Apa yang dimaksud dengan Protokol ACME? Panduan Manajemen Sertifikat Otomatis

Sertifikat SSL/TLS menjaga situs web dan layanan Anda tetap aman-tetapi mengelolanya secara manual itu membosankan dan berisiko. Di situlah protokol ACME berperan.

Singkatan dari Automated Certificate Management Environment, ACME mengotomatiskan penerbitan, pembaruan, dan pencabutan sertifikat, sehingga menghilangkan pekerjaan manual dan mengurangi kemungkinan sertifikat yang kedaluwarsa membuat situs Anda offline.

Awalnya dikembangkan oleh Internet Security Research Group (ISRG) untuk Let’s Encrypt, ACME telah berkembang menjadi standar industri yang bekerja dengan berbagai otoritas sertifikat dan sekarang digunakan oleh berbagai organisasi di seluruh dunia.

Pergeseran ini menjadi semakin penting karena masa berlaku sertifikat terus menyusut. Masa berlaku maksimum berubah menjadi 200 hari mulai Maret 2026, turun menjadi 100 hari mulai Maret 2027, dan mencapai hanya 47 hari mulai 15 Maret 2029. Pada saat itu, pengelolaan sertifikat secara manual tidak lagi praktis dalam skala apa pun.

---

Daftar Isi

1. Apa itu ACME?
2. Cara Kerja Protokol ACME
3. Jenis Sertifikat yang Didukung oleh ACME
4. Manfaat Menggunakan ACME
5. Menyiapkan Klien ACME
6. ACME vs Protokol Pendaftaran Lainnya

---

---

Apa yang dimaksud dengan Protokol ACME?

Protokol ACME, atau Lingkungan Manajemen Sertifikat Otomatis, mengotomatiskan siklus hidup penuh sertifikat SSL/TLS. Protokol ini menghilangkan langkah-langkah manual dengan menggunakan komunikasi standar antara klien ACME dan otoritas sertifikat untuk mengelola penerbitan, validasi, instalasi, pembaruan, dan pencabutan.

Protokol ini menggunakan arsitektur klien-server di mana klien ACME (yang diinstal pada server Anda) berkomunikasi dengan server ACME (yang dioperasikan oleh otoritas sertifikat) untuk meminta, memvalidasi, dan mengelola sertifikat tanpa campur tangan manusia. Otomatisasi ini mencegah sertifikat kedaluwarsa, mengurangi risiko keamanan, dan membebaskan tim TI dari tugas-tugas manual yang berulang-ulang.

Evolusi Protokol ACME

Internet Security Research Group menciptakan ACME secara khusus untuk Let’s Encrypt, otoritas sertifikat publik gratis yang diluncurkan pada tahun 2015. Versi pertama, ACME v1, diluncurkan pada tahun 2016 dan membuktikan bahwa konsep ini dapat bekerja dalam skala besar.

Pada tahun 2018, ACME v2 hadir dengan peningkatan penting. ACME v2 menambahkan dukungan untuk sertifikat wildcard (yang mencakup semua subdomain di bawah sebuah domain) dan memperkenalkan validasi DNS TXT untuk keamanan yang lebih kuat. ACME v2 menjadi standar resmi ketika IETF menerbitkan RFC 8555, dan ACME v1 dihapuskan pada tahun 2021.

Karena ACME adalah sumber terbuka, ACME telah diadopsi oleh otoritas sertifikat publik dan vendor PKI di seluruh industri. Anda tidak terkunci pada satu CA saja-Anda bisa memilih dari beberapa penyedia atau beralih di antara mereka saat kebutuhan Anda berubah. Fleksibilitas ini adalah salah satu alasan ACME menjadi protokol pilihan untuk manajemen sertifikat otomatis.

---

Cara Kerja Protokol ACME

ACME menggunakan model klien-server. Klien ACME berjalan pada server atau perangkat Anda dan berkomunikasi dengan server ACME yang dioperasikan oleh otoritas sertifikat. Seluruh pertukaran menggunakan pesan JSON yang dikirim melalui HTTPS, sehingga aman dan terstandardisasi.

