Alasan ketiga adalah pengalaman berkendara. Menurut pengetahuan umum, motor listrik memberikan torsi sejak putaran pertama dan tidak memakai perpindahan gigi bertahap, jadi akselerasinya halus. Sisi lemahnya juga ada: jarak tempuh nyata bisa jauh di bawah angka brosur, dan pengisian bergantung pada colokan yang tersedia. Dua hal itu saya hitung dengan angka di bawah.

Skala globalnya

Mobil listrik bukan fenomena satu negara. Badan Energi Internasional (IEA) menulis dalam siaran pers Global EV Outlook 2026 bahwa hampir 30% mobil yang terjual pada 2026 diperkirakan berupa mobil listrik, seiring negara dan konsumen merespons krisis energi (IEA, Global EV Outlook 2026). Di Indonesia, sepuluh mobil listrik terlaris saja mencapai 89.502 unit pada sembilan bulan pertama 2026 menurut data Gaikindo, seperti yang dirinci di bagian daftar model.

Jenis-jenis mobil listrik

Istilah “mobil listrik” dipakai longgar untuk beberapa teknologi yang berbeda. Perbedaannya menentukan apakah kamu perlu mencari colokan, apakah masih harus ke SPBU, dan seberapa besar biaya bulanannya. Tabel berikut membandingkan mobil konvensional dengan empat jenis yang sering disebut mobil listrik. Tiap jenis dijabarkan di bawahnya dengan diagram alur energi.

Jenis	Singkatan	Sumber tenaga	Dicolok untuk diisi?	Masih pakai bensin?
Mobil konvensional	ICE	Mesin pembakaran	Tidak	Ya
Battery electric vehicle	BEV	Baterai besar dan motor listrik	Ya	Tidak
Plug-in hybrid electric vehicle	PHEV	Baterai sedang, motor listrik, dan mesin bensin	Ya	Ya
Hybrid electric vehicle	HEV	Mesin bensin dibantu motor listrik dan baterai kecil	Tidak	Ya
Fuel cell electric vehicle	FCEV	Hidrogen yang diubah menjadi listrik oleh sel bahan bakar	Tidak (isi hidrogen)	Tidak

Di semua diagram, garis oranye adalah bensin, biru listrik, hijau hidrogen, ungu energi yang kembali ke baterai saat mobil melambat, dan abu-abu tenaga mekanik atau sisa.

Pembanding: mobil konvensional (ICE)

Mobil konvensional memakai mesin pembakaran dalam (internal combustion engine, ICE) yang membakar bensin atau solar. Semua jenis lain di bawah menambahkan atau menggantikan sebagian dari rantai ini.

Alur energi mobil konvensional: bensin dibakar di mesin, tenaganya lewat transmisi ke roda, sisanya keluar sebagai gas buang dan panas.

Alurnya begini, menurut pengetahuan umum tentang mesin bensin. Pompa mengalirkan bahan bakar dari tangki ke mesin. Di dalam silinder, bahan bakar bercampur dengan udara lalu dibakar, dan pembakaran itu mendorong piston. Piston memutar poros engkol, dan putaran itu diteruskan lewat transmisi ke roda. Transmisi diperlukan karena mesin hanya bekerja baik pada rentang putaran tertentu, jadi rasio gigi diubah menurut kecepatan. Sisa pembakaran keluar lewat knalpot. Aki 12 volt menyalakan starter dan menyuplai listrik aksesori, lalu diisi ulang oleh alternator yang diputar mesin.

Kelemahan utamanya ada pada efisiensi. Seperti sudah dikutip di atas, mobil bensin hanya mengubah sekitar 12% sampai 30% energi bensin menjadi tenaga di roda (FuelEconomy.gov). Sisanya hilang sebagai panas. Kelebihannya sederhana: mengisi bahan bakar memakan beberapa menit, dan kebiasaan itu sudah dikenal semua orang. Itulah celah yang coba diisi oleh keempat jenis di bawah.

BEV: mobil listrik murni

BEV hanya punya motor listrik. Seluruh sepuluh model di daftar tulisan ini adalah BEV.

Alur energi mobil listrik murni (BEV) saat diisi lewat colokan AC, tanpa tangki bensin dan mesin. Pengisian cepat DC mengalir langsung ke baterai tanpa melewati pengisi daya onboard. Garis ungu menunjukkan energi yang kembali ke baterai saat mobil melambat.

Cara kerja BEV

Listrik masuk lewat soket pengisian. Pengisi daya onboard mengubah arus bolak-balik (AC) menjadi arus searah (DC) dan menyimpannya di baterai traksi. Saat kamu menginjak gas, elektronika daya mengatur seberapa banyak energi mengalir dari baterai ke motor, dan motor memutar roda. Saat kamu melepas gas atau mengerem, motor berbalik menjadi generator dan mengirim sebagian energi kembali ke baterai (garis ungu di diagram). Tidak ada tangki bensin, pompa bahan bakar, atau saluran bahan bakar (U.S. DOE).

Kelebihan dan batas BEV

Departemen Energi AS menyebut jarak tempuh khas BEV antara 150 dan 400 mil (U.S. DOE), atau sekitar 240 sampai 640 km. Rentang itu terlihat juga di Indonesia: VinFast VF 3 mengklaim 210 km, sedangkan BYD Sealion 7 mengklaim lebih dari 540 km, keduanya berdasarkan siklus uji NEDC.

Kelebihan BEV adalah efisiensi yang tinggi (lebih dari 77% energi listrik sampai ke roda), tidak ada gas buang dari knalpot, dan, menurut pengetahuan umum, mekanis yang lebih sederhana karena tidak ada oli mesin, busi, atau knalpot yang perlu dirawat. Kelemahannya adalah ketergantungan penuh pada pengisian: kalau baterai habis, tidak ada mesin cadangan. Baterainya juga mahal dan penggantiannya bisa mahal kalau rusak (FuelEconomy.gov), dan jarak tempuh nyata bisa jauh di bawah klaim, seperti hitungan dari dua uji jalan Geely di bagian model.

BEV cocok untuk siapa

BEV paling masuk akal untuk orang yang bisa mengisi di rumah atau kantor dan jarak hariannya jauh di bawah klaim jarak mobil. Di Indonesia pilihannya paling luas: dari Rp152 juta (VinFast VF 3 dengan sewa baterai) sampai Rp950 juta (Denza D9) di daftar sepuluh model terlaris pada September 2026.

PHEV: hybrid yang bisa dicolok

PHEV punya baterai dan motor listrik, tetapi juga mesin bensin dan tangki bensin. Menurut Departemen Energi AS, sebagian besar PHEV bisa menempuh sekitar 20 sampai 40 mil dengan listrik saja (U.S. DOE), kira-kira 32 sampai 64 km, sebelum berjalan seperti hybrid biasa dengan bensin.

Alur energi plug-in hybrid (PHEV): dua sumber tenaga, listrik dari colokan dan bensin dari tangki, bertemu di transmisi sebelum ke roda.

Cara kerja PHEV

Baterai PHEV diisi lewat colokan, lebih besar dari baterai hybrid biasa tetapi lebih kecil dari baterai BEV. Selama baterai terisi, mobil bisa berjalan hanya dengan motor listrik. Setelah baterai turun, mesin bensin ikut bekerja, dan dua sumber tenaga itu bertemu di transmisi atau penggabung tenaga sebelum ke roda. Pengereman regeneratif tetap mengisi sebagian baterai.

Kelebihan dan batas PHEV

Kelebihannya adalah fleksibilitas. Untuk pemakaian harian dalam kota, PHEV bisa berjalan hampir sepenuhnya dengan listrik kalau dicolok tiap malam, dan untuk perjalanan jauh mesin bensinnya menjadi cadangan sehingga kamu tidak perlu mencari SPKLU. Batasnya ada dua. Mobil ini membawa dua sistem penggerak sekaligus, jadi lebih kompleks, dan pada contoh Darion di bawah harganya lebih tinggi dari versi listrik murninya. Dan manfaatnya hilang kalau jarang dicolok: tanpa listrik dari colokan, mobil bergantung pada mesin bensin dan membawa baterai yang jarang terpakai.

Contoh di Indonesia adalah Wuling Darion, yang dijual dalam varian EV dan PHEV. Menurut daftar harga Otodriver edisi September 2026, Darion PHEV CE dan EX masing-masing dijual Rp449 juta dan Rp499 juta, sedangkan Darion EV CE dan EX Rp399 juta dan Rp459 juta (Otodriver). Selisih Rp40 juta sampai Rp50 juta itu membeli mesin bensin sebagai cadangan.

