Gravatar Adalah: Cara Kerja, Fungsi & Sisi Privasinya

Setiap kali Anda meninggalkan komentar di sebuah blog, formulirnya hampir selalu meminta tiga hal yang sama: nama, alamat email, dan isi komentar. Alamat email itu biasanya tidak ditampilkan ke publik — fungsinya untuk notifikasi balasan dan penyaringan spam. Namun pada banyak blog, begitu komentar Anda tayang, sebuah foto profil ikut muncul di sampingnya. Padahal Anda belum pernah mengunggah gambar apa pun ke situs tersebut.

Foto itu tidak diambil dari database blog yang bersangkutan. Ia diambil dari layanan pihak ketiga bernama Gravatar, yang mengenali Anda hanya dari alamat email yang Anda ketikkan. Memahami bagaimana pengenalan itu terjadi akan menjelaskan sekaligus dua hal: kemudahan yang ditawarkan Gravatar, dan konsekuensi yang jarang disadari pemakainya.

Apa Itu Gravatar dan Dari Mana Namanya

Gravatar adalah layanan avatar terpusat yang mengaitkan satu foto profil dengan alamat email Anda, sehingga foto tersebut otomatis muncul di setiap situs pendukung tanpa perlu diunggah ulang. Nama Gravatar merupakan akronim dari Globally Recognized Avatar — avatar yang dikenali secara global.

Avatar dalam konteks internet berarti gambar kecil yang mewakili identitas seseorang, umumnya berupa pas foto atau ilustrasi, dan ditampilkan di samping nama pengguna.

Layanan ini dibuat pada 2004 oleh Tom Preston-Werner, pengembang yang beberapa tahun kemudian ikut mendirikan GitHub. Masalah yang ingin dipecahkannya sederhana: seorang penulis blog yang aktif berkomentar di banyak situs harus mengunggah foto profil berulang kali, dan tetap tampil berbeda-beda di tiap tempat. Versi kedua layanan ini rilis pada 16 Februari 2007, dan pada 18 Oktober 2007 Gravatar diakuisisi Automattic, perusahaan yang sama yang menaungi WordPress.com.

Akuisisi itulah yang menjelaskan kenapa Gravatar terasa lekat dengan dunia WordPress. Dokumentasi resminya per 2026 menyebut layanan ini melayani lebih dari 70 juta pengguna.

Cara Kerja Gravatar: Email Diubah Menjadi Hash

Bagian ini adalah kunci untuk memahami semua sifat Gravatar yang lain. Saat sebuah situs ingin menampilkan avatar Anda, situs tersebut tidak mengirimkan alamat email Anda ke server Gravatar. Yang dikirim adalah hash dari alamat email itu.

Hash adalah hasil pengolahan satu arah terhadap sebuah masukan menjadi deretan karakter dengan panjang tetap. Masukan yang sama selalu menghasilkan keluaran yang sama, tetapi keluarannya tidak bisa dikembalikan menjadi masukan aslinya.

Prosesnya terdiri atas tiga langkah yang harus dijalankan berurutan sesuai dokumentasi resmi Gravatar:

1. Buang spasi di awal dan akhir alamat email.
2. Ubah semua huruf menjadi huruf kecil, sehingga Yanwar@Contoh.com dan yanwar@contoh.com menghasilkan hash yang identik.
3. Hash hasilnya dan tempelkan sebagai bagian akhir URL avatar.

Alur Gravatar: alamat email dinormalkan jadi huruf kecil, di-hash SHA256, hasilnya menjadi URL gambar avatar.

Contoh resmi dari dokumentasi Gravatar memakai PHP dan menghasilkan hash sepanjang 64 karakter:

echo hash( 'sha256', strtolower( trim( 'MyEmailAddress@example.com ' ) ) );
// 84059b07d4be67b806386c0aad8070a23f18836bbaae342275dc0a83414c32ee

Selama bertahun-tahun Gravatar memakai algoritma MD5, dan dokumentasinya sekarang hanya menganjurkan SHA256. Namun MD5 belum ditinggalkan di sisi layanan. Kami menguji tiga alamat email yang punya akun Gravatar, masing-masing dengan hash MD5 dan SHA256, dan keduanya mengembalikan berkas gambar yang persis sama besarnya. Artinya alamat lama tetap dilayani, dan hash MD5 yang beredar di internet masih berfungsi sampai hari ini — sebuah detail yang tidak disebutkan dalam dokumentasinya.

