Cara Mengatasi Cloudflare Error 526 pada WordPress di VPS

The Last Digital
Update: ... minutes read

Website WordPress Anda tiba-tiba menampilkan Error 526: Invalid SSL certificate setelah mode SSL/TLS Cloudflare diatur ke Full (Strict)? Error ini hampir selalu berarti satu hal: Cloudflare tidak dapat memvalidasi sertifikat SSL yang disajikan server VPS Anda (origin). Kabar baiknya, penyebabnya dapat ditemukan dengan pemeriksaan berurutan — dan diperbaiki tanpa menonaktifkan keamanan HTTPS.

Jawaban Singkat

Error 526 muncul jika dua kondisi terpenuhi secara bersamaan:

  • Mode enkripsi Cloudflare adalah Full (Strict).
  • Sertifikat SSL di origin gagal validasi: kedaluwarsa, dicabut, self-signed (ditandatangani sendiri), tidak mencakup hostname yang diminta, atau rantai sertifikatnya (chain) tidak lengkap.

Perbaikannya adalah memperbaiki sertifikat di origin — misalnya memperbarui sertifikat publik seperti Let's Encrypt, memperbaiki file rantai sertifikat, atau memasang Cloudflare Origin CA certificate — lalu memverifikasi hasilnya. Menurunkan mode ke Full hanya layak dipakai sementara sebagai alat diagnosis, bukan sebagai solusi permanen, karena pada mode Full Cloudflare tidak memvalidasi sertifikat origin sama sekali.

Bagaimana Koneksi HTTPS Bekerja: Pengunjung, Cloudflare, dan Origin

Ada dua sambungan terenkripsi yang berbeda pada website yang memakai Cloudflare:

  1. Pengunjung → Cloudflare. Browser pengunjung terhubung ke edge Cloudflare. Sertifikat yang dilihat pengunjung diterbitkan oleh Cloudflare untuk domain Anda.
  2. Cloudflare → Origin (VPS Anda). Cloudflare membuka koneksi HTTPS terpisah ke server VPS tempat WordPress berjalan. Pada sambungan kedua inilah sertifikat origin diperiksa.

Error 526 terjadi pada sambungan kedua. Artinya DNS dan jaringan umumnya sudah bekerja — Cloudflare berhasil mencapai server Anda — tetapi sertifikat yang disajikan server ditolak saat validasi. Inilah bedanya dengan Error 525: pada 525, jabat tangan TLS (handshake) itu sendiri gagal selesai, misalnya karena tidak ada layanan yang mendengarkan di port 443 atau cipher yang tidak cocok. Pada 526, handshake selesai, tetapi sertifikatnya tidak valid menurut Cloudflare.

Syarat Sertifikat Origin pada Mode Full (Strict)

Berdasarkan dokumentasi Cloudflare, pada mode Full (Strict) sertifikat origin harus memenuhi semua syarat berikut:

  • Belum kedaluwarsa — tanggal berlaku sertifikat mencakup waktu saat ini.
  • Diterbitkan oleh otoritas tepercaya — CA publik (misalnya Let's Encrypt) atau Cloudflare Origin CA. Sertifikat self-signed tidak lolos, kecuali ditambahkan ke Custom Origin Trust Store (fitur lanjutan).
  • Nama cocok — Common Name (CN) atau Subject Alternative Name (SAN) sertifikat mencakup hostname yang diminta, misalnya domainanda.com dan/atau www.domainanda.com.
  • Tidak dicabut oleh penerbitnya.
  • Rantai lengkap — server menyajikan sertifikat utama beserta intermediate CA yang diperlukan, sehingga Cloudflare dapat membangun rantai kepercayaan sampai root CA.
  • Port 443 terbuka — origin menerima koneksi HTTPS pada port 443.

Jika salah satu syarat tidak terpenuhi, Cloudflare menampilkan Error 526 kepada pengunjung. Jika Anda belum mengatur basis konfigurasinya, panduan setting WordPress di AWS EC2 dengan custom domain dan SSL Cloudflare Full (Strict) menjelaskan urutan pemasangan domain, DNS, dan SSL dari awal.

