Cara Membuat CSR di DirectAdmin

Panduan ini menunjukkan kepada Anda cara membuat CSR (Certificate Signing Request) di DirectAdmin. CSR adalah blok teks terenkode yang Anda kirimkan ke Otoritas Sertifikat (CA) Anda. CSR ini memuat detail domain dan identitas Anda, dan DirectAdmin memasangkannya dengan private key yang disimpan di server. Anda akan membuat CSR dari level User pada control panel dan akan mendapatkan dua bagian: teks CSR yang Anda salin ke dalam pesanan, dan private key yang sesuai yang disimpan DirectAdmin di disk untuk langkah instalasi.

Langkah-langkah di bawah ini mencakup skin DirectAdmin Evolution saat ini (bawaan pada instalasi baru) dan mencatat jalur yang setara pada skin Enhanced yang lebih lama. Langkah-langkah ini juga membahas keterbatasan SAN pada formulir dalam panel dan alternatif gratis Let’s Encrypt yang tersedia pada layar yang sama.

Membuat CSR di DirectAdmin

Jika Anda sudah membuat CSR (misalnya dengan CSR Generator kami), langsung lanjutkan ke cara memasang sertifikat SSL di DirectAdmin. Jika belum, ikuti tujuh langkah di bawah ini.

Langkah 1: Masuk pada level User

Sertifikat SSL di DirectAdmin dikelola per domain pada level User. Jika Anda masuk sebagai Admin atau Reseller, beralihlah ke pengguna yang tepat menggunakan pemilih level di menu atas terlebih dahulu. Jika akun tersebut memiliki lebih dari satu domain, pilih domain yang ingin Anda amankan sebelum membuka layar SSL.

Langkah 2: Buka halaman SSL Certificates

• Skin Evolution (bawaan saat ini): pada menu kiri, buka Account Manager lalu klik SSL Certificates.
• Skin Enhanced (lama): buka Advanced Features lalu klik SSL Certificates.

Langkah 3: Pilih Create a Certificate Request

Halaman SSL Certificates menampilkan daftar opsi pilihan (radio button). Pilih Create A Certificate Request. Ini adalah formulir CSR dalam panel dan nama opsi ini sama di setiap skin.

Langkah 4: Isi kolom-kolom CSR

Masukkan detail di bawah ini. Gunakan karakter ASCII biasa: huruf non-Latin akan membuat permintaan gagal di sebagian besar CA.

• Key Size: pilih 2048 bit. Itulah standar minimum yang saat ini diterima oleh semua CA publik. Pilih 3072 atau 4096 hanya jika kebijakan keamanan Anda mengharuskannya. Konsekuensinya adalah proses handshake TLS yang sedikit lebih lambat.
• Common Name (CN): nama domain lengkap yang ingin Anda amankan, misalnya www.example.com. Untuk sertifikat wildcard, tambahkan tanda bintang di depan domain utama, misalnya *.example.com. Wildcard mencakup satu tingkat subdomain (shop.example.com, mail.example.com), bukan domain utama atau label yang lebih dalam seperti a.b.example.com.
• Email: alamat kontak di domain Anda atau kotak masuk administratif Anda. Sebagian besar CA mengabaikan kolom ini, tetapi DirectAdmin mengharuskan nilai diisi.
• Country: kode negara ISO dua huruf (misalnya US, GB, DE).
• State: nama lengkap negara bagian atau provinsi (misalnya California, bukan CA).
• City: nama lengkap kota (misalnya Los Angeles, bukan LA).
• Company: nama resmi organisasi secara lengkap, sesuai dengan yang terdaftar (misalnya Example Inc). Diperlukan untuk sertifikat Organization Validation (OV) dan Extended Validation (EV). Untuk Domain Validation (DV), CA mengabaikan kolom ini, sehingga nama placeholder singkat pun bisa digunakan.
• Division (Organizational Unit): label departemen seperti IT. Atribut ini telah dinyatakan usang oleh CA/Browser Forum untuk sertifikat publik, jadi biarkan minimal atau kosong.
• Subject Alternative Names (SAN): jika formulir pada build Anda menampilkan kolom SAN, tambahkan setiap nama host tambahan di sini, satu per baris (misalnya example.com maupun www.example.com). Jika kolom tersebut tidak ada, lihat keterbatasan SAN di bawah ini.

Langkah 5: Simpan dan salin CSR

Periksa kembali setiap kolom, lalu klik Save. DirectAdmin akan membuat private key dan CSR yang sesuai, kemudian menampilkan CSR dalam area teks pada halaman yang sama (build Evolution terbaru menampilkannya dalam dialog Certificate Request dengan tombol Copy to Clipboard).

CSR adalah blok base64 yang tampilannya seperti ini:

-----BEGIN CERTIFICATE REQUEST-----
MIICvDCCAaQCAQAwdzELMAkGA1UEBhMCVVMxEzARBgNVBAgMCkNhbGlmb3JuaWEx
... (many lines of base64) ...
-----END CERTIFICATE REQUEST-----

Pilih seluruh blok, termasuk baris BEGIN CERTIFICATE REQUEST dan END CERTIFICATE REQUEST, lalu tempelkan ke dalam kolom CSR pada formulir pemesanan CA Anda. Baris tanda hubung di awal dan akhir harus menggunakan tepat lima tanda hubung ASCII di setiap sisinya.

