Mengapa penerapan Sertifikat SSL saya gagal? - Certificate Management Service

Jika Sertifikat SSL yang Anda terapkan secara manual tidak berfungsi atau browser menampilkan peringatan keamanan, lakukan pemeriksaan di bawah ini untuk mengidentifikasi dan memperbaiki masalah tersebut.

Konfirmasi status penerapan

Sebelum melakukan troubleshooting, pastikan apakah Sertifikat SSL telah berhasil diterapkan:

Kunjungi domain HTTPS Anda. Ikon gembok di bilah alamat menunjukkan bahwa sertifikat aktif.
Pada halaman SSL Certificate Management, periksa kolom Deployed. Fitur penerapan satu klik mencakup SLB, CDN, dan WAF, tetapi tidak mencakup ECS.
Pada Instance ECS, sistem operasi itu sendiri tidak memiliki indikator status penerapan Sertifikat SSL. Ini merupakan perilaku yang diharapkan, bukan kegagalan.

Daftar periksa cepat

Tinjau daftar ini sebelum memulai langkah-langkah mendetail. Sebagian besar kegagalan penerapan disebabkan oleh salah satu hal berikut:

Port 443 terbuka di firewall atau grup keamanan server Anda
Jalur dan nama file sertifikat dalam konfigurasi server web sesuai dengan yang ada di disk
Server web telah direstart setelah perubahan konfigurasi
Sertifikat belum kedaluwarsa dan statusnya Issued
Bound Domains pada sertifikat sesuai dengan domain yang Anda layani
Sertifikat dan kunci privat dibuat bersamaan (pasangan kunci yang sesuai)
Sertifikat dalam format X.509, dikodekan dalam PEM (.crt atau .pem)
Rantai sertifikat lengkap (sertifikat server + sertifikat perantara + sertifikat root)
Direktori file sertifikat memiliki izin baca untuk proses server web
DNS mengarah ke alamat IP yang benar

1. Periksa apakah port 443 terbuka

Lalu lintas HTTPS menggunakan port 443. Jika port ini diblokir, browser tidak dapat membuat koneksi aman.

Jika Anda menggunakan Instance ECS Alibaba Cloud, periksa aturan grup keamanan:

Buka halaman Security Groups Konsol ECS.
Verifikasi bahwa port 443 mengizinkan inbound traffic.

Untuk detail tentang pengelolaan aturan grup keamanan, lihat Manage security groups.

Jika Anda menggunakan Web Application Firewall (WAF), verifikasi bahwa WAF tidak memblokir akses eksternal ke port 443:

Login ke Konsol Web Application Firewall 3.0. Dari bilah menu atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) untuk instance WAF.
Pada panel navigasi kiri, klik Onboarding.
Pada tab CNAME Record, konfirmasi bahwa akses eksternal ke port 443 diizinkan.

2. Periksa adanya reverse proxy CDN atau WAF

Jika domain Anda berada di belakang Content Delivery Network (CDN) atau Web Application Firewall (WAF) yang bertindak sebagai proxy layer-7, menerapkan Sertifikat SSL hanya pada origin server tidak cukup. Anda juga harus mengonfigurasi sertifikat pada layanan CDN.

Pada halaman Certificate Service konsol CDN, konfigurasikan sertifikat HTTPS untuk nama domain yang dipercepat Anda.
Tambahkan nama domain utama sebagai nama domain yang dipercepat di konsol CDN untuk mendapatkan CNAME khususnya. Jangan gunakan kembali CNAME subdomain www untuk nama domain utama.
Jika Anda mendapatkan error 502 setelah mengonfigurasi CDN, buka pengaturan origin CDN, aktifkan Origin SNI, atur agar sesuai dengan header Host origin, dan atur protokol origin ke Follow.

3. Periksa konfigurasi server web

Jalur yang salah atau lupa merestart layanan merupakan penyebab paling umum dari kegagalan penerapan.