Tabel Gejala, Penyebab, Pemeriksaan, dan Solusi

GejalaKemungkinan PenyebabCara MemeriksaSolusi
Error 526 muncul tiba-tiba padahal sebelumnya normalSertifikat origin kedaluwarsa (umum pada sertifikat 90 hari yang gagal auto-renew)Perintah openssl untuk melihat tanggal berakhir (Langkah 3)Perbarui sertifikat (mis. certbot renew), muat ulang web server, verifikasi
Error 526 sejak pertama kali mengaktifkan Full (Strict)Sertifikat self-signed bawaan server/panelCek issuer sertifikat dengan openssl (Langkah 3); issuer sama dengan subject biasanya menandakan self-signedGanti dengan sertifikat Let's Encrypt atau Cloudflare Origin CA
Error 526 hanya pada www atau hanya pada subdomain tertentuHostname tidak tercantum di CN/SAN sertifikatCek daftar SAN dengan openssl (Langkah 3)Terbitkan ulang sertifikat yang mencakup semua hostname yang dipakai
Situs aman dibuka langsung di browser (saat Cloudflare dijeda), tetapi 526 lewat CloudflareRantai sertifikat (chain) tidak lengkap — browser menambal intermediate sendiri, Cloudflare tidakCek "Verify return code" dan chain pada output openssl (Langkah 3–4)Pasang file fullchain (bukan hanya sertifikat utama) di konfigurasi web server
Error berganti menjadi 525Masalah handshake: port 443, SNI, atau cipher — bukan lagi sekadar validasi sertifikatCek layanan web server dan port 443 (Langkah 2 dan 5)Perbaiki konfigurasi TLS web server; pastikan server block 443 aktif dan sertifikat terbaca
526 hilang saat mode diturunkan ke FullTerkonfirmasi: masalah validasi sertifikat origin (Full tidak memvalidasi)Perbandingan mode (Langkah 6)Jangan berhenti di sini — perbaiki sertifikat, lalu kembalikan ke Full (Strict)

Persiapan Sebelum Memperbaiki

  • Pastikan Anda bisa login ke dashboard Cloudflare dan ke VPS via SSH sebagai user dengan hak sudo.
  • Backup konfigurasi web server sebelum mengubahnya, misalnya menyalin file konfigurasi Nginx/Apache yang akan diedit. Perubahan SSL yang salah dapat membuat situs tidak dapat diakses sama sekali.
  • Catat mode SSL/TLS Anda saat ini di Cloudflare melalui menu SSL/TLS > Overview.
  • Jangan pernah membagikan private key sertifikat kepada siapa pun dan jangan menempelkannya di forum atau chat publik.
  • Artikel ini mengasumsikan WordPress berjalan di VPS (umumnya Ubuntu dengan Nginx atau Apache). Nama file dan perintah dapat berbeda pada panel hosting — sesuaikan dengan lingkungan Anda.

Langkah Diagnosis Berurutan

Jangan melompat ke solusi. Ikuti urutan ini agar penyebab pastinya ditemukan.

Langkah 1 — Konfirmasi Mode SSL/TLS di Cloudflare

Login ke dashboard Cloudflare, pilih domain Anda, lalu buka SSL/TLS > Overview. Jika mode yang aktif adalah Full (Strict) dan situs menampilkan 526, lanjutkan ke langkah berikutnya. Jika mode Anda bukan Full (Strict), penyebab error Anda mungkin berbeda.

Langkah 2 — Pastikan Origin Hidup dan Port 443 Terbuka

Dari komputer Anda, uji koneksi langsung ke IP VPS (ganti IP_VPS dan domainanda.com dengan nilai Anda):

curl -vk --resolve domainanda.com:443:IP_VPS https://domainanda.com/

Perintah ini melewati Cloudflare dan berbicara langsung ke origin. Jika koneksi ditolak atau timeout, masalahnya ada pada web server/firewall — perbaiki itu dulu (kasus seperti ini cenderung menghasilkan error 525/521, bukan 526). Jika muncul respons dari server Anda, lanjutkan.

Langkah 3 — Periksa Sertifikat yang Disajikan Origin

Ini langkah terpenting. Jalankan:

echo | openssl s_client -connect IP_VPS:443 -servername domainanda.com 2>/dev/null | openssl x509 -noout -dates -subject -issuer -ext subjectAltName

Periksa outputnya:

  • notAfter — tanggal kedaluwarsa. Jika sudah lewat, sertifikat harus diperbarui.
  • issuer — penerbit. Jika issuer sama persis dengan subject, sertifikat itu self-signed dan tidak akan lolos Full (Strict).
  • subjectAltName — daftar hostname yang dicakup. Pastikan domain yang Anda akses tercantum di sini.

