Certificate Management Service:FAQ Validasi Kepemilikan Domain

Alibaba Cloud menyediakan Network Probe Tool untuk membantu Anda memeriksa apakah rekaman DNS sudah berlaku. Untuk menggunakan alat:

Berikut adalah penyebab umum dan solusinya:

1. Rekaman DNS belum ditambahkan.

   Untuk informasi lebih lanjut, lihat Otentikasi DNS Manual. Anda dapat menambahkan rekaman TXT secara manual dengan penyedia DNS Anda untuk memverifikasi kepemilikan domain.

2. Ada penundaan dalam validasi konsol.

   Jika Anda telah menambahkan rekaman DNS dengan benar tetapi masih melihat pesan "DNS Record Value Not Detected", ini mungkin disebabkan oleh penundaan dalam verifikasi konsol. Anda dapat menunggu sebentar dan mencoba lagi.

3. Nama domain yang terikat pada Sertifikat SSL tidak sesuai dengan nama domain di rekaman DNS.

   Catatan

   Jika Anda tidak menggunakan Alibaba Cloud DNS, Anda dapat pergi ke konsol penyedia DNS Anda untuk memastikan nama domain.

   1. Pastikan nama domain sesuai.

   2. Di halaman validasi sertifikat SSL, Anda dapat mengklik Ubah, memasukkan ulang nama domain untuk diikat ke sertifikat, dan kemudian mengirimkannya untuk ditinjau kembali.

Berikut adalah penyebab umum dan solusinya:

1. Nilai rekaman DNS dikonfigurasi dengan salah.

   Salin rekaman host dan nilai rekaman dari permintaan sertifikat dan tempelkan kembali ke konfigurasi rekaman DNS Anda.

   

2. Anda menggunakan DNSPod atau penyedia DNS lain untuk resolusi nama domain.

   Anda dapat mengabaikan pesan kesalahan di konsol untuk saat ini. Setelah Anda mengonfigurasi rekaman DNS dengan DNSPod atau penyedia Anda sesuai kebutuhan, tunggu CA menyelesaikan validasi.

3. Untuk sertifikat DV DigiCert, nilai rekaman DNS lebih dari 24 jam.

   1. Anda dapat menghapus nilai rekaman TXT yang lebih dari 24 jam.

   2. Anda dapat masuk ke Konsol Layanan Manajemen Sertifikat Digital, ajukan ulang sertifikat target, dan dapatkan nilai rekaman DNS TXT terbaru.

   3. Anda dapat pergi ke platform penyedia DNS Anda dan menambahkan nilai rekaman TXT baru.

   Catatan

   Timestamp untuk sertifikat DV GeoTrust selalu valid.

4. Nilai rekaman belum disinkronkan ke server DNS di luar China.

   Latensi sinkronisasi untuk rekaman DNS dinamis dapat mencegah server DNS otoritatif di luar China mendapatkan nilai rekaman TXT terbaru. Anda dapat memeriksa apakah layanan resolusi dinamis Anda berjalan dengan benar dan menunggu sinkronisasi selesai.

Server DNS memiliki masalah jaringan. Anda dapat menghubungi penyedia nama domain Anda untuk memeriksa dan memperbaiki koneksi jaringan.

Berikut adalah penyebab umum dan solusinya:

1. File validasi belum diunggah ke direktori server yang ditentukan.

   Untuk informasi lebih lanjut, lihat Verifikasi File. Anda dapat mengunggah file validasi ke direktori validasi yang ditentukan (.well-known/pki-validation/) di server situs.

2. Ada penundaan dalam validasi file konsol.

   Jika Anda telah mengunggah file verifikasi ke direktori server yang ditentukan dan dapat mengakses isi file menggunakan HTTPS Address dan HTTP Address, tetapi konsol masih menampilkan pesan "File Not Detected", ini mungkin disebabkan oleh penundaan dalam verifikasi file konsol. Tidak diperlukan tindakan. Anda dapat menunggu sistem mencoba kembali secara otomatis.

