udienz blog

Cara Mendapat A+ di SSL Labs dengan Apache (Panduan 2026)

2026-11-05T00:00:00+00:00

Untuk dapat A+ di SSL Labs Server Test dari Qualys dengan Apache httpd, syaratnya sama dengan web server lain: hanya TLS 1.2 dan TLS 1.3, cipher ECDHE dengan AEAD (GCM atau ChaCha20-Poly1305), sertifikat dikirim bersama chain lengkapnya, header HSTS dengan max-age minimal enam bulan, dan konfigurasi yang sama di semua alamat IP hostname tersebut. Di Apache, ada dua hal yang menentukan berhasil atau tidaknya: header HSTS harus memakai Header always set, bukan Header set, dan virtual host yang punya SSLProtocol atau SSLCipherSuite sendiri akan diam-diam mengalahkan pengaturan global.

Tulisan ini memberi konfigurasi yang bisa langsung dipasang di Apache Debian atau Ubuntu, menjelaskan tiap barisnya, dan menunjukkan cara mengecek hasilnya sebelum menjalankan SSL Labs.

Konfigurasi di bawah sudah diuji di Apache 2.4.69 dengan OpenSSL 3.5.7, memakai layout /etc/apache2 bawaan Debian 13 dengan modul, tls.conf, dan file site dari tulisan ini diaktifkan, lalu dicek dengan openssl s_client dan curl.

Read in English: How to Get an A+ on SSL Labs with Apache httpd. Pakai nginx? Lihat Cara Mendapat A+ di SSL Labs dengan nginx.

Daftar isi

Cara SSL Labs memberi nilai
Cek versi Apache dan OpenSSL dulu
Langkah 1: Sertifikat dan full chain
Langkah 2: Aktifkan modul dan atur TLS secara global
Langkah 3: Virtual host, HSTS, dan redirect HTTP
- Kenapa harus Header always set
Langkah 4: Waspadai virtual host yang menimpa pengaturan global
Langkah 5: OCSP stapling dan Let’s Encrypt
Langkah 6: Jebakan configtest
Langkah 7: Uji di lokal, lalu jalankan SSL Labs
Troubleshooting: arti pesan di laporan dan cara memperbaikinya
Opsional: HSTS preload
Konfigurasi lengkap
Sumber

Cara SSL Labs memberi nilai

SSL Labs menilai dukungan protokol (30%), key exchange (30%), dan kekuatan cipher (40%), lalu memberlakukan batas atas (cap) untuk masalah tertentu. A+ adalah bonus untuk server ber-grade A tanpa warning. Aturan yang berlaku sekarang adalah versi 2009r dari SSL Server Rating Guide, tertanggal 16 Mei 2025. Batas-batas yang relevan untuk server Apache pada umumnya:

Masalah	Grade maksimal
SSLv2, SSLv3 sebagai protokol terbaik, cipher export, bug sekelas Heartbleed	F
Tidak mendukung TLS 1.2	C
TLS 1.0 atau TLS 1.1 aktif	B
Tanpa forward secrecy (tanpa ECDHE/DHE)	B
Tanpa cipher AEAD (GCM atau ChaCha20-Poly1305)	B
Chain sertifikat tidak lengkap	B
Key atau parameter DH di bawah 2048 bit	B
Tidak mendukung TLS 1.3	A-
HSTS tidak ada atau tidak valid	A-

Untuk A+, panduan itu mensyaratkan konfigurasi tanpa warning dan HSTS dengan max-age minimal enam bulan (15768000 detik). Sejak revisi Mei 2025, sekadar dapat A pun butuh TLS 1.3 sekaligus header HSTS yang valid, dan TLS_FALLBACK_SCSV tidak dihitung lagi.

Sertifikat ECDSA P-256 atau RSA 2048 sudah cukup. Nilai key exchange-nya 90 dan tetap dapat A+.

Cek versi Apache dan OpenSSL dulu

apache2 -v
apache2ctl -M | grep -e ssl -e headers -e rewrite -e http2

Versi OpenSSL yang dipakai Apache tercetak di error log saat start, di baris seperti Apache/2.4.69 (Debian) OpenSSL/3.5.7 configured -- resuming normal operations.

Fitur	Butuh
TLS 1.3 (dan baris `SSLCipherSuite TLSv1.3 ...`)	Apache 2.4.37+ dengan OpenSSL 1.1.1+ (dukungan TLS 1.3 tercatat di 2.4.36, versi yang tidak pernah dirilis)
Intermediate di `SSLCertificateFile` (tanpa `SSLCertificateChainFile`)	Apache 2.4.8+
`SSLOpenSSLConfCmd` (dipakai di sini untuk mengatur kurva)	Apache 2.4.8+ dengan OpenSSL 1.0.2+
`Protocols h2 http/1.1` (HTTP/2)	Apache 2.4.17+
`SSLProtocol` per virtual host dihormati saat ada SNI	Apache 2.4.42+ dengan OpenSSL 1.1.1+
Grup hybrid post-quantum `X25519MLKEM768`	OpenSSL 3.5+

Langkah 1: Sertifikat dan full chain

Dengan Let’s Encrypt dan Certbot, ambil sertifikatnya saja, lalu tulis konfigurasi TLS sendiri:

sudo certbot certonly --apache -d example.com -d www.example.com

Certbot 2.0 ke atas membuat key ECDSA secara default.

Arahkan Apache ke fullchain.pem:

SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

Sejak Apache 2.4.8, SSLCertificateFile boleh berisi sertifikat intermediate setelah sertifikat utama, dan dokumentasi mod_ssl menyebut SSLCertificateChainFile sudah usang. Kalau SSLCertificateFile diarahkan ke cert.pem dan chain file dibuang, intermediate-nya hilang. Browser sering melengkapinya sendiri, tapi SSL Labs akan menulis “Chain issues: Incomplete” dan membatasi grade di B.

Kalau memakai installer Certbot (certbot --apache tanpa certonly), ia menambahkan Include /etc/letsencrypt/options-ssl-apache.conf di dalam virtual host. File itu mengatur protokol dan cipher sendiri, dan karena letaknya di virtual host, ia mengalahkan file global dari Langkah 2. Hapus baris include itu, tapi lihat dulu apa lagi yang diatur file tersebut: options-ssl-apache.conf versi sekarang diawali SSLEngine on. Cek dengan grep -n SSLEngine /etc/letsencrypt/options-ssl-apache.conf dan, kalau ada, tambahkan SSLEngine on ke virtual host itu sendiri. Tanpa baris itu, Apache melayani HTTP biasa di port 443 tanpa pesan error.

Langkah 2: Aktifkan modul dan atur TLS secara global

Aktifkan modul yang dipakai di tulisan ini:

sudo a2enmod ssl headers rewrite http2

a2enmod ssl sekaligus mengaktifkan socache_shmcb untuk session cache. Di Debian 13, /etc/apache2/mods-available/ssl.conf bawaan lalu berisi baris-baris ini (komentar dibuang):

SSLSessionCache     shmcb:${APACHE_RUN_DIR}/ssl_scache(512000)
SSLSessionCacheTimeout  300
SSLCipherSuite HIGH:!aNULL
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
SSLSessionTickets off

Protokolnya sudah benar. Daftar cipher-nya yang terlalu longgar. Dengan pengaturan bawaan saja, server tes masih menerima suite CBC, key exchange RSA biasa tanpa forward secrecy, dan DHE:

-cipher 'ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA'  ->  Cipher is ECDHE-ECDSA-AES128-SHA
-cipher 'AES256-GCM-SHA384'                            ->  Cipher is AES256-GCM-SHA384
-cipher 'DHE-RSA-AES256-GCM-SHA384'                    ->  Cipher is DHE-RSA-AES256-GCM-SHA384

SSL Labs menandai suite CBC dan RSA biasa dengan label WEAK di daftar cipher-nya, dan TLSRef tidak memasukkan DHE sama sekali. Tidak ada alasan untuk tetap menawarkan semuanya. Rilis lain bisa punya nilai bawaan berbeda, jadi cek punya Anda dengan grep -v '^\s*#' /etc/apache2/mods-available/ssl.conf.

Biarkan ssl.conf apa adanya, lalu taruh pengaturan di /etc/apache2/conf-available/tls.conf:

# Pengaturan TLS untuk semua virtual host HTTPS (konteks server config)
SSLProtocol             -all +TLSv1.2 +TLSv1.3

# OpenSSL 3.5+: grup hybrid post-quantum di depan.
# Di OpenSSL 3.0-3.4, hapus X25519MLKEM768 dari daftar ini.
SSLOpenSSLConfCmd       Curves X25519MLKEM768:X25519:prime256v1:secp384r1

# TLS 1.2: hanya key exchange ECDHE + AEAD. TLS 1.3: tiga suite standar.
SSLCipherSuite          ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLCipherSuite          TLSv1.3 TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
SSLHonorCipherOrder     off
SSLSessionTickets       off

Aktifkan:

sudo a2enconf tls

apache2.conf di Debian membaca mods-enabled/*.conf lebih dulu dan conf-enabled/*.conf belakangan. Untuk directive-directive ini, nilai global yang datang belakangan menggantikan yang sebelumnya, jadi tls.conf menang atas ssl.conf tanpa perlu mengedit file itu. Di server tes, ketiga suite lemah di atas ditolak begitu tls.conf aktif.

Penjelasan per baris:

SSLProtocol -all +TLSv1.2 +TLSv1.3 mulai dari kosong dan hanya mengizinkan TLS 1.2 dan 1.3. TLS 1.0 atau 1.1 membuat grade mentok di B; tanpa TLS 1.3 mentok di A-.
SSLOpenSSLConfCmd Curves meneruskan daftar grup key exchange ke OpenSSL. Daftarnya diambil dari TLSRef guideline 6.0, penerus Server Side TLS guidelines dari Mozilla, dan sama dengan yang dihasilkan TLSRef Configurator untuk Apache. X25519MLKEM768 menggabungkan X25519 dengan algoritma post-quantum ML-KEM; klien yang belum mendukungnya turun ke X25519.
SSLCipherSuite pertama hanya berisi suite ECDHE dengan GCM atau ChaCha20-Poly1305: forward secrecy dan AEAD, tidak ada yang lain. Menurut TLSRef, klien tertua yang masih bisa tersambung adalah Firefox 31, Chrome 49, Safari 9, Android 4.4.2, IE 11 di Windows 10, dan Java 8u161.
SSLCipherSuite TLSv1.3 ... mengatur suite TLS 1.3. Ketiganya memang default OpenSSL; baris ini membuatnya eksplisit.
SSLHonorCipherOrder off membiarkan klien memilih dari daftar. Semua pilihan sudah kuat, dan ponsel tanpa akselerasi AES di hardware akan memilih ChaCha20.
SSLSessionTickets off. Dokumentasi mod_ssl memperingatkan bahwa ticket yang dipakai tanpa me-restart web server secara berkala (misalnya harian) merusak forward secrecy. Apache tidak merotasi key ticket sendiri, jadi TLSRef mematikannya. Session resumption tetap jalan lewat session cache shmcb dari ssl.conf.
Tanpa parameter DH. Daftar cipher tidak berisi suite DHE, jadi parameter DH tidak perlu ditambahkan ke file sertifikat.

Langkah 3: Virtual host, HSTS, dan redirect HTTP

Buat /etc/apache2/sites-available/example.com.conf:

<VirtualHost *:80>
    ServerName example.com
    ServerAlias www.example.com

    RewriteEngine On
    RewriteCond %{REQUEST_URI} !^/\.well-known/acme-challenge/
    RewriteRule ^.*$ https://%{HTTP_HOST}%{REQUEST_URI} [R=308,QSA,L]
</VirtualHost>

<VirtualHost *:443>
    ServerName example.com
    ServerAlias www.example.com
    DocumentRoot /var/www/example.com

    SSLEngine on
    SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

    Protocols h2 http/1.1

    # HSTS: 2 tahun. "always" juga mengirimnya di redirect dan halaman error.
    Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"
</VirtualHost>

Lalu aktifkan site-nya dan reload:

sudo a2ensite example.com
sudo apache2ctl configtest && sudo systemctl reload apache2

Baris RewriteCond membiarkan /.well-known/acme-challenge/ tetap di HTTP biasa, supaya validasi HTTP-01 Let’s Encrypt dijawab langsung di port 80, tanpa bergantung pada redirect dan konfigurasi HTTPS. Redirect-nya 308, sama dengan config TLSRef.

Kenapa harus `Header always set`

mod_headers menyimpan dua daftar header respons. Daftar default (onsuccess) dipakai untuk respons normal; dokumentasi mod_headers menyebut bahwa untuk respons non-2xx yang dibuat server sendiri, seperti redirect, hanya daftar always yang dipakai.

Di server tes, dengan Header set alih-alih Header always set dan baris Redirect 302 /old / di virtual host *:443:

GET /      ->  HTTP/2 200   strict-transport-security: max-age=63072000; includeSubDomains
GET /old   ->  HTTP/2 302   (tanpa header HSTS)
GET /nope  ->  HTTP/2 404   (tanpa header HSTS)

Dengan Header always set, ketiga respons membawa header itu. Ini paling terasa kalau halaman utama Anda me-redirect, misalnya / ke /en/ atau ke halaman login: respons HTTPS pertama yang diterima pengunjung adalah redirect itu, dan tanpa always ia tidak membawa HSTS.

Catatan HSTS lainnya:

max-age=63072000 sama dengan dua tahun, nilai dari TLSRef. SSL Labs butuh minimal 15768000 (enam bulan) untuk A+.
includeSubDomains membuat semua subdomain wajib HTTPS di browser yang pernah menerima header ini. Jangan dipasang sebelum itu benar untuk semua subdomain.
Header ini hanya di virtual host *:443. Browser mengabaikan HSTS lewat HTTP biasa, dan RFC 6797 bagian 7.2 melarang server mengirimnya di sana.

Apache tidak punya masalah pewarisan add_header seperti nginx. Header set Cache-Control ... di dalam blok <Location> ditambahkan ke header dari virtual host; di server tes, header HSTS tetap ada di respons tersebut.

Langkah 4: Waspadai virtual host yang menimpa pengaturan global

tls.conf mengatur nilai default untuk seluruh server. Virtual host yang punya SSLProtocol, SSLCipherSuite sendiri, atau meng-Include file yang mengaturnya, akan memakai nilai itu. Sejak Apache 2.4.42 dengan OpenSSL 1.1.1 ke atas, dokumentasi SSLProtocol menyebut SSLProtocol milik tiap virtual host name-based dihormati kalau klien mengirim SNI. Sebelum itu, protokol dari virtual host pertama di IP dan port tersebut berlaku untuk semuanya.

Cari semua tempat yang mengatur opsi TLS:

grep -rn -e SSLProtocol -e SSLCipherSuite -e SSLHonorCipherOrder -e options-ssl-apache /etc/apache2/
apache2ctl -S

Perintah pertama seharusnya hanya menampilkan mods-available/ssl.conf dan tls.conf Anda. Perintah kedua menunjukkan virtual host mana yang menjawab di alamat mana, berguna kalau SSL Labs memberi nilai berbeda untuk IP yang berbeda.

Langkah 5: OCSP stapling dan Let’s Encrypt

SSLUseStapling mati secara default di Apache, dan untuk sertifikat Let’s Encrypt sebaiknya tetap begitu. Let’s Encrypt menghentikan dukungan OCSP: sejak 7 Mei 2025 sertifikatnya tidak lagi memuat URL OCSP, dan responder-nya dimatikan pada 6 Agustus 2025. Tidak ada yang bisa di-staple. (Tulisan saya tahun 2015, OCSP Stapling di nginx, ditulis sebelum perubahan ini.) OCSP stapling juga tidak memengaruhi grade SSL Labs.

Untuk sertifikat dari CA yang masih menjalankan OCSP, aktifkan di server config (di luar <VirtualHost>), misalnya di akhir tls.conf:

SSLUseStapling          on
SSLStaplingCache        "shmcb:${APACHE_RUN_DIR}/ssl_stapling(32768)"

Langkah 6: Jebakan configtest

apache2ctl configtest hanya mengecek sintaks, bukan apakah OpenSSL menerima nilai yang Anda tulis. Di server tes, nama kurva yang tidak dikenal OpenSSL lolos cek sintaks lalu menghentikan Apache:

$ apache2ctl configtest
Syntax OK
$ apache2ctl graceful
# error log:
[ssl:emerg] AH02407: "SSLOpenSSLConfCmd Curves FakeGroup999:X25519:prime256v1:secp384r1" failed for example.test:443
[ssl:emerg] AH02312: Fatal error initialising mod_ssl, exiting.
[:emerg] AH00020: Configuration Failed, exiting

Graceful reload tidak menyelamatkan Anda di sini. Setelah reload itu, tidak ada satu pun proses Apache yang tersisa, jadi HTTP biasa ikut mati. OpenSSL sebelum 3.5 tidak mengenal X25519MLKEM768, jadi nama itu bisa memicu kegagalan yang sama.

Karena itu, cek nama grup ke OpenSSL sebelum reload. Di server tes (OpenSSL 3.5.7):

openssl list -tls-groups | tr ':' '\n' | grep -x X25519MLKEM768

Kalau tidak ada output, atau openssl Anda tidak mengenal opsi -tls-groups, hapus X25519MLKEM768 dari tls.conf. Debian dan Ubuntu membangun Apache dengan OpenSSL sistem, jadi perintah openssl mengecek library yang sama; untuk build sendiri, bandingkan dengan versi di baris log saat Apache start. Setiap kali mengubah TLS, reload lalu pastikan situs masih menjawab (curl -sI https://example.com/) sebelum logout.

Langkah 7: Uji di lokal, lalu jalankan SSL Labs

Ganti example.com dengan host Anda:

# TLS 1.1 harus ditolak. SECLEVEL=0 supaya klien modern mau mencobanya.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_1 -cipher 'DEFAULT@SECLEVEL=0' </dev/null 2>&1 | grep -E 'alert|Cipher is'

# TLS 1.3 harus jalan. Dengan OpenSSL 3.5+ di kedua sisi, grupnya X25519MLKEM768.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_3 </dev/null 2>&1 | grep -E 'Negotiated TLS1.3 group|Cipher is'

# Suite CBC, RSA biasa, dan DHE harus ditolak.
for c in 'ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA' AES256-GCM-SHA384 DHE-RSA-AES256-GCM-SHA384; do
  openssl s_client -connect example.com:443 -servername example.com -tls1_2 \
    -cipher "$c" </dev/null 2>&1 | grep -E 'alert|Cipher is' | head -1
done

# Full chain: server harus mengirim minimal 2 sertifikat (milik Anda + intermediate).
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'

# HSTS di halaman normal dan halaman error, plus redirect HTTP.
curl -sI https://example.com/ | grep -i strict-transport-security
curl -sI https://example.com/does-not-exist | grep -i -e '^HTTP' -e strict-transport-security
curl -sI http://example.com/ | grep -i -e '^HTTP' -e '^location'

Di server tes, hasilnya seperti ini (diringkas):

tls1_1 :  tlsv1 alert protocol version ... Cipher is (NONE)
tls1_3 :  Negotiated TLS1.3 group: X25519MLKEM768
          New, TLSv1.3, Cipher is TLS_AES_256_GCM_SHA384
CBC    :  ssl/tls alert handshake failure
RSA    :  ssl/tls alert handshake failure
DHE    :  ssl/tls alert handshake failure
404    :  HTTP/2 404 + strict-transport-security: max-age=63072000; includeSubDomains
HTTP   :  HTTP/1.1 308 Permanent Redirect

Setelah itu buka ssllabs.com/ssltest, masukkan hostname, dan centang “Do not show the results on the boards” kalau tidak ingin hasilnya tampil di daftar publik. Setelah mengubah konfigurasi, klik “Clear cache” di halaman hasil supaya scan diulang.

Troubleshooting: arti pesan di laporan dan cara memperbaikinya

Yang muncul	Penyebab	Perbaikan
Grade B, “This server supports TLS 1.0 and TLS 1.1”	Ada virtual host atau include yang mengatur `SSLProtocol` sendiri	Jalankan `grep` dari Langkah 4; hapus pengaturan itu
Suite WEAK (CBC, `TLS_RSA_*`) di daftar cipher	`SSLCipherSuite` bawaan distro, atau pengaturan di virtual host	Aktifkan `tls.conf`; cek dengan `grep` dari Langkah 4
Grade B, “Chain issues: Incomplete”	`SSLCertificateFile` mengarah ke `cert.pem`	Pakai `fullchain.pem`
Grade A-, “This server does not support TLS 1.3”	Apache sebelum 2.4.37, OpenSSL sebelum 1.1.1, atau `SSLProtocol` tanpa `+TLSv1.3`	Upgrade; cek kedua versi di baris log saat Apache start
Grade A-, HSTS tidak terdeteksi padahal sudah dipasang	`mod_headers` belum aktif, header dipasang di virtual host yang salah, atau `Header set` tanpa `always` di halaman yang me-redirect	`a2enmod headers`; pasang `Header always set` di virtual host `*:443`
`Invalid command 'Header'` atau `'RewriteEngine'`	Modul belum aktif	`a2enmod headers rewrite`
Apache berhenti setelah reload padahal `configtest` bilang Syntax OK (`AH02407`, `AH02312`)	OpenSSL menolak suatu nilai, sering `X25519MLKEM768` di OpenSSL sebelum 3.5	Hapus grup itu, start Apache lagi; lihat Langkah 6
A+ di satu IP, A- di IP lain	IPv6 dilayani virtual host atau mesin lain	Cek `apache2ctl -S` dan record AAAA
Grade tidak berubah walau Apache sudah diubah	Yang diuji CDN, bukan server Anda	Lihat di bawah

Pakai Cloudflare atau CDN lain? Kalau proxy aktif, SSL Labs menguji edge CDN, bukan Apache Anda. Grade-nya bergantung pada pengaturan CDN (versi TLS minimum, TLS 1.3, HSTS). Tetap pasang konfigurasi di atas di server origin dan pakai mode “Full (strict)” di Cloudflare supaya koneksi ke server Anda juga diverifikasi.

Opsional: HSTS preload

HSTS preload memasukkan domain Anda ke daftar yang ditanam di dalam browser. SSL Labs tidak mensyaratkannya untuk A+. hstspreload.org mensyaratkan max-age minimal satu tahun, includeSubDomains, preload, HTTPS di semua subdomain, dan redirect HTTP ke HTTPS di host yang sama. Keluar dari daftar itu butuh berbulan-bulan sampai ke pengguna, jadi daftarkan hanya domain yang pasti tetap HTTPS-only di semua subdomain.

Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"

Konfigurasi lengkap

# /etc/apache2/conf-available/tls.conf   (a2enconf tls)
SSLProtocol             -all +TLSv1.2 +TLSv1.3
SSLOpenSSLConfCmd       Curves X25519MLKEM768:X25519:prime256v1:secp384r1
SSLCipherSuite          ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLCipherSuite          TLSv1.3 TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
SSLHonorCipherOrder     off
SSLSessionTickets       off

# /etc/apache2/sites-available/example.com.conf   (a2ensite example.com)
<VirtualHost *:80>
    ServerName example.com
    ServerAlias www.example.com
    RewriteEngine On
    RewriteCond %{REQUEST_URI} !^/\.well-known/acme-challenge/
    RewriteRule ^.*$ https://%{HTTP_HOST}%{REQUEST_URI} [R=308,QSA,L]
</VirtualHost>

<VirtualHost *:443>
    ServerName example.com
    ServerAlias www.example.com
    DocumentRoot /var/www/example.com
    SSLEngine on
    SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
    Protocols h2 http/1.1
    Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"
</VirtualHost>

Modul: a2enmod ssl headers rewrite http2.