Langkah 4 — Periksa Kelengkapan Rantai Sertifikat

echo | openssl s_client -connect IP_VPS:443 -servername domainanda.com -showcerts 2>/dev/null | grep -E "Verify return code|s:|i:"

Nilai Verify return code: 0 (ok) menandakan rantai dapat diverifikasi. Kode lain — misalnya yang menyebut sertifikat lokal tidak ditemukan atau tidak dapat memverifikasi — menandakan rantai tidak lengkap atau sertifikat tidak tepercaya. Pada setup Let's Encrypt di Nginx, penyebab paling umum adalah konfigurasi yang menunjuk ke cert.pem padahal seharusnya ke fullchain.pem.

Langkah 5 — Periksa Konfigurasi dan Log Web Server

Di VPS, uji konfigurasi sebelum memuat ulang layanan:

sudo nginx -t
# atau untuk Apache:
sudo apachectl configtest

Lalu periksa log error web server untuk pesan terkait sertifikat (file tidak ditemukan, key tidak cocok dengan sertifikat, dan sebagainya):

sudo tail -n 50 /var/log/nginx/error.log
# Apache (Ubuntu):
sudo tail -n 50 /var/log/apache2/error.log

Langkah 6 — Uji Diagnosis dengan Mode Full (Hanya Sementara)

Jika langkah di atas belum menyimpulkan penyebab, Anda dapat menurunkan mode Cloudflare ke Full untuk beberapa menit. Jika situs langsung normal, terkonfirmasi bahwa masalahnya adalah validasi sertifikat origin, karena mode Full tidak melakukan validasi tersebut. Segera lanjutkan perbaikan sertifikat dan kembalikan mode ke Full (Strict). Membiarkan situs di mode Full secara permanen berarti koneksi Cloudflare → origin tidak diverifikasi identitasnya.

Langkah 7 — Tentukan Solusi dari Hasil Pemeriksaan

  • Sertifikat kedaluwarsa atau akan kedaluwarsa → Solusi 1.
  • Sertifikat self-signed, atau Anda ingin sertifikat khusus origin yang berumur panjang → Solusi 2.
  • Rantai tidak lengkap → perbaiki file yang dirujuk konfigurasi web server (biasanya cukup mengganti ke file fullchain), muat ulang web server, lalu verifikasi.
  • Hostname tidak tercakup → terbitkan ulang sertifikat dengan daftar hostname yang benar melalui salah satu solusi.

Solusi 1 — Perbaiki Sertifikat Publik (Let's Encrypt)

Cocok jika origin Anda memakai sertifikat Let's Encrypt yang kedaluwarsa atau salah konfigurasi. Di VPS (Ubuntu + Certbot):

sudo certbot certificates
sudo certbot renew --dry-run
sudo certbot renew
  1. certbot certificates menampilkan sertifikat yang terpasang, domain yang dicakup, dan tanggal kedaluwarsanya.
  2. --dry-run menguji proses pembaruan tanpa mengubah sertifikat aktif.
  3. Setelah pembaruan berhasil, pastikan konfigurasi web server menunjuk ke file yang benar. Contoh Nginx untuk Let's Encrypt:
ssl_certificate /etc/letsencrypt/live/domainanda.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/domainanda.com/privkey.pem;

Uji konfigurasi lalu muat ulang:

sudo nginx -t && sudo systemctl reload nginx

Jika pembaruan otomatis selama ini gagal, periksa penyebabnya (misalnya port 80 tertutup untuk validasi HTTP-01, atau DNS berubah) — jangan hanya memperbarui manual dan membiarkan kegagalan berikutnya terjadi 90 hari lagi.

Solusi 2 — Pasang Cloudflare Origin CA Certificate

Cloudflare menyediakan sertifikat khusus origin yang gratis dan dipercaya oleh Cloudflare, sehingga valid untuk mode Full (Strict). Menurut dokumentasi Cloudflare, sertifikat Origin CA dapat berlaku hingga 15 tahun. Perlu diingat: sertifikat ini hanya dipercaya pada koneksi Cloudflare → origin; jika Anda mengakses VPS langsung tanpa Cloudflare, browser akan menampilkan peringatan.

