Aktifkan HTTPS untuk website dengan sertifikat komersial - Certificate Management Service

Sertifikat SSL komersial tersedia dalam berbagai jenis dan merek untuk mendukung website berbagai ukuran, mulai dari platform e-commerce dan usaha kecil hingga perusahaan besar dan situs pribadi. Sertifikat SSL komersial juga mendukung Sertifikat wildcard, Sertifikat multi-domain, dan sertifikat hybrid-domain, sehingga Anda dapat mengamankan beberapa subdomain atau beberapa domain berbeda secara bersamaan. Topik ini memandu Anda melalui proses lengkap pembelian, pengajuan, dan penerapan sertifikat komersial.

Ikhtisar prosedur

Penerapan Sertifikat SSL komersial pada server Anda mencakup tiga langkah berikut:

Langkah 1: Beli Sertifikat SSL komersial: Dapatkan kuota Sertifikat SSL komersial.
Langkah 2: Ajukan Sertifikat SSL: Isi informasi sertifikat yang relevan dan kirimkan untuk ditinjau agar sertifikat akhir diterbitkan.
Langkah 3: Terapkan Sertifikat SSL: Setelah sertifikat diterbitkan, terapkan ke server web atau layanan cloud.

Prasyarat

Verifikasi identitas telah selesai. Untuk informasi lebih lanjut, lihat Verifikasi identitas - Akun individu atau Verifikasi identitas perusahaan.
Jika website diterapkan di Tiongkok daratan, Anda harus menyelesaikan Pendaftaran ICP sesuai persyaratan Kementerian Perindustrian dan Teknologi Informasi (MIIT). Jika tidak, akses ke website akan terganggu. Untuk informasi lebih lanjut, lihat Apa itu Pendaftaran ICP?.

Langkah 1: Beli Sertifikat SSL komersial

Masuk ke Konsol Certificate Management Service.
Di panel navigasi sebelah kiri, pilih Certificate Management > SSL Certificate Management.

Pada tab Commercial Certificates, klik Buy Now untuk menuju halaman pembelian. Pilih spesifikasi sertifikat seperti dijelaskan dalam tabel berikut, klik Buy Now, dan selesaikan pembayaran.

Parameter	Deskripsi
Domain Type	Pilih Single Domain, yang mengikat satu Sertifikat SSL ke satu domain utama, subdomain, atau Alamat IP publik (IPv4), seperti `www.example.com` atau `1.1.X.X`. Untuk mengikat semua subdomain tingkat pertama di bawah domain tingkat kedua, pilih Nama domain wildcard.
Brand	Pilih Alibaba Cloud. Ini adalah merek Sertifikat SSL milik Alibaba Cloud sendiri, yang lebih hemat biaya dibanding merek lain.
Certificate Type	Secara default bernilai DV SSL (sertifikat validasi domain), yang cocok untuk website pribadi, layanan aplikasi, website informatif, dan lingkungan pengujian untuk perusahaan atau individu.
Quantity	Secara default bernilai 1 dan tidak dapat diubah, menunjukkan pembelian satu instans sertifikat.
Service Duration	Pilih 1 Year sebagai durasi layanan Sertifikat SSL, yang berarti pesanan mencakup periode langganan satu tahun.

Catatan

Untuk petunjuk lebih rinci tentang pembelian dan konfigurasi sertifikat komersial, lihat Beli sertifikat komersial.

Langkah 2: Ajukan Sertifikat SSL

Setelah membeli sertifikat, kembali ke tab Commercial Certificates. Di kolom Actions, klik Apply for Certificate.

Di panel Apply for Certificate, konfigurasikan parameter pengajuan sertifikat seperti dijelaskan dalam tabel berikut, lalu klik Submit.