PHEV cocok untuk siapa

PHEV masuk akal untuk orang yang bisa mencolok di rumah tetapi sering menempuh perjalanan jauh tanpa jaminan ada SPKLU di rute. Kalau kamu hampir tidak pernah mencolok, PHEV kehilangan alasannya.

HEV: hybrid biasa

Pada HEV, baterai diisi lewat pengereman regeneratif dan mesin, bukan lewat colokan. Departemen Energi AS menegaskan hal itu: baterai hybrid diisi “through regenerative braking, not by plugging in” (U.S. DOE). Karena itu HEV tidak butuh SPKLU sama sekali.

Alur energi hybrid biasa (HEV): bensin tetap sumber utama, motor-generator membantu, dan baterai kecil diisi dari mesin dan pengereman, bukan dari colokan.

Cara kerja HEV

Mesin bensin tetap sumber tenaga utama. Motor-generator membantu menggerakkan roda, terutama saat mobil mulai bergerak atau berjalan pelan, dan baterai kecilnya menyimpan energi dari pengereman regeneratif serta dari mesin yang memutar generator. Tidak ada soket pengisian, jadi kamu mengisi bensin seperti mobil biasa.

Kelebihan dan batas HEV

Kelebihan HEV adalah kebiasaannya tidak berubah: tidak ada colokan, tidak ada kecemasan jarak, dan tidak bergantung pada infrastruktur pengisian. Bagi orang yang belum siap mengubah kebiasaan, HEV paling mudah diadopsi. Batasnya: mesin bensin tetap menjadi sumber tenaga utama, jadi mobil ini tidak menghilangkan gas buang, dan halaman Departemen Energi AS tentang kendaraan listrik tidak menyebut angka jarak listrik murni untuk HEV (U.S. DOE). Karena baterainya kecil, kemampuannya berjalan hanya dengan listrik terbatas, menurut gambaran umum.

HEV cocok untuk siapa

HEV cocok untuk pemilik yang tidak punya tempat mengisi daya dan ingin pemakaian bensin lebih hemat tanpa mengubah rutinitas. Tulisan ini fokus ke mobil listrik murni, jadi model HEV tidak dibahas satu per satu.

FCEV: mobil listrik berbahan bakar hidrogen

FCEV memakai hidrogen yang disimpan di tangki. Di dalam sel bahan bakar jenis polymer electrolyte membrane (PEM), hidrogen dipecah menjadi proton dan elektron. Elektron mengalir lewat rangkaian luar dan menggerakkan motor listrik, sementara di sisi katoda proton, elektron, dan oksigen dari udara bergabung menjadi air (U.S. DOE).

Alur energi mobil hidrogen (FCEV): sel bahan bakar mengubah hidrogen dan oksigen udara menjadi listrik, dengan uap air dan udara hangat sebagai satu-satunya yang keluar dari knalpot.

Cara kerja FCEV

Dari motor ke roda, rantai FCEV mirip BEV: elektronika daya mengatur listrik ke motor, dan pengereman regeneratif menangkap energi yang tadinya hilang lalu menyimpannya di baterai (U.S. DOE). Bedanya ada di hulu. Listrik tidak berasal dari colokan, tetapi dibuat di dalam mobil dari hidrogen dan oksigen udara.

Kelebihan dan batas FCEV

Departemen Energi AS menyebut pengisian hidrogen memakan sekitar lima menit dengan jarak tempuh lebih dari 300 mil, atau sekitar 480 km (U.S. DOE). Mobilnya hanya mengeluarkan uap air dan udara hangat dari knalpot, dan lebih efisien dari mobil pembakaran, meski halaman itu tidak memberi angka efisiensinya. Halaman itu juga hanya membahas emisi dari knalpot, bukan emisi dari pembuatan hidrogen.

Batas terbesarnya infrastruktur: Departemen Energi AS menggambarkan kendaraan dan fasilitas pengisiannya masih di tahap awal (U.S. DOE).

FCEV cocok untuk siapa

Di daftar sepuluh mobil listrik terlaris tulisan ini tidak ada FCEV, dan saya tidak menempatkannya sebagai pilihan pembelian umum. Kalau kamu tertarik, tanyakan ke agen pemegang merek soal ketersediaan unit dan stasiun pengisian hidrogen di kotamu sebelum mempertimbangkannya.

Mobil Listrik (2/3): Cara Kerja, Pengisian Daya, dan Harga

2026-11-04T00:00:02+00:00

Daftar isi bagian ini

Cara kerja mobil listrik
Pengisian daya di Indonesia
Berapa harga mobil listrik dan kenapa angkanya berubah-ubah

Cara kerja mobil listrik

Alur energinya mudah diikuti kalau dilihat dari colokan sampai roda. Listrik masuk lewat soket pengisian, disimpan di baterai, dikendalikan oleh elektronika daya, lalu diubah menjadi putaran oleh motor. Departemen Energi AS mendaftar komponen utama mobil listrik murni seperti berikut (U.S. DOE):

Komponen	Fungsi
Baterai traksi (traction battery pack)	Menyimpan listrik untuk motor penggerak
Motor traksi listrik	Memakai tenaga baterai untuk memutar roda
Pengendali elektronika daya	Mengatur aliran energi dari baterai serta kecepatan dan torsi motor
Pengisi daya onboard (onboard charger)	Mengubah listrik AC dari soket menjadi DC untuk baterai, dan memantau kondisi baterai
Konverter DC/DC	Menurunkan tegangan tinggi baterai untuk aksesori dan aki bantu
Sistem termal	Menjaga motor, elektronika daya, dan komponen lain pada suhu kerja yang tepat
Soket pengisian	Menghubungkan mobil ke sumber listrik luar

Satu perjalanan dari colokan sampai roda

Ikuti satu siklus penuh dengan komponen di atas. Malam hari kamu mencolokkan mobil ke charger rumah. Listrik AC masuk lewat soket pengisian, dan pengisi daya onboard mengubahnya menjadi DC sambil memantau kondisi baterai. Baterai traksi menyimpan energi itu sampai penuh atau sampai batas yang kamu atur.

Paginya, saat kamu menekan pedal gas, pengendali elektronika daya mengambil energi dari baterai dan menyalurkannya ke motor dalam jumlah yang sesuai posisi pedal. Motor memutar roda lewat transmisi listrik. Pada saat yang sama, konverter DC/DC menurunkan tegangan sebagian energi untuk lampu, layar, dan aksesori. Sistem termal menjaga semua bagian itu tetap dalam suhu kerjanya, karena baterai dan elektronika daya sama-sama tidak nyaman bekerja terlalu panas.

Saat kamu melepas pedal dan mobil melambat, arahnya berbalik sebagian: motor menjadi generator dan mengirim sedikit energi kembali ke baterai.

Baterai: kWh adalah “tangki”-nya

Kapasitas baterai diukur dalam kilowatt-jam (kWh). Anggap itu ukuran tangki. Baterai 38,88 kWh pada BYD Atto 1 Premium menyimpan energi lebih sedikit dari baterai 103,36 kWh pada Denza D9, dan itu salah satu sebab klaim jaraknya 380 km berbanding 600 km.

Satuan kilowatt (kW) mengukur daya, bukan kapasitas. Motor Geely EX2 berdaya 85 kW (Carmudi, 21 Januari 2026), sedangkan motor Wuling Darion EV berdaya 150 kW (detikOto, 6 November 2025). Kapasitas baterai menentukan seberapa jauh mobil bisa berjalan, sedangkan daya motor menentukan seberapa kuat tarikannya.

Dua kimia baterai yang paling sering kamu dengar

Menurut pengetahuan umum, mobil listrik penumpang memakai baterai lithium-ion. Dua kimianya yang paling sering muncul di brosur adalah LFP (lithium iron phosphate) dan NMC (nikel-mangan-kobalt). Geely EX2 dan Wuling Darion EV, misalnya, memakai baterai LFP menurut sumber di bagian model di bawah.

Secara umum, LFP dikenal lebih murah dan tahan banyak siklus pengisian, sedangkan NMC dikenal lebih padat energi, sehingga untuk kapasitas yang sama paketnya lebih ringan. Itu gambaran umum, bukan angka dari sumber yang dikutip di sini. Perbedaan kimia ini juga masuk ke kebijakan: rencana PPN DTP pemerintah yang dibahas di bagian harga memberi tarif berbeda untuk baterai berbasis nikel dan non-nikel.

Pengereman regeneratif

Saat kamu melepas pedal gas atau menginjak rem, motor listrik bisa berbalik fungsi menjadi generator. Energi gerak mobil diubah kembali menjadi listrik dan dimasukkan ke baterai. Halaman Departemen Energi AS tentang mobil hidrogen menjelaskan prinsipnya sebagai penangkapan energi yang tadinya hilang saat pengereman, lalu menyimpannya di baterai (U.S. DOE). Menurut pengetahuan umum, efeknya paling terasa di lalu lintas macet, tempat kamu sering berhenti dan jalan. Di jalan tol dengan kecepatan konstan, manfaatnya jauh lebih kecil.

