Memohon Sijil SSL Menggunakan Protokol ACME di ServBay

ServBay menyokong permohonan automatik sijil SSL/TLS untuk laman web pembangunan tempatan anda menggunakan protokol ACME. ACME (Automated Certificate Management Environment) ialah satu protokol piawai untuk mengautomasikan pengurusan kitaran hayat sijil – termasuk permohonan, pembaharuan, dan pembatalan. Melalui panel pengurusan ACME yang disediakan oleh ServBay, anda boleh menetapkan sijil SSL yang dipercayai untuk laman web tempatan dengan mudah, yang sangat penting untuk meniru persekitaran produksi atau menguji fungsi berkaitan HTTPS.

Secara lalai, ServBay akan menggunakan ZeroSSL untuk mengeluarkan sijil, namun anda bebas memilih Let's Encrypt atau Google Trust Services serta mana-mana pihak berkuasa sijil (CA) yang serasi dengan ACME.

TIP

Untuk memastikan persekitaran pembangunan tempatan anda semirip mungkin dengan produksi, menggunakan sijil SSL yang dipercayai sangatlah penting. Fungsi ACME dalam ServBay menjadikan proses ini sangat mudah.

Penjelasan Konsep Utama

Sebelum bermula, adalah baik untuk memahami beberapa konsep utama agar anda dapat menggunakan fungsi ACME dalam ServBay dengan lebih berkesan:

• Protokol ACME: Piawaian terbuka untuk mengautomasikan interaksi antara pihak berkuasa sijil (CA) dan pelayan, membolehkan permohonan, pembaharuan, dan pengurusan sijil secara automatik.
• Pengesahan DNS-01 (melalui API DNS): Protokol ACME menyokong beberapa kaedah pengesahan pemilikan domain. ServBay terutamanya menggunakan kaedah DNS-01, di mana CA akan meminta anda menambah rekod TXT khusus pada DNS domain anda. CA akan mengesahkan kewujudan dan kandungan rekod tersebut bagi membuktikan anda mengawal domain itu. Kelebihan cara ini:
  • Tidak memerlukan akses kepada persekitaran pembangunan tempatan anda melalui internet awam.
  • Proses pengesahan tetap boleh dijalankan walaupun port 80/443 tempatan disekat oleh firewall atau ISP.
• External Account Binding (EAB): Untuk sesetengah CA (misalnya Google Trust Services atau ZeroSSL), kali pertama anda memohon sijil melalui ACME, anda perlu mengaitkan klien ACME anda (dalam hal ini, acme.sh yang disepadukan dalam ServBay) dengan akaun berdaftar anda di CA berkenaan. Ini biasanya melibatkan Key ID serta HMAC Key.
• Sijil ECC vs RSA:
  • RSA: Algoritma kriptografi klasik yang sangat serasi, tetapi kunci lebih panjang (cth: 2048 atau 4096 bit) diperlukan untuk keselamatan, menyebabkan penggunaan sumber yang lebih tinggi.
  • ECC (Elliptic Curve Cryptography): Algoritma moden yang memerlukan kunci jauh lebih pendek (cth: 256 atau 384 bit) untuk tahap keselamatan setara. Sijil ECC menawarkan prestasi lebih tinggi, masa jabat tangan yang lebih singkat, penggunaan lebar jalur lebih rendah, dan 'forward secrecy' yang lebih baik. ServBay mengesyorkan penggunaan sijil ECC secara lalai.

Prasyarat

ServBay memohon sijil ACME melalui cara API DNS, yang tidak memerlukan laman web tempatan anda boleh diakses dari Internet. Sebelum memohon SSL menggunakan ACME, pastikan anda memenuhi syarat berikut:

1. Mempunyai domain sendiri: Anda perlukan domain berdaftar dan boleh dikawal rekod DNS-nya.
2. Mendapatkan API Key penyedia DNS domain: Untuk proses permohonan ACME, rekod TXT pengesahan akan ditambah dan dipadam secara automatik melalui API DNS. Jadi, dapatkan API Key atau kelayakan yang diperlukan daripada penyedia perkhidmatan DNS anda (platform yang menghoskan tetapan DNS domain anda, bukan semestinya pendaftar domain anda). Rujuk senarai penyedia DNS yang disokong ServBay dan cara mendapat API KEY di Wiki rasmi acme.sh bahagian DNS API (dalam Bahasa Inggeris): How to use DNS API. Cari panduan mengikut penyedia DNS anda.
3. Mendapatkan maklumat EAB (jika pertama kali permohonan dengan Google Trust Services atau ZeroSSL): Jika anda memilih Google Trust Services sebagai CA, dapatkan maklumat EAB daripada Google Cloud. Ikuti dokumentasi rasmi Google Cloud (dalam Bahasa Inggeris): Obtaining EAB credentials from Google Cloud. Untuk ZeroSSL pula, lazimnya permohonan kali pertama mungkin perlu pengesahan emel atau API Key.