Untuk melayani sertifikat ECDSA dan RSA sekaligus, ulangi pasangan sertifikat di virtual host yang sama; mod_ssl memilih yang cocok untuk tiap klien:

# Pasangan ECDSA, dari Langkah 1
SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
# Pasangan RSA
SSLCertificateFile    /etc/letsencrypt/live/example.com-rsa/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com-rsa/privkey.pem

Di server tes, klien TLS 1.2 yang hanya menawarkan ECDHE-RSA-AES128-GCM-SHA256 menerima sertifikat RSA 2048 bit, sementara klien lain mendapat ECDSA. Dengan Certbot, jalankan sekali lagi dengan --key-type rsa --cert-name example.com-rsa untuk mendapat pasangan RSA.

Mahyuddin Susanto adalah sysadmin Linux dan jaringan yang mengelola server sendiri dan menulis soal Apache di blog ini sejak 2007, dimulai dari Apache server dengan module OpenSSL. Tentang penulis · Kontak

Sumber

Qualys SSL Labs, SSL Server Rating Guide, versi 2009r, 16 Mei 2025
TLSRef, Server Side TLS guideline 6.0 dan TLS Configurator
Apache HTTP Server 2.4, mod_ssl dan mod_headers
Let’s Encrypt, Ending OCSP Support in 2025
HSTS Preload List Submission
IETF, RFC 6797: HTTP Strict Transport Security

How to Get an A+ on SSL Labs with Apache httpd (2026 Guide)

2026-11-05T00:00:00+00:00

To get an A+ on the Qualys SSL Labs server test with Apache httpd, you need the same five things as on any web server: TLS 1.2 and TLS 1.3 only, ECDHE key exchange with AEAD ciphers (GCM or ChaCha20-Poly1305), a certificate served with its full chain, an HSTS header with a max-age of at least six months, and the same setup on every IP address your hostname resolves to. On Apache, two details decide whether you get there: the HSTS header needs Header always set, not Header set, and a virtual host with its own SSLProtocol or SSLCipherSuite silently overrides your global settings.

This guide gives you a config you can paste into a Debian or Ubuntu Apache, explains each line, and shows how to check the result before you run SSL Labs.

The configuration below was tested on Apache 2.4.69 with OpenSSL 3.5.7, using the stock Debian 13 /etc/apache2 layout with the modules, tls.conf and site file from this guide enabled, and checked with openssl s_client and curl.

Baca dalam Bahasa Indonesia: Cara Mendapat A+ di SSL Labs dengan Apache. Running nginx? See How to Get an A+ on SSL Labs with nginx.

Contents

How SSL Labs grades your server
Check your Apache and OpenSSL versions first
Step 1: Get a certificate and serve the full chain
Step 2: Enable the modules and set TLS globally
Step 3: The virtual hosts, HSTS and the HTTP redirect
- Why Header always set matters
Step 4: Watch for virtual hosts that override the global settings
Step 5: OCSP stapling and Let’s Encrypt
Step 6: The configtest trap
Step 7: Test locally, then run SSL Labs
Troubleshooting: what the report says and how to fix it
Optional: HSTS preload
The complete config
Sources

How SSL Labs grades your server

SSL Labs scores protocol support (30%), key exchange (30%) and cipher strength (40%), then applies caps for specific problems. The A+ is a bonus on top of an A with no warnings. The current rules are version 2009r of the SSL Server Rating Guide, dated 16 May 2025. The caps that matter for a typical Apache server:

Problem	Grade limit
SSLv2, SSLv3 as the best protocol, export ciphers, Heartbleed-class bugs	F
TLS 1.2 not supported	C
TLS 1.0 or TLS 1.1 enabled	B
No forward secrecy (no ECDHE/DHE)	B
No AEAD cipher (GCM or ChaCha20-Poly1305)	B
Incomplete certificate chain	B
Key or DH parameters under 2048 bits	B
TLS 1.3 not supported	A-
HSTS missing or invalid	A-

For the A+, the guide asks for a configuration with no warnings and HSTS with a max-age of at least six months (15768000 seconds). Since the May 2025 revision, a plain A needs both TLS 1.3 and a valid HSTS header, and TLS_FALLBACK_SCSV no longer counts.

An ECDSA P-256 or RSA 2048 certificate is enough. It scores 90 on key exchange and still gets an A+.

Check your Apache and OpenSSL versions first

apache2 -v
apache2ctl -M | grep -e ssl -e headers -e rewrite -e http2

The OpenSSL version that Apache uses is printed in the error log at startup, in a line like Apache/2.4.69 (Debian) OpenSSL/3.5.7 configured -- resuming normal operations.

Feature	Needs
TLS 1.3 (and the `SSLCipherSuite TLSv1.3 ...` line)	Apache 2.4.37+ with OpenSSL 1.1.1+ (TLS 1.3 support is listed under 2.4.36, which was never released)
Intermediates in `SSLCertificateFile` (no `SSLCertificateChainFile`)	Apache 2.4.8+
`SSLOpenSSLConfCmd` (used here to set curves)	Apache 2.4.8+ with OpenSSL 1.0.2+
`Protocols h2 http/1.1` (HTTP/2)	Apache 2.4.17+
Per-virtual-host `SSLProtocol` honored with SNI	Apache 2.4.42+ with OpenSSL 1.1.1+
Hybrid post-quantum group `X25519MLKEM768`	OpenSSL 3.5+

Step 1: Get a certificate and serve the full chain

With Let’s Encrypt and Certbot, get the certificate only and write the TLS config yourself:

sudo certbot certonly --apache -d example.com -d www.example.com

Certbot 2.0 and newer create an ECDSA key by default.

Point Apache at fullchain.pem:

SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

Since Apache 2.4.8, SSLCertificateFile can hold the intermediate certificates after your own certificate, and the mod_ssl documentation marks SSLCertificateChainFile as obsolete. If you point SSLCertificateFile at cert.pem and drop the chain file, the intermediate is missing. Browsers often fill it in themselves, but SSL Labs reports “Chain issues: Incomplete” and caps the grade at B.

If you use Certbot’s installer (certbot --apache without certonly), it adds Include /etc/letsencrypt/options-ssl-apache.conf inside your virtual host. That file sets its own protocols and ciphers, and because it sits in the virtual host, it wins over the global file from Step 2. Remove the include, but first look at what else the file sets: the current options-ssl-apache.conf starts with SSLEngine on. Check with grep -n SSLEngine /etc/letsencrypt/options-ssl-apache.conf and, if it is there, add SSLEngine on to the virtual host itself. Without it, Apache serves plain HTTP on port 443 and reports no error.

Step 2: Enable the modules and set TLS globally

Enable the modules this guide uses:

sudo a2enmod ssl headers rewrite http2

a2enmod ssl also enables socache_shmcb for the session cache. On Debian 13, the stock /etc/apache2/mods-available/ssl.conf then contains these lines (comments removed):

SSLSessionCache     shmcb:${APACHE_RUN_DIR}/ssl_scache(512000)
SSLSessionCacheTimeout  300
SSLCipherSuite HIGH:!aNULL
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
SSLSessionTickets off

The protocols are already fine. The cipher list is wider than it needs to be. With only these defaults, the test server accepted CBC suites, plain RSA key exchange without forward secrecy, and DHE:

-cipher 'ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA'  ->  Cipher is ECDHE-ECDSA-AES128-SHA
-cipher 'AES256-GCM-SHA384'                            ->  Cipher is AES256-GCM-SHA384
-cipher 'DHE-RSA-AES256-GCM-SHA384'                    ->  Cipher is DHE-RSA-AES256-GCM-SHA384

SSL Labs marks CBC and plain RSA suites as WEAK in its cipher list, and TLSRef leaves DHE out entirely. There is no reason to keep offering any of them. Other releases may ship different defaults, so check yours with grep -v '^\s*#' /etc/apache2/mods-available/ssl.conf.

Leave ssl.conf as it is and put your settings in /etc/apache2/conf-available/tls.conf:

# TLS settings for every HTTPS virtual host (server config context)
SSLProtocol             -all +TLSv1.2 +TLSv1.3

# OpenSSL 3.5+: hybrid post-quantum group first.
# On OpenSSL 3.0-3.4, remove X25519MLKEM768 from this list.
SSLOpenSSLConfCmd       Curves X25519MLKEM768:X25519:prime256v1:secp384r1

# TLS 1.2: ECDHE key exchange + AEAD only. TLS 1.3: the three standard suites.
SSLCipherSuite          ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLCipherSuite          TLSv1.3 TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
SSLHonorCipherOrder     off
SSLSessionTickets       off

Enable it:

sudo a2enconf tls

Debian’s apache2.conf reads mods-enabled/*.conf first and conf-enabled/*.conf later. For these directives, the later global value replaces the earlier one, so tls.conf wins over ssl.conf without any edits there. On the test server, the three weak suites above were refused once tls.conf was enabled.

Line by line:

SSLProtocol -all +TLSv1.2 +TLSv1.3 starts from nothing and allows only TLS 1.2 and 1.3. TLS 1.0 or 1.1 would cap you at B; missing TLS 1.3 caps you at A-.
SSLOpenSSLConfCmd Curves passes the key exchange groups to OpenSSL. The list comes from the TLSRef guideline 6.0, the successor of Mozilla’s Server Side TLS guidelines, and matches what the TLSRef Configurator generates for Apache. X25519MLKEM768 combines X25519 with the ML-KEM post-quantum algorithm; clients without it fall back to X25519.
The first SSLCipherSuite lists only ECDHE suites with GCM or ChaCha20-Poly1305: forward secrecy and AEAD, nothing else. TLSRef lists the oldest clients this still serves as Firefox 31, Chrome 49, Safari 9, Android 4.4.2, IE 11 on Windows 10 and Java 8u161.
SSLCipherSuite TLSv1.3 ... sets the TLS 1.3 suites. These three are OpenSSL’s defaults anyway; the line makes them explicit.
SSLHonorCipherOrder off lets the client choose from the list. Every option is strong, and phones without AES hardware pick ChaCha20.
SSLSessionTickets off. The mod_ssl documentation warns that tickets used “without restarting the web server with an appropriate frequency (e.g. daily)” compromise forward secrecy. Apache does not rotate the ticket key on its own, so TLSRef turns tickets off. Session resumption still works through the shmcb session cache from ssl.conf.
No DH parameters. The list has no DHE suites, so you do not need to append DH parameters to the certificate file.

Step 3: The virtual hosts, HSTS and the HTTP redirect

Create /etc/apache2/sites-available/example.com.conf:

<VirtualHost *:80>
    ServerName example.com
    ServerAlias www.example.com

    RewriteEngine On
    RewriteCond %{REQUEST_URI} !^/\.well-known/acme-challenge/
    RewriteRule ^.*$ https://%{HTTP_HOST}%{REQUEST_URI} [R=308,QSA,L]
</VirtualHost>

<VirtualHost *:443>
    ServerName example.com
    ServerAlias www.example.com
    DocumentRoot /var/www/example.com

    SSLEngine on
    SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

    Protocols h2 http/1.1

    # HSTS: 2 years. "always" also sends it on redirects and error pages.
    Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"
</VirtualHost>

Then enable the site and reload:

sudo a2ensite example.com
sudo apache2ctl configtest && sudo systemctl reload apache2

The RewriteCond line keeps /.well-known/acme-challenge/ on plain HTTP, so Let’s Encrypt HTTP-01 validation is answered directly on port 80 and does not depend on the redirect or the HTTPS setup. The redirect is a 308, as in the TLSRef config.

Why `Header always set` matters

mod_headers keeps two lists of response headers. The default one (onsuccess) is used for normal responses; the mod_headers documentation says that for a locally generated non-2xx response, “such as a redirect”, only the always list is used.

On the test server, with Header set instead of Header always set and a Redirect 302 /old / line in the *:443 virtual host:

GET /      ->  HTTP/2 200   strict-transport-security: max-age=63072000; includeSubDomains
GET /old   ->  HTTP/2 302   (no HSTS header)
GET /nope  ->  HTTP/2 404   (no HSTS header)

With Header always set, all three responses carried the header. This matters most when your home page redirects, for example / to /en/ or to a login page: the first HTTPS response a visitor gets is that redirect, and without always it has no HSTS header.

Other HSTS notes:

max-age=63072000 is two years, the TLSRef value. SSL Labs needs at least 15768000 (six months) for the A+.
includeSubDomains makes every subdomain HTTPS-only in browsers that have seen the header. Leave it out until that is true for all of them.
The header belongs only in the *:443 virtual host. Browsers ignore HSTS on plain HTTP, and RFC 6797, section 7.2 says servers must not send it there.

Apache does not have nginx’s add_header inheritance problem. A Header set Cache-Control ... inside a <Location> block is added to the headers from the virtual host; on the test server the HSTS header stayed on those responses.

Step 4: Watch for virtual hosts that override the global settings

tls.conf sets the server-wide default. Any virtual host that has its own SSLProtocol, SSLCipherSuite or an Include of a file that sets them uses those values instead. Since Apache 2.4.42 with OpenSSL 1.1.1 or newer, the SSLProtocol documentation says each name-based virtual host’s own SSLProtocol is honored when the client sends SNI. Before that, the protocol of the first virtual host on the IP and port applied to all of them.

Find every place that sets TLS options:

grep -rn -e SSLProtocol -e SSLCipherSuite -e SSLHonorCipherOrder -e options-ssl-apache /etc/apache2/
apache2ctl -S

The first command should show only mods-available/ssl.conf and your tls.conf. The second lists which virtual host answers on which address, which helps when SSL Labs grades one IP differently from another.

Step 5: OCSP stapling and Let’s Encrypt

SSLUseStapling is off by default in Apache, and for Let’s Encrypt certificates it should stay off. Let’s Encrypt ended OCSP support: from 7 May 2025 its certificates no longer contain an OCSP URL, and the responders were switched off on 6 August 2025. There is nothing to staple. (My 2015 post on OCSP stapling in nginx predates this change.) OCSP stapling has no effect on the SSL Labs grade.

For a certificate from a CA that still runs OCSP, enable it in the server config (outside any <VirtualHost>), for example at the end of tls.conf:

SSLUseStapling          on
SSLStaplingCache        "shmcb:${APACHE_RUN_DIR}/ssl_stapling(32768)"

Step 6: The configtest trap

apache2ctl configtest checks the syntax, not whether OpenSSL accepts your values. On the test server, a curve name that OpenSSL does not know passed the syntax check and then stopped Apache:

$ apache2ctl configtest
Syntax OK
$ apache2ctl graceful
# error log:
[ssl:emerg] AH02407: "SSLOpenSSLConfCmd Curves FakeGroup999:X25519:prime256v1:secp384r1" failed for example.test:443
[ssl:emerg] AH02312: Fatal error initialising mod_ssl, exiting.
[:emerg] AH00020: Configuration Failed, exiting

A graceful reload does not protect you here. After that reload, no Apache process was left running, so plain HTTP was down too. OpenSSL older than 3.5 does not know X25519MLKEM768, so that name can cause the same failure there.

So check the group names against OpenSSL before you reload. On the test server (OpenSSL 3.5.7):

openssl list -tls-groups | tr ':' '\n' | grep -x X25519MLKEM768

If that prints nothing, or your openssl does not know the -tls-groups option, remove X25519MLKEM768 from tls.conf. Debian and Ubuntu build Apache against the system OpenSSL, so the openssl command checks the same library; on a custom build, compare with the version in Apache’s startup log line. After any TLS change, reload and then confirm the site still answers (curl -sI https://example.com/) before you log out.

Step 7: Test locally, then run SSL Labs

Replace example.com with your host:

# TLS 1.1 must be refused. SECLEVEL=0 lets a modern client even try it.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_1 -cipher 'DEFAULT@SECLEVEL=0' </dev/null 2>&1 | grep -E 'alert|Cipher is'

# TLS 1.3 must work. With OpenSSL 3.5+ on both sides the group is X25519MLKEM768.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_3 </dev/null 2>&1 | grep -E 'Negotiated TLS1.3 group|Cipher is'

# CBC, plain RSA and DHE suites must be refused.
for c in 'ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA' AES256-GCM-SHA384 DHE-RSA-AES256-GCM-SHA384; do
  openssl s_client -connect example.com:443 -servername example.com -tls1_2 \
    -cipher "$c" </dev/null 2>&1 | grep -E 'alert|Cipher is' | head -1
done

# Full chain: the server must send at least 2 certificates (yours + intermediate).
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'

# HSTS on a normal page and on an error page, plus the HTTP redirect.
curl -sI https://example.com/ | grep -i strict-transport-security
curl -sI https://example.com/does-not-exist | grep -i -e '^HTTP' -e strict-transport-security
curl -sI http://example.com/ | grep -i -e '^HTTP' -e '^location'

On the test setup, the output looked like this (condensed):

tls1_1 :  tlsv1 alert protocol version ... Cipher is (NONE)
tls1_3 :  Negotiated TLS1.3 group: X25519MLKEM768
          New, TLSv1.3, Cipher is TLS_AES_256_GCM_SHA384
CBC    :  ssl/tls alert handshake failure
RSA    :  ssl/tls alert handshake failure
DHE    :  ssl/tls alert handshake failure
404    :  HTTP/2 404 + strict-transport-security: max-age=63072000; includeSubDomains
HTTP   :  HTTP/1.1 308 Permanent Redirect

Then open ssllabs.com/ssltest, enter your hostname, and tick “Do not show the results on the boards” if you do not want the result listed. After a config change, use “Clear cache” on the results page to force a new scan.

Troubleshooting: what the report says and how to fix it

What you see	Cause	Fix
Grade B, “This server supports TLS 1.0 and TLS 1.1”	A virtual host or include sets its own `SSLProtocol`	Run the `grep` from Step 4; remove the override
WEAK suites (CBC, `TLS_RSA_*`) in the cipher list	Distribution default `SSLCipherSuite`, or an override in a virtual host	Enable `tls.conf`; check with the `grep` from Step 4
Grade B, “Chain issues: Incomplete”	`SSLCertificateFile` points to `cert.pem`	Use `fullchain.pem`
Grade A-, “This server does not support TLS 1.3”	Apache older than 2.4.37, OpenSSL older than 1.1.1, or `SSLProtocol` without `+TLSv1.3`	Upgrade; check both versions in the startup line of the error log
Grade A-, HSTS missing although it is configured	`mod_headers` not enabled, the header set in the wrong virtual host, or `Header set` without `always` on a redirecting page	`a2enmod headers`; put `Header always set` in the `*:443` virtual host
`Invalid command 'Header'` or `'RewriteEngine'`	Module not enabled	`a2enmod headers rewrite`
Apache stops after a reload although `configtest` said Syntax OK (`AH02407`, `AH02312`)	OpenSSL rejects a value, often `X25519MLKEM768` on OpenSSL older than 3.5	Remove that group, start Apache again; see Step 6
A+ on one IP, A- on another	IPv6 served by another virtual host or machine	Check `apache2ctl -S` and the AAAA record
Grade does not change after you edit Apache	You are testing a CDN, not your server	See below

Behind Cloudflare or another CDN? With the proxy on, SSL Labs tests the CDN’s edge, not your Apache. The grade then depends on the CDN settings (minimum TLS version, TLS 1.3, HSTS). Keep the setup above on the origin and use Cloudflare’s “Full (strict)” mode so the connection to your server is checked too.

Optional: HSTS preload

HSTS preload puts your domain on a list built into browsers. SSL Labs does not need it for an A+. hstspreload.org requires a max-age of at least one year, includeSubDomains, preload, HTTPS on every subdomain, and an HTTP to HTTPS redirect on the same host. Removal takes months to reach users, so only submit a domain that will stay HTTPS-only everywhere.

Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"

The complete config

# /etc/apache2/conf-available/tls.conf   (a2enconf tls)
SSLProtocol             -all +TLSv1.2 +TLSv1.3
SSLOpenSSLConfCmd       Curves X25519MLKEM768:X25519:prime256v1:secp384r1
SSLCipherSuite          ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLCipherSuite          TLSv1.3 TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
SSLHonorCipherOrder     off
SSLSessionTickets       off

# /etc/apache2/sites-available/example.com.conf   (a2ensite example.com)
<VirtualHost *:80>
    ServerName example.com
    ServerAlias www.example.com
    RewriteEngine On
    RewriteCond %{REQUEST_URI} !^/\.well-known/acme-challenge/
    RewriteRule ^.*$ https://%{HTTP_HOST}%{REQUEST_URI} [R=308,QSA,L]
</VirtualHost>

<VirtualHost *:443>
    ServerName example.com
    ServerAlias www.example.com
    DocumentRoot /var/www/example.com
    SSLEngine on
    SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
    Protocols h2 http/1.1
    Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"
</VirtualHost>

Modules: a2enmod ssl headers rewrite http2.

To serve both ECDSA and RSA certificates, repeat the certificate pair in the same virtual host; mod_ssl picks the right one per client:

# ECDSA pair, from Step 1
SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
# RSA pair
SSLCertificateFile    /etc/letsencrypt/live/example.com-rsa/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com-rsa/privkey.pem

On the test server, a TLS 1.2 client that only offered ECDHE-RSA-AES128-GCM-SHA256 received the 2048-bit RSA certificate, and other clients got ECDSA. With Certbot, run it again with --key-type rsa --cert-name example.com-rsa for the RSA pair.

Mahyuddin Susanto is a Linux and networking sysadmin who runs his own servers and has written about Apache on this blog since 2007, starting with Apache server dengan module OpenSSL. About · Contact

Sources

Qualys SSL Labs, SSL Server Rating Guide, version 2009r, 16 May 2025
TLSRef, Server Side TLS guideline 6.0 and TLS Configurator
Apache HTTP Server 2.4, mod_ssl and mod_headers
Let’s Encrypt, Ending OCSP Support in 2025
HSTS Preload List Submission
IETF, RFC 6797: HTTP Strict Transport Security

Cara Mendapat A+ di SSL Labs dengan nginx (Panduan 2026)

2026-11-05T00:00:00+00:00

Untuk dapat A+ di SSL Labs Server Test dari Qualys dengan nginx, ada lima syarat: hanya TLS 1.2 dan TLS 1.3, cipher ECDHE dengan AEAD (GCM atau ChaCha20-Poly1305), sertifikat dikirim bersama chain lengkapnya, header HSTS dengan max-age minimal enam bulan, dan konfigurasi yang sama di semua alamat IP hostname tersebut. Tanpa TLS 1.3 atau tanpa HSTS, nilainya mentok di A-. Kalau TLS 1.0 atau 1.1 masih aktif, nilainya mentok di B.

Tulisan ini membahas tiap syarat itu satu per satu, lengkap dengan konfigurasi yang bisa langsung dipakai. Ada juga dua perubahan yang bikin banyak tutorial lama jadi usang: Let’s Encrypt mematikan OCSP di 2025, dan SSL Labs mengubah aturan penilaiannya di Mei 2025.

Konfigurasi di bawah sudah diuji di nginx 1.26.3 dengan OpenSSL 3.5.7, memakai nginx.conf bawaan Debian 13 (dua baris SSL-nya diberi #) ditambah file-file dari tulisan ini, lalu dicek dengan openssl s_client dan curl.

Read in English: How to Get an A+ on SSL Labs with nginx. Pakai Apache? Lihat Cara Mendapat A+ di SSL Labs dengan Apache.

