Cara Memasang Sertifikat SSL ACME pada NAS Synology

Dalam panduan ini, Anda akan mempelajari cara menginstal sertifikat SSL ACME pada NAS Synology menggunakan kredensial ACME + EAB, lalu mengimpornya ke Synology. Setelah selesai, NAS Anda akan menjalankan sertifikat dengan otomatisasi yang ditangani sepenuhnya di luar DSM (Disk Station Manager).

Synology DSM memungkinkan pengimporan sertifikat SSL secara langsung melalui GUI, tetapi untuk sertifikat ACME komersial (dari penyedia seperti Sectigo atau DigiCert), pendekatan terbaik adalah mengelolanya secara eksternal dengan acme.sh dan mengimpornya setelah itu.

---

Sebelum Anda Mulai

Pastikan Anda memiliki yang berikut ini:

• Nama domain yang mengarah ke IP publik Synology Anda
• DSM 7.x (7.2 direkomendasikan untuk kompatibilitas terbaik) mendukung impor sertifikat penuh melalui GUI.”
• Host Linux eksternal, VPS, atau server lokal tempat Anda dapat menginstal acme.sh
• Akses ke URL ACME penyedia sertifikat dan kredensial EAB (KID + HMAC) Anda

---

Langkah 1: Instal acme.sh

Sebelum melakukan hal lain, Anda memerlukan klien ACME yang akan menangani komunikasi dengan CA Anda.

Jalankan perintah-perintah ini pada hos eksternal Anda (Linux, BSD, atau VPS):

curl https://get.acme.sh | sh
source ~/.bashrc
acme.sh --version

Anda akan melihat versi yang tercetak di layar. Itu berarti penginstalan berhasil.

---

Langkah 2: Daftarkan Akun ACME Anda ke CA

Penyedia komersial Anda (seperti Sectigo atau DigiCert) memberi Anda dua kredensial: ID Kunci EAB dan Kunci HMAC. Kedua kredensial ini mengotorisasi klien ACME Anda.

Setelah Anda mendapatkannya, jalankan perintah ini dari host yang sama:

acme.sh --register-account \
  --server https://acme.yourca.com/v2/acme \
  --eab-kid YOUR_EAB_KID \
  --eab-hmac-key YOUR_EAB_HMAC_KEY \
  --accountemail [email protected]

Ganti placeholder dengan kredensial Anda yang sebenarnya.

---

Langkah 3: Terbitkan Sertifikat dengan Validasi DNS

Sekarang terbitkan sertifikat Anda menggunakan validasi DNS – opsi paling aman dan andal untuk perangkat NAS di belakang NAT.

Contoh (entri DNS manual):

acme.sh --issue \
  -d yourdomain.com \
  --dns dns_manual \
  --server https://acme.sectigo.com/v2/OV

Anda akan diminta untuk membuat catatan DNS ini:

_acme-challenge.yourdomain.com  TXT  (token value)

Setelah propagasi (periksa menggunakan dig TXT _acme-challenge.yourdomain.com +short), jalankan kembali perintah untuk menyelesaikan validasi.

File sertifikat Anda akan disimpan di bawah: ~/.acme.sh/yourdomain.com/.

Di dalam folder itu Anda akan menemukan:

• fullchain.cer – sertifikat + rantai perantara
• yourdomain.com.key – kunci pribadi
• ca.cer – akar/perantara (jika disediakan secara terpisah)

---

Langkah 4: Impor Sertifikat ke Synology

1. Masuk ke DSM > Control Panel > Keamanan > Sertifikat.
2. Klik Tambah > Impor Sertifikat
3. Unggah kunci pribadi Anda dan sertifikat (fullchain.cer)

Setelah diimpor, buka Pengaturan dan tetapkan sertifikat:

• Antarmuka Web DSM
• Stasiun File / Stasiun Web
• Membalikkan Proksi
• WebDAV / Drive
• SSL VPN (jika digunakan)

NAS Anda sekarang menggunakan sertifikat SSL yang diunggah.

---

Langkah 5: Mengotomatiskan Pembaruan dan Sinkronisasi ke DSM

Jika Anda ingin NAS Synology Anda selalu diperbarui dengan sertifikat terbaru – tanpa masuk ke DSM atau mengunggah file secara manual – Anda dapat menggunakan acme.sh‘s built-in synology_dsm deploy hook. Hal ini memungkinkan acme.sh mendorong sertifikat yang telah diperbarui secara langsung ke dalam DSM melalui HTTPS.

Berikut ini cara mengaturnya.

1. Konfigurasikan Kredensial DSM (Pengaturan Satu Kali)

Dari host eksternal Anda (tempat acme.sh terinstal), jalankan:

export SYNO_Username="admin"
export SYNO_Password="YourAdminPassword"
export SYNO_Hostname="nas.local"
export SYNO_Port="5001"

Ganti placeholder dengan kredensial Anda. Nilai-nilai ini disimpan dalam sesi shell Anda, dan acme.sh menggunakannya untuk terhubung dengan aman.

2. Menyebarkan Sertifikat ke DSM

Setelah sertifikat diterbitkan atau diperbarui, terapkan ke DSM dengan menggunakan DSM:

acme.sh --deploy \
  -d yourdomain.com \
  --deploy-hook synology_dsm

Perintah ini akan melakukannya:

• Sambungkan ke NAS Anda melalui HTTPS (port 5001)
• Unggah file kunci pribadi dan sertifikat
• Ganti sertifikat saat ini di Panel Kontrol DSM
• Mulai ulang semua layanan yang diperlukan (GUI, File Station, WebDAV, dll.)

Anda dapat memverifikasi perubahan di DSM > Control Panel > Security > Certificate.

3. Biarkan acme.sh Menangani Semuanya (Pembaruan Otomatis + Penerapan Otomatis)

Kabar baiknya: acme.sh sudah menginstal pekerjaan cron yang berjalan setiap hari. Jika sertifikat Anda hampir kedaluwarsa, maka akan kedaluwarsa:

• Memperbaharui sertifikat secara otomatis
• Picu lagi kait penyebaran synology_dsm
• Unggah sertifikat baru ke DSM
• Mulai ulang layanan DSM secara diam-diam

Setelah ini diatur, semuanya berjalan secara autopilot. Tidak diperlukan interaksi GUI.

---

Pertanyaan Umum

Di bawah ini kami membahas hal-hal yang paling umum ditanyakan oleh pengguna setelah penyiapan:

Dapatkah saya menginstal dan menjalankan acme.sh pada NAS itu sendiri?

Secara teknis ya (melalui SSH atau Docker), tetapi pembaruan DSM dapat merusak ketergantungan. Lebih aman mengelola ACME dari hos eksternal.

Apakah Synology secara otomatis memperbarui sertifikat eksternal?

Tidak, DSM tidak akan menariknya secara otomatis. Gunakan hook penyebaran atau skrip terjadwal untuk mendorong pembaruan setelah setiap pembaruan.

Dapatkah saya menggunakan sertifikat wildcard?

Ya, masalah dengan -d *.yourdomain.com menggunakan validasi DNS. Sectigo dan DigiCert keduanya mendukung wildcard melalui ACME ketika diaktifkan di profil Anda.

---

Kata Penutup

Penyiapan ini menjembatani otomatisasi SSL ACME komersial modern dengan ekosistem Synology. Anda mendapatkan manfaat dari sertifikat tepercaya, kontrol rantai penuh, dan pembaruan eksternal hanya dengan sedikit skrip untuk menyatukan semuanya. Setelah Anda melakukannya sekali, Anda dapat mereplikasi dengan mudah untuk perangkat NAS, subdomain, atau klien lainnya.