Berikut adalah penyebab umum dan solusinya:

1. Port 80 atau 443 di server tidak terbuka.

   Saat ini, CA hanya mendukung akses ke HTTPS Address dan HTTP Address (port 443 dan port 80) untuk memverifikasi bahwa isi file validasi dapat diakses.

   Solusi 1: Anda dapat membuka port 80 atau 443.

   Cara membuka port 80 atau 443

   Linux

   1. Jalankan perintah berikut di terminal server untuk memeriksa apakah port 443 terbuka:

      RHEL/CentOS series

      command -v nc > /dev/null 2>&1 || sudo yum install -y nc
      # Ganti <alamat IP publik server Anda> dengan alamat IP publik server Anda.
      sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <alamat IP publik server Anda> 443

      Jika outputnya adalah Ncat: Connected to <Alamat IP publik server saat ini>:443, port 443 terbuka. Jika tidak, Anda harus membuka port 443 di grup keamanan dan firewall.

      Debian/Ubuntu series

      command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
      # Ganti <alamat IP publik server Anda> dengan alamat IP publik server Anda.
      sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <alamat IP publik server Anda> 443

      Jika outputnya adalah Connection to <alamat IP publik server saat ini> port [tcp/https] succeeded! atau [<alamat IP publik server saat ini>] 443 (https) open, port 443 terbuka. Jika tidak, Anda perlu membuka port 443 di grup keamanan dan firewall.

   2. Jika port tidak terbuka, ikuti langkah-langkah berikut untuk membuka port 443 di grup keamanan dan firewall.

      1. Buka port 443 di grup keamanan

      Penting

      Jika server Anda ditempatkan di platform cloud, pastikan grup keamanannya mengizinkan akses pada port 443 (TCP). Jika tidak, layanan tidak dapat diakses dari Internet. Langkah-langkah berikut menggunakan Alibaba Cloud ECS sebagai contoh. Untuk platform cloud lainnya, lihat dokumentasi resmi mereka masing-masing.

      1. Masuk ke Konsol ECS. Di pojok kiri atas halaman, pilih wilayah tempat instans ECS target berada. Di halaman Instances, temukan instans ECS target.

      2. Klik nama instans target untuk pergi ke halaman detail instans. Klik Security Group > All Inbound Rules For Intranet dan pastikan ada aturan dengan pengaturan berikut: Authorization Policy adalah Allow, Protocol Type adalah TCP, Destination Port Range adalah HTTPS(443), dan Authorization Object adalah Anywhere (0.0.0.0/0).

      3. Jika aturan ini tidak ada, ikuti langkah-langkah berikut untuk menambahkannya. Untuk informasi lebih lanjut tentang konfigurasi grup keamanan, lihat Tambahkan aturan grup keamanan.

         1. Di halaman detail instans ECS, klik Security Group > Security Group List, pilih grup keamanan target, dan pergi ke halaman detailnya.

         2. Di bawah Security Group Details > Inbound, klik Tambah Cepat.

         3. Di panel Tambah Cepat, untuk Port Range, pilih HTTPS (443), dan kemudian klik OK.

      2. Buka port 443 di firewall lokal server

      Jalankan perintah berikut untuk mengidentifikasi layanan firewall di sistem Anda:

      if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
          echo "firewalld"
      elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
          echo "ufw"
      elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
          echo "nftables"
      elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
          echo "iptables"
      elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
          echo "iptables"
      else
          echo "none"
      fi

      Jika outputnya adalah none, tidak diperlukan tindakan lebih lanjut. Jika tidak, berdasarkan output (firewalld, ufw, nftables, atau iptables), jalankan perintah yang sesuai untuk membuka port 443:

      firewalld

      sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

      ufw

      sudo ufw allow 443/tcp

      nftables

      sudo nft add table inet filter 2>/dev/null
      sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
      sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

      iptables

      sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

      Untuk mencegah aturan iptables hilang setelah restart sistem, jalankan perintah berikut untuk membuat aturan tetap ada:

      RHEL/CentOS series

      sudo yum install -y iptables-services
      sudo service iptables save

      Debian/Ubuntu series

      sudo apt-get install -y iptables-persistent
      sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

   Windows

   1. Buka port 443 di grup keamanan

   Penting

   Jika server Anda ditempatkan di platform cloud, pastikan grup keamanannya mengizinkan akses masuk pada port 443 (TCP). Jika tidak, layanan tidak dapat diakses dari Internet. Langkah-langkah berikut menggunakan Alibaba Cloud ECS sebagai contoh. Untuk platform cloud lainnya, lihat dokumentasi resmi mereka.

   1. Masuk ke Konsol ECS. Di pojok kiri atas halaman, pilih wilayah tempat instans ECS target berada. Di halaman Instances, temukan instans ECS target.

   2. Klik nama instans target untuk pergi ke halaman detail instans. Klik Security Group > All Intranet Inbound Rules dan pastikan ada aturan dengan pengaturan berikut: Authorization Policy diatur ke Allow, Protocol Type adalah TCP, Destination Port Range adalah HTTPS(443), dan Authorization Object diatur ke Anywhere (0.0.0.0/0). Jika aturan ini tidak ada, tambahkan.

      Cara menambahkan aturan grup keamanan

      1. Di halaman detail instans ECS, klik Security Group > Security Group List, pilih grup keamanan target, dan pergi ke halaman detailnya.

      2. Di halaman detail grup keamanan, di bawah Security Group Details > Inbound, klik Add Rule.

      3. Di panel Create Security Group Rule, atur Destination (This Instance) ke HTTPS (443), biarkan parameter lainnya pada nilai defaultnya, dan klik OK.

      4. Untuk informasi lebih lanjut tentang konfigurasi grup keamanan, lihat Tambahkan aturan grup keamanan.

   2. Buka port 443 di firewall lokal server

   1. Masuk ke server Windows, klik menu Start di pojok kiri bawah, dan buka Control Panel.

   2. Klik System And Security > Windows Firewall > Check Firewall Status.

   3. Jika firewall dimatikan, seperti yang ditunjukkan pada gambar berikut, tidak diperlukan tindakan lebih lanjut.

   4. Jika firewall aktif, Anda harus mengizinkan aturan HTTPS.

      Cara mengizinkan aturan firewall HTTPS

      1. Di panel navigasi di sebelah kiri, klik Advanced Settings > Inbound Rules, dan periksa apakah ada aturan masuk untuk Protocol TCP, Local Port 443, dan Action adalah Block.

      2. Jika aturan tersebut ada, klik kanan aturan tersebut dan pilih Properties. Pada tab General, ubah pengaturannya menjadi Allow Connection dan klik Apply.

      3. Untuk informasi lebih lanjut, lihat Konfigurasi aturan firewall.

   Solusi 2: Di panel Apply for Certificate, Anda dapat mengklik Cancel Application, dan mengubah metode validasi domain menjadi Manual DNS Verification.

2. Konfigurasi pengalihan 301 atau 302 telah diatur.

   • Anda dapat menggunakan perintah wget -S <alamat URL> untuk memeriksa apakah URL validasi dialihkan. Jika responsnya adalah HTTP/1.1 301 Moved Permanently atau HTTP/1.1 302 Found, pengalihan ada.

     wget -S http://<your_domain_name>/.well-known/pki-validation/<validation_file_name>

   • Anda dapat menghapus konfigurasi pengalihan. Kode berikut memberikan contoh konfigurasi 301 dan 302 dalam file konfigurasi Nginx `nginx.conf`.

     Konfigurasi 301

     server {
         listen 80;
         server_name <your_primary_domain_name> <your_www_subdomain>;
         return 301 redirection_domain$request_uri;
     }

     Konfigurasi 302

     location /.well-known/ {
         return 302 <redirection_address>
     }

• Server DNS memiliki masalah jaringan.