Langkah Memohon Sijil SSL ACME di ServBay

Ikuti langkah-langkah berikut untuk memohon sijil SSL bagi laman pembangunan tempatan anda di ServBay melalui protokol ACME:

1. Buka Panel Pengurusan ServBay Buka aplikasi ServBay dan akses panel pengurusan menerusi ikon bar menu sistem atau Dock.

2. Navigasi ke Pengurusan Sijil SSL Dalam bar navigasi di sebelah kiri panel pengurusan ServBay, cari dan klik pada menu Sijil SSL.

3. Mulakan Permohonan Sijil Baru Dalam antaramuka pengurusan sijil SSL, klik butang + di penjuru kanan atas, lalu pilih Mohon Sijil Baru.

4. Konfigurasikan Maklumat Asas Sijil

   • Nama sijil: Masukkan nama mudah dikenali untuk sijil anda (cth: servbay-demo-ssl).
   • Kegunaan: Pilih TLS/SSL.
   • Cara permohonan: Pilih ACME.

5. Pilih Pihak Berkuasa Sijil (CA) Dalam menu jatuh bawah Pihak Berkuasa, pilih CA yang anda kehendaki. Lalai adalah ZeroSSL. Anda juga boleh pilih Let's Encrypt atau Google Trust Services jika mahu. Panduan ini menggunakan ZeroSSL sebagai contoh.

6. Pilih Penyedia API DNS Dalam menu jatuh bawah Penyedia API DNS, pilih perkhidmatan DNS bagi domain anda. Panduan contoh menggunakan Cloudflare. Pastikan pilihan ini mengikut platform yang benar-benar menghoskan DNS domain anda, bukan tempat pembelian domain sahaja (jika berbeza).

7. Pilih Algoritma Keluaran dan Panjang Kunci Sijil

   • Algoritma: Pilihan lalai & disyorkan ialah ECC untuk prestasi dan keselamatan lebih baik. Jika perlu sokongan peranti lama, boleh pilih RSA.
   • Panjang kunci: Untuk ECC, lalai biasanya 384 bit – ini sudah memadai. Untuk RSA, kunci lazim ialah 2048 atau 4096 bit.

8. Tetapkan Maklumat Pengesahan Berdasarkan CA serta penyedia API DNS, ruangan input berkaitan akan muncul untuk memasukkan maklumat pengesahan yang diperlukan.

   • Untuk ZeroSSL, masukkan alamat e-mel anda.
   • Untuk API DNS Cloudflare, masukkan API Key atau kelayakan lain mengikut keperluan. Sila ikut kehendak Wiki acme.sh untuk penyedia berkaitan.

   WARNING

   Perhatian: Hanya tampalkan nilai API Key atau secret – jangan sertakan sebarang awalan arahan shell seperti export dalam ruangan input.

9. Masukkan Domain Di medan Domain, masukkan domain yang ingin dimohon sijilnya (cth: servbay.demo atau *.servbay.demo). Jika permohonan untuk wildcard domain (cth: *.servbay.demo), pastikan penyedia DNS anda menyokong penambahan automatik rekod TXT untuk wildcard.

10. Mulakan Permohonan Setelah semua maklumat diisi dengan betul, klik butang Request. ServBay akan menggunakan alat acme.sh yang digabungkan secara automatik untuk pengesahan domain melalui DNS API dan menghantar permohonan sijil ke CA.

Tempoh permohonan mungkin berbeza bergantung kepada kelajuan penyebaran DNS dan respons CA. Kemajuan permohonan boleh diperiksa dalam log atau senarai sijil ServBay. Apabila berjaya, sijil baru akan muncul dalam senarai Sijil SSL.

