Cara Memasang Sertifikat SSL ACME di LiteSpeed

Panduan ini mencakup semua yang Anda perlukan untuk menginstal sertifikat SSL ACME di LiteSpeed, termasuk OpenLiteSpeed dan LiteSpeed Enterprise.

Anda akan menyiapkan klien ACME, menghubungkannya ke penyedia sertifikat Anda, meminta sertifikat yang aman, dan mengonfigurasi LiteSpeed untuk menggunakannya, semuanya hanya dalam beberapa langkah yang jelas. Setelah selesai, sertifikat Anda akan diperbarui secara otomatis tanpa perlu campur tangan manual.

Kami akan menggunakan ACME.sh, sebuah alat yang ringan dan andal yang mendukung Pengikatan Akun Eksternal (External Account Binding/EAB), yang diperlukan untuk SSL ACME komersial dari Sectigo dan DigiCert.

---

Apa yang Anda Perlukan Sebelum Memulai

Pastikan Anda sudah menyiapkannya:

• Server Web LiteSpeed terinstal (OpenLiteSpeed atau Enterprise)
• Akses SSH dengan hak akses root atau sudo
• Catatan DNS A/AAAA domain Anda yang mengarah ke server ini
• Langganan SSL ACME yang aktif (dari Sectigo atau DigiCert)
• Kredensial EAB Anda (kunci KID + HMAC)
• Port 80 terbuka – tantangan ACME berjalan melalui HTTP biasa
• Akses internet keluar ke titik akhir penyedia ACME Anda

Titik akhir ACME untuk digunakan:

• Sectigo: https://acme.sectigo.com/v2/DV
• DigiCert: https://acme.digicert.com/v2/acme

---

Langkah 1: Instal ACME.sh

Kita akan mulai dengan menginstal ACME.sh, skrip ringan yang menangani permintaan dan pembaruan sertifikat Anda.

Buka jendela terminal (SSH) dan sambungkan ke server LiteSpeed Anda sebagai root. Jika Anda menggunakan VPS atau server cloud, sambungkan menggunakan:

ssh root@your-server-ip

Setelah Anda masuk, jalankan perintah berikut untuk menginstal ACME.sh:

curl https://get.acme.sh | sh
source ~/.bashrc
acme.sh --version

Ini mengunduh skrip, menyiapkan lingkungan, dan mengonfirmasi bahwa skrip telah terpasang dengan benar.

Jika penginstalan gagal:

• Pastikan curl dan git telah terinstal di server Anda
• Jika ada yang macet, jalankan kembali penginstalan dengan –force

---

Langkah 2: Daftarkan Akun ACME Anda (dengan EAB)

Langkah ini menautkan klien ACME Anda ke CA menggunakan kredensial EAB dari langganan Anda.

acme.sh --register-account \
  --server https://acme.sectigo.com/v2/DV \
  --eab-kid EAB_KID \
  --eab-hmac-key EAB_HMAC_KEY \
  --accountemail [email protected]

Ganti nilainya dengan kredensial asli Anda. Jika Anda sudah terdaftar dengan pasangan EAB yang sama, tidak masalah, ACME.sh akan menggunakan kembali akun yang sudah ada.

Jika gagal, periksa:

• Apakah kredensial EAB Anda sudah benar?
• Dapatkah server Anda menjangkau HTTPS keluar (port 443)?

---

Langkah 3: Siapkan Webroot dan Uji Validasi HTTP

ACME menggunakan tantangan HTTP-01 untuk memverifikasi kepemilikan domain. Itu berarti server Anda harus merespons di: http://yourdomain.com/.well-known/acme-challenge/

Itu berarti klien ACME akan menjatuhkan berkas uji dalam folder bernama .well-known, dan server Anda harus menyajikannya melalui HTTP biasa (port 80).

Di mana letak webroot pada server Anda?

Tergantung pada apa yang Anda jalankan. Pada OpenLiteSpeed (instalasi baru), secara default, root Web berada di /usr/local/lsws/Example/html.

Pada LiteSpeed Enterprise (WHM atau konfigurasi manual), root Web berada di mana pun domain Anda mengarah, biasanya seperti: /home/user Anda/public_html

Membuat folder validasi dan file pengujian

Di root dokumen Anda (sesuaikan jalur agar sesuai dengan jalur Anda), jalankan:

mkdir -p /your/webroot/.well-known/acme-challenge
echo "ok" > /your/webroot/.well-known/acme-challenge/testfile
curl -I http://yourdomain.com/.well-known/acme-challenge/testfile

If you see HTTP/1.1 200 OK, your server is ready to answer ACME challenges.

Bagaimana jika Anda memaksakan HTTPS?

