Pelajari bagaimana protokol ACME mengotomatiskan SSL/TLS Siklus hidup sertifikat. Lihat bagaimana hal ini menyederhanakan penerbitan dan perpanjangan sertifikat, dan mengapa hal ini menjadi lebih penting dari sebelumnya seiring dengan semakin pendeknya masa berlaku sertifikat.
Ringkasan
Protokol Automated Certificate Management Environment (ACME) menstandarisasi cara server memperoleh dan memperbarui SSL/TLS Sertifikat. Ini memungkinkan server web untuk membuktikan kepemilikan domain dan menerima sertifikat tanpa intervensi manual.
ACME mengotomatiskan penerbitan dan perpanjangan sertifikat, memperkuat keamanan situs web, mengurangi kesalahan manusia dalam pengelolaan sertifikat, dan mendapat dukungan luas di antara otoritas sertifikat dan server web.
Memahami ACME
Internet Security Research Group (ISRG) merancang protokol ACME untuk mengotomatiskan penerbitan dan perpanjangan sertifikat. ACME telah merevolusi manajemen sertifikat sejak diperkenalkan. Banyak Otoritas Sertifikat (CA) telah mengadopsinya, dan sekarang memiliki status standar internet. RFC 8555.
Sebelum ACME, administrator mengelola SSL/TLS sertifikat diperoleh melalui proses manual yang memakan waktu. Administrator situs web harus menyelesaikan setiap langkah ini secara manual:
- Buat Permintaan Penandatanganan Sertifikat (CSR)
- Buktikan kepemilikan domain melalui berbagai metode
- Kirimkan CSR ke CA
- Tunggu persetujuan dan penerbitan sertifikat
- Instal sertifikat secara manual di server web mereka
- Ingat untuk memperbarui sertifikat sebelum masa berlakunya habis.
Proses manual ini rentan terhadap kesalahan manusia dan sering menghasilkan sertifikat yang kedaluwarsa, yang memicu peringatan keamanan bagi pengunjung situs web.
ACME menghilangkan langkah-langkah manual dengan mendefinisikan protokol standar untuk komunikasi antara server web dan Otoritas Sertifikat. Server web (klien ACME) meminta sertifikat dari CA (server ACME) untuk domain tertentu. CA kemudian menerbitkan sertifikat tersebut. validasi domain Tantangan ini biasanya meminta klien untuk menempatkan file tertentu di server web atau mempublikasikan catatan DNS. Setelah CA (Certificate Authority) mengkonfirmasi bahwa klien telah menyelesaikan tantangan tersebut, CA akan menerbitkan sertifikat dan klien akan menginstalnya secara otomatis. Alur kerja ini menjalankan seluruh proses dari awal hingga akhir, mulai dari pengaturan awal hingga setiap perpanjangan.
Manfaat Menggunakan ACME
Protokol ACME menawarkan banyak keuntungan bagi pemilik dan administrator situs web:
- Otomasi: ACME menghilangkan intervensi manual dari manajemen sertifikat.
- Peningkatan Keamanan: Perpanjangan otomatis secara berkala menjaga sertifikat tetap berlaku setiap saat.
- Mengurangi Kesalahan: Otomatisasi meminimalkan kesalahan manusia selama proses sertifikasi.
- Skalabilitas: Tim dapat mengelola sertifikat di banyak domain atau subdomain tanpa beban tambahan.
- Standardisasi: Sebagai standar terbuka, ACME mendorong interoperabilitas antara sistem yang berbeda.
Mengapa Masa Berlaku Sertifikat Terus Menyusut (dan Mengapa ACME Lebih Penting dari Sebelumnya)
Forum CA/Browser, badan industri yang menetapkan persyaratan dasar untuk sertifikat yang dipercaya publik, menyetujui Pemungutan Suara SC-081 untuk secara bertahap mengurangi masa berlaku maksimum sertifikat. Jadwal tersebut mengurangi masa berlaku maksimum saat ini yaitu 398 hari menjadi 47 hari pada tanggal 15 Maret 2029:
- March 15, 2026: Masa pakai maksimal diturunkan menjadi 200 hari.
