Kunci delapan CA perantara eMudhra ternyata lemah. Browser besar memblokirnya dalam hitungan hari, dan sekitar 30.000 sertifikat harus diganti.
Pertengahan Oktober 2026, salah satu penerbit sertifikat SSL — eMudhra, otoritas sertifikat (CA) asal India — mengalami insiden serius: kunci privat milik delapan CA perantara-nya ternyata lemah. Dalam hitungan hari, Google, Apple, Microsoft, dan Mozilla memblokir rantai sertifikat tersebut. Bagi pemilik website, artinya sederhana: sertifikat dari jalur itu kini memunculkan peringatan "tidak aman" di browser.
Kenapa kunci yang lemah berbahaya
Setiap sertifikat SSL ditandatangani oleh CA. Browser memercayai sertifikat karena memercayai CA yang menandatanganinya — rantai kepercayaan yang berujung di root yang tersimpan di browser dan sistem operasi. CA perantara (intermediate) adalah mata rantai di tengah yang dipakai sehari-hari untuk menandatangani sertifikat pelanggan.
Bila kunci CA perantara lemah, pihak lain berpotensi memalsukan tanda tangan CA tersebut dan menerbitkan sertifikat palsu untuk domain apa pun. Karena itu browser tidak menunggu bukti penyalahgunaan: kepercayaan dicabut lebih dulu, baru diselidiki.
Kronologi
| Tanggal | Kejadian |
|---|---|
| 17 Okt 2026 | Kunci delapan CA perantara eMudhra ditemukan lemah. Chrome memblokirnya lewat CRLSet pada hari yang sama. |
| 19–20 Okt 2026 | Android, Apple, dan Microsoft ikut memblokir. |
| 20 Okt 2026 | Google mengumumkan root emSign ECC Root CA – G3 dikeluarkan dari Chrome Root Store. Mozilla juga mengeluarkannya. |
| 22 Okt 2026 | eMudhra menyatakan keluar dari bisnis sertifikat TLS global; sekitar 30.000 sertifikat perlu diganti. |
| 27 Okt 2026 | Penghapusan root mulai berlaku di perangkat pengguna Chrome. |
Rincian teknis dan langkah Google dijelaskan di blog keamanan Google. Google juga menyebut sedang meninjau root eMudhra yang lain, sehingga pemblokiran bisa meluas.
Dampaknya bagi website dan aplikasi
- Pengunjung melihat peringatan "koneksi tidak aman" dan sebagian besar akan langsung pergi.
- Transaksi dan formulir gagal, karena browser menolak mengirim data ke situs yang tidak tepercaya.
- Aplikasi dan integrasi API berhenti: aplikasi seluler, webhook, dan layanan server-ke-server biasanya menolak sambungan tanpa peringatan apa pun.
- Email bisa ikut terdampak bila server email Anda memakai sertifikat yang sama.
Cara memeriksa sertifikat Anda
- Buka website Anda di browser, klik ikon gembok di bilah alamat, lalu buka detail sertifikat.
- Lihat bagian Issued by / Penerbit. Bila tertulis eMudhra atau emSign, sertifikat Anda terdampak.
- Ulangi untuk setiap subdomain (mis.
toko.,api.,mail.) — sertifikat di subdomain sering terlupa. - Pesan sertifikat pengganti dari CA lain, pasang, lalu uji ulang di beberapa browser.
Pelajaran yang lebih luas
Insiden seperti ini jarang terjadi, tetapi bukan yang pertama. Aturan Chrome Root Program terus diperketat — termasuk kewajiban otomasi penerbitan bagi CA mulai 2027. Pemilik website paling aman bila perpanjangan dan penggantian sertifikat sudah otomatis, sehingga berganti CA cukup dengan mengubah satu pengaturan.
Pertanyaan umum
Apakah sertifikat gratis (Let's Encrypt) terdampak? Tidak. Let's Encrypt adalah CA terpisah dan tidak terkait insiden ini.
Apakah sertifikat dari Resmi.ID terdampak? Tidak. Sertifikat yang dijual Resmi.ID tidak diterbitkan oleh eMudhra. Bila Anda butuh pengganti dari penyedia lain, lihat pilihan di halaman SSL.
Sumber
- Protecting Chrome and Android users from compromised eMudhra intermediate CA certificates — Google — blog.google
- Check your certificates before October 27: Chrome is removing an eMudhra root — SSL.com — ssl.com
- Chrome Root Program Policy — Google — googlechrome.github.io
Ditulis berdasarkan sumber di atas per 31 Oktober 2026. Kebijakan dan angka dari pihak ketiga bisa berubah — periksa sumber aslinya untuk kabar terbaru.
Semua berita