Verifikasi bahwa jalur dan nama file sertifikat dalam file konfigurasi sesuai dengan lokasi aktual di disk. Contoh NGINX berikut menunjukkan bidang yang relevan:

server {
    # Port 443 adalah port default untuk HTTPS
    listen 443 ssl;
    server_name example.com;

    # Ganti jalur ini dengan jalur sertifikat dan kunci privat aktual Anda
    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;

    # Konfigurasi lainnya...
}

Konfirmasi bahwa file konfigurasi telah disimpan setelah Anda mengeditnya.
Restart server web untuk menerapkan perubahan:
- NGINX: ``bash sudo nginx -s reload ``
- Apache HTTP Server: ``bash sudo systemctl restart httpd ``

4. Periksa validitas dan status sertifikat

Login ke Konsol Layanan Manajemen Sertifikat.
Pada panel navigasi kiri, pilih Certificate Management > SSL Certificate Management V2.0.
Pada halaman SSL Certificate Management V2.0, temukan sertifikat Anda dan periksa:
- Status adalah Issued
- Bound Domains mencantumkan domain yang benar

Jika sertifikat telah kedaluwarsa, perpanjang sertifikat tersebut. Untuk langkah-langkah perpanjangan, lihat SSL Certificate Renewal and Expiration Handling.

Jika Anda menggunakan Sertifikat tanda tangan sendiri, browser akan menampilkan peringatan karena sertifikat tanda tangan sendiri tidak dipercaya secara default. Untuk memeriksa status kepercayaan di Google Chrome:

Buka situs di Chrome.
Klik ikon di bilah alamat. Tidak adanya ikon peringatan berarti browser mempercayai sertifikat tersebut. Ikon merah berarti browser tidak mempercayainya.

Klik ikon tersebut untuk melihat detail. Jika sertifikat tidak dipercaya, jendela informasi sertifikat akan menampilkan peringatan.

Jika Anda menggunakan sertifikat komersial, pastikan sertifikat tersebut dikeluarkan oleh Certificate Authority (CA) tepercaya. Untuk memverifikasi di Chrome:

Klik ikon di bilah alamat.
Klik Connection is secure.
Klik Certificate (Valid). Sertifikat yang dikeluarkan CA tepercaya tidak akan menampilkan peringatan.

Pada jendela informasi sertifikat, temukan bidang Issuer dan pastikan common name (CN) serta organization name (O) sesuai dengan CA terkenal.

5. Verifikasi resolusi DNS

Jika DNS tidak mengarah ke alamat IP server yang benar, koneksi HTTPS akan menuju host yang salah dan sertifikat tidak akan sesuai.

Login ke Konsol DNS Alibaba Cloud.
Pada halaman Public Zone, di bawah tab Authoritative Domain Names, klik nama domain untuk membuka halaman Settings.

Klik Add Record dan verifikasi Record Value sesuai dengan alamat IP server Anda. Jika tidak sesuai, klik Edit untuk memperbaruinya.

Perubahan DNS memerlukan waktu untuk tersebar. Jika Anda baru saja memperbarui pengaturan DNS, bersihkan cache DNS lokal dan coba lagi.

Bersihkan cache DNS

Windows

Tekan Win+R, masukkan cmd, lalu tekan Enter untuk membuka command prompt.
Jalankan perintah berikut:
```
ipconfig /flushdns
```
Pesan "Successfully flushed the DNS Resolver Cache." menandakan keberhasilan.

macOS

Buka aplikasi Terminal (tekan Command+Space, ketik Terminal, lalu tekan Enter).

Jalankan perintah berikut:

# dscacheutil berinteraksi dengan layanan caching sistem
sudo dscacheutil -flushcache

# Restart mDNSResponder, proses latar belakang yang bertanggung jawab atas layanan DNS
sudo killall -HUP mDNSResponder

Anda mungkin diminta memasukkan kata sandi administrator.