Perbedaan kedua algoritma ini penting karena MD5 sudah lama dianggap lemah dan jauh lebih murah untuk dipecahkan lewat percobaan massal. Perlu diperhatikan juga bahwa hashing bukan enkripsi: tidak ada kunci untuk membalikkan hash menjadi email aslinya. Yang bisa dilakukan penyerang adalah menghitung hash dari jutaan alamat email tebakan, lalu mencocokkannya.

Membaca URL Gravatar: Parameter s, d, dan r

Bentuk dasar URL Gravatar adalah https://gravatar.com/avatar/<hash>. Di belakangnya bisa ditambahkan beberapa parameter yang mengubah gambar yang dikembalikan:

Sepuluh nilai bawaan untuk parameter d adalah mp (siluet abu-abu), identicon, monsterid, wavatar, retro, robohash, initials, color, blank, dan 404. Beginilah tampilan kesepuluhnya untuk satu alamat email yang sama:

Sepuluh gambar bawaan Gravatar: mp, identicon, monsterid, wavatar, retro, robohash, initials, color, blank, dan 404.

Sepuluh nilai parameter d pada satu hash email yang sama. Sumber: dibangkitkan langsung dari gravatar.com.

Perhatikan bahwa identicon, monsterid, wavatar, retro, robohash, dan color menghasilkan gambar yang dibangkitkan dari hash, sehingga setiap alamat email mendapat gambar berbeda. Sebaliknya mp memberi siluet yang sama untuk semua orang. Satu catatan dari pengujian kami: initials tidak otomatis menampilkan inisial. Tanpa parameter name atau initials di URL, yang muncul justru ikon bawaan, bukan huruf.

Selain kesepuluh nilai itu, Anda juga boleh mengisi d dengan URL gambar Anda sendiri. Syaratnya, gambar tersebut dapat diakses publik lewat port 80 atau 443, berekstensi jpg, jpeg, gif, png, atau heic, dan URL-nya tanpa parameter tambahan.

Nilai 404 bekerja berbeda dari sembilan lainnya: alih-alih mengembalikan gambar, server membalas dengan kode 404. Sifat inilah yang akan kita bahas lagi di bagian privasi.

Pengujian kami menunjukkan batas 2048 piksel benar-benar diterapkan. Permintaan s=4096 tidak menghasilkan pesan kesalahan, melainkan gambar berukuran 2048 piksel — dipangkas tanpa pemberitahuan.

Fungsi Gravatar dan Aplikasi yang Membacanya

Karena mekanismenya hanya berupa URL gambar yang dihitung dari alamat email, aplikasi mana pun bisa memakainya tanpa perlu izin atau integrasi khusus. Itu sebabnya Gravatar muncul jauh di luar kolom komentar WordPress. GitHub dan Gitea menampilkannya untuk foto kontributor, Jira dan Redmine untuk anggota proyek, Moodle untuk peserta kelas. Grafana memakainya untuk pengguna dasbor, dan Nextcloud untuk anggota ruang kerja. Pada aplikasi email seperti Roundcube dan Thunderbird, dukungan itu tidak tersedia secara bawaan dan baru berjalan setelah Anda memasang plugin atau add-on pihak ketiga.

Satu avatar Gravatar di tengah terhubung ke enam jendela aplikasi yang masing-masing menampilkan foto sama.

Sejak 2024, Gravatar juga bukan lagi sekadar penyedia gambar. Setiap akun kini memiliki halaman profil publik di alamat gravatar.com/username. Halaman itu memuat bio, lokasi, daftar tautan, dan akun terverifikasi seperti LinkedIn atau GitHub. Fungsinya praktis menjadi halaman link-in-bio, yaitu satu halaman berisi kumpulan tautan yang biasa dipasang di profil media sosial. Tersedia pula fitur hovercards, kartu profil melayang yang muncul saat kursor menyentuh avatar, serta editor cepat yang bisa ditanam di aplikasi pihak ketiga.

Untuk pengembang, Gravatar menyediakan REST API beserta SDK untuk iOS dan Android. Dokumentasinya menyebut API tersebut terbuka dan gratis, dengan API key hanya dibutuhkan untuk endpoint yang memerlukan autentikasi. Manfaat praktisnya bagi pembuat aplikasi adalah memangkas pengisian profil berulang: dari satu alamat email saja, aplikasi baru sudah bisa menampilkan foto dan nama pengguna.