Daftar isi

Cara SSL Labs memberi nilai
Cek versi nginx dan OpenSSL dulu
Langkah 1: Sertifikat dan full chain
Langkah 2: Taruh pengaturan TLS di satu file bersama
Langkah 3: Server block, HSTS, dan redirect HTTP
Langkah 4: OCSP stapling dan Let’s Encrypt
Langkah 5: Hindari jebakan add_header
Langkah 6: Uji di lokal, lalu jalankan SSL Labs
Troubleshooting: arti pesan di laporan dan cara memperbaikinya
Opsional: HSTS preload
Konfigurasi lengkap
Sumber

Cara SSL Labs memberi nilai

SSL Labs menilai tiga kategori: dukungan protokol (30%), key exchange (30%), dan kekuatan cipher (40%). Skor 80 ke atas berarti A. Setelah itu berlaku batas atas (cap): masalah tertentu membatasi grade setinggi apa pun skornya. A+ adalah bonus untuk server ber-grade A yang tidak punya warning.

Aturan yang berlaku sekarang adalah versi 2009r dari SSL Server Rating Guide, tertanggal 16 Mei 2025. Ini batas-batas yang relevan untuk server nginx pada umumnya:

Masalah	Grade maksimal
SSLv2, SSLv3 sebagai protokol terbaik, cipher export, bug sekelas Heartbleed	F
Tidak mendukung TLS 1.2	C
TLS 1.0 atau TLS 1.1 aktif	B
Tanpa forward secrecy (tanpa ECDHE/DHE)	B
Tanpa cipher AEAD (GCM atau ChaCha20-Poly1305)	B
RC4 aktif	B
Chain sertifikat tidak lengkap	B
Key atau parameter DH di bawah 2048 bit	B
Tidak mendukung TLS 1.3	A-
HSTS tidak ada atau tidak valid	A-

Untuk A+, panduan itu mensyaratkan konfigurasi tanpa warning dan HSTS dengan max-age minimal enam bulan (15768000 detik).

Ada dua perubahan di 2025: sekadar dapat A sekarang butuh TLS 1.3 sekaligus header HSTS yang valid, dan TLS_FALLBACK_SCSV tidak dihitung lagi. Kalau ada artikel lama yang menyuruh mengurus fallback SCSV, bagian itu bisa dilewati.

Nilai 100 di semua kategori tidak diperlukan. Sertifikat ECDSA P-256 atau RSA 2048 dapat 90 di key exchange, dan selama AES-128 masih ditawarkan, kekuatan cipher juga 90. Keduanya tetap dapat A+. Pindah ke RSA 4096 cuma bikin handshake lebih lambat.

Cek versi nginx dan OpenSSL dulu

Beberapa directive bergantung pada versi yang terpasang:

nginx -V 2>&1 | head -3
openssl version

Fitur	Butuh
TLS 1.3 (`TLSv1.3` di `ssl_protocols`)	OpenSSL 1.1.1+; jadi default sejak nginx 1.23.4
`http2 on;` sebagai directive terpisah	nginx 1.25.1+ (versi lama: `listen 443 ssl http2;`)
Rotasi otomatis key session ticket	nginx 1.23.2+ dengan `ssl_session_cache` shared
Grup hybrid post-quantum `X25519MLKEM768`	OpenSSL 3.5+
`add_header_inherit merge;`	nginx 1.29.3+

Yang penting di output nginx -V adalah baris built with OpenSSL .... Itu library yang benar-benar dipakai nginx, dan bisa berbeda dengan perintah openssl di server yang sama.

Langkah 1: Sertifikat dan full chain

Sertifikat apa pun yang dipercaya publik bisa dipakai. Dengan Let’s Encrypt dan Certbot, ambil sertifikatnya saja, lalu tulis konfigurasi TLS sendiri:

sudo certbot certonly --nginx -d example.com -d www.example.com

Certbot versi baru sudah memakai key ECDSA secara default, dan itu yang dibutuhkan. Arahkan nginx ke fullchain.pem, bukan cert.pem:

ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

cert.pem hanya berisi sertifikat leaf. Browser sering melengkapi intermediate yang hilang sendiri, jadi situs terlihat normal, tapi SSL Labs akan menulis “Chain issues: Incomplete” dan membatasi grade di B. Dokumentasi nginx juga bilang begitu: sertifikat server ditaruh paling atas di file, diikuti sertifikat intermediate.

Kalau memakai installer Certbot (certbot --nginx tanpa certonly), ia menambahkan include /etc/letsencrypt/options-ssl-nginx.conf; ke server block. File itu juga mengatur protokol dan cipher. Hapus baris include tersebut supaya hanya pengaturan dari tulisan ini yang berlaku.

Langkah 2: Taruh pengaturan TLS di satu file bersama

Debian dan Ubuntu memuat semua file di /etc/nginx/conf.d/ di dalam blok http, jadi satu file di sana berlaku untuk semua situs HTTPS.

Pertama, bereskan dulu baris SSL yang sudah dipasang paket di /etc/nginx/nginx.conf. File bawaan Debian 13 punya blok ini di dalam http { }:

##
# SSL Settings
##

ssl_protocols TLSv1.2 TLSv1.3; # Dropping SSLv3 (POODLE), TLS 1.0, 1.1
ssl_prefer_server_ciphers off; # Don't force server cipher order.

File di conf.d/ masuk ke blok http yang sama, jadi baris-baris ini akan bentrok. nginx menolak ssl_prefer_server_ciphers kedua di level yang sama:

nginx: [emerg] "ssl_prefer_server_ciphers" directive is duplicate in /etc/nginx/conf.d/tls.conf

ssl_protocols kedua juga tidak menimpa yang pertama. nginx menggabungkan kedua daftar dan hanya memberi peringatan seperti [warn] duplicate value "TLSv1.2", bukan error. Beri tanda # pada kedua baris itu (isinya bisa berbeda di rilis lain), lalu pastikan tidak ada file lain yang mengaturnya:

grep -rn -e ssl_protocols -e ssl_prefer_server_ciphers -e ssl_ciphers /etc/nginx/

Sekarang buat /etc/nginx/conf.d/tls.conf:

# Pengaturan TLS untuk semua server block (konteks http)
ssl_protocols TLSv1.2 TLSv1.3;

# OpenSSL 3.5+: grup hybrid post-quantum di depan.
# Di OpenSSL 3.0-3.4, hapus X25519MLKEM768 dari daftar ini.
ssl_ecdh_curve X25519MLKEM768:X25519:prime256v1:secp384r1;

# Cipher TLS 1.2: hanya key exchange ECDHE + AEAD.
# Suite TLS 1.3 diatur OpenSSL dan semuanya AEAD.
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;

ssl_session_timeout 1d;
ssl_session_cache shared:TLS:10m;   # sekitar 40000 sesi

Penjelasan per baris:

ssl_protocols TLSv1.2 TLSv1.3 mematikan TLS 1.0 dan 1.1 (penyebab cap B) dan mengaktifkan TLS 1.3 (tanpanya grade mentok di A-). Ini sudah default sejak nginx 1.23.4, tapi ditulis eksplisit supaya jelas. Baris ini tidak menimpa ssl_protocols lain di blok yang sama, karena itu baris lama tadi harus dimatikan.
ssl_ecdh_curve menentukan grup key exchange. Daftarnya diambil dari TLSRef guideline 6.0, penerus Server Side TLS guidelines dari Mozilla. X25519MLKEM768 menggabungkan X25519 klasik dengan algoritma post-quantum ML-KEM. Klien yang belum mendukungnya otomatis turun ke X25519.
ssl_ciphers hanya berisi suite ECDHE, yang memberi forward secrecy, dan hanya GCM atau ChaCha20-Poly1305, yang termasuk AEAD. Tidak ada CBC, tidak ada key exchange RSA, tidak ada 3DES. Menurut TLSRef, klien tertua yang masih bisa tersambung dengan profil ini adalah Firefox 31, Chrome 49, Safari 9, Android 4.4.2, IE 11 di Windows 10, dan Java 8u161. Daftar ini sekaligus menggantikan daftar cipher di tulisan saya tahun 2015, ssl_cipher di nginx, yang sudah usang.
ssl_prefer_server_ciphers off membiarkan klien yang memilih. Karena semua pilihan di daftar sudah kuat, klien paling tahu mana yang cocok: ponsel tanpa akselerasi AES di hardware akan memilih ChaCha20.
Tanpa ssl_dhparam. Daftar cipher tidak berisi suite DHE, jadi file parameter DH tidak diperlukan. Risiko lama “parameter DH di bawah 2048 bit” ikut hilang.
Session ticket dibiarkan default (on). Sejak nginx 1.23.2, key ticket dirotasi otomatis selama ssl_session_cache memakai shared memory, seperti di file di atas. Karena itu TLSRef hanya menambahkan ssl_session_tickets off; untuk versi yang lebih lama.

Mozilla SSL Configuration Generator sekarang dialihkan ke TLSRef Configurator. File di atas sama dengan profil “Intermediate” di sana, pilihan yang tepat untuk website publik. Profil “Modern” (hanya TLS 1.3) juga dapat A+, tapi memutus klien lama seperti Android 4.4 dan IE 11.

Langkah 3: Server block, HSTS, dan redirect HTTP

Sekarang konfigurasi situsnya, misalnya /etc/nginx/sites-available/example.com yang di-link ke sites-enabled/:

# Port 80: semua dialihkan ke HTTPS
server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;

    return 308 https://$host$request_uri;
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;                       # nginx < 1.25.1: "listen 443 ssl http2;"
    server_name example.com www.example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    # HSTS: 2 tahun. "always" juga mengirimnya di respons 3xx/4xx/5xx.
    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;

    root /var/www/example.com;
    index index.html;
}

Catatan soal baris HSTS:

max-age=63072000 sama dengan dua tahun, nilai dari TLSRef. SSL Labs butuh minimal 15768000 (enam bulan) untuk A+. Nilai yang lebih pendek atau salah ketik membuat grade turun ke A-.
always penting. Tanpa itu, nginx hanya menambahkan header di respons 200, 201, 204, 206, 301, 302, 303, 304, 307, dan 308. Dengan always, halaman error juga membawa header ini.
includeSubDomains memberi tahu browser bahwa semua subdomain juga wajib HTTPS. Jangan dipasang sebelum yakin itu benar. Kalau intranet.example.com masih HTTP biasa, browser yang pernah menerima header ini akan menolak membukanya.
Header hanya dipasang di server HTTPS. Browser mengabaikan HSTS yang dikirim lewat HTTP biasa, dan spesifikasi HSTS (RFC 6797 bagian 7.2) melarang server mengirimnya di sana.

Dua baris listen di tiap blok memang disengaja. Kalau domain punya record AAAA tapi nginx hanya listen di IPv4, SSL Labs akan menguji alamat IPv6 dan mendapat jawaban berbeda. Penjelasannya ada di tabel troubleshooting.

Langkah 4: OCSP stapling dan Let’s Encrypt

Banyak panduan A+ masih menyuruh menambahkan ssl_stapling on;, termasuk tulisan saya sendiri tahun 2015, OCSP Stapling di nginx. Untuk sertifikat Let’s Encrypt, baris itu sebaiknya dibuang.

Let’s Encrypt menghentikan dukungan OCSP: sejak 7 Mei 2025 sertifikatnya tidak lagi memuat URL OCSP, dan responder OCSP dimatikan pada 6 Agustus 2025. Pengecekan revokasi sekarang lewat CRL. Dengan stapling aktif dan sertifikat Let’s Encrypt yang baru, nginx menulis peringatan seperti ini setiap kali reload:

[warn] "ssl_stapling" ignored, no OCSP responder URL in the certificate

Situs tetap jalan, tapi log jadi kotor. Hapus ssl_stapling dan ssl_stapling_verify. OCSP stapling tidak memengaruhi grade SSL Labs.

Kalau sertifikat berasal dari CA yang masih menjalankan OCSP, stapling tetap berguna. Yang dibutuhkan adalah resolver dan chain penerbit:

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/ssl/certs/ca-chain.pem;   # root + intermediate
resolver 127.0.0.53 valid=300s;   # contoh: systemd-resolved; ganti dengan resolver server Anda

Langkah 5: Hindari jebakan add_header

Di nginx, add_header hanya diwarisi dari blok luar kalau blok saat ini tidak punya add_header sendiri. Begitu satu header ditambahkan di sebuah location, semua header dari blok server hilang di location itu, termasuk HSTS. Kalau location itu /, grade turun ke A-. Kalau di path lain, laporan tetap A+ padahal sebagian situs jalan tanpa header itu.

Ini hasil uji di server tes (port 8443) dengan konfigurasi di atas ditambah satu location:

location /assets/ {
    add_header Cache-Control "public, max-age=3600";
}

$ curl -sk -D- -o /dev/null https://127.0.0.1:8443/ | grep -i strict
strict-transport-security: max-age=63072000; includeSubDomains

$ curl -sk -D- -o /dev/null https://127.0.0.1:8443/assets/x | grep -i -e strict -e cache
cache-control: public, max-age=3600

Respons kedua tidak punya HSTS.

Ada tiga cara memperbaikinya, urut dari yang paling disarankan:

nginx 1.29.3 ke atas: pasang add_header_inherit merge; di blok http. Header dari level luar akan ditambahkan ke header yang diset di blok dalam (dokumentasi).
nginx lama: pindahkan header keamanan ke snippet, lalu include di setiap tempat yang memakai add_header (contoh di bawah).
Kalau hanya untuk cache: pakai expires 1h;, bukan add_header Cache-Control. Directive ini mengirim Cache-Control dan Expires sendiri, dan berbeda dengan add_header, tidak memutus header warisan dari blok server.

Cara snippet kira-kira seperti ini:

# /etc/nginx/snippets/security-headers.conf
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;

location /assets/ {
    include snippets/security-headers.conf;
    add_header Cache-Control "public, max-age=3600";
}

Dan hasil location /assets/ { expires 1h; } di server tes yang sama:

$ curl -sk -D- -o /dev/null https://127.0.0.1:8443/assets/x.css
HTTP/2 200
expires: Thu, 05 Nov 2026 01:41:51 GMT
cache-control: max-age=3600
strict-transport-security: max-age=63072000; includeSubDomains

Aturan pewarisan yang sama berlaku untuk blok if dan location bertingkat.

Langkah 6: Uji di lokal, lalu jalankan SSL Labs

Cek sintaks lalu reload:

sudo nginx -t && sudo systemctl reload nginx

Sebelum ke SSL Labs, cek poin-poin penting dari terminal sendiri. Ganti example.com dengan host Anda:

# TLS 1.1 harus ditolak. SECLEVEL=0 supaya klien modern mau mencobanya.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_1 -cipher 'DEFAULT@SECLEVEL=0' </dev/null 2>&1 | grep -E 'alert|Cipher is'

# TLS 1.3 harus jalan. Dengan OpenSSL 3.5+ di kedua sisi, grupnya X25519MLKEM768.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_3 </dev/null 2>&1 | grep -E 'Negotiated TLS1.3 group|Cipher is'

# Suite CBC harus ditolak (berlaku untuk sertifikat ECDSA maupun RSA).
openssl s_client -connect example.com:443 -servername example.com -tls1_2 \
  -cipher 'ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA' </dev/null 2>&1 | grep -E 'alert|Cipher is'

# Full chain: harus ada baris "depth=1" (intermediate yang dikirim server).
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>&1 | grep depth

# Header HSTS dan redirect.
curl -sI https://example.com/ | grep -i strict-transport-security
curl -sI http://example.com/  | grep -i -e '^HTTP' -e '^location'

Di server tes, hasilnya seperti ini (diringkas):

tls1_1 :  tlsv1 alert protocol version ... Cipher is (NONE)
tls1_3 :  Negotiated TLS1.3 group: X25519MLKEM768
          New, TLSv1.3, Cipher is TLS_AES_256_GCM_SHA384
CBC    :  ssl/tls alert handshake failure ... Cipher is (NONE)
HSTS   :  strict-transport-security: max-age=63072000; includeSubDomains
HTTP   :  HTTP/1.1 308 Permanent Redirect

Kalau semuanya sudah sesuai, buka ssllabs.com/ssltest, masukkan hostname, dan centang “Do not show the results on the boards” kalau tidak ingin hasilnya tampil di daftar publik. SSL Labs menyimpan hasil scan untuk beberapa waktu. Setelah mengubah konfigurasi, klik tautan “Clear cache” di halaman hasil supaya scan diulang. Satu scan penuh butuh beberapa menit, lebih lama kalau hostname punya beberapa alamat IP.

Troubleshooting: arti pesan di laporan dan cara memperbaikinya

Yang muncul	Penyebab	Perbaikan
Grade B, “This server supports TLS 1.0 and TLS 1.1”	Ada baris `ssl_protocols` lama, sering di `nginx.conf` atau include dari Certbot	Jalankan `grep` dari Langkah 2 dan sisakan hanya `tls.conf`
`nginx -t`: `"ssl_prefer_server_ciphers" directive is duplicate`	`nginx.conf` bawaan masih mengaturnya di blok `http` yang sama	Beri tanda `#` di `nginx.conf` (Langkah 2)
Grade B, “Chain issues: Incomplete”	`ssl_certificate` mengarah ke `cert.pem`	Pakai `fullchain.pem`
Grade B, warning cipher soal forward secrecy atau CBC	Daftar `ssl_ciphers` lama	Pakai daftar dari Langkah 2
Grade A-, “This server does not support TLS 1.3”	OpenSSL lebih lama dari 1.1.1, atau `ssl_protocols` tanpa `TLSv1.3`	Upgrade OS atau build nginx; cek `nginx -V`
Grade A-, warning HSTS atau “HSTS not set”	Header tidak ada di halaman yang diuji, `max-age` terlalu pendek, atau kena jebakan add_header	Cek dengan `curl -sI`; lihat Langkah 5
A+ di satu IP, A- di IP lain	IPv6 dilayani server block lain atau mesin lain	Tambahkan `listen [::]:443 ssl;` di semua blok, atau perbaiki record AAAA
Grade tidak berubah walau nginx sudah diubah	Yang diuji CDN, bukan server Anda	Lihat di bawah
`nginx -t` menulis `SSL_CTX_set1_curves_list(...) failed`	OpenSSL di balik nginx tidak mengenal salah satu grup di `ssl_ecdh_curve`, biasanya `X25519MLKEM768` di OpenSSL sebelum 3.5	Hapus grup itu dari daftar

Pakai Cloudflare atau CDN lain? Kalau proxy Cloudflare (awan oranye) aktif, SSL Labs menguji edge Cloudflare, bukan nginx Anda. Grade-nya bergantung pada pengaturan di Cloudflare: versi TLS minimum, TLS 1.3, dan HSTS di menu SSL/TLS > Edge Certificates. Konfigurasi nginx tetap penting untuk koneksi antara Cloudflare dan server origin, jadi pakai mode “Full (strict)” dan tetap pasang konfigurasi di atas di origin. (Blog ini juga ada di belakang Cloudflare; ceritanya ada di Migrasi ke Cloudflare.)

Opsional: HSTS preload

Dengan HSTS preload, domain Anda masuk ke daftar HTTPS-only yang ditanam di dalam browser, jadi kunjungan pertama pun tidak pernah lewat HTTP. SSL Labs tidak mensyaratkannya untuk A+. Syarat di hstspreload.org lebih ketat daripada syarat A+:

max-age minimal 31536000 (satu tahun), includeSubDomains, dan preload di header
semua subdomain dilayani lewat HTTPS, termasuk subdomain internal
HTTP dialihkan ke HTTPS di host yang sama terlebih dulu

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

Keluar dari daftar itu butuh waktu berbulan-bulan sampai ke pengguna lewat update browser, dan browser lain belum tentu ikut menghapus. Daftarkan hanya domain yang pasti tetap HTTPS-only di semua subdomain.

Konfigurasi lengkap

Sebagai rujukan, ini dua file yang dipakai saat pengujian di atas (sesuaikan path dan nama). Ditambah dua baris yang diberi # di nginx.conf pada Langkah 2, itulah seluruh perubahannya:

# /etc/nginx/conf.d/tls.conf
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ecdh_curve X25519MLKEM768:X25519:prime256v1:secp384r1;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;
ssl_session_timeout 1d;
ssl_session_cache shared:TLS:10m;
# add_header_inherit merge;   # nginx 1.29.3+

# /etc/nginx/sites-available/example.com
server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    return 308 https://$host$request_uri;
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;
    server_name example.com www.example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;

    root /var/www/example.com;
    index index.html;
}

Kalau perlu melayani klien ECDSA dan RSA sekaligus, nginx bisa memuat dua sertifikat di server block yang sama dan memilih yang cocok untuk tiap klien:

ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;       # ECDSA, dari Langkah 1
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_certificate     /etc/letsencrypt/live/example.com-rsa/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com-rsa/privkey.pem;

Mahyuddin Susanto adalah sysadmin Linux dan jaringan yang mengelola server sendiri dan menulis soal nginx di blog ini sejak 2009, dimulai dari nginx, dari nol. Tentang penulis · Kontak

Sumber

Qualys SSL Labs, SSL Server Rating Guide, versi 2009r, 16 Mei 2025
TLSRef, Server Side TLS guideline 6.0 dan TLS Configurator
nginx, ngx_http_ssl_module, ngx_http_headers_module, dan CHANGES
Let’s Encrypt, Ending OCSP Support in 2025
HSTS Preload List Submission
IETF, RFC 6797: HTTP Strict Transport Security

How to Get an A+ on SSL Labs with nginx (2026 Guide)

2026-11-05T00:00:00+00:00

To get an A+ on the Qualys SSL Labs server test with nginx, you need five things: TLS 1.2 and TLS 1.3 only, ECDHE key exchange with AEAD ciphers (GCM or ChaCha20-Poly1305), a certificate served with its full chain, an HSTS header with a max-age of at least six months, and the same setup on every IP address your hostname resolves to. Miss TLS 1.3 or HSTS and you land on A-. Leave TLS 1.0 or 1.1 on and you are stuck at B.

This guide walks through each piece, gives you a config you can paste, and covers the two changes that break older tutorials: Let’s Encrypt shutting down OCSP in 2025, and the grading update SSL Labs shipped in May 2025.

The configuration below was tested on nginx 1.26.3 with OpenSSL 3.5.7, using the stock Debian 13 nginx.conf with its two SSL lines commented out and the files from this guide added, and checked with openssl s_client and curl.

Baca dalam Bahasa Indonesia: Cara Mendapat A+ di SSL Labs dengan nginx. Running Apache? See How to Get an A+ on SSL Labs with Apache httpd.

Contents

How SSL Labs grades your server
Check your nginx and OpenSSL versions first
Step 1: Get a certificate and serve the full chain
Step 2: Put the TLS settings in one shared file
Step 3: The server blocks, HSTS and the HTTP redirect
Step 4: OCSP stapling and Let’s Encrypt
Step 5: Avoid the add_header trap
Step 6: Test locally, then run SSL Labs
Troubleshooting: what the report says and how to fix it
Optional: HSTS preload
The complete config
Sources

How SSL Labs grades your server

SSL Labs scores three categories: protocol support (30%), key exchange (30%) and cipher strength (40%). A score of 80 or more is an A. Then it applies caps: specific problems limit the grade no matter how high the score is. The A+ is a bonus on top of an A with no warnings.

The current rules are version 2009r of the SSL Server Rating Guide, dated 16 May 2025. These are the caps that matter for a typical nginx server:

Problem	Grade limit
SSLv2, SSLv3 as the best protocol, export ciphers, Heartbleed-class bugs	F
TLS 1.2 not supported	C
TLS 1.0 or TLS 1.1 enabled	B
No forward secrecy (no ECDHE/DHE)	B
No AEAD cipher (GCM or ChaCha20-Poly1305)	B
RC4 enabled	B
Incomplete certificate chain	B
Key or DH parameters under 2048 bits	B
TLS 1.3 not supported	A-
HSTS missing or invalid	A-

For the A+, the guide asks for a configuration with no warnings and HSTS with a max-age of at least six months (15768000 seconds).

