Certificate Management Service：Verifikasi kepemilikan nama domain

Verifikasi kepemilikan domain untuk sertifikat DV

Verifikasi kepemilikan domain untuk sertifikat OV dan EV

Setelah Anda mengajukan permintaan sertifikat OV atau EV, CA akan menghubungi Anda dalam waktu sekitar satu hari kerja. CA menggunakan nomor telepon atau alamat email yang Anda berikan dalam permintaan tersebut. Hari kerja mengacu pada zona waktu lokal CA dan tidak termasuk hari libur.

Verifikasi DNS

• Apakah saya bisa mengubah metode verifikasi otomatis?

  Tidak, Anda tidak bisa. Untuk mengubah metode, Anda harus beralih ke akun Alibaba Cloud yang berbeda untuk membeli sertifikat atau mengelola resolusi nama domain.

• Bagaimana cara memeriksa apakah rekaman DNS telah berlaku?

  Alibaba Cloud menyediakan Network Probe Tool untuk membantu Anda memeriksa apakah rekaman DNS aktif. Untuk menggunakan tool ini:

  1. Di panel Apply for Certificate, klik View Record Value.

     

  2. Di tab DNS, klik OK.

     

  3. Jika hasil resolusi di daftar Probe Check Result sesuai dengan nilai rekaman DNS yang Anda konfigurasi, rekaman DNS tersebut telah berlaku.

• Apa yang harus saya lakukan jika konsol menampilkan pesan 'No DNS record found.'?

  Penyebab umum dan solusinya adalah sebagai berikut:

  1. Rekaman DNS belum ditambahkan.

     Untuk informasi lebih lanjut, lihat Autentikasi DNS manual. Anda dapat menambahkan rekaman TXT secara manual di penyedia DNS Anda untuk memverifikasi kepemilikan domain.

  2. Terjadi penundaan dalam validasi konsol.

     Jika Anda telah menambahkan rekaman DNS dengan benar tetapi masih melihat pesan "No DNS record found.", hal ini mungkin disebabkan oleh penundaan dalam verifikasi konsol. Anda dapat menunggu sebentar lalu mencoba lagi.

  3. Nama domain yang diikat ke Sertifikat SSL tidak cocok dengan nama domain dalam rekaman DNS.

     Catatan

     Jika Anda tidak menggunakan Alibaba Cloud DNS, Anda dapat membuka konsol penyedia DNS Anda untuk mengonfirmasi nama domain tersebut.

     1. Konfirmasi bahwa nama domainnya cocok.

     2. Di halaman validasi sertifikat SSL, Anda dapat mengklik Modify, masukkan ulang nama domain yang akan diikat ke sertifikat, lalu kirimkan lagi untuk ditinjau.

• Apa yang harus saya lakukan jika konsol menampilkan pesan 'Mismatch found in the DNS record.'?

  Penyebab umum dan solusinya adalah sebagai berikut:

  1. Nilai rekaman DNS dikonfigurasi salah.

     Salin catatan host dan nilai rekaman dari permintaan sertifikat lalu tempelkan kembali ke konfigurasi rekaman DNS Anda.

     

  2. Anda menggunakan DNSPod atau penyedia DNS lain untuk resolusi nama domain.

     Anda dapat mengabaikan pesan kesalahan di konsol untuk sementara. Setelah Anda mengonfigurasi rekaman DNS di DNSPod atau penyedia Anda sesuai persyaratan, tunggu hingga CA menyelesaikan validasi.

  3. Untuk sertifikat DV DigiCert, nilai rekaman DNS sudah lebih dari 24 jam.

     1. Anda dapat menghapus nilai rekaman TXT yang sudah lebih dari 24 jam.

     2. Anda dapat login ke konsol Layanan Manajemen Sertifikat, ajukan ulang sertifikat target, dan dapatkan nilai rekaman DNS TXT terbaru.

     3. Anda dapat membuka platform penyedia DNS Anda dan menambahkan nilai rekaman TXT baru.

     Catatan

     Timestamp untuk sertifikat DV GeoTrust selalu valid.

  4. Nilai rekaman belum disinkronkan ke server DNS di luar Tiongkok.

     Latensi sinkronisasi untuk rekaman DNS dinamis dapat mencegah server DNS otoritatif di luar Tiongkok mendapatkan nilai rekaman TXT terbaru. Anda dapat memeriksa apakah layanan resolusi dinamis Anda berjalan dengan benar dan menunggu hingga sinkronisasi selesai.