Berikut ini alur kerja dasarnya:

1. Pilih agen dan domain Anda. Anda menginstal klien ACME (seperti Certbot atau Caddy) di server Anda dan memberitahukan domain mana yang ingin Anda amankan.
2. Pilih CA. Arahkan klien Anda ke otoritas sertifikat yang kompatibel dengan ACME-DigiCert, Sectigo, atau CA lain yang mendukung protokol.
3. Hasilkan pasangan kunci dan CSR. Klien membuat kunci pribadi dan permintaan penandatanganan sertifikat (CSR) dengan informasi domain Anda.
4. Buktikan kontrol domain. CA menantang Anda untuk membuktikan bahwa Anda mengendalikan domain tersebut. Anda bisa merespons dengan tantangan HTTP-01 (menempatkan berkas pada server web Anda) atau tantangan DNS-01 (menambahkan catatan TXT ke DNS Anda).
5. Tanda tangani surat pernyataan. Klien menandatangani nonce unik (nilai acak satu kali) dengan kunci pribadi Anda untuk membuktikan keasliannya.
6. Menerima sertifikat Anda. CA memverifikasi semuanya dan menerbitkan X.509 Anda. Sertifikat dikirimkan ke klien ACME dan diinstal secara otomatis.

Perpanjangan dan pencabutan mengikuti proses yang sama. Klien dapat meminta sertifikat baru sebelum yang lama kedaluwarsa, atau mencabut sertifikat yang dikompromikan, semuanya tanpa intervensi manual.

---

Jenis Sertifikat yang Didukung oleh ACME

ACME terutama menerbitkan sertifikat Domain Validated (DV), yang hanya memverifikasi bahwa Anda yang mengendalikan domain. Sertifikat ini merupakan yang tercepat untuk diterbitkan dan berfungsi dengan baik untuk sebagian besar situs web dan layanan.

Sertifikat Organization-Validated (OV ) dan Extended Validation (EV) memerlukan bukti tambahan-seperti dokumentasi bisnis-untuk mengonfirmasi identitas organisasi Anda. ACME dapat mendukung sertifikat OV dan EV, tetapi Anda harus menambahkan langkah-langkah verifikasi manual karena protokol itu sendiri tidak menangani validasi bisnis. Beberapa CA menawarkan alur kerja hibrida yang menggabungkan otomatisasi ACME dengan tinjauan manusia untuk sertifikat dengan jaminan yang lebih tinggi.

Sertifikat wildcard layak mendapat perhatian khusus. ACME v2 menambahkan dukungan asli untuk wildcard, yang mengamankan semua subdomain di bawah sebuah domain (seperti *.example.com). Untuk menerbitkan sertifikat wildcard, Anda harus menyelesaikan tantangan DNS-01-menambahkan catatan TXT ke zona DNS Anda-karena tantangan HTTP tidak dapat membuktikan kontrol atas semua subdomain yang mungkin. Validasi DNS ini menambahkan lapisan keamanan dan membuat sertifikat wildcard lebih andal.

---

---

Manfaat Menggunakan ACME

• Otomatisasi Menghilangkan Pekerjaan Manual. Manajemen sertifikat secara manual lambat dan rentan terhadap kesalahan. ACME mengotomatiskan setiap langkah-penerbitan, pemasangan, pembaruan, dan pencabutan-sehingga Anda tidak perlu membuat CSR, menyalin-tempel sertifikat ACME, atau mengatur pengingat kalender. Otomatisasi ini mengurangi kesalahan manusia dan membebaskan tim Anda untuk fokus pada pekerjaan yang lebih penting.
• Keamanan yang Lebih Baik Melalui Perpanjangan Otomatis. Sertifikat yang kedaluwarsa menyebabkan pemadaman dan peringatan keamanan. ACME menyediakan keamanan yang ditingkatkan dengan memperbarui sertifikat secara otomatis sebelum habis masa berlakunya, sehingga Anda tidak perlu khawatir akan melupakan tenggat waktu pembaruan. Hal ini membuat layanan Anda tetap online dan pengguna Anda tetap aman.
• Penghematan Biaya dan Visibilitas yang Lebih Baik. Banyak CA yang kompatibel dengan ACME, seperti Let’s Encrypt, menawarkan sertifikat DV gratis. Bahkan jika Anda menggunakan CA komersial, otomatisasi mengurangi biaya tenaga kerja untuk mengelola sertifikat ACME. Selain itu, ketika Anda mengintegrasikan ACME dengan platform manajemen sertifikat, Anda mendapatkan tampilan terpusat untuk semua sertifikat Anda – tanggal kedaluwarsa, status penerbitan, dan peristiwa siklus hidup – sehingga tidak ada yang terlewatkan.
• CA Agility. Standar terbuka ACME berarti Anda tidak terkunci pada satu vendor. Jika CA Anda mengalami pemadaman atau Anda ingin berganti penyedia, Anda dapat mengarahkan klien ACME Anda ke CA yang berbeda tanpa menulis ulang otomatisasi Anda. Pendekatan CA-agnostik ini memberikan fleksibilitas dan membantu Anda menghindari penguncian vendor.
• Sumber Terbuka dan Dapat Diakses. ACME adalah protokol terbuka tanpa biaya lisensi. Siapa pun dapat mengimplementasikan klien atau server ACME, dan ekosistem alat yang berkembang pesat. Keterbukaan ini mendorong inovasi dan membuat manajemen sertifikat otomatis tersedia untuk organisasi dari semua ukuran.