Two things changed in 2025: a plain A now needs both TLS 1.3 and a valid HSTS header, and TLS_FALLBACK_SCSV no longer counts. If an older article tells you to chase fallback SCSV, skip that part.

You do not need 100 in every category. An ECDSA P-256 or RSA 2048 certificate scores 90 on key exchange, and offering AES-128 keeps cipher strength at 90. Both still get an A+. Switching to RSA 4096 only makes handshakes slower.

Check your nginx and OpenSSL versions first

A few directives depend on the version you run:

nginx -V 2>&1 | head -3
openssl version

Feature	Needs
TLS 1.3 (`TLSv1.3` in `ssl_protocols`)	OpenSSL 1.1.1+; default since nginx 1.23.4
`http2 on;` as a separate directive	nginx 1.25.1+ (older: `listen 443 ssl http2;`)
Automatic session ticket key rotation	nginx 1.23.2+ with a shared `ssl_session_cache`
Hybrid post-quantum group `X25519MLKEM768`	OpenSSL 3.5+
`add_header_inherit merge;`	nginx 1.29.3+

The nginx -V line that matters is built with OpenSSL .... That is the library nginx actually uses, and it can differ from the openssl command on the same box.

Step 1: Get a certificate and serve the full chain

Any publicly trusted certificate works. With Let’s Encrypt and Certbot, get the certificate only and write the TLS config yourself:

sudo certbot certonly --nginx -d example.com -d www.example.com

Recent Certbot releases issue ECDSA keys by default, which is what you want. Point nginx at fullchain.pem, not cert.pem:

ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

cert.pem holds only your leaf certificate. Browsers often fill in the missing intermediate on their own, so the site looks fine, but SSL Labs reports “Chain issues: Incomplete” and caps the grade at B. The nginx docs say the same: the server certificate comes first in the file, followed by the intermediates.

If you use Certbot’s own installer (certbot --nginx without certonly), it adds include /etc/letsencrypt/options-ssl-nginx.conf; to your server block. That file sets protocols and ciphers too. Remove the include so your own settings are the only ones in play.

Step 2: Put the TLS settings in one shared file

Debian and Ubuntu load every file in /etc/nginx/conf.d/ inside the http block, so a single file there applies to all your HTTPS sites.

First, clear the SSL lines that the package already put in /etc/nginx/nginx.conf. The stock Debian 13 file has this block inside http { }:

##
# SSL Settings
##

ssl_protocols TLSv1.2 TLSv1.3; # Dropping SSLv3 (POODLE), TLS 1.0, 1.1
ssl_prefer_server_ciphers off; # Don't force server cipher order.

Your conf.d/ file lands in the same http block, so these lines would collide with it. nginx refuses a second ssl_prefer_server_ciphers at the same level:

nginx: [emerg] "ssl_prefer_server_ciphers" directive is duplicate in /etc/nginx/conf.d/tls.conf

A second ssl_protocols does not replace the first one either. nginx merges the two lists and only prints warnings such as [warn] duplicate value "TLSv1.2", not an error. Comment out both lines with # (your release may have different values there), then check that nothing else sets them:

grep -rn -e ssl_protocols -e ssl_prefer_server_ciphers -e ssl_ciphers /etc/nginx/

Now create /etc/nginx/conf.d/tls.conf:

# TLS settings for every server block (http context)
ssl_protocols TLSv1.2 TLSv1.3;

# OpenSSL 3.5+: hybrid post-quantum group first.
# On OpenSSL 3.0-3.4, remove X25519MLKEM768 from this list.
ssl_ecdh_curve X25519MLKEM768:X25519:prime256v1:secp384r1;

# TLS 1.2 ciphers: ECDHE key exchange + AEAD only.
# TLS 1.3 suites are managed by OpenSSL and are all AEAD.
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;

ssl_session_timeout 1d;
ssl_session_cache shared:TLS:10m;   # about 40000 sessions

Line by line:

ssl_protocols TLSv1.2 TLSv1.3 turns off TLS 1.0 and 1.1 (the B cap) and turns on TLS 1.3 (without it you stop at A-). It is the default since nginx 1.23.4, but writing it here makes the intent clear. It does not override other ssl_protocols lines in the same block, which is why you removed them above.
ssl_ecdh_curve sets the key exchange groups. The list comes from the TLSRef guideline 6.0, the successor of Mozilla’s Server Side TLS guidelines. X25519MLKEM768 combines classic X25519 with the ML-KEM post-quantum algorithm. Clients that do not support it fall back to X25519.
ssl_ciphers lists only ECDHE suites, which gives forward secrecy, and only GCM or ChaCha20-Poly1305, which are AEAD. No CBC, no RSA key exchange, no 3DES. TLSRef lists the oldest clients this profile still serves as Firefox 31, Chrome 49, Safari 9, Android 4.4.2, IE 11 on Windows 10 and Java 8u161. It also replaces the cipher list from my 2015 post on ssl_cipher in nginx (in Indonesian), which is out of date now.
ssl_prefer_server_ciphers off lets the client pick. With an all-strong list, the client knows best: phones without AES hardware choose ChaCha20.
No ssl_dhparam. The list has no DHE suites, so you do not need a DH parameters file. That also removes the old “DH parameters under 2048 bits” risk.
Session tickets stay at the default (on). Since nginx 1.23.2 the ticket keys rotate automatically when ssl_session_cache uses shared memory, as it does here. That is why TLSRef only adds ssl_session_tickets off; for older versions.

The Mozilla SSL Configuration Generator now redirects to the TLSRef Configurator. This file matches its “Intermediate” profile, which is the right choice for public websites. The “Modern” profile (TLS 1.3 only) also gets an A+, but cuts off older clients such as Android 4.4 and IE 11.

Step 3: The server blocks, HSTS and the HTTP redirect

Now the site itself, for example /etc/nginx/sites-available/example.com, linked into sites-enabled/:

# Port 80: redirect everything to HTTPS
server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;

    return 308 https://$host$request_uri;
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;                       # nginx < 1.25.1: "listen 443 ssl http2;"
    server_name example.com www.example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    # HSTS: 2 years. "always" also sends it on 3xx/4xx/5xx responses.
    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;

    root /var/www/example.com;
    index index.html;
}

Notes on the HSTS line:

max-age=63072000 is two years, the TLSRef value. SSL Labs needs at least 15768000 (six months) for the A+. A shorter value or a typo drops you to A-.
always matters. Without it, nginx adds the header only to 200, 201, 204, 206, 301, 302, 303, 304, 307 and 308 responses. With always, error pages carry it too.
includeSubDomains tells browsers that every subdomain is HTTPS-only as well. Leave it out until you are sure that is true. If intranet.example.com still serves plain HTTP, browsers that have seen the header will refuse to load it.
The header goes only on the HTTPS server. Browsers ignore HSTS on plain HTTP, and the HSTS spec (RFC 6797, section 7.2) says servers must not send it there.

Both listen lines in each block are deliberate. If your domain has an AAAA record and nginx listens only on IPv4, SSL Labs tests the IPv6 address and gets a different answer. More on that in the troubleshooting table.

Step 4: OCSP stapling and Let’s Encrypt

Many A+ guides still tell you to add ssl_stapling on;, including my own OCSP stapling post from 2015. For Let’s Encrypt certificates, drop it.

Let’s Encrypt ended OCSP support: from 7 May 2025 its certificates no longer contain an OCSP URL, and the OCSP responders were switched off on 6 August 2025. Revocation now goes through CRLs. With stapling on and a current Let’s Encrypt certificate, nginx logs a warning like this on every reload:

[warn] "ssl_stapling" ignored, no OCSP responder URL in the certificate

The site keeps working, but the line is noise. Remove ssl_stapling and ssl_stapling_verify. OCSP stapling has no effect on the SSL Labs grade.

If your certificate comes from a CA that still runs OCSP, stapling is still useful. You need a resolver and the issuer chain:

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/ssl/certs/ca-chain.pem;   # root + intermediates
resolver 127.0.0.53 valid=300s;   # e.g. systemd-resolved; use your server's resolver

Step 5: Avoid the add_header trap

In nginx, add_header is inherited from the outer block only if the current block has no add_header of its own. Add one header in a location and every header from the server block disappears in that location, HSTS included. If that location is /, the grade drops to A-. If it is another path, the report stays A+ while part of the site runs without the header.

Here is the result on the test server (port 8443) with the config above plus one extra location:

location /assets/ {
    add_header Cache-Control "public, max-age=3600";
}

$ curl -sk -D- -o /dev/null https://127.0.0.1:8443/ | grep -i strict
strict-transport-security: max-age=63072000; includeSubDomains

$ curl -sk -D- -o /dev/null https://127.0.0.1:8443/assets/x | grep -i -e strict -e cache
cache-control: public, max-age=3600

The second response has no HSTS.

Three fixes, in order of preference:

nginx 1.29.3 or newer: put add_header_inherit merge; in the http block. Headers from outer levels are then added to the ones you set in the inner block (docs).
Older nginx: move the security headers into a snippet and include it wherever you use add_header (example below).
For caching only: use expires 1h; instead of add_header Cache-Control. It sets Cache-Control and Expires itself and, unlike add_header, does not cancel the headers inherited from the server block.

The snippet approach looks like this:

# /etc/nginx/snippets/security-headers.conf
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;

location /assets/ {
    include snippets/security-headers.conf;
    add_header Cache-Control "public, max-age=3600";
}

And location /assets/ { expires 1h; } on the same test server:

$ curl -sk -D- -o /dev/null https://127.0.0.1:8443/assets/x.css
HTTP/2 200
expires: Thu, 05 Nov 2026 01:41:51 GMT
cache-control: max-age=3600
strict-transport-security: max-age=63072000; includeSubDomains

The same inheritance rule applies to if blocks and nested locations.

Step 6: Test locally, then run SSL Labs

Check the syntax and reload:

sudo nginx -t && sudo systemctl reload nginx

Before you go to SSL Labs, check the important points from your own terminal. Replace example.com with your host:

# TLS 1.1 must be refused. SECLEVEL=0 lets a modern client even try it.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_1 -cipher 'DEFAULT@SECLEVEL=0' </dev/null 2>&1 | grep -E 'alert|Cipher is'

# TLS 1.3 must work. With OpenSSL 3.5+ on both sides the group is X25519MLKEM768.
openssl s_client -connect example.com:443 -servername example.com \
  -tls1_3 </dev/null 2>&1 | grep -E 'Negotiated TLS1.3 group|Cipher is'

# CBC suites must be refused (covers both ECDSA and RSA certificates).
openssl s_client -connect example.com:443 -servername example.com -tls1_2 \
  -cipher 'ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA' </dev/null 2>&1 | grep -E 'alert|Cipher is'

# Full chain: there must be a "depth=1" line (the intermediate sent by the server).
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>&1 | grep depth

# HSTS header and redirect.
curl -sI https://example.com/ | grep -i strict-transport-security
curl -sI http://example.com/  | grep -i -e '^HTTP' -e '^location'

On the test setup, the output looked like this (condensed):

tls1_1 :  tlsv1 alert protocol version ... Cipher is (NONE)
tls1_3 :  Negotiated TLS1.3 group: X25519MLKEM768
          New, TLSv1.3, Cipher is TLS_AES_256_GCM_SHA384
CBC    :  ssl/tls alert handshake failure ... Cipher is (NONE)
HSTS   :  strict-transport-security: max-age=63072000; includeSubDomains
HTTP   :  HTTP/1.1 308 Permanent Redirect

When all of that looks right, open ssllabs.com/ssltest, enter your hostname, and tick “Do not show the results on the boards” if you do not want the result listed publicly. SSL Labs caches results for a while. After a config change, use the “Clear cache” link on the results page to force a new scan. A full scan takes a few minutes, longer when the hostname has several IP addresses.

Troubleshooting: what the report says and how to fix it

What you see	Cause	Fix
Grade B, “This server supports TLS 1.0 and TLS 1.1”	Old `ssl_protocols` line somewhere, often in `nginx.conf` or a Certbot include	Run the `grep` from Step 2 and keep only `tls.conf`
`nginx -t`: `"ssl_prefer_server_ciphers" directive is duplicate`	The stock `nginx.conf` still sets it in the same `http` block	Comment it out in `nginx.conf` (Step 2)
Grade B, “Chain issues: Incomplete”	`ssl_certificate` points to `cert.pem`	Use `fullchain.pem`
Grade B, cipher warnings about forward secrecy or CBC	Old `ssl_ciphers` list	Use the list from Step 2
Grade A-, “This server does not support TLS 1.3”	OpenSSL older than 1.1.1, or `ssl_protocols` without `TLSv1.3`	Upgrade the OS or nginx build; check `nginx -V`
Grade A-, HSTS warning or “HSTS not set”	Header missing on the tested page, `max-age` too short, or the add_header trap	Check with `curl -sI`; see Step 5
A+ on one IP, A- on another	IPv6 handled by a different server block or a different machine	Add `listen [::]:443 ssl;` everywhere, or fix the AAAA record
Grade does not change after you edit nginx	You are testing a CDN, not your server	See below
`nginx -t` says `SSL_CTX_set1_curves_list(...) failed`	The OpenSSL behind nginx does not know a group in `ssl_ecdh_curve`, usually `X25519MLKEM768` on OpenSSL older than 3.5	Remove that group from the list

Behind Cloudflare or another CDN? If the orange cloud is on, SSL Labs tests Cloudflare’s edge, not your nginx. The grade then depends on your Cloudflare settings: minimum TLS version, TLS 1.3, and HSTS under SSL/TLS > Edge Certificates. Your nginx config still matters for the connection between Cloudflare and your origin, so use “Full (strict)” mode and keep the setup above on the origin. (This blog sits behind Cloudflare too; the move is described in Migrasi ke Cloudflare, in Indonesian.)

Optional: HSTS preload

With HSTS preload, browsers ship with your domain on a built-in HTTPS-only list, so even the very first visit never uses HTTP. SSL Labs does not need it for an A+. The requirements on hstspreload.org are stricter than the A+ ones:

max-age of at least 31536000 (one year), includeSubDomains, and preload in the header
every subdomain served over HTTPS, including internal ones
HTTP redirected to HTTPS on the same host first

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

Getting off the list takes months to reach users through browser updates, and other browsers are not guaranteed to follow. Only submit a domain you know will stay HTTPS-only on every subdomain.

The complete config

For reference, here are the two files used in the test above (adjust paths and names). Together with the two commented lines in nginx.conf from Step 2, that is the whole change:

# /etc/nginx/conf.d/tls.conf
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ecdh_curve X25519MLKEM768:X25519:prime256v1:secp384r1;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;
ssl_session_timeout 1d;
ssl_session_cache shared:TLS:10m;
# add_header_inherit merge;   # nginx 1.29.3+

# /etc/nginx/sites-available/example.com
server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    return 308 https://$host$request_uri;
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;
    server_name example.com www.example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;

    root /var/www/example.com;
    index index.html;
}

If you need to support both ECDSA and RSA clients, nginx can load two certificates in the same server block, and it picks the right one per client:

ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;       # ECDSA, from Step 1
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_certificate     /etc/letsencrypt/live/example.com-rsa/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com-rsa/privkey.pem;

On the test server, a TLS 1.2 client that only offered ECDHE-RSA-AES128-GCM-SHA256 received the 2048-bit RSA certificate, and everyone else got ECDSA. With Certbot, run it a second time with --key-type rsa --cert-name example.com-rsa to get the RSA pair.

Mahyuddin Susanto is a Linux and networking sysadmin who runs his own servers and has written about nginx on this blog since 2009, starting with nginx, dari nol. About · Contact

Sources

Qualys SSL Labs, SSL Server Rating Guide, version 2009r, 16 May 2025
TLSRef, Server Side TLS guideline 6.0 and TLS Configurator
nginx, ngx_http_ssl_module, ngx_http_headers_module and CHANGES
Let’s Encrypt, Ending OCSP Support in 2025
HSTS Preload List Submission
IETF, RFC 6797: HTTP Strict Transport Security

Mobil Listrik (1/3): Pengertian dan Jenis-Jenisnya

2026-11-04T00:00:03+00:00

Pada September 2026, BYD Atto 1 tercatat 4.840 unit dalam data Gaikindo, peringkat kedua dalam daftar 20 model terlaris di seluruh pasar mobil Indonesia bulan itu dan yang tertinggi di antara mobil listrik (Gaikindo, 25 Oktober 2026). Gaikindo sendiri menulis bahwa mobil listrik “mulai menembus jajaran model terlaris”. Harga mobil listrik terlaris sekarang mulai dari sekitar Rp150 jutaan, yaitu VinFast VF 3 dengan sewa baterai. Data di tulisan ini diperiksa pada 4 November 2026, dan tanggal terbit tiap sumber ada di sampingnya.

Tulisan ini menjelaskan apa itu mobil listrik dan apa bedanya dengan hybrid, bagaimana mobil itu bekerja dari colokan sampai roda, dan mobil listrik mana yang paling banyak tercatat penjualannya di Indonesia sepanjang 2026, lengkap dengan harga, kapasitas baterai, dan klaim jarak tempuhnya. Setiap harga dan angka penjualan saya beri tanggal sumbernya, karena angkanya berubah cepat dan beberapa media menulis angka berbeda untuk model yang sama.

Foto: JUICE di Unsplash.

Poin Penting

Mobil listrik murni (BEV) bergerak dengan motor listrik yang disuplai baterai besar dan diisi dari colokan. Hybrid biasa dan plug-in hybrid masih punya mesin bensin, jadi bukan mobil listrik murni.

Mobil listrik mengubah lebih dari 77% energi listrik menjadi tenaga di roda, sedangkan mobil bensin hanya 12% sampai 30% dari energi bensinnya (U.S. Department of Energy).

Pengisian di rumah dengan tarif listrik rumah tangga Rp1.444,70 per kWh menghabiskan sekitar Rp60 ribu sampai Rp67 ribu untuk mengisi baterai 38,88 kWh dari kosong sampai penuh, menurut hitungan di tulisan ini. Di SPKLU umum tarifnya sampai Rp2.475 per kWh.

Sepuluh mobil listrik dengan penjualan terbesar pada Januari sampai September 2026 berharga dari Rp152 juta (VinFast VF 3 dengan sewa baterai) sampai Rp950 juta (Denza D9). Tiga yang terlaris, yaitu Jaecoo J5 EV, BYD Atto 1, dan Geely EX2, berada di kisaran Rp200 jutaan sampai Rp300 jutaan.

Insentif PPN ditanggung pemerintah dan keringanan bea masuk untuk mobil listrik tidak berlanjut pada 2026. Penggantinya masih dikaji pada Juni 2026, jadi harga bisa berubah lagi.

Daftar isi bagian ini

Apa itu mobil listrik?
- Kenapa orang beralih
- Skala globalnya
Jenis-jenis mobil listrik

Apa itu mobil listrik?

Mobil listrik adalah mobil yang digerakkan oleh motor listrik, bukan mesin pembakaran. Departemen Energi Amerika Serikat menyebut jenis yang paling murni sebagai all-electric vehicle atau battery electric vehicle (BEV): mobilnya punya baterai yang diisi dengan mencolokkan kendaraan ke peralatan pengisian, dan selalu berjalan dalam mode listrik penuh (U.S. DOE, Alternative Fuels Data Center). Tidak ada tangki bensin, pompa bahan bakar, atau saluran bahan bakar. Kendaraan seperti ini juga tidak mengeluarkan gas buang dari knalpot (U.S. DOE).

Dalam aturan Indonesia, istilah resminya Kendaraan Bermotor Listrik Berbasis Baterai atau KBLBB. Istilah itu dipakai dalam Perpres 55 Tahun 2019 tentang percepatan program KBLBB untuk transportasi jalan, yang kemudian diubah dengan Perpres 79 Tahun 2023. Di dealer dan di media otomotif, kamu akan lebih sering mendengar singkatan BEV atau sebutan “mobil listrik” saja.

Kenapa orang beralih

Alasan pertama adalah efisiensi. Menurut U.S. Department of Energy, mobil listrik mengubah lebih dari 77% energi listrik dari jaringan menjadi tenaga di roda. Mobil bensin konvensional hanya mengubah sekitar 12% sampai 30% energi tersimpan dalam bensin menjadi tenaga di roda (FuelEconomy.gov). Angka itu berasal dari konteks Amerika Serikat, tetapi prinsip fisikanya sama di mana pun: motor listrik membuang jauh lebih sedikit energi sebagai panas dibanding mesin bensin.

Alasan kedua adalah biaya energi per kilometer. Listrik rumah tangga di Indonesia dihargai Rp1.352 sampai Rp1.699,53 per kWh, tergantung golongan, untuk triwulan IV 2026 (Metro TV, 29 Oktober 2026). Bagian hitung-hitungan ada di bawah, di bagian pengisian daya.

Alasan ketiga adalah pengalaman berkendara. Menurut pengetahuan umum, motor listrik memberikan torsi sejak putaran pertama dan tidak memakai perpindahan gigi bertahap, jadi akselerasinya halus. Sisi lemahnya juga ada: jarak tempuh nyata bisa jauh di bawah angka brosur, dan pengisian bergantung pada colokan yang tersedia. Dua hal itu saya hitung dengan angka di bawah.

Skala globalnya

Mobil listrik bukan fenomena satu negara. Badan Energi Internasional (IEA) menulis dalam siaran pers Global EV Outlook 2026 bahwa hampir 30% mobil yang terjual pada 2026 diperkirakan berupa mobil listrik, seiring negara dan konsumen merespons krisis energi (IEA, Global EV Outlook 2026). Di Indonesia, sepuluh mobil listrik terlaris saja mencapai 89.502 unit pada sembilan bulan pertama 2026 menurut data Gaikindo, seperti yang dirinci di bagian daftar model.

Jenis-jenis mobil listrik

Istilah “mobil listrik” dipakai longgar untuk beberapa teknologi yang berbeda. Perbedaannya menentukan apakah kamu perlu mencari colokan, apakah masih harus ke SPBU, dan seberapa besar biaya bulanannya. Tabel berikut membandingkan mobil konvensional dengan empat jenis yang sering disebut mobil listrik. Tiap jenis dijabarkan di bawahnya dengan diagram alur energi.

Jenis	Singkatan	Sumber tenaga	Dicolok untuk diisi?	Masih pakai bensin?
Mobil konvensional	ICE	Mesin pembakaran	Tidak	Ya
Battery electric vehicle	BEV	Baterai besar dan motor listrik	Ya	Tidak
Plug-in hybrid electric vehicle	PHEV	Baterai sedang, motor listrik, dan mesin bensin	Ya	Ya
Hybrid electric vehicle	HEV	Mesin bensin dibantu motor listrik dan baterai kecil	Tidak	Ya
Fuel cell electric vehicle	FCEV	Hidrogen yang diubah menjadi listrik oleh sel bahan bakar	Tidak (isi hidrogen)	Tidak

Di semua diagram, garis oranye adalah bensin, biru listrik, hijau hidrogen, ungu energi yang kembali ke baterai saat mobil melambat, dan abu-abu tenaga mekanik atau sisa.

Pembanding: mobil konvensional (ICE)

Mobil konvensional memakai mesin pembakaran dalam (internal combustion engine, ICE) yang membakar bensin atau solar. Semua jenis lain di bawah menambahkan atau menggantikan sebagian dari rantai ini.

Alur energi mobil konvensional: bensin dibakar di mesin, tenaganya lewat transmisi ke roda, sisanya keluar sebagai gas buang dan panas.

