Mohon Sijil SSL di ServBay menggunakan Kaedah ACME

ServBay menyokong permohonan automatik sijil SSL/TLS untuk laman pembangunan tempatan anda dengan menggunakan protokol ACME. Protokol ACME (Automated Certificate Management Environment) ialah piawai automasi pengurusan kitaran hayat sijil (termasuk permohonan, pembaharuan, dan penarikan balik). Panel kawalan ACME yang disediakan ServBay membolehkan anda dengan mudah menyediakan sijil SSL yang dipercayai untuk laman web tempatan anda—penting untuk meniru persekitaran produksi dan menguji fungsi berkaitan HTTPS.

Secara lalai, ServBay menggunakan ZeroSSL untuk mengeluarkan sijil, namun anda juga bebas memilih Let's Encrypt, Google Trust Services, atau Penyedia Sijil ACME lain yang serasi.

TIP

Untuk memastikan persekitaran pembangunan tempatan seiring dengan persekitaran produksi, penggunaan sijil SSL yang dipercayai adalah sangat penting. Fungsi ACME di ServBay menjadikan proses ini amat mudah.

Penjelasan Konsep Utama

Sebelum bermula, memahami beberapa konsep utama akan membantu anda mengoptimumkan penggunaan fungsi ACME di ServBay:

• Protokol ACME: Piawaian terbuka untuk automasi interaksi antara Pihak Berkuasa Sijil (CA) dan pelayan, membolehkan permohonan, pembaharuan, dan pengurusan sijil secara automatik.
• Pengisahan DNS-01 (kaedah DNS API): ACME menyokong beberapa kaedah pengesahan pemilikan domain. ServBay menggunakan DNS-01, bermaksud CA akan meminta anda menambah rekod TXT tertentu pada DNS domain anda. Dengan mengesahkan rekod tersebut wujud dan kandungan betul, CA dapat mengesahkan kawalan anda ke atas domain. Kelebihan utama kaedah ini:
  • Tiada keperluan untuk persekitaran tempatan anda boleh diakses secara umum.
  • Meski port 80/443 tempatan disekat firewall atau ISP, pengesahan tetap boleh dilakukan.
• Perikatan Akaun Luar (EAB - External Account Binding): Untuk sesetengah CA (cth: Google Trust Services atau ZeroSSL), permohonan sijil pertama kali memerlukan binding antara klien ACME (dalam kes ini pelaksanaan acme.sh di ServBay) dan akaun berdaftar anda di CA tersebut, biasanya melibatkan sepasang Key ID dan HMAC Key.
• Sijil ECC vs RSA:
  • RSA: Algoritma kriptografi tradisional; sangat serasi tetapi memerlukan panjang kunci lebih besar (cth: 2048-bit/4096-bit) bagi keselamatan optimum dengan kos pengiraan lebih tinggi.
  • ECC (Elliptic Curve Cryptography): Algoritma moden, panjang kunci lebih pendek (cth: 256-bit/384-bit) menawarkan tahap keselamatan sama, dengan prestasi lebih baik, masa handshake lebih singkat, penggunaan jalur lebar lebih rendah, dan forward secrecy lebih kukuh. ServBay mengesyorkan penggunaan sijil ECC secara lalai.

Syarat Asas

Permohonan sijil ACME di ServBay melalui kaedah DNS API tidak memerlukan laman tempatan anda boleh diakses dari internet awam. Sebelum memohon SSL melalui ACME, pastikan syarat berikut dipenuhi:

1. Mempunyai Domain: Anda perlu memiliki domain yang didaftar serta boleh mengurus rekod DNS-nya.
2. Dapatkan API Key DNS Pembekal Domain: Semasa permohonan ACME, diperlukan akses API DNS untuk tambah/buang rekod TXT pengesahan secara automatik. Dapatkan API Key atau kelayakan berkaitan daripada penyedia perkhidmatan DNS (platform yang menyelenggara DNS domain anda; tidak semestinya pendaftar domain). Rujuk bahagian DNS API Wiki rasmi acme.sh (Inggeris): How to use DNS API. Ikuti panduan berdasarkan penyedia DNS anda.
3. Dapatkan Maklumat EAB (Jika Penggunaan Pertama Google Trust Services atau ZeroSSL): Jika memilih Google Trust Services, dapatkan EAB credentials dari Google Cloud. Rujuk dokumentasi rasmi Google Cloud (Inggeris): Obtaining EAB credentials from Google Cloud. Untuk ZeroSSL, lazimnya perlu pengesahan emel atau API Key kali pertama.