Kenapa Gravatar Tidak Muncul di Gmail dan Aplikasi Email

Ada satu harapan yang sering keliru: bahwa memasang Gravatar akan membuat foto Anda tampil di kotak masuk penerima saat Anda mengirim email. Gravatar tidak bekerja seperti itu.

Sebuah avatar hanya tampil kalau aplikasi yang menampilkan pesanlah yang aktif memintanya ke server Gravatar. Karena itu, tampil atau tidaknya foto Anda sepenuhnya ditentukan oleh aplikasi email yang dipakai penerima, bukan oleh pengaturan di sisi Anda. Dokumentasi resmi Gravatar menyatakan bahwa layanan email populer seperti Gmail, Outlook, dan Apple Mail tidak melakukan permintaan tersebut. Gmail menampilkan foto dari akun Google pengirim, bukan dari Gravatar.

Kalau avatar Anda tetap tidak muncul di aplikasi yang memang mendukung, periksa satu hal yang paling sering terlewat. Alamat email pengirim harus persis sama dengan alamat yang terdaftar di akun Gravatar Anda. Banyak orang mendaftarkan email pribadi, lalu mengirim dari alamat kantor yang belum ditambahkan ke akun yang sama.

Untuk benar-benar menampilkan lambang di sebelah pesan Anda di Gmail, standar yang dipakai bukan Gravatar melainkan BIMI (Brand Indicators for Message Identification). Syaratnya jauh lebih berat dan bersifat organisasi, bukan perorangan. Menurut dokumentasi Google Workspace, domain Anda perlu memenuhi empat hal:

1. SPF atau DKIM sudah aktif sebagai dasar autentikasi pengirim.
2. Kebijakan DMARC ditegakkan dengan p=quarantine atau p=reject, dan pct=100.
3. Logo dalam format SVG, berukuran minimal 96 piksel.
4. Record TXT BIMI ditambahkan di DNS domain Anda.

Google juga menganjurkan sertifikat VMC, yang mensyaratkan logo Anda sudah terdaftar sebagai merek dagang.

Perbedaan ini penting saat memilih solusi. Gravatar mengurus identitas Anda di dalam aplikasi web dan kolom komentar. BIMI mengurus lambang organisasi di dalam kotak masuk. Keduanya tidak saling menggantikan.

Kelebihan Memakai Gravatar

1. Satu kali unggah untuk banyak situs: mengganti foto di gravatar.com akan memperbarui tampilan Anda di seluruh situs pendukung, tanpa perlu masuk ke masing-masing.
2. Tidak membebani hosting sendiri: gambar disajikan dari server Gravatar, sehingga pemilik situs tidak perlu menyediakan ruang penyimpanan maupun bandwidth untuk foto komentator.
3. Identitas yang konsisten: wajah yang sama muncul di blog, repositori kode, dan sistem tiket, sehingga rekan kerja lebih mudah mengenali Anda.
4. Gratis tanpa tingkatan berbayar: dokumentasi resminya tidak menyebutkan paket berbayar apa pun, baik untuk pengguna maupun pengembang.
5. Pengguna tanpa avatar tetap tampil rapi: opsi seperti identicon atau retro membangkitkan gambar unik per alamat email, jadi kolom komentar tidak dipenuhi siluet abu-abu yang seragam.

Sisi Privasi Gravatar yang Perlu Anda Pertimbangkan

Semua kemudahan di atas bertumpu pada satu keputusan desain: hash alamat email dijadikan pengenal publik. Keputusan itu membawa empat konsekuensi yang layak Anda timbang.

Pertama, hash Anda terpampang di halaman yang memuat avatar. Siapa pun yang membuka kode sumber sebuah halaman komentar dapat menyalin hash setiap komentator. Hash tersebut tidak bisa dibalik, tetapi ia adalah pengenal tetap yang sama di semua situs — cukup untuk menghubungkan jejak komentar seseorang di banyak tempat sekaligus.