Alurnya begini, menurut pengetahuan umum tentang mesin bensin. Pompa mengalirkan bahan bakar dari tangki ke mesin. Di dalam silinder, bahan bakar bercampur dengan udara lalu dibakar, dan pembakaran itu mendorong piston. Piston memutar poros engkol, dan putaran itu diteruskan lewat transmisi ke roda. Transmisi diperlukan karena mesin hanya bekerja baik pada rentang putaran tertentu, jadi rasio gigi diubah menurut kecepatan. Sisa pembakaran keluar lewat knalpot. Aki 12 volt menyalakan starter dan menyuplai listrik aksesori, lalu diisi ulang oleh alternator yang diputar mesin.

Kelemahan utamanya ada pada efisiensi. Seperti sudah dikutip di atas, mobil bensin hanya mengubah sekitar 12% sampai 30% energi bensin menjadi tenaga di roda (FuelEconomy.gov). Sisanya hilang sebagai panas. Kelebihannya sederhana: mengisi bahan bakar memakan beberapa menit, dan kebiasaan itu sudah dikenal semua orang. Itulah celah yang coba diisi oleh keempat jenis di bawah.

BEV: mobil listrik murni

BEV hanya punya motor listrik. Seluruh sepuluh model di daftar tulisan ini adalah BEV.

Alur energi mobil listrik murni (BEV) saat diisi lewat colokan AC, tanpa tangki bensin dan mesin. Pengisian cepat DC mengalir langsung ke baterai tanpa melewati pengisi daya onboard. Garis ungu menunjukkan energi yang kembali ke baterai saat mobil melambat.

Cara kerja BEV

Listrik masuk lewat soket pengisian. Pengisi daya onboard mengubah arus bolak-balik (AC) menjadi arus searah (DC) dan menyimpannya di baterai traksi. Saat kamu menginjak gas, elektronika daya mengatur seberapa banyak energi mengalir dari baterai ke motor, dan motor memutar roda. Saat kamu melepas gas atau mengerem, motor berbalik menjadi generator dan mengirim sebagian energi kembali ke baterai (garis ungu di diagram). Tidak ada tangki bensin, pompa bahan bakar, atau saluran bahan bakar (U.S. DOE).

Kelebihan dan batas BEV

Departemen Energi AS menyebut jarak tempuh khas BEV antara 150 dan 400 mil (U.S. DOE), atau sekitar 240 sampai 640 km. Rentang itu terlihat juga di Indonesia: VinFast VF 3 mengklaim 210 km, sedangkan BYD Sealion 7 mengklaim lebih dari 540 km, keduanya berdasarkan siklus uji NEDC.

Kelebihan BEV adalah efisiensi yang tinggi (lebih dari 77% energi listrik sampai ke roda), tidak ada gas buang dari knalpot, dan, menurut pengetahuan umum, mekanis yang lebih sederhana karena tidak ada oli mesin, busi, atau knalpot yang perlu dirawat. Kelemahannya adalah ketergantungan penuh pada pengisian: kalau baterai habis, tidak ada mesin cadangan. Baterainya juga mahal dan penggantiannya bisa mahal kalau rusak (FuelEconomy.gov), dan jarak tempuh nyata bisa jauh di bawah klaim, seperti hitungan dari dua uji jalan Geely di bagian model.

BEV cocok untuk siapa

BEV paling masuk akal untuk orang yang bisa mengisi di rumah atau kantor dan jarak hariannya jauh di bawah klaim jarak mobil. Di Indonesia pilihannya paling luas: dari Rp152 juta (VinFast VF 3 dengan sewa baterai) sampai Rp950 juta (Denza D9) di daftar sepuluh model terlaris pada September 2026.

PHEV: hybrid yang bisa dicolok

PHEV punya baterai dan motor listrik, tetapi juga mesin bensin dan tangki bensin. Menurut Departemen Energi AS, sebagian besar PHEV bisa menempuh sekitar 20 sampai 40 mil dengan listrik saja (U.S. DOE), kira-kira 32 sampai 64 km, sebelum berjalan seperti hybrid biasa dengan bensin.

Alur energi plug-in hybrid (PHEV): dua sumber tenaga, listrik dari colokan dan bensin dari tangki, bertemu di transmisi sebelum ke roda.

Cara kerja PHEV

Baterai PHEV diisi lewat colokan, lebih besar dari baterai hybrid biasa tetapi lebih kecil dari baterai BEV. Selama baterai terisi, mobil bisa berjalan hanya dengan motor listrik. Setelah baterai turun, mesin bensin ikut bekerja, dan dua sumber tenaga itu bertemu di transmisi atau penggabung tenaga sebelum ke roda. Pengereman regeneratif tetap mengisi sebagian baterai.

Kelebihan dan batas PHEV

Kelebihannya adalah fleksibilitas. Untuk pemakaian harian dalam kota, PHEV bisa berjalan hampir sepenuhnya dengan listrik kalau dicolok tiap malam, dan untuk perjalanan jauh mesin bensinnya menjadi cadangan sehingga kamu tidak perlu mencari SPKLU. Batasnya ada dua. Mobil ini membawa dua sistem penggerak sekaligus, jadi lebih kompleks, dan pada contoh Darion di bawah harganya lebih tinggi dari versi listrik murninya. Dan manfaatnya hilang kalau jarang dicolok: tanpa listrik dari colokan, mobil bergantung pada mesin bensin dan membawa baterai yang jarang terpakai.

Contoh di Indonesia adalah Wuling Darion, yang dijual dalam varian EV dan PHEV. Menurut daftar harga Otodriver edisi September 2026, Darion PHEV CE dan EX masing-masing dijual Rp449 juta dan Rp499 juta, sedangkan Darion EV CE dan EX Rp399 juta dan Rp459 juta (Otodriver). Selisih Rp40 juta sampai Rp50 juta itu membeli mesin bensin sebagai cadangan.

PHEV cocok untuk siapa

PHEV masuk akal untuk orang yang bisa mencolok di rumah tetapi sering menempuh perjalanan jauh tanpa jaminan ada SPKLU di rute. Kalau kamu hampir tidak pernah mencolok, PHEV kehilangan alasannya.

HEV: hybrid biasa

Pada HEV, baterai diisi lewat pengereman regeneratif dan mesin, bukan lewat colokan. Departemen Energi AS menegaskan hal itu: baterai hybrid diisi “through regenerative braking, not by plugging in” (U.S. DOE). Karena itu HEV tidak butuh SPKLU sama sekali.

Alur energi hybrid biasa (HEV): bensin tetap sumber utama, motor-generator membantu, dan baterai kecil diisi dari mesin dan pengereman, bukan dari colokan.

Cara kerja HEV

Mesin bensin tetap sumber tenaga utama. Motor-generator membantu menggerakkan roda, terutama saat mobil mulai bergerak atau berjalan pelan, dan baterai kecilnya menyimpan energi dari pengereman regeneratif serta dari mesin yang memutar generator. Tidak ada soket pengisian, jadi kamu mengisi bensin seperti mobil biasa.

Kelebihan dan batas HEV

Kelebihan HEV adalah kebiasaannya tidak berubah: tidak ada colokan, tidak ada kecemasan jarak, dan tidak bergantung pada infrastruktur pengisian. Bagi orang yang belum siap mengubah kebiasaan, HEV paling mudah diadopsi. Batasnya: mesin bensin tetap menjadi sumber tenaga utama, jadi mobil ini tidak menghilangkan gas buang, dan halaman Departemen Energi AS tentang kendaraan listrik tidak menyebut angka jarak listrik murni untuk HEV (U.S. DOE). Karena baterainya kecil, kemampuannya berjalan hanya dengan listrik terbatas, menurut gambaran umum.

HEV cocok untuk siapa

HEV cocok untuk pemilik yang tidak punya tempat mengisi daya dan ingin pemakaian bensin lebih hemat tanpa mengubah rutinitas. Tulisan ini fokus ke mobil listrik murni, jadi model HEV tidak dibahas satu per satu.

FCEV: mobil listrik berbahan bakar hidrogen

FCEV memakai hidrogen yang disimpan di tangki. Di dalam sel bahan bakar jenis polymer electrolyte membrane (PEM), hidrogen dipecah menjadi proton dan elektron. Elektron mengalir lewat rangkaian luar dan menggerakkan motor listrik, sementara di sisi katoda proton, elektron, dan oksigen dari udara bergabung menjadi air (U.S. DOE).

Alur energi mobil hidrogen (FCEV): sel bahan bakar mengubah hidrogen dan oksigen udara menjadi listrik, dengan uap air dan udara hangat sebagai satu-satunya yang keluar dari knalpot.

Cara kerja FCEV

Dari motor ke roda, rantai FCEV mirip BEV: elektronika daya mengatur listrik ke motor, dan pengereman regeneratif menangkap energi yang tadinya hilang lalu menyimpannya di baterai (U.S. DOE). Bedanya ada di hulu. Listrik tidak berasal dari colokan, tetapi dibuat di dalam mobil dari hidrogen dan oksigen udara.

Kelebihan dan batas FCEV

Departemen Energi AS menyebut pengisian hidrogen memakan sekitar lima menit dengan jarak tempuh lebih dari 300 mil, atau sekitar 480 km (U.S. DOE). Mobilnya hanya mengeluarkan uap air dan udara hangat dari knalpot, dan lebih efisien dari mobil pembakaran, meski halaman itu tidak memberi angka efisiensinya. Halaman itu juga hanya membahas emisi dari knalpot, bukan emisi dari pembuatan hidrogen.

Batas terbesarnya infrastruktur: Departemen Energi AS menggambarkan kendaraan dan fasilitas pengisiannya masih di tahap awal (U.S. DOE).

FCEV cocok untuk siapa

Di daftar sepuluh mobil listrik terlaris tulisan ini tidak ada FCEV, dan saya tidak menempatkannya sebagai pilihan pembelian umum. Kalau kamu tertarik, tanyakan ke agen pemegang merek soal ketersediaan unit dan stasiun pengisian hidrogen di kotamu sebelum mempertimbangkannya.

Mobil Listrik (2/3): Cara Kerja, Pengisian Daya, dan Harga

2026-11-04T00:00:02+00:00

Daftar isi bagian ini

Cara kerja mobil listrik
Pengisian daya di Indonesia
Berapa harga mobil listrik dan kenapa angkanya berubah-ubah

Cara kerja mobil listrik

Alur energinya mudah diikuti kalau dilihat dari colokan sampai roda. Listrik masuk lewat soket pengisian, disimpan di baterai, dikendalikan oleh elektronika daya, lalu diubah menjadi putaran oleh motor. Departemen Energi AS mendaftar komponen utama mobil listrik murni seperti berikut (U.S. DOE):

Komponen	Fungsi
Baterai traksi (traction battery pack)	Menyimpan listrik untuk motor penggerak
Motor traksi listrik	Memakai tenaga baterai untuk memutar roda
Pengendali elektronika daya	Mengatur aliran energi dari baterai serta kecepatan dan torsi motor
Pengisi daya onboard (onboard charger)	Mengubah listrik AC dari soket menjadi DC untuk baterai, dan memantau kondisi baterai
Konverter DC/DC	Menurunkan tegangan tinggi baterai untuk aksesori dan aki bantu
Sistem termal	Menjaga motor, elektronika daya, dan komponen lain pada suhu kerja yang tepat
Soket pengisian	Menghubungkan mobil ke sumber listrik luar

Satu perjalanan dari colokan sampai roda

Ikuti satu siklus penuh dengan komponen di atas. Malam hari kamu mencolokkan mobil ke charger rumah. Listrik AC masuk lewat soket pengisian, dan pengisi daya onboard mengubahnya menjadi DC sambil memantau kondisi baterai. Baterai traksi menyimpan energi itu sampai penuh atau sampai batas yang kamu atur.

Paginya, saat kamu menekan pedal gas, pengendali elektronika daya mengambil energi dari baterai dan menyalurkannya ke motor dalam jumlah yang sesuai posisi pedal. Motor memutar roda lewat transmisi listrik. Pada saat yang sama, konverter DC/DC menurunkan tegangan sebagian energi untuk lampu, layar, dan aksesori. Sistem termal menjaga semua bagian itu tetap dalam suhu kerjanya, karena baterai dan elektronika daya sama-sama tidak nyaman bekerja terlalu panas.

Saat kamu melepas pedal dan mobil melambat, arahnya berbalik sebagian: motor menjadi generator dan mengirim sedikit energi kembali ke baterai.

Baterai: kWh adalah “tangki”-nya

Kapasitas baterai diukur dalam kilowatt-jam (kWh). Anggap itu ukuran tangki. Baterai 38,88 kWh pada BYD Atto 1 Premium menyimpan energi lebih sedikit dari baterai 103,36 kWh pada Denza D9, dan itu salah satu sebab klaim jaraknya 380 km berbanding 600 km.

Satuan kilowatt (kW) mengukur daya, bukan kapasitas. Motor Geely EX2 berdaya 85 kW (Carmudi, 21 Januari 2026), sedangkan motor Wuling Darion EV berdaya 150 kW (detikOto, 6 November 2025). Kapasitas baterai menentukan seberapa jauh mobil bisa berjalan, sedangkan daya motor menentukan seberapa kuat tarikannya.

Dua kimia baterai yang paling sering kamu dengar

Menurut pengetahuan umum, mobil listrik penumpang memakai baterai lithium-ion. Dua kimianya yang paling sering muncul di brosur adalah LFP (lithium iron phosphate) dan NMC (nikel-mangan-kobalt). Geely EX2 dan Wuling Darion EV, misalnya, memakai baterai LFP menurut sumber di bagian model di bawah.

Secara umum, LFP dikenal lebih murah dan tahan banyak siklus pengisian, sedangkan NMC dikenal lebih padat energi, sehingga untuk kapasitas yang sama paketnya lebih ringan. Itu gambaran umum, bukan angka dari sumber yang dikutip di sini. Perbedaan kimia ini juga masuk ke kebijakan: rencana PPN DTP pemerintah yang dibahas di bagian harga memberi tarif berbeda untuk baterai berbasis nikel dan non-nikel.

Pengereman regeneratif

Saat kamu melepas pedal gas atau menginjak rem, motor listrik bisa berbalik fungsi menjadi generator. Energi gerak mobil diubah kembali menjadi listrik dan dimasukkan ke baterai. Halaman Departemen Energi AS tentang mobil hidrogen menjelaskan prinsipnya sebagai penangkapan energi yang tadinya hilang saat pengereman, lalu menyimpannya di baterai (U.S. DOE). Menurut pengetahuan umum, efeknya paling terasa di lalu lintas macet, tempat kamu sering berhenti dan jalan. Di jalan tol dengan kecepatan konstan, manfaatnya jauh lebih kecil.

Kenapa pengisian AC dan DC berbeda

Listrik dari jaringan PLN berupa arus bolak-balik (AC), sedangkan baterai hanya menyimpan arus searah (DC). Pada pengisian AC, pengisi daya onboard di dalam mobil yang mengubahnya. Kemampuan alat itu terbatas, sehingga pengisian AC memakan waktu lama: FuelEconomy.gov menyebut 3 sampai 12 jam untuk mengisi penuh, seperti dikutip di bawah.

Pengisian cepat DC melewati bagian itu. Charger di luar mobil sudah menyalurkan arus searah langsung ke baterai, sehingga dayanya bisa jauh lebih besar. Itu sebabnya waktu pengisian cepat dihitung dalam menit, bukan jam. Jaecoo J5 EV, misalnya, mendukung pengisian DC sampai 130 kW menurut detikOto.

Berapa lama mengisi penuh

FuelEconomy.gov menyebut pengisian baterai penuh bisa memakan 3 sampai 12 jam, sedangkan pengisian cepat sampai 80% kapasitas bisa selesai dalam sekitar 30 menit (FuelEconomy.gov). Angka dari produsen di Indonesia sejalan dengan itu: Geely EX5 mengklaim pengisian 30% ke 80% dalam 20 menit (IDX Channel, 22 Februari 2025), dan Jaecoo J5 EV mengklaim 28 menit untuk rentang yang sama (detikOto, 28 Oktober 2025).

Istilah yang akan kamu temui di brosur

Beberapa singkatan muncul berulang di artikel dan brosur mobil listrik. Memahaminya mencegah salah bandingkan.

NEDC adalah New European Driving Cycle, siklus uji laboratorium yang dipakai banyak pabrikan untuk mengklaim jarak tempuh. CLTC adalah siklus uji dari Tiongkok. Kedua siklus memakai kecepatan dan pola berhenti yang berbeda, jadi klaim 540 km (CLTC) pada Wuling Darion EV tidak bisa dibandingkan langsung dengan klaim 461 km (NEDC) pada Jaecoo J5 EV. Keduanya juga hasil uji standar, bukan hasil di jalan raya Indonesia.

OTR berarti on the road, harga yang sudah memasukkan biaya yang diperlukan agar mobil bisa dipakai di jalan, seperti pajak dan pengurusan surat. Harga OTR berbeda antar kota, dan sebagian besar harga di tulisan ini berlaku untuk Jakarta.

Wholesales adalah jumlah kendaraan yang dikirim dari pabrikan ke dealer, sedangkan penjualan eceran (retail) adalah yang diserahkan ke pembeli akhir. Data Gaikindo yang dikutip media biasanya wholesales. SPK adalah surat pemesanan kendaraan. Harga promo sering berlaku untuk konsumen yang membuat SPK sebelum tanggal tertentu, seperti pada Geely EX2.

Pengisian daya di Indonesia

Dua hal menentukan apakah mobil listrik cocok untukmu: kamu bisa mengisi di mana, dan berapa biayanya.

Di rumah

Pengisian di rumah semalaman adalah cara termurah, seperti terlihat di hitungan di bawah. Tarif listrik PLN untuk triwulan IV 2026 adalah Rp1.352 per kWh untuk golongan R-1 900 VA nonsubsidi, Rp1.444,70 per kWh untuk R-1 1.300 VA dan 2.200 VA, serta Rp1.699,53 per kWh untuk R-2 dan R-3 (Metro TV, 29 Oktober 2026). Tarif bersubsidi untuk 900 VA, yaitu Rp605 per kWh, tidak saya pakai dalam hitungan.

Contoh hitungan dengan BYD Atto 1 Premium, baterai 38,88 kWh (Listrik Indonesia, 2 Agustus 2025), pelanggan R-1 1.300 VA:

Mengisi 38,88 kWh dari kosong sampai penuh: 38,88 × Rp1.444,70 = sekitar Rp56 ribu.
FuelEconomy.gov menyebut efisiensi pengisian baterai sering berada di 84% sampai 93% (FuelEconomy.gov). Dengan rugi itu, listrik yang ditarik dari dinding menjadi sekitar 41,8 sampai 46,3 kWh, sehingga biayanya sekitar Rp60 ribu sampai Rp67 ribu.
Dengan klaim jarak 380 km, itu berarti sekitar Rp160 sampai Rp176 per kilometer. Jarak nyata biasanya lebih pendek, jadi biaya per kilometer nyata lebih tinggi.

Ini hitungan kasar. Tarif berubah per triwulan, dan rugi pengisian bergantung pada suhu, charger, dan kondisi baterai.

Satu syarat praktis: mengisi di rumah butuh daya terpasang yang cukup dan titik colok yang aman. Tanyakan ke dealer atau PLN soal instalasinya sebelum memutuskan.

Di SPKLU umum

SPKLU adalah singkatan stasiun pengisian kendaraan listrik umum. Kontan melaporkan PLN bersama mitra mengoperasikan 4.655 unit SPKLU di 3.007 lokasi sepanjang 2025, naik sekitar 44% dari 3.223 unit pada 2024 (Kontan, 8 Februari 2026). Kenaikannya cepat, dan titik pengisian di rute antarkota tetap perlu kamu cek sebelum berangkat.

Okezone menyebut tarif dasar di SPKLU berada di kisaran Rp1.650 sampai Rp2.475 per kWh menurut aturan terbaru yang berlaku, tanpa menyebut nomor aturannya, dan SPKLU di jalan tol umumnya memasang tarif sekitar Rp2.466 sampai Rp2.475 per kWh (Okezone lewat RCTI+, 18 Maret 2026).

Pengisian cepat DC dikenai biaya tambahan per sesi: maksimal Rp25.000 untuk charger 25 sampai 50 kW, dan maksimal Rp57.000 untuk charger di atas 50 kW. Artikel itu merujuk Keputusan Menteri ESDM Nomor 182.K/TL.04/MEM.S/2023 untuk batas biaya tambahan tersebut.

Kembali ke contoh Atto 1 Premium: mengisi 38,88 kWh pada tarif Rp2.475 per kWh menghabiskan sekitar Rp96 ribu, belum termasuk rugi pengisian dan biaya tambahan sesi. Selisihnya terhadap pengisian rumah sekitar Rp29 ribu sampai Rp40 ribu per pengisian penuh. Karena itu pola yang paling hemat adalah rumah untuk pemakaian harian dan SPKLU untuk perjalanan jauh. Sebelum membeli, tanyakan juga ke dealer jenis konektor AC dan DC yang dipakai mobilnya, karena tidak semua mobil dan SPKLU memakai colokan yang sama.

Biaya mengisi penuh untuk tiap model

Dengan kapasitas baterai tiap model dan dua tarif di atas, kita bisa menghitung biaya mengisi dari kosong sampai penuh. Tabel ini memakai tarif rumah Rp1.444,70 per kWh (R-1 1.300 VA) dan tarif SPKLU Rp2.475 per kWh, tanpa rugi pengisian dan tanpa biaya tambahan sesi.

Model	Baterai (kWh)	Isi penuh di rumah	Isi penuh di SPKLU
VinFast VF 3	18,64	sekitar Rp27 ribu	sekitar Rp46 ribu
BYD Atto 1 Dynamic	30,08	sekitar Rp43 ribu	sekitar Rp74 ribu
BYD Atto 1 Premium	38,88	sekitar Rp56 ribu	sekitar Rp96 ribu
Geely EX2	40,8	sekitar Rp59 ribu	sekitar Rp101 ribu
BYD M6 Standard	58	sekitar Rp84 ribu	sekitar Rp144 ribu
Geely EX5	60,22	sekitar Rp87 ribu	sekitar Rp149 ribu
Jaecoo J5 EV	60,9	sekitar Rp88 ribu	sekitar Rp151 ribu
MG S5 EV Magnify Max	62	sekitar Rp90 ribu	sekitar Rp153 ribu
Wuling Darion EV	69,2	sekitar Rp100 ribu	sekitar Rp171 ribu
BYD Sealion 7	sekitar 82,6	sekitar Rp119 ribu	sekitar Rp204 ribu
Denza D9	103,36	sekitar Rp149 ribu	sekitar Rp256 ribu

Kapasitas baterai tiap model berasal dari sumber di bagian masing-masing mobil di Bagian 3. Dua hal perlu dicatat. Pertama, kamu jarang perlu mengisi dari 0% sampai 100% setiap hari, jadi biaya per pengisian biasanya lebih kecil dari angka tabel.

Kedua, biaya per kilometer lebih berguna dari biaya per pengisian. Dengan klaim jarak pabrikan, baterai penuh di rumah menghabiskan sekitar Rp145 sampai Rp150 per kilometer untuk BYD Atto 1 dan Geely EX2, sekitar Rp190 untuk Jaecoo J5 EV dan BYD M6 Standard, dan sekitar Rp250 untuk Denza D9.

Di SPKLU, angkanya sekitar 1,7 kali lipat. Karena jarak nyata biasanya lebih pendek dari klaim, biaya nyata per kilometer lebih tinggi dari angka ini.

Berapa harga mobil listrik dan kenapa angkanya berubah-ubah

Harga mobil listrik di Indonesia berubah cepat, dan satu model bisa muncul dengan angka berbeda di dua artikel yang terbit pada bulan yang sama. Ada tiga penyebab.