Semua manfaat ini diterjemahkan ke dalam lebih sedikit pemadaman, kepatuhan yang lebih baik, dan infrastruktur yang lebih aman. ACME mengubah manajemen sertifikat dari sakit kepala yang berulang menjadi tugas latar belakang yang hanya berfungsi.

---

Menyiapkan Klien ACME

Memulai dengan ACME sangat mudah. Berikut ini panduan langkah demi langkah:

1. Pilih klien ACME yang kompatibel dan tentukan domain Anda.
Pilih klien ACME yang sesuai dengan lingkungan Anda. Pilihan yang populer meliputi:

• Certbot – klien yang paling banyak digunakan, dikelola oleh Electronic Frontier Foundation
• Caddy – server web dengan dukungan ACME bawaan
• ACMESharp – modul PowerShell untuk lingkungan Windows
• GetSSL – skrip bash sederhana untuk sistem seperti Unix
• Posh-ACME – opsi PowerShell lain dengan fitur-fitur canggih

Beritahukan kepada klien domain (atau beberapa domain) mana yang ingin Anda amankan.

2. Pilih CA yang kompatibel dengan klien Anda.
Arahkan klien Anda ke server ACME. Let’s Encrypt merupakan pilihan yang paling umum, tetapi Sectigo, Keyfactor, dan CA komersial lainnya juga menawarkan titik akhir ACME. Pastikan Anda menggunakan server yang kompatibel dengan ACME v2 – ACME v1 sudah tidak digunakan lagi.

3. Menghasilkan pasangan otorisasi kunci.
Klien membuat kunci privat dan menggunakannya untuk menghasilkan permintaan penandatanganan sertifikat. Proses pembuatan pasangan kunci ini ditangani secara otomatis oleh klien ACME. Jaga keamanan kunci pribadi Anda – iniadalah dasar dari kepercayaan sertifikat Anda.

4. Selesaikan tantangan untuk membuktikan kontrol domain.
Tergantung pada pengaturan Anda, Anda akan menyelesaikan tantangan HTTP-01 (meng-hosting file di server web Anda) atau tantangan DNS-01 (menambahkan catatan TXT ke DNS Anda). Untuk sertifikat wildcard, DNS-01 diperlukan. Klien biasanya menangani hal ini secara otomatis jika memiliki akses API ke penyedia DNS Anda.

5. Tanda tangani nonce dengan kunci pribadi Anda.
CA mengirimkan nonce yang unik, dan klien menandatanganinya dengan kunci pribadi Anda. Hal ini membuktikan bahwa Anda mengendalikan pasangan kunci dan mencegah serangan replay.

6. Mulai menerbitkan, memperbarui, dan mencabut sertifikat secara otomatis.
Setelah CA memverifikasi respons Anda, CA akan menerbitkan sertifikat ACME Anda. Klien menginstalnya dan mengatur pembaruan otomatis. Mulai saat ini, sertifikat akan diperbarui di latar belakang tanpa intervensi manual.

Tip: Tetaplah menggunakan ACME v2. Ini adalah standar saat ini dan menawarkan keamanan dan fitur yang lebih baik. ACME v1 tidak lagi didukung oleh sebagian besar CA.

---

ACME vs Protokol Pendaftaran Lainnya

ACME bukan satu-satunya protokol untuk mengotomatiskan pendaftaran sertifikat. Dua protokol yang lebih tua – SCEP (Simple Certificate Enrollment Protocol) dan EST (Enrollment over Secure Transport) – juga ada, tetapi masing-masing memiliki keterbatasan.