Parameter	Deskripsi
Domains to Bind	Masukkan nama domain website Anda, misalnya `www.example.com`. Jika Anda membeli Nama domain wildcard, masukkan `*.example.com`.
Domain Verification Method	Pilih metode untuk memverifikasi identitas pemilik domain. Jika layanan DNS untuk domain `example.com` dalam contoh ini tidak dikelola di bawah akun saat ini (misalnya, menggunakan penyedia DNS pihak ketiga atau akun Alibaba Cloud lain), Anda hanya dapat memilih Manual DNS Verification atau File Verification. Setelah dikirim, Anda harus menyelesaikan verifikasi domain sesuai panduan di halaman tersebut; jika tidak, sertifikat tidak dapat diterbitkan. Jika akun untuk layanan Alibaba Cloud DNS domain tersebut sama dengan Akun Alibaba Cloud saat ini, sistem secara otomatis mencocokkan metode Automatic DNS Verification. Setelah dikirim, tidak diperlukan operasi manual. Sistem secara otomatis menyelesaikan verifikasi domain, dan Anda hanya perlu menunggu sertifikat diterbitkan.
Contact	Klik Create Contact dari daftar drop-down untuk membuat kontak baru, atau pilih kontak yang sudah ada. Pastikan informasi kontak akurat dan valid.
Encryption Algorithm	Pilih informasi perusahaan tempat domain tersebut bernaung.
Encryption Algorithm	Pilih RSA, yaitu algoritma enkripsi yang digunakan oleh Sertifikat SSL. Algoritma RSA saat ini merupakan algoritma enkripsi asimetris yang paling banyak digunakan secara global, dengan kompatibilitas yang baik.
CSR Generation	Pilih Automatic. Certificate Management Service secara otomatis menghasilkan file CSR menggunakan algoritma enkripsi yang Anda tentukan untuk Encryption Algorithm. File CSR (Certificate Signing Request) adalah file permintaan Sertifikat SSL yang berisi informasi server dan organisasi, dan harus dikirimkan ke pusat CA untuk ditinjau.

Catatan

Untuk informasi lebih lanjut tentang batasan parameter dan petunjuk konfigurasi pengajuan sertifikat, lihat Ajukan sertifikat.

Opsi: Jika Anda memilih Manual DNS Verification atau File Verification sebagai metode verifikasi kepemilikan domain, selesaikan verifikasi domain sesuai panduan di halaman tersebut. Untuk informasi lebih lanjut dan contoh operasi tentang verifikasi kepemilikan domain, lihat Verifikasi kepemilikan domain.
Jika Anda memilih Automatic DNS Verification, tidak diperlukan operasi tambahan. Cukup tunggu hingga sertifikat diterbitkan. Sertifikat DV biasanya membutuhkan waktu 1 hingga 15 menit untuk diterbitkan. Status setelah penerbitan ditunjukkan pada gambar berikut:

Langkah 3: Terapkan Sertifikat SSL

Terapkan sertifikat ke server web

Topik ini menggunakan CentOS 8.0 (64-bit) dan NGINX 1.14.2 sebagai contoh. Langkah penerapan dapat berbeda tergantung sistem operasi atau server web. Untuk petunjuk penerapan Sertifikat SSL ke server web lain (seperti Apache, Tomcat, dan IIS), lihat Penerapan sertifikat secara manual.

Masuk ke Konsol Certificate Management Service.
Di panel navigasi sebelah kiri, pilih Certificate Management > SSL Certificate Management.
Pada tab Commercial Certificates, temukan sertifikat target lalu klik Actions > Download.
Pada baris Server Type untuk NGINX, klik Download di kolom Actions.

Ekstrak paket Sertifikat SSL yang diunduh.

File yang Anda terima setelah ekstraksi bervariasi tergantung metode pembuatan CSR yang Anda pilih saat mengajukan permintaan sertifikat. Tabel berikut menjelaskan file-file tersebut.

Pembuatan CSR	File yang termasuk dalam paket sertifikat
Automatic atau Select Existing CSR	File sertifikat (format PEM): NGINX mendukung file sertifikat berformat PEM. Format PEM menggunakan enkripsi Base64 dan berisi rantai sertifikat lengkap. Setelah diekstrak, file tersebut diberi nama `CertificateID_BoundDomain`. File kunci privat (format KEY): Nama default-nya adalah BoundDomainName.
Manual	Jika Anda memasukkan CSR yang dihasilkan di Konsol Certificate Management Service, file sertifikat yang diunduh identik dengan yang dihasilkan dengan metode Automatic. Jika Anda memasukkan CSR yang tidak dibuat di Konsol Certificate Management Service, unduhan hanya mencakup file sertifikat dalam format PEM dan tidak mencakup kata sandi sertifikat atau file kunci privat. Anda dapat menggunakan tool sertifikat untuk mengonversi file sertifikat ke format yang diperlukan. Untuk informasi lebih lanjut tentang konversi format sertifikat, lihat Konversi format sertifikat.