  Anda dapat menghubungi penyedia nama domain Anda untuk memeriksa dan memperbaiki koneksi jaringan.

• Nama domain untuk sertifikat uji pribadi berisi kata-kata sensitif.

  Solusi 1: Anda dapat mengganti kata-kata khusus (seperti edu, gov, org, jp (kode negara), pay, bank, live, atau nuclear) dan mengirimkan permintaan lagi.

  Solusi 2: Jika Anda tidak dapat mengubah nama domain, Anda dapat membeli sertifikat OV, EV, .

Berikut adalah penyebab umum dan solusinya:

1. File lama di server DNS belum dihapus.

   1. Di panel Apply for Certificate, Anda dapat mengklik View Detected File, dan mencatat informasi tentang file yang terdeteksi.

   2. Anda dapat pergi ke server DNS Anda dan menghapus file yang terdeteksi.

      Catatan

      Biasanya, file lama berada di direktori direktori root situs/.well-known/pki-validation.

   3. Untuk informasi lebih lanjut, lihat Verifikasi File. Anda dapat mengunduh ulang file validasi terbaru dan mengunggahnya ke server DNS.

2. Jalur layanan HTTPS belum diterapkan.

   Beberapa halaman situs memiliki akses HTTPS yang diaktifkan, tetapi file validasi hanya diterapkan di jalur layanan HTTP, bukan jalur layanan HTTPS. Ini menyebabkan kesalahan.

   Solusi 1: Anda dapat menerapkan file validasi di jalur layanan HTTP dan HTTPS, dan pastikan protokol HTTPS dapat diakses secara normal.

   Solusi 2: Anda dapat menonaktifkan sementara layanan HTTPS untuk halaman relevan di situs.

3. CDN diaktifkan, tetapi sinkronisasi data ke titik kehadiran CDN (POPs) di luar China belum selesai.

   Solusi 1: Anda dapat menyinkronkan file validasi ke POPs CDN di luar China, atau menonaktifkan sementara layanan percepatan CDN di luar China.

   Solusi 2: Jika Anda tidak dapat melakukan perubahan pada server titik kehadiran CDN, di panel Apply for Certificate, Anda dapat mengklik Cancel Application dan mengubah metode validasi domain menjadi Manual DNS Verification.

4. Timestamp file validasi telah kedaluwarsa.

   Anda dapat mengakses Konsol Layanan Manajemen Sertifikat, mengunduh ulang file validasi terbaru, dan mengunggahnya ke folder yang ditentukan di situs web Anda.

• Validasi tidak lengkap untuk subdomain www dan nama domain utama

  Menurut spesifikasi validasi otoritas sertifikasi (CA), CA memeriksa baik nama domain utama maupun subdomain www-nya, terlepas dari mana yang Anda ajukan. Anda harus memastikan bahwa file validasi dapat diakses secara publik untuk kedua nama domain. Jika tidak, validasi akan gagal.

  Catatan

  Sebagai contoh, untuk domain www.example.com dan aliyundoc.com, Anda harus memastikan bahwa http://www.example.com/.well-known/pki-validation/fileauth.txt dan http://example.com/.well-known/pki-validation/fileauth.txt dapat diakses. Jika tidak, validasi akan gagal.

• Layanan HTTPS tidak dinonaktifkan

  Jika server Anda memiliki layanan HTTPS, Anda harus memastikan bahwa isi file validasi dapat diakses di HTTPS Address. Jika tidak, kami sarankan Anda menonaktifkan sementara layanan HTTPS untuk nama domain tersebut untuk mencegah kegagalan validasi.

  Catatan

  Jika layanan HTTPS tidak dikonfigurasikan di server, Anda hanya perlu memastikan bahwa isi file validasi dapat diakses di HTTP Address.

Tidak, tidak mendukung. Untuk informasi lebih lanjut, lihat [Pemberitahuan] Validasi file tidak lagi didukung untuk permintaan sertifikat wildcard.