Kedua, keberadaan sebuah alamat email dapat dipastikan tanpa login. Dengan menambahkan d=404 pada URL, server hanya mengembalikan gambar jika email tersebut terdaftar. Kami mengujinya dan hasilnya konsisten:

# Email yang punya akun Gravatar
curl -o /dev/null -w "%{http_code}\n" "https://gravatar.com/avatar/<hash>?d=404"
# 200

# Email yang tidak terdaftar
curl -o /dev/null -w "%{http_code}\n" "https://gravatar.com/avatar/<hash>?d=404"
# 404

Tanpa akun dan tanpa API key, siapa pun bisa memverifikasi apakah sebuah alamat email aktif dipakai pemiliknya di internet. Bagi pengirim spam, informasi semacam ini menghemat banyak tenaga penyaringan. Kemudahan itu bahkan sudah dikemas menjadi layanan siap pakai. Beredar sejumlah situs pengecek Gravatar berupa formulir sederhana: isi alamat email, lihat foto dan profil yang terkait dengannya.

Ketiga, hal itu pernah terjadi dalam skala besar. Pada Oktober 2020, seorang penguji keamanan bernama Carlo di Dato mempublikasikan teknik memanen data profil Gravatar secara massal. Celahnya bukan pada sistem yang jebol, melainkan pada endpoint profil publik yang nyaris tanpa pembatasan laju permintaan, sehingga bisa ditelusuri berurutan dalam jumlah sangat besar.

Rantai kebocoran Gravatar: profil publik terbuka tanpa login, 167 juta profil dipanen, 114 juta hash MD5 dipecahkan.

Menurut catatan Have I Been Pwned yang dipublikasikan pada 5 Desember 2021, sebanyak 167 juta nama, username, dan hash MD5 alamat email dipanen lalu diedarkan. Dari jumlah itu, 114 juta hash berhasil dipecahkan sehingga alamat email aslinya ikut terungkap. Automattic membantah ini sebagai peretasan, dan secara teknis pernyataan itu benar — tidak ada sistem yang ditembus. Dua-duanya benar sekaligus, dan justru di situ intinya: desain layanannya sendiri yang membuat data tersebut terbuka.

Kami memeriksa endpoint profil publik itu pada Agustus 2026. Ia masih mengembalikan nama tampilan, username, dan lokasi untuk akun yang terdaftar tanpa memerlukan autentikasi, meski daftar informasinya sudah lebih ramping dibanding 2020.

Keempat, alamat IP pengunjung ikut terkirim. Setiap kali halaman berisi avatar dimuat, browser pembacalah yang meminta gambar ke server Gravatar. Permintaan itu membawa alamat IP dan informasi browser pengunjung ke pihak ketiga, mirip dengan cara kerja pelacakan lewat cookies. Untuk situs yang tunduk pada aturan perlindungan data seperti GDPR, hal ini biasanya perlu diungkapkan dalam kebijakan privasi.

Cara Membuat Gravatar

Pembuatan akun berlangsung lewat WordPress.com, karena keduanya berbagi sistem akun yang sama.

Langkah #1: Daftar dengan Alamat Email Utama

Buka gravatar.com, pilih menu pendaftaran, lalu masukkan alamat email yang paling sering Anda pakai untuk berkomentar atau mendaftar layanan. Alamat inilah yang akan menjadi kunci avatar Anda.

Langkah #2: Verifikasi Lewat Kotak Masuk

Buka email verifikasi yang dikirimkan, lalu klik tautan di dalamnya. Tanpa langkah ini, alamat email Anda belum terhubung ke avatar mana pun.

Langkah #3: Unggah dan Atur Pemotongan Gambar

Unggah foto atau ilustrasi, lalu atur area pemotongannya. Karena gambar disajikan dalam bentuk persegi dan sering ditampilkan sekecil 40 sampai 80 piksel, pilih gambar dengan objek utama yang besar dan latar sederhana. Foto berlatar ramai akan sulit dikenali pada ukuran sekecil itu. Anda juga akan diminta memilih peringkat kepantasan; untuk pemakaian umum, pilih G agar avatar tetap tampil di situs yang membatasi rating.

Langkah #4: Tambahkan Alamat Email Lain ke Akun yang Sama

Satu akun Gravatar dapat menampung beberapa alamat email sekaligus, masing-masing dengan avatar berbeda. Ini berguna kalau Anda memisahkan email pribadi dan email pekerjaan. Bagi Anda yang berkomentar memakai alamat di domain sendiri lewat layanan email hosting, daftarkan alamat tersebut agar identitas profesional Anda ikut tampil.

Perubahan avatar tidak selalu langsung terlihat. Banyak situs dan jaringan pengiriman konten menyimpan gambar lama di cache selama beberapa jam.