Cara Mohon Sijil SSL dengan ACME dalam ServBay

Ikuti langkah berikut untuk memohon sijil SSL tempatan melalui ACME di ServBay:

1. Buka Panel Kawalan ServBay Lancarkan aplikasi ServBay dan akses panel kawalan melalui ikon menu bar sistem atau Dock.

2. Navigasi ke Pengurusan Sijil SSL Di bar navigasi kiri panel kawalan ServBay, klik pilihan SSL 证书 (Sijil SSL).

3. Mula Permohonan Sijil Baru Pada sudut kanan atas antara muka pengurusan sijil SSL, klik butang + lalu pilih 申请新证书 (Mohon Sijil Baru).

4. Konfigurasi Maklumat Sijil Asas

   • Nama Sijil: Masukkan nama pengenalan untuk sijil anda (contoh: servbay-demo-ssl).
   • Kegunaan: Pilih TLS/SSL.
   • Kaedah Permohonan: Pilih ACME.

5. Pilih Pihak Berkuasa Sijil (CA) Dalam menu lungsur 签发方 (Penerbit), pilih CA yang dikehendaki. Lalai ialah ZeroSSL. Anda juga boleh pilih Let's Encrypt atau Google Trust Services. Contoh ini menggunakan ZeroSSL.

6. Pilih Pembekal DNS API Dalam menu lungsur DNS API 提供商, pilih pembekal perkhidmatan DNS domain anda. (contoh: Cloudflare). Perhatian, ini merujuk kepada platform hosting DNS, bukan pendaftar domain anda jika kedua-duanya berbeza.

7. Pilih Algoritma & Panjang Kunci Sijil

   • Algoritma: Pilih ECC (disarankan, untuk prestasi dan keselamatan optimum). Pilih RSA jika perlu keserasian peranti lama.
   • Panjang Kunci: Jika ECC, nilai lalai biasanya 384 bit dan mencukupi. Jika RSA, biasanya 2048 atau 4096 bit.

8. Isi Maklumat Pengesahan Berdasarkan pilihan CA dan DNS API, medan input diperlukan akan dipaparkan.

   • Untuk ZeroSSL, anda mungkin perlu masukkan alamat emel.
   • Untuk API DNS Cloudflare, masukkan API Key atau maklumat pengesahan lain mengikut keperluan Wiki acme.sh.

   WARNING

   Perhatian: Hanya tampal nilai sebenar API Key/Secret, jangan masukkan prefiks perintah shell seperti export.

9. Tetapkan Domain Dalam medan 域名, masukkan domain yang akan dimohon sijil (cth: servbay.demo atau *.servbay.demo). Jika ingin sijil wildcard (*.servbay.demo), pastikan pembekal DNS menyokong automasi tambah rekod TXT wildcard.

10. Hantar Permohonan Sahkan semua maklumat tepat, klik butang 请求 (Mohon). ServBay akan memanggil alat acme.sh terbenam, mengesahkan domain secara automatik melalui API DNS yang disediakan, dan memohon sijil dari CA.

Proses permohonan mungkin mengambil sedikit masa, bergantung kelajuan propagasi DNS dan respons CA. Pantau status permohonan melalui log atau senarai sijil di ServBay. Setelah berjaya, sijil baharu akan muncul dalam senarai SSL 证书.

Hentikan Permohonan Sedang Berjalan

Semasa proses ACME berjalan, butang 请求 berubah kepada 停止申请 (Berhenti Mohon). Jika permohonan terlalu lama (contoh propagasi DNS perlahan, atau kesilapan pada kelayakan yang perlu dibetulkan), anda boleh klik 停止申请 untuk menghentikan proses acme.sh semasa, betulkan maklumat dan mulakan semula tanpa menunggu timeout.

Pilihan Lanjutan: Menunggu Propagasi DNS & Melangkau Ujian Kendiri DNS

Semasa permohonan sijil, acme.sh secara lalai akan menambah rekod TXT, kemudian melakukan ujian kendiri tempatan sebelum memaklumkan CA. Dalam sesetengah situasi (cth: DNS tempatan diganggu, mod fake-ip, konflik resolusi), ujian kendiri tempatan mungkin gagal atau tergantung walau rekod TXT sebenarnya telah berfungsi di internet awam.

Sebagai penyelesaian, antaramuka permohonan sijil di ServBay menyediakan pilihan berikut:

• Tunggu dalam saat: Tetapkan masa menunggu propagasi DNS (lalai 120 saat). ServBay akan menunggu sebelum memberitahu CA, memberi masa propagasi global yang mencukupi.
• Langkau Ujian Kendiri DNS: Apabila aktif, acme.sh akan terus menunggu masa ditetapkan lalu menyerah kepada CA, tanpa ujian kendiri. Sesuai dalam kes DNS tempatan terganggu atau tidak boleh dipercayai (mod fake-ip dll).

TIP

Jika rangkaian tempatan dan resolusi DNS anda normal, anda tidak perlu ubah seting lanjutan; biar lalai. Hanya jika menghadapi masalah seperti "rekod TXT telah aktif tetapi ujian tempatan gagal", cuba aktifkan "Langkau Ujian Kendiri DNS" dan tambahkan masa menunggu.