Pertama, insentif pajak. Insentif PPN ditanggung pemerintah (PPN DTP) untuk mobil listrik dan keringanan bea masuk untuk mobil impor utuh (CBU) tidak berlanjut pada 2026. Listrik Indonesia memperkirakan kenaikan harga sekitar 5% sampai 15% setelah insentif dicabut (Listrik Indonesia, 1 Mei 2026). Perkiraan itu pendapat media, bukan angka resmi.

Kedua, rencana pengganti yang berkali-kali tertunda. Pemerintah merencanakan PPN DTP dengan tarif 100% untuk mobil listrik berbaterai berbasis nikel (NMC) dan 40% untuk baterai non-nikel seperti LFP (DDTCNews, 23 Juni 2026).

Waktu	Peristiwa
Rencana awal	Mulai pertengahan 2026
26 Mei 2026	Menteri Keuangan Purbaya menyatakan pelaksanaan ditunda untuk menunggu perhitungan
23 Juni 2026	Menko Perekonomian Airlangga Hartarto menyebut insentif masih dikaji

Sumber kronologi: DDTCNews, 23 Juni 2026. Status setelah tanggal itu perlu kamu cek sendiri ke Kementerian Keuangan atau dealer sebelum membeli.

Ketiga, promo dan harga peluncuran. Beberapa model dijual dengan harga khusus untuk pembeli pertama, lalu naik:

Jaecoo J5 EV naik dari Rp249,9 juta menjadi Rp279,9 juta untuk varian terendahnya (detikOto, 28 September 2026).
Wuling Darion EV dijual Rp356 juta (CE) untuk 1.500 pembeli pertama, lalu Rp399 juta pada September 2026 (detikOto; Otodriver).
Geely EX2 mulai dari Rp229,9 juta (Pro) pada masa peluncuran, lalu Rp239,9 juta (Carmudi; Moladin).

Karena itu, setiap harga di tulisan ini saya tandai dengan sumber dan tanggal. Sumbernya media dan agregator otomotif, bukan daftar harga resmi merek, jadi anggap semua harga sebagai acuan awal, bukan penawaran.

Mobil Listrik (3/3): 10 Model Terlaris dan Cara Memilih

2026-11-04T00:00:01+00:00

Daftar isi bagian ini

10 mobil listrik terlaris di Indonesia
Cara memilih mobil listrik yang tepat
Pertanyaan yang sering muncul
Penutup
Tentang tulisan ini
Sumber utama

10 mobil listrik terlaris di Indonesia

Cara saya memilih sepuluh model ini

“Populer” bisa diartikan banyak hal. Saya memakai ukuran yang bisa diperiksa: jumlah unit yang tercatat menurut Gaikindo pada periode Januari sampai September 2026, sebagaimana dilaporkan Kontan pada 12 Oktober 2026 (Kontan).

Angka Gaikindo adalah angka distribusi dari pabrik ke dealer (wholesales), bukan penjualan eceran ke konsumen akhir. GoodStats menjelaskan istilah itu sebagai “jumlah kendaraan yang dikirim dari pabrikan ke dealer” (GoodStats, 23 Juli 2026).

Jadi urutan di bawah mencerminkan pengiriman ke dealer, yang biasanya sejalan dengan pembelian tetapi tidak persis sama.

Total sepuluh model ini 89.502 unit pada sembilan bulan pertama 2026. Grafik di bawah menunjukkan sebaran per model.

Sumber: Kontan, 12 Oktober 2026, mengutip data Gaikindo. Angka wholesales, yaitu pengiriman pabrikan ke dealer. Batang oranye: peringkat pertama.

Daftar ini bisa berubah menurut periode. Pada data semester I 2026 (Januari sampai Juni), GAC Aion V dan Wuling Eksion masuk sepuluh besar, sedangkan MG S5 EV dan VinFast VF 3 belum (GoodStats). Mobil di peringkat 1 sampai 7 sama di kedua periode (GoodStats; Kontan), dengan urutan yang konsisten.

Ringkasan: harga, baterai, dan klaim jarak

Harga di tabel berikut dalam rupiah, umumnya OTR Jakarta, dan sumber tiap angka ada di bagian masing-masing model. Klaim jarak tempuh berasal dari pabrikan berdasarkan siklus uji NEDC, kecuali ada keterangan lain.

#	Model	Harga (jutaan Rp)	Baterai	Klaim jarak
1	Jaecoo J5 EV	279,9 (Standard) sampai 324,9 (Premium)	60,9 kWh	461 km
2	BYD Atto 1	199 sampai 245	30,08 sampai 38,88 kWh	300 sampai 380 km
3	Geely EX2	239,9 (Pro) sampai 269,9 (Max)	40,8 kWh LFP	395 km
4	BYD M6	395 sampai 445	58 kWh (Standard)	hingga 450 km (Standard)
5	BYD Sealion 7	629 sampai 719 (harga tercantum, ketersediaan perlu dicek)	sekitar 82,6 kWh	542 sampai 567 km
6	Wuling Darion EV	399 (CE) sampai 459 (EX)	69,2 kWh LFP	540 km (CLTC)
7	Denza D9	950	103,36 kWh	600 km
8	MG S5 EV	333,9 (harga khusus awal) sampai 410,9	62 kWh (Magnify Max)	410 sampai 545 km
9	Geely EX5	465 sampai 515	60,22 kWh	490 sampai 495 km
10	VinFast VF 3	152 (sewa baterai) sampai 215	18,64 kWh	210 km

Berikut penjelasan tiap model.

1. Jaecoo J5 EV

Jaecoo J5 EV memimpin penjualan kumulatif dengan 26.635 unit pada Januari sampai September 2026, dan tercatat 3.276 unit pada September saja (Kontan; Gaikindo). J5 EV unggul secara kumulatif, sedangkan pada September BYD Atto 1 tercatat lebih banyak dalam sebulan, yaitu 4.840 berbanding 3.276 unit.

Harga per akhir September 2026 adalah Rp279,9 juta untuk Standard dan Rp324,9 juta untuk Premium, tercantum di situs resmi Jaecoo Indonesia (detikOto, 28 September 2026). Sebelumnya harganya Rp249,9 juta dan Rp299,9 juta. Menurut detikOto, per September 2026 tidak ada lagi J5 yang dijual di bawah Rp250 juta.

Spesifikasinya: baterai 60,9 kWh, klaim 461 km (NEDC), motor 155 kW, dan pengisian DC sampai 130 kW dengan 30% ke 80% dalam 28 menit (detikOto, 28 Oktober 2025). Standard dan Premium memakai motor dan baterai yang sama, dan selisihnya ada di fitur (Listrik Indonesia, 10 Agustus 2025).

Dari tiga model terlaris, J5 EV punya klaim jarak terpanjang, dengan harga yang juga paling tinggi.

2. BYD Atto 1

BYD Atto 1 mencatat 24.749 unit pada sembilan bulan pertama 2026 dan 4.840 unit pada September, angka bulanan tertinggi di antara semua mobil listrik pada bulan itu.

Daftar harga BYD edisi September 2026 mencantumkan tiga varian: Standard Rp199 juta, Dynamic Rp210 juta, dan Premium Rp245 juta (Otodriver, 15 September 2026). Moladin pada 8 September 2026 mencatat angka yang sama (Moladin).

Varian Dynamic memakai baterai 30,08 kWh dengan klaim 300 km (NEDC), dan Premium memakai 38,88 kWh dengan klaim 380 km (Listrik Indonesia, 2 Agustus 2025). Selisih harga Dynamic ke Premium Rp35 juta membeli baterai lebih besar dan fitur tambahan.

3. Geely EX2

Geely EX2 tercatat 11.659 unit pada Januari sampai September 2026 dan 1.890 unit pada September, peringkat ke-15 dalam daftar semua model Gaikindo bulan itu (Gaikindo).

Menurut Moladin edisi 2 September 2026, EX2 Pro Rp239,9 juta dan EX2 Max Rp269,9 juta OTR Jakarta (Moladin). Pada masa peluncuran, Geely menawarkan harga khusus Rp229,9 juta untuk Pro dan Rp259,9 juta untuk Max bagi pemesan sampai 15 Februari 2026 atau 2.000 konsumen pertama, dengan harga normal Rp255 juta dan Rp285 juta OTR Jakarta (Carmudi).

Baterainya 40,8 kWh LFP, klaim 395 km (NEDC), dan motornya 85 kW (Carmudi, 21 Januari 2026).

Dalam uji Carmudi sejauh sekitar 100 km dari Jakarta ke kawasan Cibodas dan Puncak, konsumsinya rata-rata 18,1 kWh per 100 km dengan mode Sport dan Comfort, dan baterai berkurang 49% (Carmudi, 3 Februari 2026).

Baterai yang berkurang 49% untuk sekitar 100 km setara jarak sekitar 205 km per pengisian penuh, dan konsumsi 18,1 kWh per 100 km dengan baterai 40,8 kWh setara sekitar 225 km, jadi hasilnya sekitar 205 sampai 225 km. Ini hitungan saya dari satu uji jalan, bukan angka resmi, tetapi memberi gambaran bahwa jarak nyata di rute itu jauh dari klaim 395 km. Untuk mobil kota yang jarang melewati rute seperti itu, selisihnya lebih kecil.

4. BYD M6

BYD M6 adalah MPV listrik BYD dan tercatat 7.043 unit pada Januari sampai September 2026.

Daftar harga BYD September 2026: Standard Rp395 juta, Superior Rp435 juta, dan Superior Captain Seat Rp445 juta (Otodriver, 15 September 2026). Varian Standard pada 2026 mendapat baterai Blade 58 kWh dengan klaim sampai 450 km, dan tersedia dengan susunan enam atau tujuh kursi (Carmudi, 31 Juli 2026).

5. BYD Sealion 7

BYD Sealion 7 tercatat 4.266 unit pada Januari sampai September 2026. Harga yang tercantum untuk Sealion 7 adalah Rp629 juta untuk Premium dan Rp719 juta untuk Performance (Zigwheels, dibuka 4 November 2026).

Ada catatan penting soal ketersediaan. Otodriver pada September 2026 mencatat bahwa Sealion 7 tidak lagi tampil di situs resmi BYD Indonesia (Otodriver, 15 September 2026). Per 4 November 2026, halaman model BYD Indonesia memang hanya menampilkan Seal, Atto 3, M6 DM, M6, dan Atto 1 (BYD Indonesia). Alasannya tidak dijelaskan di sumber mana pun yang dikutip di sini. Kalau kamu mengincar Sealion 7, tanyakan stok dan harga terkini langsung ke dealer.

Spesifikasinya: baterai Blade sekitar 82,6 kWh, klaim 567 km untuk Premium dan 542 km untuk Performance (NEDC), dan Performance berpenggerak semua roda dengan tenaga 523 hp (Carmudi, 16 Februari 2025).

6. Wuling Darion EV

Wuling Darion EV tercatat 4.020 unit pada sembilan bulan pertama 2026. Daftar harga Wuling edisi September 2026 mencantumkan CE Rp399 juta dan EX Rp459 juta OTR Jakarta (Otodriver). Harga peluncurannya Rp356 juta untuk CE dan Rp416 juta untuk EX bagi 1.500 pembeli pertama.

Baterainya LFP 69,2 kWh, klaim 540 km berdasarkan siklus CLTC, motor 150 kW penggerak roda depan, dan susunan tujuh kursi (detikOto, 6 November 2025). CLTC dan NEDC memakai pola uji yang berbeda, jadi jangan bandingkan 540 km ini langsung dengan angka NEDC mobil lain di daftar.

7. Denza D9

Denza D9 tercatat 3.009 unit pada Januari sampai September 2026, dan merupakan satu-satunya model berharga di atas Rp900 juta di daftar ini. Harganya Rp950 juta untuk varian FWD (Otodriver, 15 September 2026), sama dengan harga peluncurannya, Rp950 juta OTR Jakarta (Listrik Indonesia, 24 Januari 2025).

Baterainya 103,36 kWh dengan klaim 600 km dan motor tunggal 308 dk, dalam susunan kursi 2+2+3 atau 2+3+3, menurut artikel peluncuran Listrik Indonesia yang sama. Artikel itu menyebut siklus ujinya “NDC”, jadi bandingkan klaim ini dengan hati-hati. Media otomotif sering menempatkannya sebagai alternatif listrik untuk MPV mewah seperti Toyota Alphard.

8. MG S5 EV

MG S5 EV tercatat 2.914 unit pada sembilan bulan pertama 2026. Harganya berubah beberapa kali sepanjang tahun, jadi saya susun jejaknya dalam satu tabel (OTR Jakarta).

Waktu	Ignite	Magnify	Magnify Max
Peluncuran, Februari 2026	Rp357,9 juta	Rp374,9 juta	Rp455,9 juta
Harga khusus 1.500 pembeli pertama	Rp333,9 juta	Rp355,9 juta	tidak disebut
Juli 2026	Rp333,9 juta	Rp355,9 juta	Rp399,9 juta sampai akhir September 2026, dari Rp410,9 juta

Sumber: Kabarbursa, 6 Februari 2026 dan Kabarbursa, 17 Juli 2026.

Promo Magnify Max sudah berakhir pada akhir September, jadi Rp410,9 juta lebih aman dipakai. Angka itu lebih rendah dari Rp455,9 juta saat peluncuran, dan artikelnya tidak menjelaskan alasannya. Ignite dan Magnify masih tertulis Rp333,9 juta dan Rp355,9 juta pada Juli, padahal itu harga khusus 1.500 pembeli pertama, jadi tanyakan apakah harga itu masih berlaku.

Klaim jarak Ignite sampai 415 km dan Magnify sampai 410 km. Magnify Max memakai baterai 62 kWh dengan motor 201,2 HP dan klaim 545 km (NEDC), menurut artikel Juli yang sama. Artikel peluncuran mencatat garansi baterai 8 tahun atau 160.000 km.

9. Geely EX5

Geely EX5 tercatat 2.760 unit pada Januari sampai September 2026. Harga OTR Jakarta menurut Moladin edisi 2 September 2026: Pro Rp465 juta sampai Rp475 juta dan Max Rp505 juta sampai Rp515 juta, tergantung apakah harga khusus masih berlaku (Moladin).

Baterainya 60,22 kWh (short blade), klaim 495 km untuk Pro dan 490 km untuk Max (NEDC), dengan pengisian cepat 30% ke 80% dalam 20 menit dan daya tahan lebih dari 3.500 siklus pengisian menurut klaim (IDX Channel, 22 Februari 2025).

Uji jalan Carmudi pada Mei 2025 dari Jakarta ke Bandung sejauh sekitar 154 km dengan tiga penumpang dan bagasi, kecepatan rata-rata sekitar 80 km/jam di tol, menghasilkan konsumsi 19,4 kWh per 100 km (Carmudi, 20 Mei 2025). Dengan baterai 60,22 kWh, itu setara sekitar 310 km per pengisian penuh, jauh di bawah klaim 490 sampai 495 km. Hitungan itu dari saya dan hanya berlaku untuk kondisi uji tersebut.

10. VinFast VF 3

VinFast VF 3 tercatat 2.447 unit pada Januari sampai September 2026. Moladin pada 8 September 2026 mencatat dua harga: Rp152 juta dengan skema sewa baterai dan Rp215 juta di luar skema sewa (Moladin). Halaman yang sama menampilkan kisaran Rp156 juta sampai Rp230,1 juta pada widget harga, jadi cek ulang angkanya ke dealer.

Dengan sewa baterai, kamu membayar harga mobil yang lebih rendah, tetapi ada biaya sewa baterai berkala dan baterai tidak otomatis menjadi milikmu. Hitung total biaya selama tiga sampai lima tahun sebelum memilih skema.

Spesifikasinya: baterai 18,64 kWh, klaim 210 km (NEDC), dan motor 32 kW (Listrik Indonesia, 31 Januari 2025).

Cara memilih mobil listrik yang tepat

Daftar di atas mengurutkan model berdasarkan penjualan, bukan kecocokan. Tabel berikut mengelompokkannya menurut kebutuhan, memakai harga dan klaim yang sudah dibahas di atas. Angkanya tetap angka klaim dan harga September 2026, jadi cek ulang sebelum memutuskan.

Kebutuhan	Model yang layak dilihat	Dasar pertimbangan
Harga masuk termurah	VinFast VF 3, BYD Atto 1	VF 3 mulai Rp152 juta dengan sewa baterai (klaim 210 km); Atto 1 Dynamic Rp210 juta (klaim 300 km)
Mobil kota dengan jarak menengah	Geely EX2, BYD Atto 1 Premium	EX2 Pro Rp239,9 juta (klaim 395 km); Atto 1 Premium Rp245 juta (klaim 380 km)
Klaim jarak terpanjang di bawah Rp350 juta	Jaecoo J5 EV	Standard Rp279,9 juta dengan klaim 461 km; MG S5 EV Ignite Rp333,9 juta (harga khusus awal, cek) dengan klaim 415 km
Keluarga enam atau tujuh kursi	BYD M6, Wuling Darion EV	M6 Standard Rp395 juta (klaim 450 km); Darion EV CE Rp399 juta (klaim 540 km, siklus CLTC)
Pengisian cepat yang diklaim singkat	Geely EX5, Jaecoo J5 EV	EX5 mengklaim 20 menit untuk 30% ke 80%, J5 EV 28 menit
Segmen premium	BYD Sealion 7, Denza D9	Sealion 7 Rp629 juta sampai Rp719 juta (ketersediaan perlu dicek); D9 Rp950 juta dengan klaim 600 km

Lima pertanyaan berikut lebih menentukan daripada peringkat penjualan.

Berapa jarak harianmu?

Hitung dulu jarak rata-rata hariannya. Kalau kamu menempuh sekitar 50 km pulang pergi, klaim 300 km BYD Atto 1 Dynamic sudah jauh di atas kebutuhan, dan kamu tidak perlu membayar mahal untuk baterai yang jauh lebih besar. Kalau kamu sering ke luar kota, jarak tempuh nyata dan kecepatan pengisian cepat jadi lebih penting dari harga.

Bisakah kamu mengisi di rumah?

Ini pertanyaan yang paling menentukan. Mengisi di rumah semalaman membuat jarak tempuh hampir tidak jadi masalah untuk pemakaian harian. Tanpa titik pengisian di rumah atau kantor, kamu bergantung penuh pada SPKLU, dan tarifnya lebih tinggi seperti dihitung di atas.

Seberapa jauh kamu percaya angka klaim?

Klaim jarak tempuh pabrikan adalah angka uji di bawah kondisi standar. Dua uji jalan di atas, yaitu Geely EX2 dan Geely EX5, menghasilkan jarak hitungan sekitar 205 sampai 225 km dan 310 km, atau sekitar 52% sampai 57% dan 63% dari klaim 395 km dan 490 sampai 495 km. Dua contoh itu bukan bukti untuk semua mobil. Konsumsi dipengaruhi kecepatan, medan, jumlah penumpang, penyejuk udara, dan mode berkendara. Perlakukan klaim sebagai batas atas, lalu sesuaikan perencanaanmu setelah tahu konsumsi nyata mobilmu.

Kapan mobil listrik belum cocok?

Ada situasi yang membuat mobil listrik kurang praktis, dan lebih jujur membahasnya sebelum membeli.

Kalau kamu tinggal di apartemen atau rumah tanpa titik pengisian dan tempat parkirmu tidak punya colokan, kamu bergantung pada SPKLU. Hitungan biaya di Bagian 2 menunjukkan SPKLU sekitar 1,7 kali lebih mahal dari rumah dan butuh waktu khusus untuk singgah. PLN dan mitranya mengoperasikan 3.007 lokasi SPKLU pada 2025.

Rute yang panjang tanpa cadangan menambah risiko: misalnya sering melewati daerah tanpa SPKLU, klaim jarak yang tampak cukup di brosur bisa menjadi tipis. Dua uji jalan Geely di atas menunjukkan jarak hitungan 52% sampai 63% dari klaim. Pada rute seperti itu, PHEV atau hybrid bisa lebih masuk akal, karena mesin bensin menutup kekurangan jarak.

Untuk anggaran yang ketat dan nilai jual kembali, ingat bahwa harga mobil listrik di Indonesia berubah cepat, seperti yang terlihat dari kenaikan harga Jaecoo J5 EV dan perubahan harga Wuling Darion EV dalam beberapa bulan.

Mobil listrik paling masuk akal ketika kamu bisa mengisi di rumah, rutemu rata-rata pendek, dan kamu menghitung biaya per tahun termasuk listrik, tidak berhenti di harga beli.

Bagaimana dengan umur baterai?

Studi Departemen Energi AS menyebut baterai bisa bertahan 12 sampai 15 tahun di iklim sedang dan 8 sampai 12 tahun di iklim berat, dan penggantiannya bisa mahal kalau baterai rusak (FuelEconomy.gov). Sumber itu tidak merinci iklim tropis, jadi pakai rentang bawah sebagai acuan hati-hati. Cek masa garansi baterai: MG, misalnya, menyebut 8 tahun atau 160.000 km untuk S5 EV.

Pertanyaan yang sering muncul

Berapa lama mengisi mobil listrik sampai penuh?

Pengisian penuh lewat AC bisa memakan 3 sampai 12 jam, tergantung kapasitas baterai dan daya charger. Pengisian cepat DC sampai 80% biasanya sekitar 20 sampai 30 menit untuk mobil yang mendukungnya.

Berapa biaya mengisi mobil listrik?

Untuk BYD Atto 1 Premium dengan baterai 38,88 kWh, mengisi penuh di rumah dengan tarif Rp1.444,70 per kWh menghabiskan sekitar Rp60 ribu sampai Rp67 ribu setelah memperhitungkan rugi pengisian. Di SPKLU dengan tarif Rp2.475 per kWh, biayanya sekitar Rp96 ribu atau lebih.

Apakah hybrid termasuk mobil listrik?

Tidak, kalau yang dimaksud mobil listrik murni. HEV dan PHEV masih memakai mesin bensin. PHEV bisa dicolok dan menempuh sekitar 32 sampai 64 km dengan listrik saja, sedangkan HEV tidak bisa dicolok sama sekali.

Apakah insentif pajak mobil listrik masih ada?

Insentif lama berakhir. Rencana PPN DTP baru (100% untuk baterai nikel, 40% untuk non-nikel) masih dikaji pada 23 Juni 2026. Cek status terbarunya ke Kementerian Keuangan atau dealer.

Apakah mobil listrik bisa dipakai mudik?

Bisa, dengan perencanaan. Pastikan baterai penuh sebelum berangkat, rencanakan titik SPKLU di sepanjang rute, dan jangan mengandalkan klaim jarak penuh. Pengisian cepat 30% ke 80% yang diklaim 20 sampai 28 menit pada Geely EX5 dan Jaecoo J5 EV membuat singgah di SPKLU relatif singkat, tetapi antrean dan SPKLU yang sedang rusak tetap mungkin terjadi.

Penutup

Mobil listrik sudah masuk jajaran model terlaris di Indonesia pada 2026, tetapi memilihnya tidak cukup dengan membandingkan harga. Untuk pemakaian dalam kota dengan titik pengisian di rumah, BYD Atto 1, Geely EX2, dan Jaecoo J5 EV memberi jarak tempuh klaim yang cukup di kisaran Rp200 jutaan sampai Rp300 jutaan. Untuk keluarga besar, BYD M6 dan Wuling Darion EV menawarkan kursi lebih banyak. Untuk perjalanan antarkota, kecepatan pengisian cepat dan ketersediaan SPKLU lebih menentukan daripada angka kapasitas baterai.

Sebelum membeli, tanyakan tiga hal ke dealer: harga OTR terbaru dengan semua biaya, konektor pengisian yang dipakai mobilnya, dan masa garansi baterai. Ketiganya menentukan biaya sebenarnya, dan tidak bisa dibaca dari brosur saja.