Menggunakan Sijil dalam Konfigurasi Laman ServBay

Setelah permohonan sijil ACME berjaya, anda boleh mengaplikasikan sijil tersebut ke laman web yang dikonfigurasikan dalam ServBay:

1. Navigasi ke pilihan Laman Web di panel kiri ServBay.
2. Pilih laman web yang ingin dikonfigurasi SSL, kemudian klik ikon edit (pensel) di sebelah kanan.
3. Pada halaman butiran konfigurasi laman, cari pilihan Sijil SSL.
4. Dari menu jatuh bawah, pilih nama sijil ACME yang baru dimohon.
5. Pastikan suis Aktifkan SSL telah dihidupkan.
6. Simpan konfigurasi laman web. Kini laman web anda sepatutnya boleh diakses menggunakan HTTPS.

Pembaharuan Sijil ACME

Sijil yang dikeluarkan oleh ACME (contohnya daripada Let's Encrypt atau ZeroSSL) biasanya sah untuk 90 hari. Bagi memastikan laman web anda sentiasa menggunakan sambungan HTTPS yang sah, sijil perlu diperbaharui sebelum tamat tempohnya.

ServBay akan secara automatik memantau tempoh sah sijil yang diperoleh melalui ACME. Apabila sijil hampir tamat tempoh, ServBay akan cuba memperbaharuinya dengan menggunakan maklumat API DNS yang telah dikonfigurasikan sebelum ini.

Secara umum, selagi kelayakan API DNS anda masih sah dan perkhidmatan DNS stabil, anda tidak perlu campur tangan secara manual untuk pembaharuan. ServBay akan mengurus proses ini di belakang tabir untuk anda.

Soalan Lazim (FAQ) dan Penyelesaian Masalah

• Permohonan gagal, ralat menunjukkan pengesahan DNS gagal?
  • Sila periksa sekali lagi kelayakan API DNS anda – pastikan betul dan diberikan hak untuk ubah rekod TXT.
  • Pastikan pilihan Penyedia API DNS dalam ServBay serasi dengan perkhidmatan DNS sebenar anda.
  • Penyebaran rekod DNS memerlukan sedikit masa; kadangkala perlu tunggu beberapa minit atau lebih sebelum mencuba semula permohonan.
  • Pastikan nama domain yang diisi tepat.
• Permohonan gagal, ralat berkaitan EAB?
  • Jika menggunakan Google Trust Services atau ZeroSSL buat kali pertama, pastikan maklumat EAB telah didapatkan dan diisi dengan betul.
  • Jika pernah berjaya sebelum ini tetapi gagal kali ini, mungkin EAB telah tamat tempoh atau tidak sah dan anda perlu perolehi semula.
• Permohonan gagal disebabkan had kadar (Rate Limit)?
  • CA mengehadkan bilangan permohonan sijil untuk setiap domain atau IP dalam jangka masa tertentu. Jika terlalu banyak permohonan kerap, anda mungkin dikenakan had. Tunggu beberapa ketika (beberapa jam ke beberapa hari) sebelum mencuba semula.
• Permohonan sijil berjaya tetapi laman web masih dianggap tidak selamat di pelayar?
  • Pastikan sijil yang dimohon telah diaplikasikan ke laman berkenaan dalam konfigurasi ServBay, serta SSL diaktifkan.
  • Cuba kosongkan cache pelayar atau gunakan mod incognito/privasi.
  • Semak juga sama ada fail hosts atau tetapan rangkaian tempatan anda telah diarahkan ke ServBay dengan betul.
• Bilakah ServBay akan cuba memperbaharui sijil automatik? ServBay biasanya akan mencuba pembaharuan automatik dalam beberapa hari tertentu sebelum sijil tamat tempoh (contoh: 30 hari sebelumnya). Selagi aplikasi ServBay sedang berjalan dan rangkaian stabil, proses ini dijalankan secara senyap di latar belakang.

Rumusan

ServBay menawarkan fungsi ACME yang sangat mudah dan berkuasa untuk pemaju, membolehkan permohonan dan pengurusan sijil SSL/TLS yang dipercayai bagi laman pembangunan tempatan melalui API DNS. Ini bukan sahaja menyederhanakan pengurusan sijil, malah membantu membina persekitaran pembangunan tempatan yang lebih serupa produksi serta menyokong HTTPS untuk kesinambungan pembangunan dan ujian yang lebih baik.

Diharapkan panduan ini dapat membantu anda menggunakan ACME di ServBay untuk konfigurasi sijil SSL, sekaligus meningkatkan pengalaman pembangunan tempatan anda.