Let's Encrypt

Let's Encrypt adalah otoritas sertifikat yang menerbitkan sertifikat SSL/TLS gratis lewat protokol ACME. Yang membuatnya jalan bukan formulir pendaftaran, tapi validasi otomatis bahwa Anda mengendalikan hostname, biasanya selesai dalam hitungan detik.

Cara ACME memvalidasi

Untuk challenge HTTP-01, klien ACME menaruh file token di path khusus di web root, lalu server CA mengambilnya lewat port 80. Karena itu port 80 harus bisa dijangkau dan tidak boleh dialihkan sepenuhnya menjauh dari path challenge. Kalau Anda memasang redirect paksa ke HTTPS atau aturan rewrite yang memotong path /.well-known/acme-challenge/, validasi gagal. Pastikan document root tempat file ditulis adalah direktori yang benar-benar dilayani web server, dan cek bahwa hostname yang Anda minta memang mengarah ke mesin ini. Token hanya berlaku singkat, jadi jangan blokir direktori well-known lewat aturan WAF atau robots.txt.

Masa berlaku 90 hari dan jendela renewal

Sertifikat Let's Encrypt berlaku 90 hari, bukan karena lemah, tapi untuk membatasi umur kunci dan mendorong otomatisasi. Klien seperti certbot biasanya memperbarui saat sisa sekitar 30 hari. Perintahnya sederhana.

certbot renew

Di banyak cPanel, renewal ditangani panel secara otomatis. Yang wajib Anda jaga adalah cron atau systemd timer renewal tetap hidup dan tidak error, karena sertifikat yang gagal perpanjangan akan memicu peringatan browser secara tiba-tiba. Kalau renewal di-panel gagal, banyak host mengirim email peringatan, tapi jangan mengandalkannya sebagai satu-satunya sinyal.

Kapan harus pindah ke DNS-01

HTTP-01 menuntut port 80 yang bersih. Kalau server berada di belakang proxy yang tidak meneruskan path challenge, kalau port 80 diblokir, atau Anda menerbitkan untuk hostname yang tidak ter-route ke publik, pakai DNS-01. Cara ini membuktikan kontrol domain lewat catatan TXT di DNS records, dan menjadi satu-satunya jalur untuk Wildcard SSL. Karena DNS-01 menyentuh registrar, simpan kredensial API DNS dengan hak akses sekecil mungkin.

Perangkap setelah renewal

Renewal bisa berhasil tapi situs tetap menampilkan sertifikat lama. Penyebabnya web server tidak dimuat ulang. Certbot menulis sertifikat baru, namun nginx atau Apache masih menyimpan pasangan kunci lama di memori sampai di-reload. Setelah renew manual, jalankan reload, lalu verifikasi rantai dengan openssl s_client -connect hostname:443. Sertifikat tambahan untuk addon domain perlu di-issu sendiri dan tidak ikut otomatis.

FAQ

Let's Encrypt gratis, 90 hari, biasanya auto-renew di panel. Kalau renew gagal, hampir selalu DNS belum ke server atau port 80 ditutup. Tes di SSL checker. Wildcard butuh challenge DNS, bukan HTTP.