HTTPS tidak dapat diakses — sertifikat edge - Edge Security Acceleration

Setelah menambahkan situs ke Edge Security Accelerator (ESA), jika browser menampilkan pesan "Koneksi Anda tidak pribadi", error sertifikat, atau HTTP berfungsi tetapi HTTPS tidak dapat diakses, penyebabnya umumnya karena sertifikat edge SSL/TLS belum dikonfigurasi di ESA. Topik ini menjelaskan penyebab umum kegagalan akses HTTPS dan menyediakan langkah-langkah troubleshooting.

HTTPS tidak dapat diakses (sertifikat edge belum dikonfigurasi)

Gejala: Browser menampilkan pesan "Koneksi Anda tidak pribadi" atau error sertifikat. Atau, trafik HTTP berfungsi dengan baik, tetapi situs tidak dapat diakses melalui HTTPS.

Akar masalah: Setelah domain ditambahkan, nama domain tersebut di-resolve ke node ESA. Namun, permintaan HTTPS tidak dapat membuat koneksi aman karena sertifikat edge SSL/TLS belum dikonfigurasi di sisi ESA.

Prosedur

Pada panel navigasi sebelah kiri, pilih SSL/TLS > Edge certificates.

Periksa apakah terdapat sertifikat yang valid. Jika belum ada, tambahkan sertifikat menggunakan salah satu metode pada tabel berikut.

Metode	Kasus penggunaan	Deskripsi
Request Free Certificate	Disarankan untuk sebagian besar pengguna.	Klik "Request Free Certificate" dan pilih antara Let's Encrypt (mendukung domain wildcard) atau Digicert (hanya mendukung domain tunggal). Anda harus menyelesaikan Domain Control Validation (DCV) terlebih dahulu.
Upload Custom Certificate	Anda sudah memiliki sertifikat komersial.	Klik "Upload Custom Certificate" dan tempel konten sertifikat beserta kunci privatnya.
Alibaba Cloud certificate	Anda telah membeli sertifikat dari Alibaba Cloud Certificate Service.	Pilih "Alibaba Cloud certificate" dan pilih sertifikat yang sesuai dari daftar drop-down.

Jika Anda memilih untuk meminta sertifikat gratis, selesaikan Domain Control Validation (DCV) menggunakan salah satu metode berikut:
- Sertifikat gratis Digicert: Tambahkan rekaman TXT di pengaturan DNS Anda. Atur host record menjadi _dnsauth.subdomain (misalnya, _dnsauth.www; jangan masukkan nama domain lengkap) dan atur nilai rekaman ke nilai validasi yang diberikan di Konsol.
- Sertifikat gratis Let's Encrypt: Tambahkan rekaman CNAME di pengaturan DNS Anda. Atur host record menjadi _acme-challenge.subdomain (untuk domain wildcard, gunakan _acme-challenge.*) dan atur nilai rekaman ke nilai validasi yang diberikan di Konsol.
Setelah sertifikat diterbitkan, pastikan bahwa SSL/TLS Switch diaktifkan.

Catatan

www.example.com dan example.com memerlukan sertifikat terpisah, atau Anda dapat menggunakan satu sertifikat wildcard dari Let's Encrypt.

Setelah konfigurasi selesai, kunjungi https://your-domain.com menggunakan mode penyamaran browser Anda. Pastikan ikon gembok muncul di bilah alamat dan tidak ada peringatan sertifikat.

Jika masalah masih berlanjut, periksa faktor gangguan umum berikut:

Waktu tunda propagasi DNS: Setelah mengonfigurasi sertifikat atau mengubah rekaman DNS, propagasi global memerlukan waktu (beberapa menit hingga jam). Tunggu beberapa menit sebelum menguji kembali; jangan langsung menganggap konfigurasi gagal.
Gangguan cache sisi klien: Browser Anda mungkin menyimpan cache sertifikat lama, sehingga menimbulkan peringatan keamanan yang menyesatkan atau kegagalan unduhan file. Untuk mengesampingkan kemungkinan ini, gunakan incognito mode (jendela privat) untuk mengakses situs kembali, bersihkan cache lokal browser Anda, dan refresh cache node di Konsol ESA.
Pemetaan file hosts lokal: Jika file hosts lokal Anda memetakan domain ke alamat IP tertentu, permintaan akan melewati node ESA dan terhubung langsung ke server origin. Hal ini membuat sertifikat edge, DCV, dan kebijakan akselerasi tidak berlaku. Hapus entri domain tersebut dari file hosts lokal Anda agar domain di-resolve ke node ESA melalui DNS.
Cache DNS lokal: Jika beberapa subdomain dapat diakses tetapi domain utama tidak, cache DNS lokal Anda mungkin sudah usang. Bersihkan cache DNS lokal dengan menjalankan ipconfig /flushdns di command prompt. Untuk pengujian, Anda juga dapat sementara beralih ke server DNS publik, seperti 8.8.8.8 atau 114.114.114.114.