- March 15, 2027: Masa pakai maksimal turun menjadi 100 hari
- March 15, 2029: Masa pakai maksimal turun menjadi 47 hari
Periode penggunaan ulang validasi domain menyusut sesuai jadwal yang sama, turun menjadi hanya 10 hari pada tahun 2029. Secara bersamaan, perubahan ini berarti organisasi akan memperbarui dan memvalidasi ulang sertifikat jauh lebih sering daripada yang mereka lakukan saat ini, yang membuat manajemen sertifikat manual semakin tidak praktis. Baca uraian lengkapnya di Panduan SSL tentang tenggat waktu sertifikat 200 hari untuk mengetahui alasan di balik perubahan tersebut dan cara mempersiapkannya.
ACME telah memecahkan tantangan operasional yang ditimbulkan oleh masa pakai yang lebih pendek ini. Karena mengotomatiskan penerbitan, validasi, dan perpanjangan, tim yang mengadopsi ACME saat ini membangun infrastruktur yang mereka butuhkan untuk menangani setiap pengurangan di masa mendatang tanpa pekerjaan manual tambahan.
Menerapkan ACME
Untuk mulai menggunakan ACME untuk situs web Anda, ikuti langkah-langkah berikut:
Ikuti langkah-langkah ini untuk mulai menggunakan ACME untuk situs web Anda:
- Pilih Klien ACME: Pilihlah klien yang menerima pemeliharaan aktif, menawarkan dokumentasi yang jelas, mendukung sistem operasi dan server web Anda, serta menyertakan fitur-fitur yang Anda butuhkan (misalnya, sertifikat wildcard atau dukungan multi-domain).
- Instal Klien ACME: Langkah instalasi bervariasi tergantung pada klien dan sistem. Anda dapat menggunakan pengelola paket, mengunduh klien dari situs web pengembang, atau mengklon repositori dan membangun klien dari kode sumber. Selalu periksa dokumentasi resmi untuk klien ACME pilihan Anda untuk petunjuk spesifik.
- Konfigurasikan Klien: Siapkan klien ACME Anda dengan detail domain dan pengaturan pilihan Anda. Ini biasanya berarti menentukan domain yang ingin Anda amankan, server web yang Anda gunakan (misalnya Apache atau Nginx), dan tempat menyimpan sertifikat.
- Ajukan Permohonan Sertifikat: Jalankan klien ACME Anda untuk memulai proses permintaan sertifikat. Klien akan menghasilkan permintaan penandatanganan sertifikat, membuktikan kepemilikan domain kepada kami, kemudian menerima dan menginstal sertifikat tersebut.
- Konfigurasikan Server Web Anda: Sebagian besar klien ACME mengkonfigurasi server web Anda secara otomatis, meskipun pengaturan Anda mungkin memerlukan penyesuaian manual. Untuk Apache, pastikan konfigurasi virtual host Anda menyertakan jalur ke file sertifikat baru Anda. Untuk Nginx, perbarui blok server Anda dengan jalur ke file sertifikat dan kunci baru.
- Atur Perpanjangan Otomatis: Aturan CA/Browser Forum sekarang membatasi masa berlaku maksimum dari yang dipercaya publik. TLS Masa berlaku sertifikat berakhir pada 200 hari, dan batas tersebut akan terus menyusut (lihat bagian di bawah). Siapkan perpanjangan otomatis agar sertifikat Anda tetap berlaku tanpa perlu pelacakan manual. Sebagian besar klien ACME menyertakan mekanisme perpanjangan bawaan, dan Anda biasanya dapat menjadwalkan cron job atau tugas terjadwal untuk menjalankan proses perpanjangan secara berkala.
Fitur ACME Lanjutan
ACME mendukung penerbitan sertifikat karakter pengganti, yang mengamankan sebuah domain dan semua subdomainnya di bawah satu sertifikat. Permintaan sertifikat wildcard memerlukan tantangan DNS-01 untuk validasi domain, karena tantangan HTTP-01 tidak dapat memvalidasi cakupan wildcard. ACME juga mendefinisikan cara standar untuk mencabut sertifikat yang telah dikompromikan atau tidak lagi dibutuhkan.