Masuk ke server dan buka terminal. Jalankan perintah berikut untuk membuat direktori penyimpanan sertifikat di bawah direktori conf NGINX.

# Masuk ke direktori konfigurasi NGINX default. Ini adalah direktori default untuk NGINX yang dikompilasi dan diinstal secara manual. Jika Anda mengubah direktori instalasi default atau menggunakan metode instalasi lain, sesuaikan jalurnya.
cd /usr/local/nginx/conf  
# Buat direktori bernama cert untuk menyimpan sertifikat.
mkdir cert

Unggah file sertifikat dan file kunci privat ke direktori sertifikat server NGINX (/usr/local/nginx/conf/cert).
Catatan
Anda dapat menggunakan fitur unggah file lokal dari tool logon jarak jauh untuk mengunggah file. Contoh tool tersebut antara lain PuTTY, Xshell, atau WinSCP. Jika Anda menggunakan instans Elastic Compute Service Alibaba Cloud, lihat Unggah atau unduh file untuk informasi lebih lanjut.

Edit file konfigurasi NGINX nginx.conf untuk mengubah konfigurasi terkait sertifikat.

Jalankan perintah berikut untuk membuka file konfigurasi.
```
sudo vim /usr/local/nginx/conf/nginx.conf
```
Catatan
Jika Anda tidak yakin lokasi nginx.conf, jalankan nginx -t untuk memeriksa jalur file konfigurasi.
Di nginx.conf, temukan konfigurasi server HTTPS.
Catatan
Jika blok server seperti pada gambar di atas tidak ada di nginx.conf atau di file yang dirujuk oleh direktif include, tambahkan secara manual.

Hapus karakter komentar # di awal setiap baris dan modifikasi baris-baris tersebut seperti pada contoh berikut:

server {
     # Port akses default untuk HTTPS adalah 443.
     # Jika port akses HTTPS default tidak dikonfigurasi di sini, NGINX mungkin gagal dimulai.
     listen 443 ssl;
     
     # Masukkan domain yang diikat ke sertifikat Anda.
     server_name <YOURDOMAIN>;
 
     # Masukkan jalur mutlak ke file sertifikat Anda.
     ssl_certificate cert/<cert-file-name>.pem;
     # Masukkan jalur mutlak ke file kunci privat Anda.
     ssl_certificate_key cert/<cert-file-name>.key;
 
     ssl_session_cache shared:SSL:1m;
     ssl_session_timeout 5m;
     
     # Sesuaikan jenis protokol TLS dan paket sandi (berikut ini hanya contoh. Evaluasi apakah Anda memerlukan konfigurasi ini).
     # Versi protokol TLS yang lebih tinggi meningkatkan keamanan komunikasi HTTPS, tetapi memiliki kompatibilitas browser yang lebih rendah dibanding versi yang lebih rendah.
     ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
     ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;

     # Utamakan paket sandi server. Diaktifkan secara default.
     ssl_prefer_server_ciphers on;
 
 
    location / {
           root html;
           index index.html index.htm;
    }
}

Opsi: Atur Pengalihan HTTP ke HTTPS secara otomatis.
Jika Anda ingin semua permintaan HTTP dialihkan secara otomatis ke halaman HTTPS, Anda dapat menggunakan direktif rewrite untuk menerapkan pengalihan tersebut.
Penting
Di file nginx.conf, temukan blok konfigurasi server HTTP dan tambahkan kode pengalihan berikut.
Jika Anda tidak menemukan blok ini, Anda dapat menempatkan potongan kode berikut setelah blok server {} di file nginx.conf. Setelah konfigurasi, file nginx.conf akan berisi dua blok server {}.
```
server {
    listen 80;
    # Masukkan domain yang diikat ke sertifikat Anda.
    server_name <YOURDOMAIN>;
    # Alihkan semua permintaan HTTP ke HTTPS menggunakan direktif rewrite.
    rewrite ^(.*)$ https://$host$1;
    location / {
        index index.html index.htm;
    }
}
```
Gambar berikut menunjukkan konfigurasi yang diharapkan:

Jalankan perintah berikut untuk me-restart layanan NGINX.
```
# Masuk ke direktori eksekusi layanan NGINX.
cd /usr/local/nginx/sbin
# Muat ulang file konfigurasi.
./nginx -s reload
```
Catatan
- Jika muncul error the "ssl" parameter requires ngx_http_ssl_module: Anda perlu mengompilasi ulang NGINX dan menambahkan konfigurasi --with-http_ssl_module selama kompilasi dan instalasi.
- Jika muncul error "/cert/3970497_demo.aliyundoc.com.pem":BIO_new_file() failed (SSL: error:02001002:system library:fopen:No such file or directory:fopen('/cert/3970497_demo.aliyundoc.com.pem','r') error:2006D080:BIO routines:BIO_new_file:no such file): Anda perlu menghapus karakter / di awal jalur relatif sertifikat. Misalnya, ubah /cert/cert-file-name.pem menjadi jalur relatif yang benar cert/cert-file-name.pem.

Verifikasi apakah penerapan berhasil

Setelah sertifikat diterapkan, Anda dapat memverifikasi penerapan dengan mengakses nama domain yang diikat ke sertifikat tersebut.

https://yourdomain   #Ganti yourdomain dengan nama domain Anda.

Jika ikon muncul di bilah alamat browser, sertifikat berhasil dipasang.
Mulai Chrome 117, Chrome telah mengganti ikon HTTPS di bilah alamat dengan ikon . Klik ikon ini dan lihat contoh berikut. Ketika simbol muncul, sertifikat berhasil dipasang.

Jika sertifikat tidak berlaku setelah pemasangan, lihat Bagaimana cara memperbaiki error Sertifikat SSL yang ditampilkan di browser saya?

Terapkan sertifikat ke layanan cloud

Setelah Sertifikat SSL berhasil diterbitkan, Anda dapat menerapkannya ke server web atau layanan Alibaba Cloud. Topik ini menggunakan Content Delivery Network (CDN) Alibaba Cloud sebagai contoh untuk menjelaskan cara menerapkan sertifikat ke layanan cloud. Untuk informasi lebih lanjut tentang penerapan sertifikat ke layanan cloud atau server web lain, lihat Terapkan sertifikat.

Masuk ke Konsol Certificate Management Service.
Di panel navigasi sebelah kiri, pilih Certificate Management > SSL Certificate Management.
Pada tab Commercial Certificates, temukan sertifikat yang telah diterbitkan. Di kolom Actions, klik Deploy.
Di halaman Select Resource, pilih CDN dan sumber daya yang sesuai, lalu klik Preview and Submit.
Sistem secara otomatis mengambil sumber daya dari semua layanan cloud. Jika Anda tidak menemukan sumber daya target di bawah layanan cloud yang sesuai, periksa apakah sinkronisasi sumber daya telah selesai di area Total Resources. Jika sumber daya masih dalam proses sinkronisasi (ditampilkan dalam warna abu-abu seperti pada gambar), harap tunggu. Waktu sinkronisasi sumber daya tergantung pada jumlah sumber daya di layanan cloud saat ini.
Di panel Task Preview, verifikasi informasi instans sertifikat dan sumber daya layanan cloud. Jika semuanya benar, klik Submit.
Halaman pratinjau menampilkan jumlah sertifikat yang sesuai dengan layanan cloud terkait dan jumlah upaya penerapan yang dikonsumsi. Jumlah kecocokan 0 menunjukkan bahwa sertifikat tidak sesuai dengan sumber daya layanan cloud yang dipilih, yang akan menyebabkan penerapan gagal. Verifikasi sertifikat yang dipilih dengan cermat.

Verifikasi apakah penerapan berhasil

Masuk ke Konsol CDN.
Di panel navigasi kiri, klik Domain Names.
Di halaman Domain Names, temukan nama domain target lalu klik Manage di kolom Actions.
Di panel navigasi domain, klik HTTPS.
Lihat informasi Sertifikat SSL yang diterapkan, termasuk status sertifikat dan periode validitasnya. Jika HTTPS Certificate menampilkan Enabled, sertifikat telah berhasil diterapkan.

Catatan

Setelah menyelesaikan penerapan sertifikat, Anda mungkin perlu menunggu cache CDN diperbarui sebelum informasi sertifikat terbaru ditampilkan.