FAQ

Kegagalan pengalihan HTTPS atau domain root tidak dapat diakses

Sertifikat edge untuk domain root (example.com) dan subdomain-nya (seperti www.example.com) bersifat independen dan harus dikonfigurasi secara terpisah. Jika Anda hanya memiliki sertifikat untuk www.example.com, mengakses domain root example.com secara langsung akan menyebabkan kegagalan handshake HTTPS atau error pengalihan HTTP karena sertifikat edge tidak tersedia.

Solusi:

Minta dan deploy sertifikat edge terpisah untuk domain root example.com.
Atau, minta satu sertifikat dari Let's Encrypt yang mencakup domain root dan semua subdomain-nya (*.example.com).

Troubleshooting pengambilan asal dan masalah server

Jika sertifikat edge valid dan resolusi DNS benar, tetapi situs tetap tidak dapat diakses, masalahnya mungkin terletak pada jalur pengambilan asal dari ESA ke server origin Anda. Troubleshoot masalah berikut satu per satu:

Ketidaksesuaian protokol dan port pengambilan asal: Jika server origin Anda hanya mendukung HTTP atau tidak memiliki sertifikat SSL, atur protokol pengambilan asal di ESA ke HTTP dan port ke 80. Ini memastikan koneksi klien-ke-ESA dienkripsi melalui HTTPS, sedangkan koneksi ESA-ke-origin menggunakan HTTP teks biasa. Protokol untuk kedua segmen ini dapat diatur secara independen.
Kebijakan keamanan origin memblokir permintaan: Periksa apakah firewall server origin, Classic Load Balancer (CLB), atau Web Application Firewall (WAF) Anda telah memasukkan alamat IP pengambilan asal ESA ke dalam daftar izin (allowlist) dan pastikan port 443 dapat dijangkau. Kami merekomendasikan mengaktifkan fitur Origin Protection di ESA untuk mendapatkan daftar alamat IP pengambilan asal dan menambahkannya ke allowlist Anda.
Masalah sertifikat server origin: Jika sertifikat SSL di port 443 server origin Anda telah kedaluwarsa atau salah konfigurasi, Anda dapat sementara memulihkan akses dengan mengubah protokol pengambilan asal di ESA ke HTTP atau menonaktifkan forced HTTPS. Segera perbaiki sertifikat server origin tersebut.
Timeout respons origin: Jika browser atau log Anda menampilkan error 524 read timeout, ESA mengalami timeout saat menunggu respons dari server origin. Di Origin Rules ESA, sesuaikan timeout respons origin (maksimal 300 detik).

Masalah migrasi dari CDN ke ESA

Jika Anda mengalami halaman kosong atau kegagalan akses intermiten setelah migrasi dari CDN ke ESA, ikuti langkah-langkah troubleshooting berikut:

Bersihkan konfigurasi CDN lama: Nonaktifkan atau hapus konfigurasi domain dan rekaman DNS terkait dari Produk CDN sebelumnya untuk menghindari konflik resolusi CNAME atau biaya trafik tak terduga.
Konfirmasi resolusi DNS ESA aktif: Pastikan rekaman CNAME domain Anda mengarah dengan benar ke alamat CNAME yang diberikan oleh ESA. Anda dapat menggunakan perintah dig your-domain.com atau nslookup your-domain.com untuk memverifikasi.
Lakukan verifikasi silang di beberapa perangkat: Uji domain baik di komputer maupun ponsel (menggunakan jaringan berbeda). Catat pesan error spesifik apa pun, seperti kode status 4xx atau 5xx, untuk mengesampingkan masalah yang disebabkan oleh satu perangkat atau lingkungan jaringan lokal tertentu.