Kenapa pengisian AC dan DC berbeda

Listrik dari jaringan PLN berupa arus bolak-balik (AC), sedangkan baterai hanya menyimpan arus searah (DC). Pada pengisian AC, pengisi daya onboard di dalam mobil yang mengubahnya. Kemampuan alat itu terbatas, sehingga pengisian AC memakan waktu lama: FuelEconomy.gov menyebut 3 sampai 12 jam untuk mengisi penuh, seperti dikutip di bawah.

Pengisian cepat DC melewati bagian itu. Charger di luar mobil sudah menyalurkan arus searah langsung ke baterai, sehingga dayanya bisa jauh lebih besar. Itu sebabnya waktu pengisian cepat dihitung dalam menit, bukan jam. Jaecoo J5 EV, misalnya, mendukung pengisian DC sampai 130 kW menurut detikOto.

Berapa lama mengisi penuh

FuelEconomy.gov menyebut pengisian baterai penuh bisa memakan 3 sampai 12 jam, sedangkan pengisian cepat sampai 80% kapasitas bisa selesai dalam sekitar 30 menit (FuelEconomy.gov). Angka dari produsen di Indonesia sejalan dengan itu: Geely EX5 mengklaim pengisian 30% ke 80% dalam 20 menit (IDX Channel, 22 Februari 2025), dan Jaecoo J5 EV mengklaim 28 menit untuk rentang yang sama (detikOto, 28 Oktober 2025).

Istilah yang akan kamu temui di brosur

Beberapa singkatan muncul berulang di artikel dan brosur mobil listrik. Memahaminya mencegah salah bandingkan.

NEDC adalah New European Driving Cycle, siklus uji laboratorium yang dipakai banyak pabrikan untuk mengklaim jarak tempuh. CLTC adalah siklus uji dari Tiongkok. Kedua siklus memakai kecepatan dan pola berhenti yang berbeda, jadi klaim 540 km (CLTC) pada Wuling Darion EV tidak bisa dibandingkan langsung dengan klaim 461 km (NEDC) pada Jaecoo J5 EV. Keduanya juga hasil uji standar, bukan hasil di jalan raya Indonesia.

OTR berarti on the road, harga yang sudah memasukkan biaya yang diperlukan agar mobil bisa dipakai di jalan, seperti pajak dan pengurusan surat. Harga OTR berbeda antar kota, dan sebagian besar harga di tulisan ini berlaku untuk Jakarta.

Wholesales adalah jumlah kendaraan yang dikirim dari pabrikan ke dealer, sedangkan penjualan eceran (retail) adalah yang diserahkan ke pembeli akhir. Data Gaikindo yang dikutip media biasanya wholesales. SPK adalah surat pemesanan kendaraan. Harga promo sering berlaku untuk konsumen yang membuat SPK sebelum tanggal tertentu, seperti pada Geely EX2.

Pengisian daya di Indonesia

Dua hal menentukan apakah mobil listrik cocok untukmu: kamu bisa mengisi di mana, dan berapa biayanya.

Di rumah

Pengisian di rumah semalaman adalah cara termurah, seperti terlihat di hitungan di bawah. Tarif listrik PLN untuk triwulan IV 2026 adalah Rp1.352 per kWh untuk golongan R-1 900 VA nonsubsidi, Rp1.444,70 per kWh untuk R-1 1.300 VA dan 2.200 VA, serta Rp1.699,53 per kWh untuk R-2 dan R-3 (Metro TV, 29 Oktober 2026). Tarif bersubsidi untuk 900 VA, yaitu Rp605 per kWh, tidak saya pakai dalam hitungan.

Contoh hitungan dengan BYD Atto 1 Premium, baterai 38,88 kWh (Listrik Indonesia, 2 Agustus 2025), pelanggan R-1 1.300 VA:

Mengisi 38,88 kWh dari kosong sampai penuh: 38,88 × Rp1.444,70 = sekitar Rp56 ribu.
FuelEconomy.gov menyebut efisiensi pengisian baterai sering berada di 84% sampai 93% (FuelEconomy.gov). Dengan rugi itu, listrik yang ditarik dari dinding menjadi sekitar 41,8 sampai 46,3 kWh, sehingga biayanya sekitar Rp60 ribu sampai Rp67 ribu.
Dengan klaim jarak 380 km, itu berarti sekitar Rp160 sampai Rp176 per kilometer. Jarak nyata biasanya lebih pendek, jadi biaya per kilometer nyata lebih tinggi.

Ini hitungan kasar. Tarif berubah per triwulan, dan rugi pengisian bergantung pada suhu, charger, dan kondisi baterai.

Satu syarat praktis: mengisi di rumah butuh daya terpasang yang cukup dan titik colok yang aman. Tanyakan ke dealer atau PLN soal instalasinya sebelum memutuskan.

Di SPKLU umum

SPKLU adalah singkatan stasiun pengisian kendaraan listrik umum. Kontan melaporkan PLN bersama mitra mengoperasikan 4.655 unit SPKLU di 3.007 lokasi sepanjang 2025, naik sekitar 44% dari 3.223 unit pada 2024 (Kontan, 8 Februari 2026). Kenaikannya cepat, dan titik pengisian di rute antarkota tetap perlu kamu cek sebelum berangkat.

Okezone menyebut tarif dasar di SPKLU berada di kisaran Rp1.650 sampai Rp2.475 per kWh menurut aturan terbaru yang berlaku, tanpa menyebut nomor aturannya, dan SPKLU di jalan tol umumnya memasang tarif sekitar Rp2.466 sampai Rp2.475 per kWh (Okezone lewat RCTI+, 18 Maret 2026).

Pengisian cepat DC dikenai biaya tambahan per sesi: maksimal Rp25.000 untuk charger 25 sampai 50 kW, dan maksimal Rp57.000 untuk charger di atas 50 kW. Artikel itu merujuk Keputusan Menteri ESDM Nomor 182.K/TL.04/MEM.S/2023 untuk batas biaya tambahan tersebut.

Kembali ke contoh Atto 1 Premium: mengisi 38,88 kWh pada tarif Rp2.475 per kWh menghabiskan sekitar Rp96 ribu, belum termasuk rugi pengisian dan biaya tambahan sesi. Selisihnya terhadap pengisian rumah sekitar Rp29 ribu sampai Rp40 ribu per pengisian penuh. Karena itu pola yang paling hemat adalah rumah untuk pemakaian harian dan SPKLU untuk perjalanan jauh. Sebelum membeli, tanyakan juga ke dealer jenis konektor AC dan DC yang dipakai mobilnya, karena tidak semua mobil dan SPKLU memakai colokan yang sama.

Biaya mengisi penuh untuk tiap model

Dengan kapasitas baterai tiap model dan dua tarif di atas, kita bisa menghitung biaya mengisi dari kosong sampai penuh. Tabel ini memakai tarif rumah Rp1.444,70 per kWh (R-1 1.300 VA) dan tarif SPKLU Rp2.475 per kWh, tanpa rugi pengisian dan tanpa biaya tambahan sesi.

Model	Baterai (kWh)	Isi penuh di rumah	Isi penuh di SPKLU
VinFast VF 3	18,64	sekitar Rp27 ribu	sekitar Rp46 ribu
BYD Atto 1 Dynamic	30,08	sekitar Rp43 ribu	sekitar Rp74 ribu
BYD Atto 1 Premium	38,88	sekitar Rp56 ribu	sekitar Rp96 ribu
Geely EX2	40,8	sekitar Rp59 ribu	sekitar Rp101 ribu
BYD M6 Standard	58	sekitar Rp84 ribu	sekitar Rp144 ribu
Geely EX5	60,22	sekitar Rp87 ribu	sekitar Rp149 ribu
Jaecoo J5 EV	60,9	sekitar Rp88 ribu	sekitar Rp151 ribu
MG S5 EV Magnify Max	62	sekitar Rp90 ribu	sekitar Rp153 ribu
Wuling Darion EV	69,2	sekitar Rp100 ribu	sekitar Rp171 ribu
BYD Sealion 7	sekitar 82,6	sekitar Rp119 ribu	sekitar Rp204 ribu
Denza D9	103,36	sekitar Rp149 ribu	sekitar Rp256 ribu

Kapasitas baterai tiap model berasal dari sumber di bagian masing-masing mobil di Bagian 3. Dua hal perlu dicatat. Pertama, kamu jarang perlu mengisi dari 0% sampai 100% setiap hari, jadi biaya per pengisian biasanya lebih kecil dari angka tabel.