• Apa yang harus saya lakukan jika konsol menampilkan pesan 'Verification timed out. Try again.'?

  Kesalahan ini terjadi karena server situs mengalami error jaringan. Anda dapat menghubungi penyedia nama domain Anda untuk memeriksa dan memperbaiki masalah jaringan tersebut.

• Mengapa verifikasi konsol gagal meskipun rekaman DNS telah berlaku?

  Hal ini mungkin disebabkan oleh penundaan dalam verifikasi konsol. Tunggu sekitar satu menit lalu coba lagi.

• Verifikasi gagal karena terdapat rekaman CAA untuk nama domain

  Catatan

  Certification Authority Authorization (CAA) adalah jenis rekaman DNS yang memungkinkan pemilik domain menentukan CA mana yang diizinkan menerbitkan sertifikat SSL/TLS untuk domain mereka. Hal ini membantu mencegah penerbitan sertifikat yang tidak sah atau salah serta meningkatkan keamanan website.

  • Solusi 1: Buka penyedia DNS Anda, seperti konsol Alibaba Cloud DNS. Di halaman konfigurasi DNS untuk nama domain, hapus rekaman DNS yang memiliki tipe rekaman CAA. Setelah operasi selesai, ajukan kembali sertifikat tersebut.

  • Solusi 2: Tambahkan CA sertifikat ke rekaman DNS CAA. Setelah operasi selesai, ajukan ulang sertifikat tersebut.

  Catatan

  Jika rekaman CNAME domain Anda mengarah ke domain github.io, kebijakan CAA github.io juga diterapkan, yang memengaruhi penerbitan sertifikat. Dalam kasus ini, Anda dapat menangguhkan rekaman CNAME sebelum menerbitkan sertifikat, atau menambahkan trust-provider.com, globalsign.com, dan sectigo.com ke rekaman CAA.

• Penyedia DNS saya bukan Alibaba Cloud. Bagaimana cara mengonfigurasi rekaman DNS?

  Solusi	Metode	Keuntungan
  Konfigurasi dengan penyedia saat ini	Anda dapat login ke platform nama domain saat ini dan menambahkan rekaman validasi sertifikat SSL (TXT) dari Alibaba Cloud. Catatan Jika Anda memiliki pertanyaan, Anda dapat menghubungi penyedia DNS Anda.	Cepat dan langsung. Tidak perlu transfer nama domain.
  Transfer nama domain ke Alibaba Cloud	Setelah Anda menyelesaikan transfer nama domain seperti yang dijelaskan dalam Transfer nama domain ke Alibaba Cloud, Anda dapat mengonfigurasi DNS di konsol Alibaba Cloud DNS. Penting Saat mentransfer nama domain, Anda harus membayar biaya perpanjangan satu tahun. Harga transfer-masuk sama dengan harga perpanjangan satu tahun.	Nyaman untuk pembaruan sertifikat di masa depan dan manajemen nama domain terpadu.

Verifikasi file

• Apa yang harus saya lakukan jika pesan 'No file found.' muncul di konsol?

  Penyebab umum dan solusinya adalah sebagai berikut:

  • File verifikasi tidak diunggah ke direktori yang ditentukan di server.

    Lihat Verifikasi kepemilikan nama domain dan unggah file verifikasi ke direktori verifikasi yang ditentukan (.well-known/pki-validation/) di server situs.

  • Konsol mengalami penundaan verifikasi file.

    Jika Anda telah mengunggah file verifikasi ke direktori yang benar di server dan dapat mengakses kontennya baik melalui HTTPS Address maupun HTTP Address, tetapi konsol masih menampilkan pesan "No file found.", hal ini mungkin disebabkan oleh penundaan dalam verifikasi file konsol. Tidak perlu tindakan apa pun. Anda dapat menunggu sistem mencoba ulang.

• Apa yang harus saya lakukan jika konsol menampilkan pesan 'Verification timed out. Try again.'?

  Penyebab umum dan solusinya adalah sebagai berikut:

  • Port 80 atau 443 tidak terbuka di server.

    CA hanya mendukung verifikasi konten file verifikasi melalui HTTPS Address dan HTTP Address (port 443 dan port 80).