1. Buat sertifikat di dashboard Cloudflare

  1. Buka SSL/TLS > Origin Server, lalu pilih Create Certificate.
  2. Pilih opsi agar Cloudflare membuatkan private key dan CSR, atau gunakan CSR Anda sendiri.
  3. Pastikan daftar hostname mencakup domain utama dan www (secara bawaan, apex dan wildcard tingkat pertama disertakan).
  4. Pilih masa berlaku, lalu buat sertifikat. Salin Origin Certificate dan Private Key ke tempat aman — private key tidak dapat ditampilkan lagi setelah Anda menutup halaman ini.

2. Pasang di VPS (contoh Nginx)

sudo mkdir -p /etc/ssl/cloudflare
sudo nano /etc/ssl/cloudflare/cert.pem   # tempel Origin Certificate
sudo nano /etc/ssl/cloudflare/key.pem    # tempel Private Key
sudo chmod 600 /etc/ssl/cloudflare/key.pem

Rujuk kedua file itu pada server block 443:

server {
    listen 443 ssl;
    server_name domainanda.com www.domainanda.com;

    ssl_certificate /etc/ssl/cloudflare/cert.pem;
    ssl_certificate_key /etc/ssl/cloudflare/key.pem;

    # konfigurasi WordPress Anda yang sudah ada tetap di sini
}
sudo nginx -t && sudo systemctl reload nginx

3. Untuk Apache (gambaran umum)

Pada virtual host 443, arahkan SSLCertificateFile ke file sertifikat Origin CA dan SSLCertificateKeyFile ke file private key, aktifkan modul SSL bila belum (sudo a2enmod ssl), lalu uji dengan sudo apachectl configtest dan muat ulang Apache. Detail penempatan file mengikuti distro dan layout Apache Anda.

4. Kembalikan mode ke Full (Strict)

Setelah sertifikat terpasang dan web server berhasil dimuat ulang, buka SSL/TLS > Overview di Cloudflare dan pastikan mode adalah Full (Strict).

Cara Memverifikasi Hasil Perbaikan

  1. Uji origin langsung lagi. Ulangi perintah openssl pada Langkah 3 — tanggal, issuer, dan SAN sekarang harus benar.
  2. Uji lewat Cloudflare. Jalankan curl -I https://domainanda.com/ — respons yang diharapkan adalah status normal situs Anda (umumnya 200, atau redirect yang memang Anda konfigurasi), bukan 526.
  3. Buka situs di browser (mode penyamaran agar tidak tertipu cache): halaman WordPress tampil, halaman login /wp-admin/ dapat diakses, dan tidak ada peringatan campuran konten (mixed content) yang berat di konsol browser.
  4. Periksa mode Cloudflare sekali lagi: Full (Strict) aktif.
  5. Tunggu dan periksa ulang setelah beberapa menit, karena perubahan konfigurasi SSL/TLS dan propagasi dapat memerlukan waktu singkat.

Jika Anda mengelola WordPress tanpa panel di VPS, langkah verifikasi di atas berlaku sama; pola instalasinya dijelaskan pada panduan cara install WordPress di AWS tanpa panel.

Jika Solusi Tidak Berhasil

  • Masih 526 setelah ganti sertifikat: kemungkinan web server belum memuat sertifikat baru (server block yang salah yang aktif, atau ada lebih dari satu server block untuk hostname yang sama). Ulangi Langkah 3 — sertifikat yang tampil dari openssl adalah sertifikat yang benar-benar disajikan server.
  • Berganti 525: handshake TLS gagal — periksa apakah ada layanan yang mendengarkan di 443, apakah konfigurasi TLS rusak setelah pengeditan, dan baca log error web server.
  • Hanya subdomain tertentu yang error: periksa SAN dan apakah subdomain itu proxied (awan oranye) serta mengarah ke origin yang sama.
  • Menggunakan sertifikat dari CA internal perusahaan: jalur resminya adalah menambahkan sertifikat ke Custom Origin Trust Store Cloudflare (fitur lanjutan, ketersediaannya bergantung pada paket) — tandai sebagai opsi lanjutan, bukan langkah pemula.