Jika situs Anda secara otomatis mengalihkan HTTP ke HTTPS, Anda perlu membuat pengecualian untuk jalur ACME agar tetap menggunakan HTTP selama validasi. Tambahkan ini ke file .htaccess Anda:

RewriteEngine On
# Let ACME validation go through
RewriteRule ^\.well-known/acme-challenge/ - [L]
# Redirect everything else to HTTPS
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Hal ini memastikan tantangan ini berfungsi bahkan jika situs Anda menggunakan HTTPS.

Pemeriksaan tambahan: apakah port 80 terbuka?

Jika validasi gagal, server Anda mungkin tidak mendengarkan HTTP. Periksa pendengar LiteSpeed Anda.

Untuk OpenLiteSpeed:

1. Masuk ke LiteSpeed WebAdmin: https://:7080
2. Navigasikan ke Pendengar > Default (ini ada pada instalasi baru).
3. Siap:
   • Port = 80
   • IP = APA SAJA

Untuk LiteSpeed Enterprise:

Masuk ke WHM atau WebAdmin, dan pastikan domain Anda mendengarkan pada port 80. Jika layanan lain menggunakan port tersebut, jalankan:

sudo lsof -i :80

Hentikan proses yang saling bertentangan, lalu mulai ulang LiteSpeed.

---

Langkah 4: Terbitkan Sertifikat SSL Anda

Sekarang saatnya untuk meminta sertifikat SSL Anda melalui klien ACME. Anda akan menjalankan perintah ini secara langsung pada terminal server Anda (SSH), tempat yang sama dengan tempat Anda menginstal ACME.sh sebelumnya.

acme.sh --issue \
  -d yourdomain.com \
  -w /path/to/your/webroot \
  --server https://acme.yourca.com/v2/endpoint

Mari kita uraikan:

• acme.sh –issue – memberi tahu ACME.sh bahwa Anda ingin menerbitkan sertifikat baru.
• -d yourdomain.com – nama domain utama Anda. Anda dapat menambahkan lebih banyak bendera -d untuk subdomain atau versi www, seperti -d www.yourdomain.com.
• -w /path/to/your/webroot – jalur lengkap ke root dokumen situs web Anda.
• –server https://acme.yourca.com/v2/endpoint – ganti dengan URL ACME CA Anda:
  • Sectigo: https://acme.sectigo.com/v2/DV
  • DigiCert: https://acme.digicert.com/v2/acme

Jika gagal dengan kesalahan seperti: “tidak sah”, “tidak didelegasikan”, atau “respons tidak valid”, biasanya berarti:

• Catatan DNS A/AAAA domain belum mengarah ke server ini.
• Jalur webroot Anda salah. ACME tidak dapat menemukan file tantangan.
• Port 80 diblokir atau dialihkan ke HTTPS.
• Anda menggunakan URL server CA yang salah untuk produk Anda.

---

Langkah 5: Instal Sertifikat dan Atur Pemuatan Ulang

Sekarang kita menginstal sertifikat dan memberi tahu LiteSpeed untuk memuat ulang setelah pembaruan.

Pertama, buat direktori untuk sertifikat:

mkdir -p /usr/local/lsws/conf/cert/yourdomain.com

Kemudian pasanglah:

acme.sh --install-cert -d yourdomain.com \
  --key-file /usr/local/lsws/conf/cert/yourdomain.com/yourdomain.com.key \
  --fullchain-file /usr/local/lsws/conf/cert/yourdomain.com/yourdomain.com.crt \
  --reloadcmd "/usr/local/lsws/bin/lswsctrl reload"

Memperbaiki izin:

chmod 600 /usr/local/lsws/conf/cert/yourdomain.com/yourdomain.com.key
chown -R nobody:nogroup /usr/local/lsws/conf/cert/yourdomain.com

Ganti nobody:nogroup dengan pengguna dan grup LiteSpeed Anda yang sebenarnya jika berbeda.

---

Langkah 6: Konfigurasikan HTTPS di LiteSpeed

Setelah sertifikat Anda terinstal, mari sambungkan ke LiteSpeed agar situs web Anda dapat dimuat melalui HTTPS.