Tentang tulisan ini

Saya Mahyuddin Susanto, penulis blog ini. Latar belakang saya di jaringan dan infrastruktur TI, bukan otomotif (profil lengkap ada di halaman About), jadi artikel ini adalah rangkuman dari sumber publik yang dikutip di dalam teks, ditambah hitungan dari data sumber itu. Saya tidak menguji mobilnya sendiri. Kalau kamu menemukan angka yang sudah berubah atau keliru, kirim lewat halaman Contact. Angka yang terbukti berubah akan saya perbarui di artikel ini dan tanggalnya saya catat.

Sumber utama

Gaikindo, 20 model mobil terlaris September 2026, 25 Oktober 2026
Kontan, 10 mobil listrik terlaris hingga September 2026, 12 Oktober 2026
GoodStats Data, 10 mobil listrik terlaris semester I 2026, 23 Juli 2026
U.S. Department of Energy, Alternative Fuels Data Center dan FuelEconomy.gov
Metro TV, tarif listrik PLN akhir Oktober 2026, 29 Oktober 2026
Okezone, tarif cas mobil listrik di SPKLU tol, 18 Maret 2026
Kontan, PLN operasikan 4.655 SPKLU sepanjang 2025, 8 Februari 2026
DDTCNews, PPN DTP kendaraan listrik belum dirilis, 23 Juni 2026
Otodriver, daftar harga BYD dan Wuling, September 2026
Moladin, harga OTR Geely dan mobil listrik termurah, September 2026
Kabarbursa, MG S5 EV, 6 Februari dan 17 Juli 2026
detikOto, harga Jaecoo J5 naik, 28 September 2026, spesifikasi J5 EV, 28 Oktober 2025, dan spesifikasi Wuling Darion, 6 November 2025
Listrik Indonesia, Atto 1 (2 Agustus 2025), Jaecoo J5 EV (10 Agustus 2025), Denza D9 (24 Januari 2025), VinFast VF 3 (31 Januari 2025), dan insentif pajak (1 Mei 2026)
Carmudi, Geely EX2 (21 Januari 2026), uji EX2 (3 Februari 2026), uji EX5 (20 Mei 2025), BYD M6 (31 Juli 2026), dan BYD Sealion 7 (16 Februari 2025)
IDX Channel, spesifikasi Geely EX5, 22 Februari 2025
Foto hero: JUICE di Unsplash, dipotong ke 1200 x 630
IEA, Global EV Outlook 2026; BPK, Perpres 55/2019 dan Perpres 79/2023
Zigwheels, harga BYD Sealion 7, dan BYD Indonesia, keduanya dibuka 4 November 2026

Jenis Konektor Fiber Optic: SC, LC, FC, ST, MPO, VSFF

2026-11-03T00:00:00+00:00

Pegang patch cord fiber dari laci, lalu lihat ujungnya. Bentuknya bisa persegi, bisa kecil berpasangan, bisa bulat berulir. Semuanya tugasnya sama: mempertemukan dua inti serat sehingga cahaya lewat dengan rugi sekecil mungkin. Yang beda adalah ukuran, cara kopling, dan tempat konektor itu cocok dipakai.

Tulisan ini merangkum jenis konektor fiber optic yang paling sering ketemu di lapangan, mulai dari SC dan LC sampai konektor VSFF untuk transceiver 400G/800G. Saya juga bahas perbedaan UPC dan APC yang sering bikin salah beli, arti kode warna, dan angka insertion loss yang boleh dijadikan pegangan.

Key Takeaways

Dua hal yang membedakan konektor: ukuran ferrule (2,5 mm untuk SC, FC, ST; 1,25 mm untuk LC dan MU) dan cara koplingnya.

UPC (biru) dan APC (hijau) tidak boleh dikawinkan langsung. Kalau polish-nya harus ganti, pakai patch cord hibrida.

Warna konektor membantu, tapi tanda cetak di kabel lebih bisa dipercaya.

Untuk densitas tinggi, LC adalah titik awal. MPO/MTP dan VSFF (SN, MDC) masuk saat port-nya sudah 400G/800G.

Apa yang membedakan satu konektor dari yang lain?

Sebuah konektor fiber memegang serat di dalam ferrule, yaitu tabung kecil dengan lubang tepat di tengah. Dua ferrule dipertemukan di dalam adapter, dan kualitas pertemuan itulah yang menentukan loss. Ada tiga hal yang membedakan konektor.

Pertama, diameter ferrule. SC, FC, dan ST memakai ferrule 2,5 mm, sedangkan LC dan MU memakai 1,25 mm sehingga bodinya bisa jauh lebih kecil (FOA, Connector Identifier). Kedua, mekanisme kopling: snap-in (SC), bayonet (ST), ulir (FC), atau push-on dengan pin pemandu (MPO). Ketiga, polish ujung ferrule, rata (PC/UPC) atau miring 8 derajat (APC), yang saya bahas tersendiri di bawah.

Konektor satu ukuran 2,5 mm: SC, FC, ST

SC dipakai luas dan tersedia dalam bentuk duplex. Koplingnya snap-in dengan gerakan push-pull, dan menurut FOA konektor ini distandardisasi di TIA-568-A, edisi lama (nilai loss di bawah merujuk TIA-568.3-E).

FC memakai ulir. Dulu populer untuk singlemode, sekarang sebagian besar sudah digantikan SC dan LC. Kalau kamu ketemu FC, kemungkinan besar itu instalasi lama.

ST memakai kopling bayonet dengan ferrule 2,5 mm, biasanya keramik. FOA mencatat ST sebagai konektor multimode paling populer sampai sekitar tahun 2005. Nama ST juga merek dagang AT&T.

Konektor kecil 1,25 mm: LC dan MU

LC (FOA menyebutnya “Lucent LC”) memakai ferrule 1,25 mm, sehingga bisa dipasang jauh lebih rapat daripada SC. FOA mencatat konektor small form factor mulai naik pada akhir 1990-an, dan LC kini jadi pilihan utama untuk singlemode di telco serta LAN/SAN berkecepatan tinggi.

MU juga berferrule 1,25 mm, bentuknya mirip SC versi mini. Konektor ini populer di Jepang dan Asia Timur, jadi di Indonesia jarang ketemu.

MPO/MTP: banyak serat dalam satu konektor

MPO memuat 12 atau 16 serat dalam satu ferrule plastik yang berbentuk baris. Kopling-nya push-on, dan keselarasan dijaga oleh pin di salah satu ferrule yang masuk ke lubang di ferrule lawannya (FOA). “MTP” adalah nama komersial untuk konektor jenis ini.

Konektor ini biasa dijual dalam bentuk kabel preterminated, dan dipakai untuk paralel optik seperti multimode 40G/100G.

Yang sering bikin bingung ada tiga. Pertama, gender: male punya dua pin pemandu dan female punya lubang untuk pin itu. Menurut AMPCOM, male ke male bisa merusak kedua ferrule, jadi satu sisi harus male dan sisi lain female.

Kedua, polaritas. Ada tipe A (lurus, posisi 1 ke 1), tipe B (terbalik penuh, 1 ke 12), dan tipe C (pair-flipped). Ringkasan ini dari AMPCOM Tech Lab, blog vendor, jadi anggap sebagai gambaran awal. Untuk desain sungguhan, rujuk TIA-568.3 atau panduan vendor kabel yang kamu pakai.

Ketiga, hubungan pin dan key. Sumber yang saya baca tidak sepakat soal aturannya, jadi cek dokumentasi produk yang kamu beli dan jangan menghafal satu aturan umum.

Konektor VSFF untuk 400G dan 800G: SN dan MDC

Panel 19 inci makin padat, jadi muncul keluarga very small form factor (VSFF). Dua yang terdokumentasi paling jelas adalah SN dan MDC. Keduanya berisi dua ferrule keramik berpegas 1,25 mm berbasis teknologi LC. Menurut Rosenberger OSI, SN adalah Senko Nano dari SENKO, sedangkan MDC (Miniature Duplex Connector) dari US Conec.

Menurut Rosenberger OSI, konektor VSFF muat hingga 128 port per rack unit di panel 19 inci, dibanding maksimum 96 port untuk LC duplex. Versi SN Quad dan MDC Quad dipakai untuk 400G DR4 dan 800G DR4 sampai sekitar 500 m.

Satu peringatan praktis: ferrule 1,25 mm yang sama bukan berarti housing dan adapternya cocok. Jangan asumsikan konektor VSFF yang berbeda bisa saling dikawinkan.

UPC vs APC: jangan dicampur

Polish ujung ferrule menentukan seberapa banyak cahaya yang memantul balik ke sumber. Menurut L-com (28 Oktober 2026):

UPC punya return loss sekitar 50 dB atau lebih baik. Polish PC yang lebih lama sekitar 40 dB.
APC dipoles dengan sudut 8 derajat, sehingga cahaya pantul diarahkan ke cladding dan tidak balik ke laser. Return loss-nya sekitar 60 dB atau lebih baik.
Pada singlemode, UPC berwarna biru dan APC berwarna hijau.

Menurut L-com juga, APC jadi standar untuk PON/FTTx, terutama bila ada overlay video RF 1550 nm (biasanya SC APC), plus RF over fiber, CATV, dan DAS.

Jangan pernah mengawinkan UPC dengan APC. Menurut L-com, sudut ferrule-nya tidak pas, sehingga ada celah udara yang menambah beberapa dB loss, dan ferrule bisa rusak. Untuk berpindah antar-polish, pakai patch cord hibrida APC-ke-UPC. Adapter tidak menyelesaikan masalah ini.

Kode warna: bantu, tapi jangan dijadikan satu-satunya pegangan

Berdasarkan FOA, Fiber Optic Cable And Connector Color:

Jenis serat	Warna
Singlemode PC/UPC	Biru
Singlemode APC	Hijau
Multimode OM1 (62,5/125)	Beige
Multimode OM2 (50/125)	Konektor hitam, jaket oranye
Multimode OM3/OM4	Aqua
Multimode OM5	Lime

Warna lime untuk jaket kabel OM5 diresmikan lewat ANSI/TIA-598-D-2 pada Januari 2018 (CommScope). Hati-hati: L-com mencatat lime OM5 bisa terlihat seperti hijau APC di cahaya redup. Warna violet untuk OM4 yang kadang ditemui adalah konvensi pabrikan, bukan warna standar TIA-598.

FOA sendiri mengingatkan bahwa pewarnaan konektor tidak seragam antarpabrikan. Cek tanda cetak di jaket kabel sebelum menyimpulkan jenis serat dari warna konektornya.

Berapa loss yang wajar?

Fluke Networks menulis bahwa TIA menetapkan 0,75 dB sebagai batas maksimum worst-case untuk satu pasangan konektor, dan menyebut angka itu “cukup tinggi dan kurang realistis” (Fluke, 18 April 2018). Nilai tipikal yang disebut Fluke di artikel yang sama jauh lebih rendah:

Kelas konektor	Insertion loss tipikal
Standar	0,3 sampai 0,5 dB
Low loss	0,15 sampai 0,2 dB

Untuk pengukuran dengan kabel referensi, Fluke KB mencatat nilai yang selaras TIA-568.3-E untuk sambungan reference ke standard: singlemode 0,50 dB. Nilai multimode (0,30 dB dan 0,50 dB) tergantung versi dan konfigurasi pengukuran, jadi baca artikel Fluke-nya sebelum memakainya. Untuk pasangan konektor reference-grade, Fluke menyebut maksimum 0,10 dB untuk multimode dan 0,20 dB untuk singlemode.

Satu peringatan: jangan memetakan 0,75 dB TIA ke “Grade B” atau “Grade C” di IEC 61753-1. Grade IEC adalah statistik untuk sambungan acak, bukan batas lulus-gagal seperti TIA.

Kebersihan ujung konektor

Loss atau return loss yang jelek tidak selalu salah jenis konektor. Bisa juga debu. Partikel di permukaan ferrule menghalangi cahaya atau menimbulkan pantulan.

Langkahnya sederhana: inspeksi dulu dengan scope sebelum mengawinkan konektor, bersihkan kalau kotor, dan pasang tutup debu saat konektor tidak dipakai.

Cara memilih

Kebutuhan	Konektor yang biasanya cocok
Jaringan akses FTTH/PON	SC APC (hijau) atau LC APC
Patch panel dan transceiver dengan port duplex kecil	LC duplex
Instalasi lama	FC atau ST
Backbone paralel optik 40G/100G	MPO/MTP
Port 400G/800G berdensitas tinggi	SN atau MDC (VSFF), sesuai transceiver

Aturan praktisnya: pilih konektor mengikuti port perangkat, lalu pilih polish mengikuti jenis layanan, dan terakhir cocokkan warna dengan jenis serat. Kalau ragu, baca datasheet transceiver atau ODF yang akan dipakai sebelum memesan patch cord.

Konektor APC dipakai di PON/FTTx (lihat bagian UPC vs APC di atas). Untuk melihat posisinya dalam arsitektur jaringan PON, baca Mengenal GPON. Kondisi internet rumah berbasis fiber di Indonesia saya bahas di target 100 Mbps fixed broadband.

Sumber

Hampir semua sumber di bawah adalah dokumentasi vendor atau asosiasi industri (FOA). Standar TIA dan IEC berbayar, jadi saya merujuknya lewat sumber-sumber ini dan bukan membaca dokumennya langsung. Untuk desain atau pengadaan, cek ke dokumen standar dan datasheet produknya.

FOA, Connector Identifier
FOA, Fiber Optic Cable And Connector Color
L-com, APC vs UPC Fiber Connectors (28 Oktober 2026)
Fluke Networks, Cable Testing 101: But the Standard Says 0.75 dB! (18 April 2018)
Fluke Networks, New Loss Budget Values for Reference Grade Connectors (20 Februari 2019)
CommScope, Call me a limey (9 Maret 2018)
Rosenberger OSI, VSFF connector in 400 and 800 Gigabit applications
AMPCOM Tech Lab, MPO/MTP Polarization Types Explained (10 Juli 2026, blog vendor)

Penulis: Mahyuddin Susanto. Koreksi atau tambahan bisa dikirim lewat halaman kontak.

Mengenal GPON: Fungsi, Manfaat, dan Arsitekturnya

2026-11-03T00:00:00+00:00

Kalau kamu pernah melihat kotak kecil berlampu di rumah pelanggan fiber, itu ujung dari sebuah jaringan GPON. Di seberangnya, entah beberapa kilometer jauhnya, ada satu perangkat yang melayani puluhan kotak seperti itu lewat satu serat. Di antaranya hanya ada kaca dan splitter, tanpa listrik.

Tulisan ini membahas apa itu GPON, standar yang mendasarinya, arsitektur dan cara kerjanya, serta apa gunanya dibanding jaringan fiber biasa. Untuk bagian konektor, saya tautkan ke pembahasan jenis konektor fiber optic yang terbit sebelumnya.

Ilustrasi. Jumlah ONT dan split ratio di gambar bukan nilai nyata.

Key Takeaways

GPON (Gigabit-capable Passive Optical Network) adalah teknologi akses fiber point-to-multipoint yang distandardisasi ITU-T lewat seri G.984.

Satu OLT (Optical Line Terminal) melayani banyak ONT (Optical Network Terminal) lewat serat bersama dan splitter pasif. Downstream 2,48832 Gbit/s, upstream 1,24416 Gbit/s (ITU juga mencantumkan varian upstream 2,48832 Gbit/s).

Satu serat membawa dua arah di panjang gelombang berbeda: sekitar 1490 nm ke bawah, sekitar 1310 nm ke atas.

Jangkauan fisik hingga 20 km, dan umumnya dipakai split 1:32. Batas sebenarnya ditentukan budget loss.

Apa itu GPON?

GPON (Gigabit-capable Passive Optical Network) adalah jaringan akses fiber yang membagi satu jalur optik ke banyak pelanggan memakai komponen pasif, yaitu komponen pembagi yang tidak butuh catu daya. Arsitektur seperti ini disebut point-to-multipoint. GPON termasuk keluarga PON, yang kini juga mencakup standar yang lebih cepat.

GPON sendiri adalah keluarga standar ITU-T G.984. Cisco menjelaskan perangkat sisi operator (OLT) mengumpulkan sinyal dari banyak ONT dalam satu aliran terpadu, lalu memformatnya menjadi Ethernet (Cisco, Understand GPON Technology, Rev 3.0, 6 Desember 2023).

Keluarga standar ITU-T G.984

G.984 bukan satu dokumen, melainkan beberapa rekomendasi yang membagi tugas per lapisan. Tanggal berikut diambil dari halaman ITU untuk masing-masing rekomendasi:

Standar	Cakupan	Edisi yang berlaku
G.984.1	Karakteristik umum	03/2008
G.984.2	Lapisan fisik (PMD, Physical Media Dependent)	08/2019
G.984.3	Lapisan transmission convergence (TC)	01/2014, dengan amendemen sampai 2025
G.984.4	Antarmuka manajemen ONT (OMCI)	02/2008
G.984.5	Enhancement band	02/2022
G.984.6	Reach extension	03/2008, dengan amendemen

G.984.3 mencakup framing GTC (GPON Transmission Convergence), TDMA (time-division multiple access) upstream, DBA, aktivasi ONU, FEC (forward error correction), dan keamanan. G.984.5 menyediakan rentang panjang gelombang tambahan untuk layanan lain lewat WDM (wavelength-division multiplexing) overlay. G.984.6 mengatur perangkat penyambung (regenerator atau penguat) yang memperpanjang jangkauan sampai 60 km.

Satu catatan jujur: teks lengkap G.984.1 dan G.984.2 tidak bisa saya baca langsung karena berbayar atau tidak tersedia terbuka. Angka detail di bawah saya ambil dari dokumentasi Cisco dan Omada yang terbuka, bukan dari teks standarnya.

Arsitektur: OLT, ODN, dan ONT

Menurut Cisco, jaringan GPON terdiri dari tiga bagian.

Komponen	Peran
OLT	Perangkat di sisi operator. Menggabungkan sinyal dari banyak ONT dan memformatnya jadi Ethernet.
ODN	Optical Distribution Network, yaitu jaringan distribusi optik: serat dan komponen pasif, termasuk splitter.
ONT/ONU	Optical Network Terminal/Unit. Perangkat di sisi pelanggan. Mengubah sinyal optik jadi listrik untuk perangkat pelanggan.

Alurnya: dari OLT, satu serat feeder menuju splitter, lalu serat distribusi dan drop menuju tiap ONT. Cisco memakai “ONT/ONU” sebagai satu istilah, jadi di artikel ini ONT dan ONU saya pakai bergantian.

Kecepatan dan panjang gelombang

GPON bersifat asimetris. Menurut Cisco, downstream berjalan di 2,48832 Gbit/s dan upstream di 1,24416 Gbit/s. Halaman G.984.3 di ITU mencatat bahwa edisi 2008 menyebut angka yang sama, dengan upstream 1,24416 atau 2,48832 Gbit/s.

Dua arah itu berbagi satu serat dengan panjang gelombang berbeda (WDM dua arah). Menurut Cisco, rentangnya:

Arah	Rentang	Nominal
Downstream	1480 sampai 1500 nm	1490 nm
Upstream	1290 sampai 1330 nm	1310 nm

Cisco juga mencatat redaman serat sekitar 0,35 dB/km pada 1310 dan 1490 nm.

Ada panjang gelombang ketiga yang sering disebut, yaitu sekitar 1550 nm untuk overlay video RF. Standar G.984.5 memang menyediakan enhancement band untuk WDM overlay, tetapi nilai nanometernya tidak terlihat di ringkasan ITU yang bisa saya buka. Spesifikasi vendor menyebut sekitar 1550 nm, jadi anggap ini praktik umum, bukan angka dari standar yang saya verifikasi.

Jarak, split ratio, dan budget loss

Menurut Cisco, GPON mendukung 16, 32, atau 64 cabang per port PON, dibatasi oleh path loss, dan 1:32 adalah yang umum. Menurut Cisco, batas jaraknya:

Parameter	Nilai
Jarak serat maksimum	20 km
Differential distance maksimum	20 km
Logical reach maksimum	60 km

Ringkasan ITU G.984.6 menyebut perangkat penyambung (regenerator atau penguat) untuk jangkauan sampai 60 km. Dari dua sumber itu saya menyimpulkan bahwa jangkauan di atas 20 km butuh perangkat tambahan.

Yang menentukan sebenarnya adalah budget loss. Omada mencatat kelas optik B+ dengan anggaran maksimum 28 dB dan kelas C+ dengan 32 dB. Sensitivitas penerimanya masing-masing -28 dBm dan -32 dBm, dan itu nilai terpisah dari anggaran. Semakin besar split ratio, semakin besar redaman splitter, dan semakin sedikit sisa anggaran untuk panjang serat dan konektor. Artinya 1:64 pada 20 km tidak otomatis bisa jalan. Hitung budget lossnya.

Cara kerja: downstream, upstream, dan ranging

Karena splitter pasif membagi cahaya yang sama ke semua cabang, tiap ONT menerima aliran downstream yang sama. Cisco mencatat downstream dienkripsi dengan AES-128 tanpa tambahan overhead bandwidth. Enkripsi ini relevan karena aliran downstream yang sama sampai ke semua ONT (ini penalaran saya, bukan kutipan Cisco).

Upstream lebih rumit, karena banyak ONT berbagi satu serat. Menurut Cisco (dan G.984.3 untuk cakupan TDMA dan DBA), solusinya TDMA: tiap ONT mengirim dalam burst pada slot yang ditentukan OLT. Rinciannya, menurut Cisco:

OLT memantau kongesti dan membagi slot upstream lewat DBA (dynamic bandwidth assignment). Informasi slot dikirim lewat BWmap di tiap frame downstream. Alokasi statis juga bisa.
Ranging: OLT mengukur round-trip delay tiap ONU dan menetapkan equalization delay, supaya frame upstream dari ONT yang dekat dan jauh tidak bertabrakan.
Data pengguna dibungkus dalam GEM (GPON Encapsulation Method), yaitu bingkai berorientasi koneksi yang bisa difragmentasi. Di upstream, GEM port dipetakan ke T-CONT, wadah antrean yang dilayani sesuai DBA.

Frame downstream berdurasi 125 mikrodetik, menurut Cisco.

Fungsi dan manfaat

Fungsi utama GPON adalah menghantarkan broadband lewat fiber sampai ke pelanggan (FTTH). Satu port OLT melayani banyak ONT, jadi satu jaringan distribusi dipakai bersama. Seberapa cepat internet rumah di Indonesia saat ini dibanding target pemerintah saya bahas di target 100 Mbps fixed broadband.

GPON dibanding satu serat per pelanggan

Perbandingan ini penalaran teknis dari arsitektur di atas, bukan data biaya. Saya tidak menemukan sumber yang memberi angka penghematan, jadi tidak ada persentase di sini.

Aspek	Satu serat per pelanggan (point-to-point)	GPON (point-to-multipoint)
Serat dari pusat	Satu serat per pelanggan	Satu serat feeder dibagi lewat splitter
Port di sisi operator	Satu port per pelanggan	Satu port OLT untuk banyak ONT
Jalur distribusi	Tanpa splitter	Splitter pasif, tanpa catu daya
Kapasitas link	Khusus per pelanggan	Dibagi antar-ONT di satu port

Dari tabel itu, manfaatnya (sebagai penalaran): serat feeder dari pusat lebih sedikit, port OLT yang terpakai lebih sedikit, dan jalur distribusi pasif tidak butuh catu daya aktif di lapangan. Upstream dibagi antar-ONT lewat TDMA dan DBA, sedangkan downstream berupa satu aliran bersama, jadi kapasitas tidak dikunci per pelanggan.