Gunakan Sijil dalam Konfigurasi Laman Web ServBay

Setelah berjaya memohon sijil ACME, anda boleh gunakannya pada laman yang dikonfigurasi di ServBay:

1. Buka bahagian 网站 (Laman Web) di bar navigasi sebelah kiri panel kawalan ServBay.
2. Pilih laman yang ingin dikonfigurasikan SSL dan klik butang sunting (ikon pensel).
3. Dalam halaman perincian konfigurasi laman, cari opsyen SSL 证书 (Sijil SSL).
4. Pilih nama sijil ACME yang baharu dari menu lungsur.
5. Pastikan suis 启用 SSL (Aktifkan SSL) dihidupkan.
6. Simpan konfigurasi laman. Laman anda kini boleh diakses menerusi HTTPS.

Pembaharuan Sijil ACME

Sijil yang dikeluarkan menerusi ACME (cth: dari Let's Encrypt atau ZeroSSL) biasanya sah selama 90 hari. Untuk memastikan laman anda sentiasa boleh diakses secara selamat dengan HTTPS, sijil perlulah diperbaharui sebelum tamat tempoh.

ServBay akan memantau & memperbaharui secara automatik semua sijil yang dipohon menerusi ACME. Apabila hampir tamat tempoh, ServBay akan cuba memperbaharui sijil menggunakan maklumat API DNS yang telah dikonfigurasi.

Secara am, selagi kelayakan API DNS sah dan perkhidmatan DNS stabil, anda tidak perlu campur tangan secara manual dalam proses pembaharuan sijil—ServBay akan menguruskan di belakang tabir.

Soalan Lazim (FAQ) & Penyelesaian Masalah

• Permohonan gagal dengan ralat pengesahan DNS?
  • Sila semak dengan teliti kelayakan API DNS yang dimasukkan (pastikan betul, ada akses tambah rekod TXT).
  • Semak pencocokan DNS API 提供商 di ServBay dengan penyedia DNS sebenar anda.
  • Propagasi DNS memerlukan masa—kadang hingga beberapa minit atau lebih lama. Sila cuba lagi selepas beberapa masa.
  • Pastikan ejaan domain yang dimasukkan adalah tepat.
  • Jika rekod TXT sudah aktif di DNS awam tetapi pengesahan tempatan gagal (cth: DNS tempatan diganggu atau mod fake-ip), aktifkan "Langkau Ujian Kendiri DNS" dan tambahkan masa tunggu pada halaman permohonan (rujuk "Pilihan Lanjutan" di atas).
• Permohonan gagal dengan ralat berkaitan EAB?
  • Jika gunakan Google Trust Services atau ZeroSSL kali pertama, pastikan maklumat EAB dimasukkan dengan betul.
  • Jika pernah berjaya sebelum ini tetapi gagal sekarang, mungkin maklumat EAB tersebut telah luput atau tidak sah—sila dapatkan semula.
• Permohonan gagal kerana rate limit tercapai?
  • CA mempunyai had berapa kali sijil boleh dipohon untuk domain/IP dalam satu tempoh masa. Jika terlalu banyak percubaan dalam masa singkat, limit ini mungkin dicapai. Tunggu beberapa jam/hari sebelum mencuba semula.
• Sijil berjaya, tetapi laman masih menunjukkan tidak selamat di pelayar?
  • Sahkan sijil yang dipilih dalam konfigurasi laman ServBay adalah sijil yang betul serta SSL diaktifkan.
  • Cuba kosongkan cache pelayar atau gunakan mod incognito.
  • Periksa fail hosts tempatan atau tetapan rangkaian memastikan ia menunjuk ke ServBay dengan betul.
• Bilakah ServBay akan cuba pembaharuan automatik? ServBay secara amnya akan memulakan pembaharuan automatik dalam tempoh tertentu sebelum tamat (cth: 30 hari). Pastikan aplikasi ServBay berjalan serta sambungan internet normal untuk proses berjalan secara senyap.

Rumusan

ServBay menawarkan fungsi ACME yang berkuasa serta mudah digunakan, membolehkan pembangun memohon dan mengurus sijil SSL/TLS yang dipercayai untuk laman pembangunan tempatan dengan mudah melalui DNS API. Ini bukan sahaja memudahkan proses konfigurasi sijil, tetapi lebih penting—ia membantu anda membina persekitaran pembangunan tempatan yang hampir menyerupai produksi, menyokong HTTPS untuk pembangunan dan ujian yang lebih efektif.

Semoga panduan ini membantu anda dalam menggunakan ACME untuk konfigurasi SSL di ServBay, sekaligus meningkatkan pengalaman pembangunan tempatan anda.