Untuk OpenLiteSpeed (panel WebAdmin)

1. Masuk ke konsol WebAdmin. Kunjungi: https://your-server-ip:7080
2. Create a secure HTTPS listener. In the left menu, go to: Listeners > Add > Then set the following:
   • Nama HTTPS
   • Alamat IP: APA SAJA
   • Port: 443
   • Aman: Ya
     
     
3. Klik Simpan.
4. Setelah menyimpan, klik pendengar HTTPS baru Anda dan buka tab SSL .
5. Masukkan jalur lengkap ke file sertifikat dan kunci yang telah Anda instal sebelumnya, lalu klik Simpan lagi.
   • File Kunci Pribadi: /usr/local/lsws/conf/cert/yourdomain.com/yourdomain.com.key
   • File Sertifikat: /usr/local/lsws/conf/cert/yourdomain.com/yourdomain.com.crt
     
     
6. Masih di bawah pendengar HTTPS, buka tab Pemetaan Host Virtual.
7. Tambahkan pemetaan seperti ini:
   • Host Virtual: Contoh (Ganti Contoh dengan nama host virtual yang sebenarnya jika Anda mengubahnya.)
   • Domain: *
     
     
8. Untuk menerapkan semua perubahan, mulai ulang LiteSpeed. Anda dapat melakukan ini dari WebAdmin: Actions > Graceful Restart

Untuk LiteSpeed Enterprise

Jika Anda menggunakan LiteSpeed Enterprise (misalnya dengan WHM/cPanel), langkah-langkahnya serupa, tetapi tata letaknya mungkin sedikit berbeda.

1. Mengakses WebAdmin atau WHM
2. Gunakan panel WebAdmin (sama seperti di atas) atau konfigurasikan SSL melalui panel hosting Anda.
3. Menetapkan sertifikat dan jalur kunci
4. Di mana pun host virtual domain Anda ditetapkan, tetapkan:
   • File Kunci Pribadi: /usr/local/lsws/conf/cert/yourdomain.com/yourdomain.com.key
   • File Sertifikat: /usr/local/lsws/conf/cert/yourdomain.com/yourdomain.com.crt
5. Muat ulang LiteSpeed
6. Terapkan perubahan dengan menjalankan layanan lsws reload

Selesai. Setelah LiteSpeed dimuat ulang, situs Anda akan mulai melayani lalu lintas melalui HTTPS menggunakan sertifikat ACME yang telah Anda instal.

---

Langkah 7: Periksa HTTPS dan Pembaruan Otomatis

Kunjungi situs Anda. Anda harus melihat:

• CN/SAN yang benar
• Tidak ada peringatan browser

Sekarang periksa apakah ACME.sh menambahkan pekerjaan cron:

crontab -l

Seharusnya terlihat seperti ini:

24 13 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null

Uji pembaruan secara manual:

acme.sh --renew -d yourdomain.com --force
tail -n 40 ~/.acme.sh/acme.sh.log

Jika perintah muat ulang Anda benar, LiteSpeed akan mengambil sertifikat baru secara otomatis.

---

Mengalami Masalah? Inilah yang Harus Diperiksa

Jika ada sesuatu yang tidak berfungsi selama penerbitan atau pembaruan, pemeriksaan cepat ini akan menyelesaikannya:

404 Tidak Ditemukan” pada file tantangan

• Periksa jalur -w yang Anda gunakan. Apakah jalur tersebut mengarah ke root dokumen yang benar?
• Pastikan folder.well-known/acme-challenge/ ada di dalam root tersebut
• Coba akses file uji secara manual melalui HTTP (curl atau browser)

Kesalahan “Tidak Sah” atau “Tidak Didelegasikan”

• DNS Anda mungkin belum mengarah ke server. Periksa catatan A/AAAA Anda
• Periksa kembali URL server CA Anda
• Apakah Anda menggunakan kredensial EAB yang tepat dari penyedia SSL Anda?

LiteSpeed tidak dimuat ulang setelah pembaruan sertifikat

Jika sertifikat Anda diperbarui tetapi situs masih menampilkan sertifikat yang lama, biasanya berarti LiteSpeed tidak memuat ulang secara otomatis. Periksa versi LiteSpeed yang Anda gunakan.

Jika Anda menggunakan OpenLiteSpeed, muat ulang server secara manual dengan:

/usr/local/lsws/bin/lswsctrl reload

Jika Anda menggunakan LiteSpeed Enterprise, gunakan:

service lsws reload

Perbarui perintah muat ulang ACME.sh Anda sehingga perintah tersebut menjalankan baris yang benar setelah setiap pembaruan.

--reloadcmd "/usr/local/lsws/bin/lswsctrl reload"

Hal ini memastikan LiteSpeed secara otomatis menyegarkan sertifikat pada saat pembaruan berikutnya.

---

Kau sudah selesai.

Anda sekarang telah berhasil menginstal sertifikat SSL ACME pada LiteSpeed, dan mengaturnya untuk memperbarui secara otomatis tanpa pekerjaan manual. Server Anda menggunakan sertifikat berbasis EAB yang aman, semuanya terhubung ke LiteSpeed, dan pemuatan ulang dilakukan secara diam-diam setelah setiap pembaruan.