Kedua, biaya per kilometer lebih berguna dari biaya per pengisian. Dengan klaim jarak pabrikan, baterai penuh di rumah menghabiskan sekitar Rp145 sampai Rp150 per kilometer untuk BYD Atto 1 dan Geely EX2, sekitar Rp190 untuk Jaecoo J5 EV dan BYD M6 Standard, dan sekitar Rp250 untuk Denza D9.

Di SPKLU, angkanya sekitar 1,7 kali lipat. Karena jarak nyata biasanya lebih pendek dari klaim, biaya nyata per kilometer lebih tinggi dari angka ini.

Berapa harga mobil listrik dan kenapa angkanya berubah-ubah

Harga mobil listrik di Indonesia berubah cepat, dan satu model bisa muncul dengan angka berbeda di dua artikel yang terbit pada bulan yang sama. Ada tiga penyebab.

Pertama, insentif pajak. Insentif PPN ditanggung pemerintah (PPN DTP) untuk mobil listrik dan keringanan bea masuk untuk mobil impor utuh (CBU) tidak berlanjut pada 2026. Listrik Indonesia memperkirakan kenaikan harga sekitar 5% sampai 15% setelah insentif dicabut (Listrik Indonesia, 1 Mei 2026). Perkiraan itu pendapat media, bukan angka resmi.

Kedua, rencana pengganti yang berkali-kali tertunda. Pemerintah merencanakan PPN DTP dengan tarif 100% untuk mobil listrik berbaterai berbasis nikel (NMC) dan 40% untuk baterai non-nikel seperti LFP (DDTCNews, 23 Juni 2026).

Waktu	Peristiwa
Rencana awal	Mulai pertengahan 2026
26 Mei 2026	Menteri Keuangan Purbaya menyatakan pelaksanaan ditunda untuk menunggu perhitungan
23 Juni 2026	Menko Perekonomian Airlangga Hartarto menyebut insentif masih dikaji

Sumber kronologi: DDTCNews, 23 Juni 2026. Status setelah tanggal itu perlu kamu cek sendiri ke Kementerian Keuangan atau dealer sebelum membeli.

Ketiga, promo dan harga peluncuran. Beberapa model dijual dengan harga khusus untuk pembeli pertama, lalu naik:

Jaecoo J5 EV naik dari Rp249,9 juta menjadi Rp279,9 juta untuk varian terendahnya (detikOto, 28 September 2026).
Wuling Darion EV dijual Rp356 juta (CE) untuk 1.500 pembeli pertama, lalu Rp399 juta pada September 2026 (detikOto; Otodriver).
Geely EX2 mulai dari Rp229,9 juta (Pro) pada masa peluncuran, lalu Rp239,9 juta (Carmudi; Moladin).

Karena itu, setiap harga di tulisan ini saya tandai dengan sumber dan tanggal. Sumbernya media dan agregator otomotif, bukan daftar harga resmi merek, jadi anggap semua harga sebagai acuan awal, bukan penawaran.

Mobil Listrik (3/3): 10 Model Terlaris dan Cara Memilih

2026-11-04T00:00:01+00:00

Daftar isi bagian ini

10 mobil listrik terlaris di Indonesia
Cara memilih mobil listrik yang tepat
Pertanyaan yang sering muncul
Penutup
Tentang tulisan ini
Sumber utama

10 mobil listrik terlaris di Indonesia

Cara saya memilih sepuluh model ini

“Populer” bisa diartikan banyak hal. Saya memakai ukuran yang bisa diperiksa: jumlah unit yang tercatat menurut Gaikindo pada periode Januari sampai September 2026, sebagaimana dilaporkan Kontan pada 12 Oktober 2026 (Kontan).

Angka Gaikindo adalah angka distribusi dari pabrik ke dealer (wholesales), bukan penjualan eceran ke konsumen akhir. GoodStats menjelaskan istilah itu sebagai “jumlah kendaraan yang dikirim dari pabrikan ke dealer” (GoodStats, 23 Juli 2026).

Jadi urutan di bawah mencerminkan pengiriman ke dealer, yang biasanya sejalan dengan pembelian tetapi tidak persis sama.

Total sepuluh model ini 89.502 unit pada sembilan bulan pertama 2026. Grafik di bawah menunjukkan sebaran per model.

Sumber: Kontan, 12 Oktober 2026, mengutip data Gaikindo. Angka wholesales, yaitu pengiriman pabrikan ke dealer. Batang oranye: peringkat pertama.

Daftar ini bisa berubah menurut periode. Pada data semester I 2026 (Januari sampai Juni), GAC Aion V dan Wuling Eksion masuk sepuluh besar, sedangkan MG S5 EV dan VinFast VF 3 belum (GoodStats). Mobil di peringkat 1 sampai 7 sama di kedua periode (GoodStats; Kontan), dengan urutan yang konsisten.

Ringkasan: harga, baterai, dan klaim jarak

Harga di tabel berikut dalam rupiah, umumnya OTR Jakarta, dan sumber tiap angka ada di bagian masing-masing model. Klaim jarak tempuh berasal dari pabrikan berdasarkan siklus uji NEDC, kecuali ada keterangan lain.

#	Model	Harga (jutaan Rp)	Baterai	Klaim jarak
1	Jaecoo J5 EV	279,9 (Standard) sampai 324,9 (Premium)	60,9 kWh	461 km
2	BYD Atto 1	199 sampai 245	30,08 sampai 38,88 kWh	300 sampai 380 km
3	Geely EX2	239,9 (Pro) sampai 269,9 (Max)	40,8 kWh LFP	395 km
4	BYD M6	395 sampai 445	58 kWh (Standard)	hingga 450 km (Standard)
5	BYD Sealion 7	629 sampai 719 (harga tercantum, ketersediaan perlu dicek)	sekitar 82,6 kWh	542 sampai 567 km
6	Wuling Darion EV	399 (CE) sampai 459 (EX)	69,2 kWh LFP	540 km (CLTC)
7	Denza D9	950	103,36 kWh	600 km
8	MG S5 EV	333,9 (harga khusus awal) sampai 410,9	62 kWh (Magnify Max)	410 sampai 545 km
9	Geely EX5	465 sampai 515	60,22 kWh	490 sampai 495 km
10	VinFast VF 3	152 (sewa baterai) sampai 215	18,64 kWh	210 km

Berikut penjelasan tiap model.

1. Jaecoo J5 EV

Jaecoo J5 EV memimpin penjualan kumulatif dengan 26.635 unit pada Januari sampai September 2026, dan tercatat 3.276 unit pada September saja (Kontan; Gaikindo). J5 EV unggul secara kumulatif, sedangkan pada September BYD Atto 1 tercatat lebih banyak dalam sebulan, yaitu 4.840 berbanding 3.276 unit.

Harga per akhir September 2026 adalah Rp279,9 juta untuk Standard dan Rp324,9 juta untuk Premium, tercantum di situs resmi Jaecoo Indonesia (detikOto, 28 September 2026). Sebelumnya harganya Rp249,9 juta dan Rp299,9 juta. Menurut detikOto, per September 2026 tidak ada lagi J5 yang dijual di bawah Rp250 juta.

Spesifikasinya: baterai 60,9 kWh, klaim 461 km (NEDC), motor 155 kW, dan pengisian DC sampai 130 kW dengan 30% ke 80% dalam 28 menit (detikOto, 28 Oktober 2025). Standard dan Premium memakai motor dan baterai yang sama, dan selisihnya ada di fitur (Listrik Indonesia, 10 Agustus 2025).

Dari tiga model terlaris, J5 EV punya klaim jarak terpanjang, dengan harga yang juga paling tinggi.

2. BYD Atto 1

BYD Atto 1 mencatat 24.749 unit pada sembilan bulan pertama 2026 dan 4.840 unit pada September, angka bulanan tertinggi di antara semua mobil listrik pada bulan itu.

Daftar harga BYD edisi September 2026 mencantumkan tiga varian: Standard Rp199 juta, Dynamic Rp210 juta, dan Premium Rp245 juta (Otodriver, 15 September 2026). Moladin pada 8 September 2026 mencatat angka yang sama (Moladin).

Varian Dynamic memakai baterai 30,08 kWh dengan klaim 300 km (NEDC), dan Premium memakai 38,88 kWh dengan klaim 380 km (Listrik Indonesia, 2 Agustus 2025). Selisih harga Dynamic ke Premium Rp35 juta membeli baterai lebih besar dan fitur tambahan.

3. Geely EX2

Geely EX2 tercatat 11.659 unit pada Januari sampai September 2026 dan 1.890 unit pada September, peringkat ke-15 dalam daftar semua model Gaikindo bulan itu (Gaikindo).