Harga dari pembagian itu adalah kapasitas bersama. Sebagai gambaran kasar: satu port PON dengan 32 ONT yang semuanya aktif bersamaan dan dibagi rata memberi sekitar 77,76 Mbit/s downstream per ONT (2,48832 Gbit/s dibagi 32) dan sekitar 38,88 Mbit/s upstream (1,24416 Gbit/s dibagi 32). Angka itu belum dikurangi overhead. Di lapangan tidak semua ONT aktif bersamaan dan DBA membagi slot sesuai kebutuhan, jadi anggap ini hanya perkiraan kasus ramai.

Konektor dan pengukuran di lapangan

Konektor di jaringan PON umumnya memakai polish APC (hijau). Alasannya dibahas di artikel konektor: pembahasan UPC vs APC menjelaskan return loss APC sekitar 60 dB atau lebih dan kenapa APC lazim di PON/FTTx dengan overlay video. Tapi saya tidak menemukan standar yang mewajibkan APC, jadi ini praktik industri.

Untuk pengukuran, ada power meter khusus PON yang memeriksa panjang gelombang 1310, 1490, dan 1550 nm secara in-service. Saya hanya menemukan spesifikasi produk vendor untuk ini, jadi cek datasheet alat yang kamu pakai.

Untuk OTDR, menguji lewat splitter memerlukan perhatian khusus. Sebuah artikel Yokogawa tentang OTDR untuk PON (dimuat di EPDT, 13 Oktober 2009) menyebut pengujian in-service memakai panjang gelombang 1625 nm dengan filter.

GPON dan penerusnya

GPON bukan ujung jalan. ITU-T punya standar penerus yang memakai prinsip PON yang sama:

Standar	Nama
G.987.1	XG-PON
G.9807.1	10-Gigabit-capable symmetric passive optical network (XGS-PON)
G.989.1	40-Gigabit-capable passive optical networks (NG-PON2)

Untuk teknisi yang baru mulai, pahami dulu GPON. Prinsip PON yang sama (OLT, ODN, ONT, splitter pasif) dipakai oleh standar penerusnya, jadi pemahaman ini berguna lebih jauh.

Sumber

Banyak angka detail di atas berasal dari dokumentasi vendor (Cisco, Omada) karena teks lengkap G.984.1 dan G.984.2 tidak bisa saya baca. Untuk desain atau pengadaan, cek ke rekomendasi ITU-T dan datasheet perangkat.

Cisco, Understand GPON Technology (Rev 3.0, 6 Desember 2023)
Omada, dokumentasi optical class PON
ITU-T G.984.1
ITU-T G.984.2
ITU-T G.984.3
ITU-T G.984.4
ITU-T G.984.5
ITU-T G.984.6
ITU-T G.987.1
ITU-T G.9807.1
ITU-T G.989.1
Yokogawa, OTDR for PON testing (dimuat di EPDT, 13 Oktober 2009)

Penulis: Mahyuddin Susanto. Koreksi atau tambahan bisa dikirim lewat halaman kontak.

Target 100 Mbps Fixed Broadband: Kenapa Masih Jauh

2026-11-03T00:00:00+00:00

Target 100 Mbps untuk fixed broadband bisa terbaca seolah itu kecepatan yang dijanjikan ke setiap rumah. Faktanya itu target rata-rata nasional dengan tenggat 2028 atau 2029, jadi belum ada yang gagal. Jaraknya ke 100 Mbps memang masih lebar: median fixed broadband Indonesia pada Agustus 2026 ada di 51,4 Mbps menurut Ookla, peringkat ke-113 dunia dan ke-9 dari 10 negara ASEAN.

Tulisan ini menjelaskan apa yang sebenarnya ditargetkan, apa yang menghambatnya, dan apa artinya untuk paket internet di rumahmu. Fixed broadband di sini berarti internet rumah berkabel (di berita sering ditulis “internet tetap” atau “pita lebar tetap”). Beberapa angka dari berita saling bertentangan, jadi tiap angka saya sebut lengkap dengan sumbernya, apakah dokumen resmi atau pemberitaan.

Median Ookla Agustus 2026 dan target rata-rata Komdigi tidak diukur dengan metode yang sama.

Key Takeaways

100 Mbps adalah target rata-rata nasional di akhir periode Renstra Komdigi. Sebagian sumber menyebut tahun 2029, Wakil Menteri Komdigi menyebut 2028.

Median Ookla (51,4 Mbps, Agustus 2026) dan hasil ukur Komdigi (51,84 Mbps di 20 kota, 2025) memakai metode berbeda. Jangan dibandingkan langsung.

Hambatan yang disebut pelaku industri dan laporan Komdigi: jangkauan fiber yang belum merata, aturan dan retribusi daerah, harga bahan kabel yang naik, dan harga langganan yang masih tinggi untuk banyak rumah tangga.

Dua paket 100 Mbps berbayar penuh yang dibandingkan Bisnis.com berharga Rp233 ribu dan Rp279 ribu per bulan sebelum pajak pertambahan nilai (PPN), per Januari 2026.

Kecepatan di perangkatmu tetap ditentukan ONT (perangkat fiber di rumah), WiFi, dan kabel.

Apa sebenarnya yang ditargetkan?

Target kecepatan ada di Rencana Strategis (Renstra) Kementerian Komunikasi dan Digital 2025–2029. Laporan Kinerja Komdigi 2025 memuat indikator “Kecepatan Internet Jaringan Pita Lebar Tetap (Fixed Broadband)” dengan target 2025 sebesar 37 Mbps (Kementerian Komdigi, Laporan Kinerja 2025, tabel indikator program, hlm. 90). Target tahun-tahun berikutnya tidak terbaca jelas di dokumen itu, jadi untuk 2026 sampai 2029 rujukannya pemberitaan, dan dua media menulis jalur yang berbeda:

Tahun	detikInet (7 Jan 2026)	Bisnis.com (5 Jan 2026)
2026	45 Mbps	45 Mbps
2027	64 Mbps	55 Mbps
2028	83 Mbps	70 Mbps
2029	100 Mbps	100 Mbps

Sumber: detikInet dan Bisnis.com. Keduanya sepakat di 45 Mbps untuk 2026 dan 100 Mbps untuk 2029, tapi jalur di tengahnya berbeda.

Tahun tercapainya 100 Mbps juga belum seragam. Sekretaris Jenderal Komdigi menyebut “secepatnya 2029” (Bisnis.com, 10 Desember 2025). Wakil Menteri Nezar Patria menyebut target nasional 100 Mbps dalam dua tahun, yaitu 2028, dalam berita Juli 2026 yang tidak membedakan fixed dan mobile (Bisnis.com, 5 Juli 2026).

Kalau kamu menemukan judul berita yang menulis “64 Mbps di 2026”, baca isinya dulu. Judul Selular.ID pada Maret 2026 menulis 64 Mbps, sementara isi artikelnya menyebut minimum 60 Mbps (Selular.ID).

Seberapa jauh jaraknya sekarang?

Ookla Speedtest Global Index mencatat median download fixed broadband Indonesia 51,40 Mbps pada Agustus 2026, peringkat 113 dunia dan ke-9 dari 10 negara ASEAN (Bisnis.com, 14 Oktober 2026, mengutip Ookla).

Komdigi punya angka sendiri. Laporan Kinerja 2025 menulis rata-rata kecepatan unduh fixed broadband nasional 51,84 Mbps, diukur di 20 kota, dan menyatakan angka itu melampaui target 2025 sebesar 37 Mbps (hlm. 106). Di bagian latar belakang laporan yang sama, rata-rata fixed broadband tertulis 28,37 Mbps dengan merujuk ke Renstra (Laporan Kinerja Komdigi 2025, hlm. 20).

Angka-angka itu kelihatannya sama padahal berbeda:

Median Ookla: dari tes yang dijalankan pengguna aplikasi Speedtest.
Rata-rata Komdigi: hasil pengukuran di 20 kota, tidak mencakup wilayah di luar kota-kota itu.
Rata-rata di Renstra: angka latar belakang yang metodenya tidak dijelaskan di laporan.

Dengan 100 Mbps sebagai garis akhir, selisihnya tetap besar, tapi seberapa besar tergantung angka mana yang dipakai. Median Ookla Agustus 2026 (51,4 Mbps) memang sudah di atas target rata-rata 2026 sebesar 45 Mbps, tapi keduanya mengukur hal berbeda, jadi saya tidak menyimpulkan target 2026 sudah terlampaui. Karena itu saya menahan diri untuk menulis satu angka “kecepatan internet Indonesia”.

Untuk gambaran regional, data Februari 2026 yang dikutip Seasia.co dari Ookla menaruh Indonesia di posisi terakhir dari sembilan negara ASEAN yang datanya tersedia (Myanmar tidak termasuk), dengan 45,4 Mbps. Singapura ada di puncak dengan 420,92 Mbps.

Sumber: Seasia.co, mengutip Ookla, 20 April 2026. Batang oranye: Indonesia.

Grafik ini memakai median, bukan rata-rata. Seasia.co mengutip Ookla, jadi anggap ini gambaran kasar. Angka Indonesia di sini (Februari) berbeda dari 51,4 Mbps karena periodenya.

Apa yang menghambat?

Tidak ada satu penyebab tunggal. Hambatannya berlapis.

Banyak rumah belum terjangkau, dan banyak yang terjangkau belum berlangganan

Laporan Kinerja Komdigi 2025 mengutip data Bank Dunia 2024 (hlm. 19–20) tentang 75 juta rumah di Indonesia:

38 juta rumah sudah dilewati jaringan fiber optik.
Dari jumlah itu, 24,5 juta belum terhubung ke layanan fixed broadband.
Sisanya, 37 juta rumah, belum terjangkau fiber sama sekali.

Dengan hitungan sederhana, yang sudah terhubung sekitar 13,5 juta rumah. Angka itu tidak sebanding dengan 21% rumah tangga di bawah, karena tahun dan basis hitungnya berbeda.

Di tingkat kecamatan, jangkauan fiber mencapai 72,12% pada 2025 menurut laporan (5.253 dari 7.285 kecamatan, hlm. 106; hasil bagi langsungnya 72,11%), naik dari 70,88% di baseline Renstra (hlm. 19).

Targetnya 90% kecamatan (Bisnis.com, 1 Oktober 2025). Dari angka itu saya menyimpulkan tidak semua kecamatan ditargetkan terlayani fiber.

Sekjen Komdigi menilai membangun fiber sampai ke semua kecamatan tidak efisien dan menyebut seluler dan satelit sebagai alternatif di wilayah yang sulit (Bisnis.com, 10 Desember 2025).

Soal berlangganan, Menteri Komdigi menyebut baru 21% rumah tangga yang punya akses broadband tetap, dengan target 50% pada 2029 (Bisnis.com, 1 Oktober 2025).

Survei Asosiasi Penyelenggara Jasa Internet Indonesia (APJII) 2026 menghitung sekitar 99,51 juta orang berlangganan internet tetap, atau 42,3% dari pengguna internet (Bisnis.com, 17 Juni 2026). Angka 21% dan 42,3% tidak bisa dipertukarkan karena basis hitungnya beda: rumah tangga di satu sisi, pengguna internet di sisi lain.

Biaya bangun dan aturan di daerah

Asosiasi Penyelenggara Jaringan Telekomunikasi Indonesia (APJATEL) menyoroti aturan yang tumpang tindih. Menurut Wakil Ketua APJATEL Fariz Azhar Harahap, tiap kota atau kabupaten punya dasar hukum sendiri. Pelaku usaha menanggung beberapa pungutan:

BHP Pita dan BHP USO di tingkat pusat (pungutan atas pita frekuensi dan kontribusi pelayanan universal).
Sewa aset negara atau daerah (BMN/BMD).
Retribusi penempatan kabel.

Di sejumlah kota, sewa lahan bahkan disamakan dengan ruang komersial. Artikelnya tidak menyebut nominal rupiah (investortrust.id, 13 Februari 2026).

Bahan baku ikut menekan. Menurut Bisnis.com, Ketua Umum APJATEL Jerry Mangasas Swandy menyebut harga HDPE, material pelindung kabel, naik 15–17%. Ketua Umum APJII Muhammad Arif menyebut kenaikan harga paling terasa di fiber core, tanpa angka persen. Artikel itu menjelaskan sebabnya sebagai pasokan serat optik global yang dialihkan ke industri militer, termasuk drone, ditambah keterbatasan produksi di China.

Artikel yang sama mengutip contoh sebuah perusahaan yang tadinya membangun 50 km per tahun dan kini mungkin hanya sekitar 10 km dengan anggaran yang sama. Perusahaannya tidak disebut dan hitungannya tidak dijelaskan, jadi anggap itu ilustrasi kasar (Bisnis.com, 15 April 2026). Pengamat ICT Institute menambahkan hak jalan dan relokasi kabel ke bawah tanah sebagai beban yang menggerus margin operator (Bisnis.com, 26 Agustus 2026).

Harga langganan dan permintaan

Laporan Kinerja Komdigi mencatat harga layanan fixed broadband di Indonesia sekitar 4,86% dari pendapatan nasional bruto per kapita (hlm. 20). Rekomendasi ITU (badan telekomunikasi PBB) yang dikutip laporan itu adalah tidak lebih dari 2%. Untuk mobile broadband angkanya sekitar 0,24%. Laporan itu sendiri menyimpulkan itulah salah satu alasan penetrasi seluler jauh lebih tinggi.

Alasan dari sisi calon pelanggan sejalan. Dalam survei APJII 2026, 47,2% yang tidak berlangganan internet tetap merasa kualitas internet seluler sudah cukup, dan 32,9% menyebut harga terlalu mahal (Bisnis.com, 17 Juni 2026). Saya menduga, kalau permintaan akan paket kencang rendah, operator punya alasan lebih kecil untuk membangun cepat. Ini dugaan saya, tidak ada sumber di atas yang menyatakannya langsung.

Standar minimum 100 Mbps yang pernah disiapkan

Pada Januari 2024, Kementerian Kominfo (sekarang Komdigi) pernah menyiapkan standar minimum 100 Mbps untuk fixed broadband. Direktur Jenderal Informasi dan Komunikasi Publik saat itu menyatakan penerapannya sangat tergantung kesiapan industri dan tidak akan dipaksakan kalau industri belum siap (Bisnis.com, 25 Januari 2024).

Ada satu kewajiban yang mendekati, tapi bukan standar minimum untuk paket rumahan. Pada lelang pita frekuensi 1,4 GHz, Komdigi menyebut pemenang harus menyediakan akses pita lebar nirkabel dengan kecepatan “sampai dengan” 100 Mbps, dengan harga paling tinggi 10% di atas rata-rata konsumsi rumah tangga (Bisnis.com, 3 Agustus 2025). Kewajiban itu berlaku selama masa izin pita frekuensi dan mengikat pemenang lelang, bukan semua penyedia internet.

Apa artinya buat kamu di rumah?

Pertama, target rata-rata tidak menjamin apa pun untuk satu rumah. Kamu bisa berada di atas atau di bawah angkanya, tergantung jangkauan ISP di lokasimu, jenis paketnya, dan kondisi jaringan di dalam rumah.

Kedua, paket 100 Mbps sudah ada, dan harganya tidak seragam. Berikut perbandingan dari Bisnis.com per Januari 2026, yang diambil dari situs masing-masing penyedia:

Paket	Kecepatan	Harga per bulan
Internet Rakyat	hingga 100 Mbps	Rp100.000 (bulan pertama gratis)
MyRepublic Neo	100 Mbps	Rp233.100 (belum PPN)
IndiHome	75 Mbps	Rp270.000
XL Satu	100 Mbps	Rp279.000 (belum PPN)

Sumber: Bisnis.com, 29 Januari 2026. Dua paket tercatat belum termasuk PPN, sedangkan basis harga dua lainnya tidak disebut, jadi jangan membandingkan angkanya mentah-mentah. IndiHome di tabel ini 75 Mbps. Internet Rakyat memakai kata “hingga”, yaitu batas atas dan bukan kecepatan yang dijamin, makanya saya tidak memasukkannya ke kisaran Rp233 ribu dan Rp279 ribu yang saya sebut di Key Takeaways. Harga dan promo berubah cepat, jadi cek ulang di situs penyedia sebelum memutuskan.

Ketiga, kalau kamu sudah berlangganan 100 Mbps tapi hasilnya jauh lebih rendah, periksa dulu sisi rumah sebelum menyalahkan penyedia internet (ISP):

Tes dengan kabel. Colok laptop langsung ke port LAN ONT (perangkat fiber di rumahmu) atau router dan jalankan tes kecepatan. Kalau angkanya jauh lebih tinggi daripada lewat WiFi, masalahnya ada di WiFi.
Cek port. Port Fast Ethernet (100 Mbps) di salah satu perangkat pada jalur itu menjadi batas atas, dan hasil nyatanya biasanya di bawah 100 Mbps. Cari port Gigabit.
Tes di jam berbeda. Kalau angkanya turun terus di jam padat, catat waktunya sebagai bahan laporan.
Lihat redaman optik di ONT bila kamu bisa mengaksesnya. Konsep dasarnya ada di tulisan saya tentang arsitektur GPON, dan soal konektor ada di jenis konektor fiber optic.

Keempat, tidak semua rumah perlu 100 Mbps. Hampir separuh yang tidak berlangganan merasa seluler sudah cukup, dan itu masuk akal untuk penggunaan ringan. Paket yang lebih kencang baru terasa kalau ada beberapa perangkat yang dipakai bersamaan untuk streaming, unggah berkas besar, atau kerja jarak jauh.

Yang belum bisa saya pastikan

Jalur target 2026 sampai 2029 per tahun. Dokumen Renstra lengkapnya belum saya baca, jadi saya hanya tahu dua versi dari berita.
Apakah 100 Mbps dicapai pada 2028 atau 2029.
Angka Ookla langsung dari halaman resminya.
Data resmi kecepatan nyata dibanding kecepatan di kontrak, yang memuat paket “hingga”. Data terbarunya belum ada di sumber yang dipakai tulisan ini.

Kalau kamu punya dokumen atau data yang menutup salah satu celah itu, kirim lewat halaman kontak dan tulisan ini saya perbarui.

Saya Mahyuddin Susanto, insinyur jaringan dan infrastruktur dengan pengalaman lebih dari 15 tahun di lingkungan jaringan skala besar dan sistem Linux. Tulisan ini merangkum dokumen dan berita yang disebut di atas, tanpa pengukuran saya sendiri. Kalau ada yang keliru, kabari lewat halaman kontak, dan koreksinya saya cantumkan di tulisan ini lengkap dengan tanggalnya.

Sumber

Semua tautan diakses 3 November 2026.

Kementerian Komdigi, Laporan Kinerja 2025 (dokumen primer).
detikInet, Prabowo Target Kecepatan Internet Mobile 60 Mbps dan Fixed 45 Mbps, 7 Januari 2026.
Bisnis.com, Target Komdigi 2026, 5 Januari 2026.
Bisnis.com, Strategi Komdigi Kejar Target 100 Mbps pada 2029, 10 Desember 2025.
Bisnis.com, Komdigi Bidik Kecepatan Internet Nasional 100 Mbps pada 2028, 5 Juli 2026.
Bisnis.com, Peringkat Kecepatan Internet RI Agustus 2026, 14 Oktober 2026.
Bisnis.com, Penetrasi Fixed Broadband 21% menjadi 50% pada 2029, 1 Oktober 2025.
Bisnis.com, Penetrasi Internet Tetap di RI Baru 42,3%, 17 Juni 2026.
investortrust.id, APJATEL Soroti Tumpang Tindih Aturan Fiber Optik, 13 Februari 2026.
Bisnis.com, Harga Kabel Serat Optik Melesat, 15 April 2026.
Bisnis.com, Tantangan Bisnis Serat Optik, 26 Agustus 2026.
Bisnis.com, Harga Internet Rumah 2026, 29 Januari 2026.
Bisnis.com, Internet Fixed Broadband 100 Mbps, Kemenkominfo: Tergantung Kesiapan Industri, 25 Januari 2024.
Selular.ID, Komdigi Targetkan Kecepatan Internet Fixed Broadband 64 Mbps 2026, 6 Maret 2026.
Seasia.co, ASEAN Internet Speeds Index February 2026, 20 April 2026 (mengutip Ookla).

udienz blog

Cara Mendapat A+ di SSL Labs dengan Apache (Panduan 2026)

Cara SSL Labs memberi nilai

Cek versi Apache dan OpenSSL dulu

Langkah 1: Sertifikat dan full chain

Langkah 2: Aktifkan modul dan atur TLS secara global

Langkah 3: Virtual host, HSTS, dan redirect HTTP

Kenapa harus Header always set

Langkah 4: Waspadai virtual host yang menimpa pengaturan global

Langkah 5: OCSP stapling dan Let’s Encrypt

Langkah 6: Jebakan configtest

Langkah 7: Uji di lokal, lalu jalankan SSL Labs

Troubleshooting: arti pesan di laporan dan cara memperbaikinya

Opsional: HSTS preload

Konfigurasi lengkap

Sumber

How to Get an A+ on SSL Labs with Apache httpd (2026 Guide)

How SSL Labs grades your server

Check your Apache and OpenSSL versions first

Step 1: Get a certificate and serve the full chain

Step 2: Enable the modules and set TLS globally

Step 3: The virtual hosts, HSTS and the HTTP redirect

Why Header always set matters

Step 4: Watch for virtual hosts that override the global settings

Step 5: OCSP stapling and Let’s Encrypt

Step 6: The configtest trap

Step 7: Test locally, then run SSL Labs

Troubleshooting: what the report says and how to fix it

Optional: HSTS preload

The complete config

Sources

Cara Mendapat A+ di SSL Labs dengan nginx (Panduan 2026)

Cara SSL Labs memberi nilai

Cek versi nginx dan OpenSSL dulu

Langkah 1: Sertifikat dan full chain

Langkah 2: Taruh pengaturan TLS di satu file bersama

Langkah 3: Server block, HSTS, dan redirect HTTP

Langkah 4: OCSP stapling dan Let’s Encrypt

Langkah 5: Hindari jebakan add_header

Langkah 6: Uji di lokal, lalu jalankan SSL Labs

Troubleshooting: arti pesan di laporan dan cara memperbaikinya

Opsional: HSTS preload

Konfigurasi lengkap

Sumber

How to Get an A+ on SSL Labs with nginx (2026 Guide)

How SSL Labs grades your server

Check your nginx and OpenSSL versions first

Step 1: Get a certificate and serve the full chain

Step 2: Put the TLS settings in one shared file

Step 3: The server blocks, HSTS and the HTTP redirect

Step 4: OCSP stapling and Let’s Encrypt

Step 5: Avoid the add_header trap

Step 6: Test locally, then run SSL Labs

Troubleshooting: what the report says and how to fix it

Optional: HSTS preload

The complete config

Sources

Mobil Listrik (1/3): Pengertian dan Jenis-Jenisnya

Apa itu mobil listrik?

Kenapa orang beralih

Skala globalnya

Jenis-jenis mobil listrik

Pembanding: mobil konvensional (ICE)

BEV: mobil listrik murni

Cara kerja BEV

Kelebihan dan batas BEV

BEV cocok untuk siapa

PHEV: hybrid yang bisa dicolok

Cara kerja PHEV

Kelebihan dan batas PHEV

PHEV cocok untuk siapa

HEV: hybrid biasa

Cara kerja HEV

Kelebihan dan batas HEV

HEV cocok untuk siapa

FCEV: mobil listrik berbahan bakar hidrogen

Cara kerja FCEV

Kelebihan dan batas FCEV

FCEV cocok untuk siapa

Mobil Listrik (2/3): Cara Kerja, Pengisian Daya, dan Harga

Kenapa harus `Header always set`

Why `Header always set` matters