Langkah 6: Periksa lokasi penyimpanan private key oleh DirectAdmin

Anda tidak perlu mengekstrak private key secara manual: DirectAdmin menyimpannya di disk dan otomatis mengisikannya pada formulir instalasi SSL untuk domain yang sama. Jika Anda ingin menyimpan salinannya untuk cadangan atau penggunaan di luar server, Anda dapat mengunduhnya dari halaman yang sama (formulir tersebut menampilkannya pada kotak teks di bagian bawah) atau membacanya dari disk melalui SSH:

/usr/local/directadmin/data/users/<user>/domains/<domain>.key

di mana <user> adalah nama pengguna DirectAdmin dan <domain> adalah domain (misalnya example.com.key). File yang sesuai adalah <domain>.cert (sertifikat yang diterbitkan, ditulis saat instalasi) dan <domain>.cacert (rantai sertifikat yang dirujuk oleh SSLCACertificateFile milik Apache; beberapa build DirectAdmin juga menampilkan konten yang sama sebagai <domain>.ca). Perlakukan file key ini sebagai rahasia: pastikan izin aksesnya ketat dan jangan pernah menempelkannya ke kolom CSR, ke dalam tiket dukungan, atau di tempat mana pun yang bersifat publik. Jika Anda memang menyimpan salinannya di luar server, simpanlah sebagai catatan aman di dalam pengelola kata sandi atau brankas rahasia, bukan sebagai file lepas di komputer kerja.

Langkah 7: Verifikasi CSR sebelum mengirimkannya

Ada baiknya memeriksa apakah Common Name, entri SAN, dan ukuran key sudah sesuai harapan sebelum Anda menghabiskan satu siklus validasi. Tempelkan CSR ke CSR Decoder milik SSL Dragon dan pastikan CN sesuai dengan nama host yang digunakan pengunjung Anda, bahwa nama tambahan lain muncul di bawah Subject Alternative Name, dan bahwa ukuran key setidaknya 2048 bit.

Setelah CA memvalidasi pesanan Anda dan mengirimkan file sertifikat melalui email, lanjutkan dengan cara memasang sertifikat SSL di DirectAdmin.

Keterbatasan SAN pada formulir dalam panel

Browser modern dan pustaka TLS (Chromium, Firefox, Safari, Java, Go, .NET) memeriksa nama host berdasarkan ekstensi Subject Alternative Name, bukan Common Name. CA publik mengatasi hal ini dengan menyalin CN ke dalam entri SAN secara otomatis untuk pesanan dengan satu nama, sehingga permintaan hanya-CN tetap dapat diterbitkan untuk satu nama host. Namun:

• Jika Anda membutuhkan sertifikat yang mencakup example.com dan www.example.com secara bersamaan, atau sertifikat multi-domain apa pun, formulir hanya-CN tidak dapat mengkodekannya.
• Beberapa build DirectAdmin menampilkan kolom khusus Subject Alternative Names pada formulir. Jika build Anda memilikinya, gunakan kolom tersebut.

Jika formulir panel tidak memungkinkan Anda menambahkan SAN dan pesanan Anda membutuhkan lebih dari satu nama host, buat CSR di luar server menggunakan CSR Generator kami, simpan private key yang dihasilkan, dan tempelkan keduanya ke halaman instalasi di DirectAdmin saat sertifikat sudah tiba. Tutorial instalasi DirectAdmin menjelaskan langkah tersebut secara rinci.

Sebagai alternatif, Anda dapat membuat CSR melalui SSH dengan OpenSSL dan sebuah file konfigurasi kecil yang mencantumkan setiap SAN:

openssl req -new -newkey rsa:2048 -nodes 
  -keyout example.com.key 
  -out example.com.csr 
  -subj "/C=US/ST=California/L=Los Angeles/O=Example Inc/CN=www.example.com" 
  -addext "subjectAltName = DNS:www.example.com, DNS:example.com"

Kemudian tempelkan file .key dan sertifikat yang diterbitkan ke dalam opsi Paste a pre-generated certificate and key pada halaman SSL Certificates yang sama di DirectAdmin.

Opsi gratis: Let’s Encrypt dan ACME di DirectAdmin

Jika Anda tidak membutuhkan sertifikat komersial, DirectAdmin dapat menerbitkan sertifikat gratis tanpa CSR sama sekali. Pada halaman SSL Certificates yang sama, pilih Free & automatic certificate from Let’s Encrypt (pada build Evolution yang lebih baru, opsi ini diberi label Get automatic certificate from ACME Provider dan menawarkan Let’s Encrypt maupun ZeroSSL sebagai penyedia). Pilih domain dan subdomain mana pun yang ingin dicakup, centang Wildcard jika Anda memerlukan semua subdomain, lalu klik Save.

Sertifikat Let’s Encrypt dan ZeroSSL berlaku selama sekitar 90 hari, dan DirectAdmin akan memperbaruinya secara otomatis setelah sertifikat berusia lebih dari jumlah hari yang ditetapkan pada letsencrypt_renewal_days, yang secara bawaan bernilai 60. Itu artinya sekitar 30 hari sebelum kedaluwarsa, sehingga pembaruan yang gagal masih memiliki waktu satu bulan untuk mencoba ulang. Build DirectAdmin yang lebih lama secara bawaan menetapkan nilai 85, yang hampir tidak memberikan margin waktu. Bagaimanapun, tidak ada CSR yang perlu disalin dan tidak ada sertifikat yang perlu dipasang ulang. Sertifikat ini menggunakan enkripsi yang sama seperti sertifikat berbayar. Sertifikat komersial tetap masuk akal jika Anda memerlukan Organization Validation atau Extended Validation, jangka waktu tetap yang lebih lama, garansi, atau dukungan vendor yang terkait dengan identitas domain Anda.