Pemecahan Masalah Umum ACME
Perhatikan masalah umum berikut saat Anda mengimplementasikan ACME:
- Pembatasan Tarif: Banyak CA ACME memberlakukan batasan laju penerbitan untuk mencegah penyalahgunaan. SSL tidak memberlakukan batasan laju penerbitan pada layanan ACME-nya, sehingga kekhawatiran ini tidak berlaku untuk pelanggan SSL terlepas dari berapa banyak sertifikat yang mereka kelola.
- Masalah Konektivitas: Pastikan server Anda dapat terhubung ke server ACME kami, dan periksa aturan firewall jika Anda mengalami masalah koneksi.
- Kegagalan Validasi Domain: Server web yang salah konfigurasi dapat menghalangi keberhasilan validasi domain, jadi pastikan server Anda menyajikan respons tantangan dengan benar.
- Tantangan DNS: Untuk tantangan DNS-01, pastikan catatan DNS Anda telah diatur dengan benar dan telah tersebar.
- Kesalahan Izin: Klien ACME seringkali memerlukan hak akses yang lebih tinggi untuk menulis sertifikat dan mengkonfigurasi server web, jadi berikan hak akses yang sesuai bila diperlukan.
Pertanyaan yang Sering Diajukan (FAQ) ACME
T: Bisakah saya menggunakan ACME untuk memesan SSL/TLS Sertifikat dari SSL?
A: Ya. SSL saat ini mendukung ACME untuk penerbitan sertifikat Validasi Domain (DV), dengan penerbitan OV dan EV melalui ACME yang direncanakan untuk rilis mendatang. Baca SSL /TLS Penerbitan dan Pencabutan Sertifikat dengan ACME ke ACME SSL /TLS Otomatisasi dengan Apache dan Nginx untuk panduan langkah demi langkah.
T: Berapa lama masa berlaku SSL?TLS sertifikat yang dibeli dari SSL.com melalui ACME?
A: SSL menerbitkan semua sertifikat melalui protokol ACME dengan masa berlaku maksimum 200 hari, sesuai dengan persyaratan CA/Browser Forum saat ini. Masa berlaku maksimum ini akan turun menjadi 100 hari pada 15 Maret 2027, dan menjadi 47 hari pada 15 Maret 2029, jadi rencanakan otomatisasi Anda sesuai dengan hal tersebut.
T: Jenis sertifikat apa saja yang dapat saya pesan dari SSL.com dengan ACME?
A: Setiap pelanggan SSL dapat memesan SSL berikut ini/TLS Sertifikasi produk melalui protokol ACME:
T: Apakah diskon Reseller dan Pembelian Volume SSL.com berlaku untuk sertifikat yang dipesan melalui ACME?
A: Ya. Peserta di SSL.com Program Pembelian Reseller dan Volume akan menerima diskon grosir yang terkait dengan pengecer dan tingkat pembelian volume ketika mereka meminta sertifikat dengan protokol ACME. Reseller juga bisa menghasilkan kredensial ACME untuk pelanggan mereka.
Otomatiskan Siklus Hidup Sertifikat Anda
Dengan mengotomatiskan siklus hidup sertifikat, ACME memperkuat keamanan internet, mengurangi beban administrasi, dan memberikan pengalaman yang lebih lancar bagi operator situs web dan pengunjung.
Saat Anda menerapkan ACME untuk situs web Anda sendiri, ingatlah untuk:
- Pilih klien ACME yang andal dan kompatibel dengan lingkungan Anda
- Pantau status sertifikat dan proses perpanjangannya secara berkala.
- Jaga agar perangkat lunak klien ACME dan server web Anda tetap mutakhir
- Ikuti praktik terbaik keamanan untuk menyimpan dan mengelola sertifikat Anda
Dengan ACME, Anda dapat mempertahankan HTTPS di seluruh situs web Anda melalui proses otomatis yang lancar, dan fokus pada prioritas lain sementara sertifikat Anda tetap aman.
Siap untuk mengotomatiskan siklus hidup sertifikat Anda? Mulailah menggunakan integrasi ACME SSL. dan persiapkan infrastruktur Anda untuk setiap pengurangan masa berlaku sertifikat di masa mendatang.
