ACME DNS-01 Challenge: Menerbitkan Sertifikat TLS tanpa Membuka Port 80

Sertifikat TLS biasanya dapat diterbitkan otomatis, tetapi proses validasi domain tidak selalu cocok dilakukan melalui server web yang terbuka ke internet. Pada server internal, layanan di balik firewall, atau kebutuhan sertifikat wildcard, ACME DNS-01 challenge bisa menjadi pilihan. Metode ini membuktikan kendali atas domain melalui catatan DNS TXT, bukan dengan menyediakan berkas validasi pada port HTTP. Untuk konteks pengelolaan sertifikat yang lebih luas, lihat panduan TLS Delegated Credentials dan dokumentasi resmi Let’s Encrypt tentang jenis challenge.

DNS-01 bukan jalan pintas yang menghilangkan seluruh risiko. Prosesnya membutuhkan akses untuk mengubah DNS, dan kredensial yang terlalu luas justru dapat menjadi titik lemah. Dengan memahami alurnya, pemilik website dapat mengotomatisasi sertifikat sekaligus membatasi dampak jika salah satu komponen bermasalah.

Apa itu ACME dan DNS-01?

ACME adalah protokol untuk mengotomatisasi pengelolaan sertifikat antara klien dan otoritas sertifikat. Let’s Encrypt merupakan salah satu penyedia sertifikat yang mendukungnya. Sebelum menerbitkan sertifikat, otoritas sertifikat harus memverifikasi bahwa pemohon mengendalikan nama domain yang diminta.

Dalam metode DNS-01, klien ACME membuat nilai validasi dan meminta pemilik domain memasangnya sebagai TXT pada nama khusus, biasanya _acme-challenge.nama-domain. Otoritas sertifikat kemudian melakukan kueri DNS dan membandingkan nilai yang ditemukan dengan nilai yang diharapkan. Jika cocok, validasi dapat dinyatakan berhasil.

Perbedaannya dengan HTTP-01

HTTP-01 mengharuskan token tersedia melalui alamat khusus di server web dan validasi dilakukan melalui port 80. Cara ini sederhana untuk website publik, tetapi dapat menyulitkan server yang tidak bisa diakses dari internet atau ketika beberapa server perlu menyajikan berkas validasi yang sama.

DNS-01 cukup mengubah DNS. Karena itu, metode ini cocok untuk layanan internal dan mendukung sertifikat wildcard seperti *.example.com. Namun, otomatisasinya bergantung pada kemampuan klien ACME dan penyedia DNS, terutama jika perubahan TXT dilakukan melalui API.

Alur validasi secara praktis

1. Klien ACME meminta tantangan validasi untuk nama domain yang akan disertifikasi.
2. Klien menghitung nilai DNS-01 sesuai protokol ACME, lalu membuat catatan TXT pada nama tantangan.
3. Perubahan DNS dipublikasikan dan diberi waktu agar dapat terlihat oleh resolver yang digunakan otoritas sertifikat.
4. Otoritas sertifikat mencari TXT dan memeriksa apakah nilainya cocok.
5. Setelah validasi sukses, klien menyelesaikan permintaan sertifikat, menyimpan sertifikat dan kunci, lalu memasangnya pada layanan yang memerlukannya.
6. Klien membersihkan catatan TXT tantangan setelah proses selesai, sesuai kemampuan dan konfigurasi penyedia DNS.

Nilai TXT bukan sembarang teks buatan sendiri. Klien ACME menghitungnya dari token tantangan dan kunci akun, kemudian menerapkan hash dan pengodean yang ditentukan protokol. Karena itu, gunakan klien ACME tepercaya dan jangan menyalin nilai dari contoh dokumentasi untuk validasi domain sungguhan.

Contoh pemeriksaan catatan TXT

Misalnya, tantangan untuk example.com menggunakan nama _acme-challenge.example.com. Setelah klien menambahkan TXT, administrator dapat memeriksa apakah resolver mengembalikan nilai yang diharapkan:

dig TXT _acme-challenge.example.com +short

Perintah tersebut hanya membantu memeriksa hasil kueri DNS; hasilnya bukan bukti tunggal bahwa validasi CA pasti berhasil. Periksa juga nama record, nilai lengkap, dan status propagasi. Antarmuka penyedia DNS dapat menampilkan nama relatif terhadap zona, sehingga pastikan akhiran domain tidak tertambahkan dua kali.