Linux

Perintahnya bergantung pada layanan caching DNS yang digunakan sistem Anda:

Layanan DNS	Perintah
`systemd-resolved`	`sudo systemd-resolve --flush-caches`
`nscd` (Name Service Cache Daemon)	`sudo service nscd restart` atau `sudo systemctl restart nscd`
`dnsmasq`	`sudo service dnsmasq restart` atau `sudo systemctl restart dnsmasq`
`BIND` (Berkeley Internet Name Domain)	`sudo rndc flush`
`NetworkManager`	`sudo service network-manager restart` atau `sudo systemctl restart NetworkManager`

Perintah-perintah ini memerlukan izin administrator. Setelah membersihkan cache, sistem akan mengambil rekaman DNS terbaru dari server hulu.

6. Bersihkan cache browser

Browser dapat menyimpan data sertifikat lama dalam cache. Bersihkan cache browser dan kunjungi kembali situs tersebut, atau buka situs dalam mode penyamaran (Chrome) atau mode InPrivate (Microsoft Edge) untuk melewati cache.

7. Verifikasi rantai sertifikat

Mengapa ini penting: Browser memverifikasi seluruh rantai mulai dari sertifikat root hingga sertifikat server Anda. Sertifikat perantara yang hilang menyebabkan peringatan sertifikat tidak tepercaya, terutama pada browser Android yang tidak mendukung pengambilan sertifikat perantara melalui URL Authority Information Access (AIA).

Rantai sertifikat harus diurutkan sebagai berikut:

Urutan rantai adalah sertifikat website > sertifikat perantara CA > sertifikat root CA. Rantai sertifikat perantara dapat memiliki beberapa lapisan.

Lihat rantai sertifikat di Chrome

Klik ikon di bilah alamat, lalu klik Connection is secure.
Pada jendela pop-up, klik Certificate is valid.
Klik Details dan periksa Certification hierarchy.

Lengkapi rantai sertifikat yang hilang

Jika Anda meminta sertifikat dari Alibaba Cloud, unduh kembali file sertifikat tersebut. File PEM yang diunduh sudah berisi sertifikat server dan sertifikat perantara.
Pada Windows, buka sertifikat secara manual, temukan sertifikat perantara, ekspor dalam format Base64, lalu tambahkan konten hasil ekspor ke file sertifikat Anda.

Untuk informasi tentang mengunduh sertifikat root dan perantara, lihat Download and install root certificates dan Download SSL Certificate.

Sertifikat root untuk sertifikat yang dikeluarkan oleh CA tepercaya telah dipra-instal di browser utama (Google Chrome, Mozilla Firefox, Microsoft Edge), sistem operasi (Windows, macOS), dan perangkat seluler (iOS, Android). Untuk aplikasi, klien Java, browser lama, dan perangkat IoT, unduh dan instal secara manual sertifikat root yang sesuai dengan jenis sertifikat server Anda.

8. Pastikan kunci privat sesuai dengan sertifikat

Mengapa ini penting: Saat Anda membuat Permintaan Penandatanganan Sertifikat (CSR), kunci privat dibuat secara bersamaan. Hanya kunci privat yang sesuai yang berfungsi dengan sertifikat tersebut. Mengunggah kunci privat yang tidak sesuai menyebabkan kegagalan handshake HTTPS.

Untuk memverifikasi kecocokan pada sistem Linux:

Login ke Instance ECS Anda dan masuk ke direktori instalasi sertifikat:
```
# Ganti /ssl dengan jalur instalasi sertifikat aktual Anda
cd /ssl
```

Dapatkan hash MD5 dari kunci publik sertifikat:

# Ganti your_certificate.pem dengan nama file PEM aktual Anda
sudo openssl x509 -in your_certificate.pem -noout -pubkey | openssl md5

Dapatkan hash MD5 dari kunci publik kunci privat:

# Ganti your_private_key.key dengan nama file kunci privat aktual Anda
sudo openssl rsa -in your_private_key.key -pubout | openssl md5

Bandingkan kedua hash MD5 tersebut. Jika sama, kunci privat sesuai dengan sertifikat.