    • Solusi 1: Buka port 80 atau 443.

      Bagaimana cara membuka port 80 atau 443?

      Linux

      1. Jalankan perintah berikut di terminal server untuk memeriksa apakah port 443 terbuka:

         RHEL/CentOS

         command -v nc > /dev/null 2>&1 || sudo yum install -y nc
         # Ganti <your_server_public_ip> dengan Alamat IP publik server Anda.
         sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

         Jika output-nya Ncat: Connected to <your_server_public_ip>:443, port 443 terbuka. Jika tidak, buka port 443 di grup keamanan dan firewall.

         Debian/Ubuntu

         command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
         # Ganti <your_server_public_ip> dengan Alamat IP publik server Anda.
         sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

         Jika output-nya Connection to <your_server_public_ip> port [tcp/https] succeeded! atau [<your_server_public_ip>] 443 (https) open, port 443 terbuka. Jika tidak, buka port 443 di grup keamanan dan firewall.

      2. Buka port 443 di konfigurasi grup keamanan Anda.

         Penting

         Jika server Anda di-deploy di platform cloud, pastikan grup keamanannya mengizinkan lalu lintas masuk pada TCP port 443. Jika tidak, layanan tersebut tidak dapat diakses. Langkah-langkah berikut menggunakan contoh Alibaba Cloud ECS. Untuk platform cloud lainnya, lihat dokumentasi resminya.

         Buka halaman Instans Elastic Compute Service (ECS) lalu klik nama instans target untuk menuju halaman detail instans. Untuk informasi lebih lanjut, lihat Tambahkan aturan grup keamanan untuk menambahkan aturan di bagian Security Group Details dengan Action diatur ke Allow, Protocol ke Custom TCP, Destination (Current Instance) ke HTTPS (443), dan Source ke 0.0.0.0/0 (anywhere).

      3. Buka port 443 di firewall Anda.

         Jalankan perintah berikut untuk mengidentifikasi layanan firewall aktif di sistem Anda:

         if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
             echo "firewalld"
         elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
             echo "ufw"
         elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
             echo "nftables"
         elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
             echo "iptables"
         elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
             echo "iptables"
         else
             echo "none"
         fi

         Jika output-nya none, tidak perlu tindakan lebih lanjut. Jika tidak, jalankan perintah yang sesuai di bawah ini berdasarkan output (firewalld, ufw, nftables, atau iptables) untuk membuka port 443:

         firewalld

         sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

         ufw

         sudo ufw allow 443/tcp

         nftables

         sudo nft add table inet filter 2>/dev/null
         sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
         sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

         iptables

         sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

         Untuk memastikan aturan iptables tetap berlaku setelah reboot sistem, jalankan perintah berikut:

         RHEL/CentOS

         sudo yum install -y iptables-services
         sudo service iptables save

         Debian/Ubuntu

         sudo apt-get install -y iptables-persistent
         sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

      Windows

      1. Buka port 443 di grup keamanan

      Penting

      Jika server Anda di-deploy di platform cloud, pastikan grup keamanannya mengizinkan akses masuk pada TCP port 443. Jika tidak, layanan tidak dapat diakses dari Internet. Langkah-langkah berikut menggunakan contoh Alibaba Cloud ECS. Untuk platform cloud lainnya, lihat dokumentasi resminya.

      1. Buka halaman Instans ECS, pilih wilayah tempat instans ECS target berada, lalu klik nama instans untuk menuju halaman detail instans.

      2. Klik Security Group > All Intranet Inbound Rules, dan pastikan ada aturan dengan pengaturan berikut: Authorization Policy diatur ke Allow, Protocol Type adalah TCP, Destination Port Range adalah HTTPS (443), dan Authorization Object diatur ke Anywhere (0.0.0.0/0).

      3. Jika aturan tersebut tidak ada, lihat Tambahkan aturan grup keamanan untuk menambahkan aturan yang sesuai ke grup keamanan target.

      2. Buka port 443 di firewall lokal server

      1. Login ke server Windows, klik menu Start di pojok kiri bawah, lalu buka Control Panel.

      2. Klik System And Security > Windows Firewall > Check Firewall Status.

      3. Jika firewall dimatikan, seperti yang ditunjukkan pada gambar berikut, tidak perlu tindakan lebih lanjut.

      4. Jika firewall aktif, ikuti langkah-langkah berikut untuk mengizinkan aturan HTTPS.

         1. Di panel navigasi kiri, klik Advanced Settings > Inbound Rules, lalu periksa apakah ada aturan masuk dengan Protocol TCP, Local Port 443, dan Action Block.