Propagasi DNS dan beberapa TXT

Perubahan DNS tidak selalu terlihat serentak di semua resolver. Cache, TTL, dan karakteristik jaringan anycast dapat membuat hasil berbeda untuk sementara. Jika validasi terlalu cepat dimulai, otoritas sertifikat mungkin belum melihat nilai baru dan permintaan dapat gagal.

Atur waktu tunggu berdasarkan perilaku penyedia DNS, atau gunakan pemeriksaan propagasi yang disediakan klien maupun API DNS. Jangan menganggap satu kueri dari laptop sudah mewakili seluruh jalur validasi. Beberapa tantangan dapat memakai nama yang sama secara bersamaan, sehingga beberapa nilai TXT mungkin hadir pada waktu yang sama. Setelah selesai, bersihkan nilai lama secara hati-hati agar jawaban DNS tidak membesar dan proses berikutnya tetap mudah dikelola.

Pengamanan kredensial DNS API

Bagian paling sensitif sering kali bukan sertifikatnya, melainkan token API yang dapat mengubah DNS. Jika token memiliki izin mengelola seluruh zona, kompromi pada server web dapat memungkinkan penyerang mengubah record lain, mengalihkan lalu lintas, atau mengganggu layanan.

• Gunakan token dengan hak minimum yang benar-benar diperlukan; hindari kunci akun global.
• Jika penyedia mendukungnya, batasi token ke zona atau operasi DNS yang diperlukan.
• Simpan rahasia di secret manager atau penyimpanan kredensial dengan izin sistem yang ketat, bukan di repositori Git atau log.
• Pertimbangkan delegasi khusus untuk _acme-challenge melalui CNAME atau NS agar zona validasi terpisah dari DNS utama.
• Jika memungkinkan, jalankan validasi pada host pengelola sertifikat terpisah, lalu distribusikan sertifikat dengan saluran yang aman.

Otomatisasi pembaruan dan pemantauan

Sertifikat yang berhasil diterbitkan hari ini tetap perlu diperbarui sebelum kedaluwarsa. Pastikan job pembaruan dijalankan berkala, memiliki akses DNS yang masih berlaku, dan dapat membersihkan record tantangan. Uji proses pembaruan di lingkungan yang aman sebelum mengandalkannya untuk layanan penting.

Tambahkan pemantauan untuk kegagalan validasi, kegagalan pembaruan, dan sisa masa berlaku sertifikat. Notifikasi harus dikirim ke pihak yang dapat bertindak, bukan hanya ditulis ke log yang jarang diperiksa. Simpan log yang cukup untuk diagnosis, tetapi jangan mencatat token rahasia atau kredensial API.

Kapan DNS-01 menjadi pilihan tepat?

Pilih DNS-01 jika memerlukan sertifikat wildcard, melindungi layanan yang tidak terbuka ke internet, atau mengelola banyak server di belakang satu domain. HTTP-01 mungkin lebih sederhana jika website publik sudah tersedia dan penyedia DNS tidak memiliki API yang aman untuk otomatisasi. Keputusan sebaiknya mempertimbangkan kemampuan tim, keamanan kredensial, dan cara distribusi sertifikat, bukan hanya jumlah langkah konfigurasi.

Kesimpulan

ACME DNS-01 memungkinkan validasi domain melalui TXT sehingga penerbitan sertifikat TLS dapat dilakukan tanpa membuka port 80 dan mendukung sertifikat wildcard. Keberhasilan implementasi bergantung pada nama record yang benar, propagasi DNS, pembersihan tantangan, serta pengamanan kredensial API. Mulailah dengan satu domain uji, verifikasi pembaruan otomatis, lalu terapkan pemantauan sebelum mengandalkannya pada sistem produksi.

Referensi teknis: dokumentasi jenis challenge Let’s Encrypt dan RFC 8555 — Automatic Certificate Management Environment (ACME).