Mengatur atau Mematikan Gravatar di WordPress

WordPress mengaktifkan Gravatar secara bawaan. Pengaturannya berada di menu Settings → Discussion, bagian Avatars, dengan tiga kelompok pilihan:

• Avatar display — Show Avatars untuk menampilkan, Don't show Avatars untuk mematikannya sepenuhnya.
• Maximum Rating — batas kepantasan yang boleh tampil, dari G — Suitable for all audiences sampai X — Even more mature than above.
• Default Avatar — gambar untuk komentator tanpa avatar, dengan pilihan Mystery Man, Blank, Gravatar Logo, Identicon (Generated), Wavatar (Generated), MonsterID (Generated), dan Retro (Generated).

Mematikan avatar masuk akal dalam tiga situasi. Pertama, situs Anda melayani pengunjung Eropa dan Anda ingin memangkas permintaan ke server pihak ketiga. Kedua, halaman komentar Anda panjang sehingga puluhan permintaan gambar memperlambat pemuatan. Ketiga, audiens Anda sensitif terhadap keterlacakan alamat email. Kalau Anda tetap ingin ada foto di kolom komentar, gunakan plugin avatar lokal yang menyimpan gambar di hosting Anda sendiri.

Alternatif Gravatar

Alternatif paling dekat secara teknis adalah Libravatar, yang berjalan di atas perangkat lunak bebas bernama ivatar dengan lisensi AGPLv3. Perbedaan utamanya terletak pada federasi: sebuah organisasi dapat menjalankan instance sendiri dan melayani avatar dari domainnya, alih-alih bergantung pada satu server pusat. Sifat terbuka ini serupa dengan model perangkat lunak open source pada umumnya. Saat kami mengujinya, permintaan untuk email tanpa akun Libravatar dialihkan ke jalur proksi yang mengambil gambar dari Gravatar, sehingga kompatibilitasnya tetap terjaga.

Dua pilihan lain layak dipertimbangkan sesuai kebutuhan. Plugin avatar lokal cocok kalau prioritas Anda adalah tidak ada permintaan keluar sama sekali; konsekuensinya, Anda menanggung penyimpanan dan bandwidth sendiri, serta avatar itu hanya berlaku di situs Anda. Generator avatar tanpa akun, yang membangkitkan gambar dari nama atau inisial, cocok untuk aplikasi internal yang tidak membutuhkan foto asli dan ingin menghindari ketergantungan pada layanan luar.

Pertanyaan Seputar Gravatar

Kenapa avatar saya tidak muncul di sebuah situs? Pastikan alamat email yang Anda pakai di situs itu persis sama dengan yang terdaftar dan sudah diverifikasi. Periksa juga peringkat avatar Anda tidak melebihi batas yang diizinkan situs bersangkutan.

Kenapa avatar tidak berubah setelah saya menggantinya? Hampir selalu karena cache. Tunggu beberapa jam, atau muat ulang halaman tanpa cache untuk memastikan.

Apakah Gravatar butuh akun WordPress.com? Ya. Pendaftaran dimulai dari gravatar.com, tetapi akun yang dipakai dan diotorisasi adalah akun WordPress.com.

Bagaimana cara menghapus akun Gravatar? Penghapusan dilakukan lewat pengaturan akun WordPress.com yang terhubung. Perlu diingat, hash email yang pernah tersebar tidak ikut hilang dari data yang sudah beredar.

Apakah Gravatar berbayar? Tidak. Layanannya gratis untuk pengguna, dan API-nya terbuka untuk pengembang tanpa biaya.

Kesimpulan

Gravatar adalah layanan avatar yang mengikat foto profil Anda pada hash alamat email. Satu kali unggah cukup untuk puluhan situs, dari kolom komentar blog sampai repositori kode dan sistem tiket. Kenyamanan itu ditukar dengan keterbukaan: hash yang sama menjadi pengenal tetap yang dapat dicocokkan lintas situs, dan peristiwa 2020 membuktikan data profilnya bisa dipanen dalam skala ratusan juta.

Untuk penulis blog, kontributor open source, dan siapa pun yang ingin dikenali dengan wajah konsisten, Gravatar tetap pilihan yang masuk akal. Gunakan alamat email yang memang sudah publik. Sebaliknya, matikan avatar di Settings → Discussion kalau situs Anda menampung komentar dari pembaca yang mengharapkan anonimitas, atau kalau Anda melayani pengunjung dengan aturan perlindungan data yang ketat.

Semoga artikel ini membantu.