         2. Jika aturan tersebut ada, klik kanan lalu pilih Properties. Di tab General, ubah pengaturannya menjadi Allow The Connection lalu klik Apply.

    • Solusi 2: Di panel Apply for Certificate, klik Cancel Application, lalu ubah metode verifikasi domain menjadi Manual DNS Verification.

  • Terdapat pengalihan 301 atau 302.

    • Anda dapat menggunakan perintah wget -S <URL> untuk memeriksa URL verifikasi apakah terdapat pengalihan. Respons HTTP/1.1 301 Moved Permanently atau HTTP/1.1 302 Found menunjukkan adanya pengalihan.

      wget -S http://<your_domain_name>/.well-known/pki-validation/<verification_file_name>

    • Hapus konfigurasi pengalihan tersebut. Kode berikut memberikan contoh konfigurasi 301 dan 302 di file nginx.conf.

      Konfigurasi 301

      server {
          listen 80;
          server_name <your_root_domain> <your_www_subdomain>;
          return 301 <redirect_domain>$request_uri;
      }

      Konfigurasi 302

      location /.well-known/ {
          return 302 <redirection_URL>
      }

  • Daftar putih dikonfigurasi di perangkat keamanan jaringan server situs.

    Jika daftar putih alamat IP yang diizinkan dikonfigurasi di pengaturan keamanan jaringan, seperti firewall atau grup keamanan, Anda harus sementara menambahkan segmen alamat IP CA ke daftar putih tersebut. Hal ini memastikan CA dapat mengakses server Anda.

    Vendor CA	IP
    DigiCert	216.168.247.9 64.78.193.238 216.168.249.9
    GlobalSign	211.123.204.251 180.222.177.99 114.179.250.1 114.179.250.2 27.115.18.218

• Apa yang dapat saya lakukan jika konsol menampilkan kesalahan 'File content is invalid.'?

  Penyebab umum dan solusinya adalah sebagai berikut:

  • Domain root dan subdomain www tidak dapat mengakses verification file secara bersamaan

    Baik Anda mengajukan sertifikat untuk domain root, seperti aliyundoc.com, maupun subdomain www-nya, seperti www.aliyundoc.com, CA memeriksa kedua domain tersebut secara bersamaan. Anda harus memastikan bahwa file verifikasi untuk kedua domain tersebut dapat diakses publik. Jika tidak, verifikasi akan gagal.

    Catatan

    Sebagai contoh, untuk www.aliyundoc.com dan aliyundoc.com, Anda harus memastikan bahwa baik http://www.aliyundoc.com/.well-known/pki-validation/fileauth.txt maupun http://aliyundoc.com/.well-known/pki-validation/fileauth.txt dapat diakses publik.

  • Konten verification file di server web tidak konsisten dengan konten verification file terbaru.

    Di panel Verify Information, klik View Detected File dan pastikan kontennya sesuai dengan verification file terbaru. Jika kontennya tidak sesuai, unduh dan unggah kembali verification file, lalu lakukan verifikasi lagi.

  • Situs memiliki akses HTTPS yang diaktifkan tetapi hanya mendukung akses HTTP.

    • Solusi 1: Deploy file verifikasi ke jalur layanan HTTP dan HTTPS, lalu pastikan protokol HTTPS dapat diakses.

    • Solusi 2: Sementara nonaktifkan layanan HTTPS untuk halaman terkait di situs.

  • Situs menggunakan layanan CDN, tetapi sinkronisasi data ke node layanan di luar Tiongkok belum lengkap.

    • Solusi 1: Sinkronkan verification file ke node layanan CDN di luar Tiongkok, atau sementara nonaktifkan layanan akselerasi CDN untuk wilayah di luar Tiongkok.

    • Solusi 2: Jika Anda tidak dapat melakukan perubahan pada server node layanan CDN, Anda dapat mengklik Cancel Application di panel Apply for Certificate lalu ubah metode verifikasi domain menjadi Manual DNS Verification.

  • Timestamp verification file telah kedaluwarsa.

    Anda harus mengunduh ulang verification file terbaru dan mengunggahnya ke server web Anda.