Alternatif dan Batasannya

  • Mode Full sebagai keadaan akhir: tidak disarankan. Situs memang tampil normal, tetapi Cloudflare menerima sertifikat apa pun dari origin — termasuk yang kedaluwarsa atau milik pihak lain — sehingga verifikasi identitas origin hilang.
  • Mode Flexible: bukan solusi untuk kasus ini. Pada Flexible, koneksi Cloudflare → origin berjalan tanpa enkripsi (HTTP), yang menurunkan keamanan dan kerap menimbulkan redirect loop pada WordPress yang dipaksa HTTPS.
  • Menjeda Cloudflare (pause) / DNS only: berguna sebentar untuk memeriksa origin secara langsung (sebagaimana disarankan dokumentasi Cloudflare, misalnya untuk memakai pemeriksa SSL eksternal), tetapi selama dijeda situs kehilangan perlindungan dan cache Cloudflare, dan sertifikat origin Anda terekspos langsung ke pengunjung. Aktifkan kembali setelah pemeriksaan selesai.

FAQ

Apa itu Cloudflare Error 526?

Error 526 berarti Cloudflare tidak dapat memvalidasi sertifikat SSL di server origin Anda saat mode Full (Strict) aktif, sehingga Cloudflare menolak membuat koneksi aman ke origin dan menampilkan halaman error ke pengunjung.

Apakah Error 526 berarti WordPress saya rusak?

Umumnya tidak. Error ini terjadi pada lapisan koneksi Cloudflare → origin, sebelum WordPress memproses permintaan. WordPress Anda kemungkinan tetap berjalan di server; yang gagal adalah validasi sertifikatnya.

Apakah aman menurunkan mode ke Full secara permanen?

Tidak disarankan. Mode Full mengenkripsi koneksi tetapi tidak memvalidasi sertifikat origin sama sekali, sehingga identitas origin tidak diverifikasi. Gunakan Full hanya sementara untuk diagnosis, perbaiki sertifikat origin, lalu kembali ke Full (Strict).

Apa beda Error 525 dan 526?

Pada 525, handshake TLS antara Cloudflare dan origin gagal selesai (misalnya port 443 atau cipher bermasalah). Pada 526, handshake selesai tetapi sertifikat origin tidak lolos validasi pada mode Full (Strict).

Apakah Cloudflare Origin CA certificate berbayar?

Berdasarkan dokumentasi Cloudflare yang diperiksa untuk artikel ini, Origin CA certificate disediakan Cloudflare untuk dipasang di origin dan dapat berlaku hingga 15 tahun. Periksa halaman dokumentasi resmi untuk ketentuan terbaru, karena fitur dan ketentuan dapat berubah.

Kenapa situs saya normal saat dibuka langsung, tetapi 526 lewat Cloudflare?

Penyebab tersering adalah rantai sertifikat tidak lengkap: browser modern dapat mengambil intermediate CA yang hilang dengan sendirinya, sedangkan validasi Cloudflare pada Full (Strict) menuntut server menyajikan rantai lengkap. Perbaiki dengan memasang file fullchain di konfigurasi web server.

Kesimpulan

Error 526 adalah penolakan validasi, bukan misteri: pada mode Full (Strict), Cloudflare menuntut sertifikat origin yang belum kedaluwarsa, diterbitkan CA tepercaya atau Origin CA, mencakup hostname yang diminta, dan disajikan dengan rantai lengkap di port 443. Diagnosis berurutan dengan openssl akan menunjukkan syarat mana yang gagal. Perbaiki sertifikatnya — perbarui sertifikat publik atau pasang Cloudflare Origin CA — muat ulang web server, lalu verifikasi lewat origin langsung dan lewat Cloudflare dengan mode tetap Full (Strict).

Referensi

  • Cloudflare Support Docs — Error 526: Invalid SSL certificate
  • Cloudflare SSL/TLS Docs — Full (strict) encryption mode
  • Cloudflare SSL/TLS Docs — Full encryption mode
  • Cloudflare SSL/TLS Docs — Cloudflare Origin CA

Catatan redaksi: perintah dan konfigurasi dalam artikel ini adalah contoh untuk lingkungan VPS umum (Ubuntu + Nginx/Apache). Sesuaikan nama domain, alamat IP, dan path file dengan server Anda, dan selalu uji konfigurasi sebelum memuat ulang web server.

Tags:

Related Posts

Memuat…
Cookie Consent