Menurut Moladin edisi 2 September 2026, EX2 Pro Rp239,9 juta dan EX2 Max Rp269,9 juta OTR Jakarta (Moladin). Pada masa peluncuran, Geely menawarkan harga khusus Rp229,9 juta untuk Pro dan Rp259,9 juta untuk Max bagi pemesan sampai 15 Februari 2026 atau 2.000 konsumen pertama, dengan harga normal Rp255 juta dan Rp285 juta OTR Jakarta (Carmudi).

Baterainya 40,8 kWh LFP, klaim 395 km (NEDC), dan motornya 85 kW (Carmudi, 21 Januari 2026).

Dalam uji Carmudi sejauh sekitar 100 km dari Jakarta ke kawasan Cibodas dan Puncak, konsumsinya rata-rata 18,1 kWh per 100 km dengan mode Sport dan Comfort, dan baterai berkurang 49% (Carmudi, 3 Februari 2026).

Baterai yang berkurang 49% untuk sekitar 100 km setara jarak sekitar 205 km per pengisian penuh, dan konsumsi 18,1 kWh per 100 km dengan baterai 40,8 kWh setara sekitar 225 km, jadi hasilnya sekitar 205 sampai 225 km. Ini hitungan saya dari satu uji jalan, bukan angka resmi, tetapi memberi gambaran bahwa jarak nyata di rute itu jauh dari klaim 395 km. Untuk mobil kota yang jarang melewati rute seperti itu, selisihnya lebih kecil.

4. BYD M6

BYD M6 adalah MPV listrik BYD dan tercatat 7.043 unit pada Januari sampai September 2026.

Daftar harga BYD September 2026: Standard Rp395 juta, Superior Rp435 juta, dan Superior Captain Seat Rp445 juta (Otodriver, 15 September 2026). Varian Standard pada 2026 mendapat baterai Blade 58 kWh dengan klaim sampai 450 km, dan tersedia dengan susunan enam atau tujuh kursi (Carmudi, 31 Juli 2026).

5. BYD Sealion 7

BYD Sealion 7 tercatat 4.266 unit pada Januari sampai September 2026. Harga yang tercantum untuk Sealion 7 adalah Rp629 juta untuk Premium dan Rp719 juta untuk Performance (Zigwheels, dibuka 4 November 2026).

Ada catatan penting soal ketersediaan. Otodriver pada September 2026 mencatat bahwa Sealion 7 tidak lagi tampil di situs resmi BYD Indonesia (Otodriver, 15 September 2026). Per 4 November 2026, halaman model BYD Indonesia memang hanya menampilkan Seal, Atto 3, M6 DM, M6, dan Atto 1 (BYD Indonesia). Alasannya tidak dijelaskan di sumber mana pun yang dikutip di sini. Kalau kamu mengincar Sealion 7, tanyakan stok dan harga terkini langsung ke dealer.

Spesifikasinya: baterai Blade sekitar 82,6 kWh, klaim 567 km untuk Premium dan 542 km untuk Performance (NEDC), dan Performance berpenggerak semua roda dengan tenaga 523 hp (Carmudi, 16 Februari 2025).

6. Wuling Darion EV

Wuling Darion EV tercatat 4.020 unit pada sembilan bulan pertama 2026. Daftar harga Wuling edisi September 2026 mencantumkan CE Rp399 juta dan EX Rp459 juta OTR Jakarta (Otodriver). Harga peluncurannya Rp356 juta untuk CE dan Rp416 juta untuk EX bagi 1.500 pembeli pertama.

Baterainya LFP 69,2 kWh, klaim 540 km berdasarkan siklus CLTC, motor 150 kW penggerak roda depan, dan susunan tujuh kursi (detikOto, 6 November 2025). CLTC dan NEDC memakai pola uji yang berbeda, jadi jangan bandingkan 540 km ini langsung dengan angka NEDC mobil lain di daftar.

7. Denza D9

Denza D9 tercatat 3.009 unit pada Januari sampai September 2026, dan merupakan satu-satunya model berharga di atas Rp900 juta di daftar ini. Harganya Rp950 juta untuk varian FWD (Otodriver, 15 September 2026), sama dengan harga peluncurannya, Rp950 juta OTR Jakarta (Listrik Indonesia, 24 Januari 2025).

Baterainya 103,36 kWh dengan klaim 600 km dan motor tunggal 308 dk, dalam susunan kursi 2+2+3 atau 2+3+3, menurut artikel peluncuran Listrik Indonesia yang sama. Artikel itu menyebut siklus ujinya “NDC”, jadi bandingkan klaim ini dengan hati-hati. Media otomotif sering menempatkannya sebagai alternatif listrik untuk MPV mewah seperti Toyota Alphard.

8. MG S5 EV

MG S5 EV tercatat 2.914 unit pada sembilan bulan pertama 2026. Harganya berubah beberapa kali sepanjang tahun, jadi saya susun jejaknya dalam satu tabel (OTR Jakarta).

Waktu	Ignite	Magnify	Magnify Max
Peluncuran, Februari 2026	Rp357,9 juta	Rp374,9 juta	Rp455,9 juta
Harga khusus 1.500 pembeli pertama	Rp333,9 juta	Rp355,9 juta	tidak disebut
Juli 2026	Rp333,9 juta	Rp355,9 juta	Rp399,9 juta sampai akhir September 2026, dari Rp410,9 juta

Sumber: Kabarbursa, 6 Februari 2026 dan Kabarbursa, 17 Juli 2026.

Promo Magnify Max sudah berakhir pada akhir September, jadi Rp410,9 juta lebih aman dipakai. Angka itu lebih rendah dari Rp455,9 juta saat peluncuran, dan artikelnya tidak menjelaskan alasannya. Ignite dan Magnify masih tertulis Rp333,9 juta dan Rp355,9 juta pada Juli, padahal itu harga khusus 1.500 pembeli pertama, jadi tanyakan apakah harga itu masih berlaku.

Klaim jarak Ignite sampai 415 km dan Magnify sampai 410 km. Magnify Max memakai baterai 62 kWh dengan motor 201,2 HP dan klaim 545 km (NEDC), menurut artikel Juli yang sama. Artikel peluncuran mencatat garansi baterai 8 tahun atau 160.000 km.

9. Geely EX5

Geely EX5 tercatat 2.760 unit pada Januari sampai September 2026. Harga OTR Jakarta menurut Moladin edisi 2 September 2026: Pro Rp465 juta sampai Rp475 juta dan Max Rp505 juta sampai Rp515 juta, tergantung apakah harga khusus masih berlaku (Moladin).

Baterainya 60,22 kWh (short blade), klaim 495 km untuk Pro dan 490 km untuk Max (NEDC), dengan pengisian cepat 30% ke 80% dalam 20 menit dan daya tahan lebih dari 3.500 siklus pengisian menurut klaim (IDX Channel, 22 Februari 2025).

Uji jalan Carmudi pada Mei 2025 dari Jakarta ke Bandung sejauh sekitar 154 km dengan tiga penumpang dan bagasi, kecepatan rata-rata sekitar 80 km/jam di tol, menghasilkan konsumsi 19,4 kWh per 100 km (Carmudi, 20 Mei 2025). Dengan baterai 60,22 kWh, itu setara sekitar 310 km per pengisian penuh, jauh di bawah klaim 490 sampai 495 km. Hitungan itu dari saya dan hanya berlaku untuk kondisi uji tersebut.

10. VinFast VF 3

VinFast VF 3 tercatat 2.447 unit pada Januari sampai September 2026. Moladin pada 8 September 2026 mencatat dua harga: Rp152 juta dengan skema sewa baterai dan Rp215 juta di luar skema sewa (Moladin). Halaman yang sama menampilkan kisaran Rp156 juta sampai Rp230,1 juta pada widget harga, jadi cek ulang angkanya ke dealer.

Dengan sewa baterai, kamu membayar harga mobil yang lebih rendah, tetapi ada biaya sewa baterai berkala dan baterai tidak otomatis menjadi milikmu. Hitung total biaya selama tiga sampai lima tahun sebelum memilih skema.

Spesifikasinya: baterai 18,64 kWh, klaim 210 km (NEDC), dan motor 32 kW (Listrik Indonesia, 31 Januari 2025).

Cara memilih mobil listrik yang tepat

Daftar di atas mengurutkan model berdasarkan penjualan, bukan kecocokan. Tabel berikut mengelompokkannya menurut kebutuhan, memakai harga dan klaim yang sudah dibahas di atas. Angkanya tetap angka klaim dan harga September 2026, jadi cek ulang sebelum memutuskan.