Jika kunci privat hilang atau rusak, buat pasangan kunci baru dan minta sertifikat baru.

9. Periksa kompatibilitas browser

Format sertifikat dan paket sandi harus kompatibel dengan browser utama.

Gunakan CA tepercaya. Browser utama secara otomatis mempercayai sertifikat dari CA terkenal.

Gunakan format X.509. Verifikasi format sertifikat dengan perintah berikut:

# Ganti /ssl/your_certificate.pem dengan jalur instalasi aktual Anda
sudo openssl x509 -in /ssl/your_certificate.pem -text -noout

Jika sertifikat dalam format X.509, perintah akan mengembalikan versi, nomor seri, algoritma signature, issuer, periode validitas, dan detail kunci publik:

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
             01:23:45:67:89:ab:cd:ef:01:23:45:67:89:ab:cd:ef
        Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = US, O = DigiCert Inc
        Validity
            Not Before: Jan 17 00:00:00 2025 GMT
            Not After : Jan 17 23:59:59 2026 GMT
        Subject: CN = example.com
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                RSA Public-Key: (2048 bit)
                ......

Simpan sertifikat dan rantai sertifikat perantara dalam format PEM (.crt atau .pem).

Gunakan paket sandi modern. Konfigurasikan server untuk menggunakan TLS 1.2 atau TLS 1.3, dan nonaktifkan protokol dan algoritma yang tidak aman: SSL 2.0, SSL 3.0, TLS 1.0, TLS 1.1, RC4, dan 3DES.
Uji situs pada beberapa browser dan perangkat untuk memastikan kompatibilitas.

10. Verifikasi izin direktori file sertifikat

Proses server web harus dapat membaca file sertifikat. Jika izin terlalu ketat, server tidak dapat memuat sertifikat.

Untuk memeriksa dan mengatur izin pada server Linux:

Lihat izin direktori:
- Karakter pertama (d) menunjukkan direktori
- Tiga karakter berikutnya (rwx) adalah izin pemilik: baca, tulis, eksekusi
- Tiga karakter tengah (r-x) adalah izin grup: baca, eksekusi
- Tiga karakter terakhir (r-x) adalah izin untuk pengguna lain: baca, eksekusi
```
# Ganti /ssl dengan jalur direktori sertifikat aktual Anda
sudo ls -ld /ssl
```
Outputnya mirip dengan drwxr-xr-x, di mana:
Pastikan izin baca (r) dan eksekusi (x) tersedia untuk pengguna atau grup yang menjalankan server web. Izin eksekusi pada direktori memungkinkan pengguna memasukinya (misalnya, dengan cd).
(Opsional) Untuk memperbarui izin, jalankan:
```
# Ganti /ssl dengan jalur direktori sertifikat aktual Anda
sudo chmod 750 /ssl
```
Izin 750 memberikan pemilik akses baca, tulis, dan eksekusi; grup akses baca dan eksekusi; dan tidak ada akses untuk pengguna lain.

Implementasi website bervariasi. Tinjau file log server web dan aplikasi Anda untuk pesan error terkait SSL guna mengidentifikasi akar permasalahan. Jika masalah berlanjut, hubungi account manager Anda.

FAQ

Apakah mengganti Sertifikat SSL lama menyebabkan gangguan layanan?

Mengganti sertifikat lama tidak secara langsung menyebabkan gangguan layanan. Namun, setelah menerapkan sertifikat baru, Anda biasanya perlu merestart server web atau aplikasi agar sertifikat baru berlaku. Proses restart dapat menyebabkan gangguan layanan singkat. Kami menyarankan melakukan operasi ini pada jam sepi dan memastikan sertifikat baru telah diterapkan dengan benar sebelum merestart layanan.