SCEP mengotomatiskan penerbitan sertifikat awal dan secara luas digunakan untuk pendaftaran perangkat di lingkungan perusahaan. Tetapi SCEP tidak menangani pencabutan atau pembaruan dengan baik, jadi Anda memerlukan alat tambahan atau proses manual untuk mengelola siklus hidup sertifikat secara penuh. Ini adalah protokol lama yang mendahului kebutuhan otomatisasi modern.

EST adalah standar yang lebih baru yang mengotomatiskan pendaftaran dan pembaruan, tetapi belum mencapai tingkat adopsi yang sama dengan ACME. Lebih sedikit CA dan klien yang mendukung EST, yang membatasi kegunaannya dalam penerapan di dunia nyata.

ACME menonjol karena ACME mengelola siklus hidup penuh-penerbitan, pembaruan, dan pencabutan-dalam satu protokol. Protokol ini digerakkan oleh komunitas, didokumentasikan secara terbuka dalam RFC 8555, dan didukung oleh berbagai macam otoritas sertifikat dan alat bantu sumber terbuka. Bagi sebagian besar organisasi, kombinasi otomatisasi, fleksibilitas, dan dukungan ekosistem ACME menjadikannya pilihan utama.

---

Praktik dan Pertimbangan Terbaik

• Gunakan ACME v2 dan tetap mengikuti perkembangan RFC 8555. ACME v1 sudah tidak digunakan lagi. Pastikan klien dan server Anda mendukung ACME v2, dan selalu perbarui alat Anda untuk mendapatkan manfaat dari peningkatan keamanan dan fitur-fitur baru.
• Lebih memilih tantangan DNS-01 untuk sertifikat wildcard. Jika Anda perlu mengamankan semua subdomain di bawah sebuah domain, gunakan sertifikat wildcard dengan validasi DNS-01. HTTP-01 challenges can’t prove control over all possible subdomains, so DNS is the only option. Automate this by giving your ACME client API access to your DNS provider.
• Pertahankan CA cadangan untuk ketahanan. Kelincahan CA adalah salah satu kekuatan ACME. Konfigurasikan otomatisasi Anda untuk gagal ke CA sekunder jika CA utama Anda mengalami gangguan. Hal ini memastikan penerbitan sertifikat yang berkelanjutan meskipun salah satu penyedia mengalami masalah.
• Mengintegrasikan ACME dengan platform manajemen sertifikat. Untuk penerapan yang lebih besar, sambungkan otomatisasi ACME Anda ke platform seperti Keyfactor, AppViewX, atau CyberArk. Alat-alat ini memberi Anda visibilitas di semua sertifikat Anda, membantu Anda menegakkan kebijakan, dan mempermudah audit infrastruktur Anda.
• Amankan kunci pribadi Anda. Bahkan dengan otomatisasi, keamanan tetaplah penting. Simpan kunci pribadi dalam modul keamanan perangkat keras (HSM) atau gunakan metode pengesahan perangkat (seperti Secure Enclave dari Apple) untuk lingkungan dengan jaminan tinggi. Alat-alat seperti Dynamic PKI dari SecureW2 dengan Cloud RADIUS dapat membantu mengintegrasikan identitas perangkat ke dalam alur kerja sertifikat Anda.
• Memantau tanggal kedaluwarsa sertifikat. Otomatisasi memang dapat diandalkan, tetapi tidak mudah. Siapkan peringatan untuk memberi tahu Anda jika sertifikat mendekati masa berlaku tanpa diperbarui. Ini memberi Anda jaring pengaman jika terjadi kesalahan pada otomatisasi Anda.

---

Siap Mengotomatiskan Siklus Hidup Sertifikat Anda?

Berhentilah mengkhawatirkan tentang sertifikat yang kedaluwarsa dan pembaruan manual. SSL Dragon menawarkan sertifikat SSL yang kompatibel dengan ACME dari otoritas tepercaya seperti Sectigo dan DigiCert – mulaidari hanya $25/tahun. Dapatkan penerbitan, pembaruan, dan manajemen otomatis dengan penerbitan ulang tanpa batas, cakupan garansi $500.000+, dan dukungan teknis 24/7.

Apakah Anda memerlukan sertifikat Domain Validated (DV), Organization-Validated (OV), atau Extended Validation (EV), solusi ACME kami terintegrasi dengan mulus dengan klien populer seperti Certbot, acme.sh, dan banyak lagi.

Jelajahi Sertifikat SSL ACME