Kebutuhan	Model yang layak dilihat	Dasar pertimbangan
Harga masuk termurah	VinFast VF 3, BYD Atto 1	VF 3 mulai Rp152 juta dengan sewa baterai (klaim 210 km); Atto 1 Dynamic Rp210 juta (klaim 300 km)
Mobil kota dengan jarak menengah	Geely EX2, BYD Atto 1 Premium	EX2 Pro Rp239,9 juta (klaim 395 km); Atto 1 Premium Rp245 juta (klaim 380 km)
Klaim jarak terpanjang di bawah Rp350 juta	Jaecoo J5 EV	Standard Rp279,9 juta dengan klaim 461 km; MG S5 EV Ignite Rp333,9 juta (harga khusus awal, cek) dengan klaim 415 km
Keluarga enam atau tujuh kursi	BYD M6, Wuling Darion EV	M6 Standard Rp395 juta (klaim 450 km); Darion EV CE Rp399 juta (klaim 540 km, siklus CLTC)
Pengisian cepat yang diklaim singkat	Geely EX5, Jaecoo J5 EV	EX5 mengklaim 20 menit untuk 30% ke 80%, J5 EV 28 menit
Segmen premium	BYD Sealion 7, Denza D9	Sealion 7 Rp629 juta sampai Rp719 juta (ketersediaan perlu dicek); D9 Rp950 juta dengan klaim 600 km

Lima pertanyaan berikut lebih menentukan daripada peringkat penjualan.

Berapa jarak harianmu?

Hitung dulu jarak rata-rata hariannya. Kalau kamu menempuh sekitar 50 km pulang pergi, klaim 300 km BYD Atto 1 Dynamic sudah jauh di atas kebutuhan, dan kamu tidak perlu membayar mahal untuk baterai yang jauh lebih besar. Kalau kamu sering ke luar kota, jarak tempuh nyata dan kecepatan pengisian cepat jadi lebih penting dari harga.

Bisakah kamu mengisi di rumah?

Ini pertanyaan yang paling menentukan. Mengisi di rumah semalaman membuat jarak tempuh hampir tidak jadi masalah untuk pemakaian harian. Tanpa titik pengisian di rumah atau kantor, kamu bergantung penuh pada SPKLU, dan tarifnya lebih tinggi seperti dihitung di atas.

Seberapa jauh kamu percaya angka klaim?

Klaim jarak tempuh pabrikan adalah angka uji di bawah kondisi standar. Dua uji jalan di atas, yaitu Geely EX2 dan Geely EX5, menghasilkan jarak hitungan sekitar 205 sampai 225 km dan 310 km, atau sekitar 52% sampai 57% dan 63% dari klaim 395 km dan 490 sampai 495 km. Dua contoh itu bukan bukti untuk semua mobil. Konsumsi dipengaruhi kecepatan, medan, jumlah penumpang, penyejuk udara, dan mode berkendara. Perlakukan klaim sebagai batas atas, lalu sesuaikan perencanaanmu setelah tahu konsumsi nyata mobilmu.

Kapan mobil listrik belum cocok?

Ada situasi yang membuat mobil listrik kurang praktis, dan lebih jujur membahasnya sebelum membeli.

Kalau kamu tinggal di apartemen atau rumah tanpa titik pengisian dan tempat parkirmu tidak punya colokan, kamu bergantung pada SPKLU. Hitungan biaya di Bagian 2 menunjukkan SPKLU sekitar 1,7 kali lebih mahal dari rumah dan butuh waktu khusus untuk singgah. PLN dan mitranya mengoperasikan 3.007 lokasi SPKLU pada 2025.

Rute yang panjang tanpa cadangan menambah risiko: misalnya sering melewati daerah tanpa SPKLU, klaim jarak yang tampak cukup di brosur bisa menjadi tipis. Dua uji jalan Geely di atas menunjukkan jarak hitungan 52% sampai 63% dari klaim. Pada rute seperti itu, PHEV atau hybrid bisa lebih masuk akal, karena mesin bensin menutup kekurangan jarak.

Untuk anggaran yang ketat dan nilai jual kembali, ingat bahwa harga mobil listrik di Indonesia berubah cepat, seperti yang terlihat dari kenaikan harga Jaecoo J5 EV dan perubahan harga Wuling Darion EV dalam beberapa bulan.

Mobil listrik paling masuk akal ketika kamu bisa mengisi di rumah, rutemu rata-rata pendek, dan kamu menghitung biaya per tahun termasuk listrik, tidak berhenti di harga beli.

Bagaimana dengan umur baterai?

Studi Departemen Energi AS menyebut baterai bisa bertahan 12 sampai 15 tahun di iklim sedang dan 8 sampai 12 tahun di iklim berat, dan penggantiannya bisa mahal kalau baterai rusak (FuelEconomy.gov). Sumber itu tidak merinci iklim tropis, jadi pakai rentang bawah sebagai acuan hati-hati. Cek masa garansi baterai: MG, misalnya, menyebut 8 tahun atau 160.000 km untuk S5 EV.

Pertanyaan yang sering muncul

Berapa lama mengisi mobil listrik sampai penuh?

Pengisian penuh lewat AC bisa memakan 3 sampai 12 jam, tergantung kapasitas baterai dan daya charger. Pengisian cepat DC sampai 80% biasanya sekitar 20 sampai 30 menit untuk mobil yang mendukungnya.

Berapa biaya mengisi mobil listrik?

Untuk BYD Atto 1 Premium dengan baterai 38,88 kWh, mengisi penuh di rumah dengan tarif Rp1.444,70 per kWh menghabiskan sekitar Rp60 ribu sampai Rp67 ribu setelah memperhitungkan rugi pengisian. Di SPKLU dengan tarif Rp2.475 per kWh, biayanya sekitar Rp96 ribu atau lebih.

Apakah hybrid termasuk mobil listrik?

Tidak, kalau yang dimaksud mobil listrik murni. HEV dan PHEV masih memakai mesin bensin. PHEV bisa dicolok dan menempuh sekitar 32 sampai 64 km dengan listrik saja, sedangkan HEV tidak bisa dicolok sama sekali.

Apakah insentif pajak mobil listrik masih ada?

Insentif lama berakhir. Rencana PPN DTP baru (100% untuk baterai nikel, 40% untuk non-nikel) masih dikaji pada 23 Juni 2026. Cek status terbarunya ke Kementerian Keuangan atau dealer.

Apakah mobil listrik bisa dipakai mudik?

Bisa, dengan perencanaan. Pastikan baterai penuh sebelum berangkat, rencanakan titik SPKLU di sepanjang rute, dan jangan mengandalkan klaim jarak penuh. Pengisian cepat 30% ke 80% yang diklaim 20 sampai 28 menit pada Geely EX5 dan Jaecoo J5 EV membuat singgah di SPKLU relatif singkat, tetapi antrean dan SPKLU yang sedang rusak tetap mungkin terjadi.

Penutup

Mobil listrik sudah masuk jajaran model terlaris di Indonesia pada 2026, tetapi memilihnya tidak cukup dengan membandingkan harga. Untuk pemakaian dalam kota dengan titik pengisian di rumah, BYD Atto 1, Geely EX2, dan Jaecoo J5 EV memberi jarak tempuh klaim yang cukup di kisaran Rp200 jutaan sampai Rp300 jutaan. Untuk keluarga besar, BYD M6 dan Wuling Darion EV menawarkan kursi lebih banyak. Untuk perjalanan antarkota, kecepatan pengisian cepat dan ketersediaan SPKLU lebih menentukan daripada angka kapasitas baterai.

Sebelum membeli, tanyakan tiga hal ke dealer: harga OTR terbaru dengan semua biaya, konektor pengisian yang dipakai mobilnya, dan masa garansi baterai. Ketiganya menentukan biaya sebenarnya, dan tidak bisa dibaca dari brosur saja.

Tentang tulisan ini

Saya Mahyuddin Susanto, penulis blog ini. Latar belakang saya di jaringan dan infrastruktur TI, bukan otomotif (profil lengkap ada di halaman About), jadi artikel ini adalah rangkuman dari sumber publik yang dikutip di dalam teks, ditambah hitungan dari data sumber itu. Saya tidak menguji mobilnya sendiri. Kalau kamu menemukan angka yang sudah berubah atau keliru, kirim lewat halaman Contact. Angka yang terbukti berubah akan saya perbarui di artikel ini dan tanggalnya saya catat.

Sumber utama

Gaikindo, 20 model mobil terlaris September 2026, 25 Oktober 2026
Kontan, 10 mobil listrik terlaris hingga September 2026, 12 Oktober 2026
GoodStats Data, 10 mobil listrik terlaris semester I 2026, 23 Juli 2026
U.S. Department of Energy, Alternative Fuels Data Center dan FuelEconomy.gov
Metro TV, tarif listrik PLN akhir Oktober 2026, 29 Oktober 2026
Okezone, tarif cas mobil listrik di SPKLU tol, 18 Maret 2026
Kontan, PLN operasikan 4.655 SPKLU sepanjang 2025, 8 Februari 2026
DDTCNews, PPN DTP kendaraan listrik belum dirilis, 23 Juni 2026
Otodriver, daftar harga BYD dan Wuling, September 2026
Moladin, harga OTR Geely dan mobil listrik termurah, September 2026
Kabarbursa, MG S5 EV, 6 Februari dan 17 Juli 2026
detikOto, harga Jaecoo J5 naik, 28 September 2026, spesifikasi J5 EV, 28 Oktober 2025, dan spesifikasi Wuling Darion, 6 November 2025
Listrik Indonesia, Atto 1 (2 Agustus 2025), Jaecoo J5 EV (10 Agustus 2025), Denza D9 (24 Januari 2025), VinFast VF 3 (31 Januari 2025), dan insentif pajak (1 Mei 2026)
Carmudi, Geely EX2 (21 Januari 2026), uji EX2 (3 Februari 2026), uji EX5 (20 Mei 2025), BYD M6 (31 Juli 2026), dan BYD Sealion 7 (16 Februari 2025)
IDX Channel, spesifikasi Geely EX5, 22 Februari 2025
Foto hero: JUICE di Unsplash, dipotong ke 1200 x 630
IEA, Global EV Outlook 2026; BPK, Perpres 55/2019 dan Perpres 79/2023
Zigwheels, harga BYD Sealion 7, dan BYD Indonesia, keduanya dibuka 4 November 2026

Jenis Konektor Fiber Optic: SC, LC, FC, ST, MPO, VSFF

2026-11-03T00:00:00+00:00

Pegang patch cord fiber dari laci, lalu lihat ujungnya. Bentuknya bisa persegi, bisa kecil berpasangan, bisa bulat berulir. Semuanya tugasnya sama: mempertemukan dua inti serat sehingga cahaya lewat dengan rugi sekecil mungkin. Yang beda adalah ukuran, cara kopling, dan tempat konektor itu cocok dipakai.

Tulisan ini merangkum jenis konektor fiber optic yang paling sering ketemu di lapangan, mulai dari SC dan LC sampai konektor VSFF untuk transceiver 400G/800G. Saya juga bahas perbedaan UPC dan APC yang sering bikin salah beli, arti kode warna, dan angka insertion loss yang boleh dijadikan pegangan.

Key Takeaways

Dua hal yang membedakan konektor: ukuran ferrule (2,5 mm untuk SC, FC, ST; 1,25 mm untuk LC dan MU) dan cara koplingnya.

UPC (biru) dan APC (hijau) tidak boleh dikawinkan langsung. Kalau polish-nya harus ganti, pakai patch cord hibrida.

Warna konektor membantu, tapi tanda cetak di kabel lebih bisa dipercaya.

Untuk densitas tinggi, LC adalah titik awal. MPO/MTP dan VSFF (SN, MDC) masuk saat port-nya sudah 400G/800G.

Apa yang membedakan satu konektor dari yang lain?

Sebuah konektor fiber memegang serat di dalam ferrule, yaitu tabung kecil dengan lubang tepat di tengah. Dua ferrule dipertemukan di dalam adapter, dan kualitas pertemuan itulah yang menentukan loss. Ada tiga hal yang membedakan konektor.

Pertama, diameter ferrule. SC, FC, dan ST memakai ferrule 2,5 mm, sedangkan LC dan MU memakai 1,25 mm sehingga bodinya bisa jauh lebih kecil (FOA, Connector Identifier). Kedua, mekanisme kopling: snap-in (SC), bayonet (ST), ulir (FC), atau push-on dengan pin pemandu (MPO). Ketiga, polish ujung ferrule, rata (PC/UPC) atau miring 8 derajat (APC), yang saya bahas tersendiri di bawah.

Konektor satu ukuran 2,5 mm: SC, FC, ST

SC dipakai luas dan tersedia dalam bentuk duplex. Koplingnya snap-in dengan gerakan push-pull, dan menurut FOA konektor ini distandardisasi di TIA-568-A, edisi lama (nilai loss di bawah merujuk TIA-568.3-E).

FC memakai ulir. Dulu populer untuk singlemode, sekarang sebagian besar sudah digantikan SC dan LC. Kalau kamu ketemu FC, kemungkinan besar itu instalasi lama.

ST memakai kopling bayonet dengan ferrule 2,5 mm, biasanya keramik. FOA mencatat ST sebagai konektor multimode paling populer sampai sekitar tahun 2005. Nama ST juga merek dagang AT&T.

Konektor kecil 1,25 mm: LC dan MU

LC (FOA menyebutnya “Lucent LC”) memakai ferrule 1,25 mm, sehingga bisa dipasang jauh lebih rapat daripada SC. FOA mencatat konektor small form factor mulai naik pada akhir 1990-an, dan LC kini jadi pilihan utama untuk singlemode di telco serta LAN/SAN berkecepatan tinggi.

MU juga berferrule 1,25 mm, bentuknya mirip SC versi mini. Konektor ini populer di Jepang dan Asia Timur, jadi di Indonesia jarang ketemu.

MPO/MTP: banyak serat dalam satu konektor

MPO memuat 12 atau 16 serat dalam satu ferrule plastik yang berbentuk baris. Kopling-nya push-on, dan keselarasan dijaga oleh pin di salah satu ferrule yang masuk ke lubang di ferrule lawannya (FOA). “MTP” adalah nama komersial untuk konektor jenis ini.

Konektor ini biasa dijual dalam bentuk kabel preterminated, dan dipakai untuk paralel optik seperti multimode 40G/100G.

Yang sering bikin bingung ada tiga. Pertama, gender: male punya dua pin pemandu dan female punya lubang untuk pin itu. Menurut AMPCOM, male ke male bisa merusak kedua ferrule, jadi satu sisi harus male dan sisi lain female.

Kedua, polaritas. Ada tipe A (lurus, posisi 1 ke 1), tipe B (terbalik penuh, 1 ke 12), dan tipe C (pair-flipped). Ringkasan ini dari AMPCOM Tech Lab, blog vendor, jadi anggap sebagai gambaran awal. Untuk desain sungguhan, rujuk TIA-568.3 atau panduan vendor kabel yang kamu pakai.

Ketiga, hubungan pin dan key. Sumber yang saya baca tidak sepakat soal aturannya, jadi cek dokumentasi produk yang kamu beli dan jangan menghafal satu aturan umum.

Konektor VSFF untuk 400G dan 800G: SN dan MDC

Panel 19 inci makin padat, jadi muncul keluarga very small form factor (VSFF). Dua yang terdokumentasi paling jelas adalah SN dan MDC. Keduanya berisi dua ferrule keramik berpegas 1,25 mm berbasis teknologi LC. Menurut Rosenberger OSI, SN adalah Senko Nano dari SENKO, sedangkan MDC (Miniature Duplex Connector) dari US Conec.

Menurut Rosenberger OSI, konektor VSFF muat hingga 128 port per rack unit di panel 19 inci, dibanding maksimum 96 port untuk LC duplex. Versi SN Quad dan MDC Quad dipakai untuk 400G DR4 dan 800G DR4 sampai sekitar 500 m.

Satu peringatan praktis: ferrule 1,25 mm yang sama bukan berarti housing dan adapternya cocok. Jangan asumsikan konektor VSFF yang berbeda bisa saling dikawinkan.

UPC vs APC: jangan dicampur

Polish ujung ferrule menentukan seberapa banyak cahaya yang memantul balik ke sumber. Menurut L-com (28 Oktober 2026):

UPC punya return loss sekitar 50 dB atau lebih baik. Polish PC yang lebih lama sekitar 40 dB.
APC dipoles dengan sudut 8 derajat, sehingga cahaya pantul diarahkan ke cladding dan tidak balik ke laser. Return loss-nya sekitar 60 dB atau lebih baik.
Pada singlemode, UPC berwarna biru dan APC berwarna hijau.

Menurut L-com juga, APC jadi standar untuk PON/FTTx, terutama bila ada overlay video RF 1550 nm (biasanya SC APC), plus RF over fiber, CATV, dan DAS.

Jangan pernah mengawinkan UPC dengan APC. Menurut L-com, sudut ferrule-nya tidak pas, sehingga ada celah udara yang menambah beberapa dB loss, dan ferrule bisa rusak. Untuk berpindah antar-polish, pakai patch cord hibrida APC-ke-UPC. Adapter tidak menyelesaikan masalah ini.

Kode warna: bantu, tapi jangan dijadikan satu-satunya pegangan

Berdasarkan FOA, Fiber Optic Cable And Connector Color:

Jenis serat	Warna
Singlemode PC/UPC	Biru
Singlemode APC	Hijau
Multimode OM1 (62,5/125)	Beige
Multimode OM2 (50/125)	Konektor hitam, jaket oranye
Multimode OM3/OM4	Aqua
Multimode OM5	Lime

Warna lime untuk jaket kabel OM5 diresmikan lewat ANSI/TIA-598-D-2 pada Januari 2018 (CommScope). Hati-hati: L-com mencatat lime OM5 bisa terlihat seperti hijau APC di cahaya redup. Warna violet untuk OM4 yang kadang ditemui adalah konvensi pabrikan, bukan warna standar TIA-598.

FOA sendiri mengingatkan bahwa pewarnaan konektor tidak seragam antarpabrikan. Cek tanda cetak di jaket kabel sebelum menyimpulkan jenis serat dari warna konektornya.

Berapa loss yang wajar?

Fluke Networks menulis bahwa TIA menetapkan 0,75 dB sebagai batas maksimum worst-case untuk satu pasangan konektor, dan menyebut angka itu “cukup tinggi dan kurang realistis” (Fluke, 18 April 2018). Nilai tipikal yang disebut Fluke di artikel yang sama jauh lebih rendah:

Kelas konektor	Insertion loss tipikal
Standar	0,3 sampai 0,5 dB
Low loss	0,15 sampai 0,2 dB

Untuk pengukuran dengan kabel referensi, Fluke KB mencatat nilai yang selaras TIA-568.3-E untuk sambungan reference ke standard: singlemode 0,50 dB. Nilai multimode (0,30 dB dan 0,50 dB) tergantung versi dan konfigurasi pengukuran, jadi baca artikel Fluke-nya sebelum memakainya. Untuk pasangan konektor reference-grade, Fluke menyebut maksimum 0,10 dB untuk multimode dan 0,20 dB untuk singlemode.

Satu peringatan: jangan memetakan 0,75 dB TIA ke “Grade B” atau “Grade C” di IEC 61753-1. Grade IEC adalah statistik untuk sambungan acak, bukan batas lulus-gagal seperti TIA.

Kebersihan ujung konektor

Loss atau return loss yang jelek tidak selalu salah jenis konektor. Bisa juga debu. Partikel di permukaan ferrule menghalangi cahaya atau menimbulkan pantulan.

Langkahnya sederhana: inspeksi dulu dengan scope sebelum mengawinkan konektor, bersihkan kalau kotor, dan pasang tutup debu saat konektor tidak dipakai.

Cara memilih

Kebutuhan	Konektor yang biasanya cocok
Jaringan akses FTTH/PON	SC APC (hijau) atau LC APC
Patch panel dan transceiver dengan port duplex kecil	LC duplex
Instalasi lama	FC atau ST
Backbone paralel optik 40G/100G	MPO/MTP
Port 400G/800G berdensitas tinggi	SN atau MDC (VSFF), sesuai transceiver

Aturan praktisnya: pilih konektor mengikuti port perangkat, lalu pilih polish mengikuti jenis layanan, dan terakhir cocokkan warna dengan jenis serat. Kalau ragu, baca datasheet transceiver atau ODF yang akan dipakai sebelum memesan patch cord.

Konektor APC dipakai di PON/FTTx (lihat bagian UPC vs APC di atas). Untuk melihat posisinya dalam arsitektur jaringan PON, baca Mengenal GPON. Kondisi internet rumah berbasis fiber di Indonesia saya bahas di target 100 Mbps fixed broadband.

Sumber

Hampir semua sumber di bawah adalah dokumentasi vendor atau asosiasi industri (FOA). Standar TIA dan IEC berbayar, jadi saya merujuknya lewat sumber-sumber ini dan bukan membaca dokumennya langsung. Untuk desain atau pengadaan, cek ke dokumen standar dan datasheet produknya.

FOA, Connector Identifier
FOA, Fiber Optic Cable And Connector Color
L-com, APC vs UPC Fiber Connectors (28 Oktober 2026)
Fluke Networks, Cable Testing 101: But the Standard Says 0.75 dB! (18 April 2018)
Fluke Networks, New Loss Budget Values for Reference Grade Connectors (20 Februari 2019)
CommScope, Call me a limey (9 Maret 2018)
Rosenberger OSI, VSFF connector in 400 and 800 Gigabit applications
AMPCOM Tech Lab, MPO/MTP Polarization Types Explained (10 Juli 2026, blog vendor)

Penulis: Mahyuddin Susanto. Koreksi atau tambahan bisa dikirim lewat halaman kontak.

udienz blog

Penyadapan Presiden Bukan Hal Baru: Menelusuri Jejaknya dari Watergate hingga Istana

Delapan kasus dalam satu tabel

Watergate dan Moorer-Radford: ketika Gedung Putih jadi medan pengintaian

SBY 2009: ponsel presiden dalam daftar intelijen tetangga

Merkel dan Rousseff 2013: “memata-matai teman itu tidak bisa diterima”

Macron 2021: dari kabel ke spyware

Yunani 2004-2005: fitur penyadapan sah yang dibajak

Kasus 2026: alat sah dan akses dari dalam

Dari penyadapan ilegal ke dugaan makar

Pelakunya sekutu, mitra, atau orang dalam

Kenapa terus berulang

Menghidupkan Planet Ubuntu-ID dengan Python 3 dan Cloudflare

Kenapa kode lama tidak bisa dipakai

Membersihkan daftar feed

Deploy ke Cloudflare

Pendaftaran anggota baru

Cara Mendapat A+ di SSL Labs dengan Apache (Panduan 2026)

Cara SSL Labs memberi nilai

Cek versi Apache dan OpenSSL dulu

Langkah 1: Sertifikat dan full chain

Langkah 2: Aktifkan modul dan atur TLS secara global

Langkah 3: Virtual host, HSTS, dan redirect HTTP

Kenapa harus Header always set

Langkah 4: Waspadai virtual host yang menimpa pengaturan global

Langkah 5: OCSP stapling dan Let’s Encrypt

Langkah 6: Jebakan configtest

Langkah 7: Uji di lokal, lalu jalankan SSL Labs

Troubleshooting: arti pesan di laporan dan cara memperbaikinya

Opsional: HSTS preload

Konfigurasi lengkap

Sumber

How to Get an A+ on SSL Labs with Apache httpd (2026 Guide)

How SSL Labs grades your server

Check your Apache and OpenSSL versions first

Step 1: Get a certificate and serve the full chain

Step 2: Enable the modules and set TLS globally

Step 3: The virtual hosts, HSTS and the HTTP redirect

Why Header always set matters

Step 4: Watch for virtual hosts that override the global settings

Step 5: OCSP stapling and Let’s Encrypt

Step 6: The configtest trap

Step 7: Test locally, then run SSL Labs

Troubleshooting: what the report says and how to fix it

Optional: HSTS preload

The complete config

Sources

Cara Mendapat A+ di SSL Labs dengan nginx (Panduan 2026)

Cara SSL Labs memberi nilai

Cek versi nginx dan OpenSSL dulu

Langkah 1: Sertifikat dan full chain

Langkah 2: Taruh pengaturan TLS di satu file bersama

Langkah 3: Server block, HSTS, dan redirect HTTP

Langkah 4: OCSP stapling dan Let’s Encrypt

Langkah 5: Hindari jebakan add_header

Langkah 6: Uji di lokal, lalu jalankan SSL Labs

Troubleshooting: arti pesan di laporan dan cara memperbaikinya

Opsional: HSTS preload

Konfigurasi lengkap

Sumber

How to Get an A+ on SSL Labs with nginx (2026 Guide)

How SSL Labs grades your server

Check your nginx and OpenSSL versions first

Step 1: Get a certificate and serve the full chain

Step 2: Put the TLS settings in one shared file

Step 3: The server blocks, HSTS and the HTTP redirect

Step 4: OCSP stapling and Let’s Encrypt

Step 5: Avoid the add_header trap

Step 6: Test locally, then run SSL Labs

Troubleshooting: what the report says and how to fix it

Optional: HSTS preload

The complete config

Sources

Mobil Listrik (1/3): Pengertian dan Jenis-Jenisnya

Apa itu mobil listrik?

Kenapa orang beralih

Skala globalnya

Jenis-jenis mobil listrik

Pembanding: mobil konvensional (ICE)

BEV: mobil listrik murni

Kenapa harus `Header always set`

Why `Header always set` matters