Diagnosis Let's Encrypt — kenapa certbot gagal

Alat daring untuk mendiagnosis penerbitan Let's Encrypt dan ACME yang gagal. Certbot melaporkan hampir semua masalah dengan «authorization failed» yang sama, sehingga tersembunyi apakah penyebabnya DNS, porta tertutup, pengalihan yang menelan jalur tantangan, atau rekaman CAA yang melarang otoritasnya. Di sini ketiga prasyarat diperiksa dari luar jaringan Anda, persis seperti yang akan dilakukan otoritas sertifikat, dan penyebab konkretnya disebutkan.

Cara memakai

1
Masukkan nama yang persis

Nama yang Anda berikan ke certbot lewat -d. Bila penerbitan gagal untuk www.example.com, periksa itu, bukan domain polosnya: keduanya bisa berperilaku berbeda.

2
Pilih jenis tantangan

HTTP-01 kecuali Anda butuh wildcard atau porta 80 tertutup — dalam hal itu, DNS-01.

3
Baca galatnya lebih dulu

Masalah muncul sebelum pengamatan, yang terberat lebih dulu. Semua yang ditandai galat adalah alasan penerbitan akan gagal sekarang juga.

4
Perbaiki, lalu periksa ulang

Hasil hanya disimpan sebentar, jadi menjalankan ulang setelah perubahan menunjukkan keadaan baru, bukan yang lama.

Periksa tiga hal yang dilihat otoritas sertifikat sebelum Anda menjalankan certbot lagi

Masukkan persis nama yang mengikuti -d. Kalau certbot gagal pada www.example.com, periksa www.example.com, bukan example.com.
CA mengambil sebuah berkas lewat HTTP biasa dari server web Anda. Inilah yang dipakai certbot secara bawaan.

Apa yang diperiksa

Apakah namanya teratasi, dan ke mana
Rekaman A dan AAAA, dengan peringatan untuk kasus hanya-IPv6: Let's Encrypt mengutamakan IPv6 dan tidak pernah kembali ke IPv4, sehingga server yang tidak benar-benar mendengarkan di IPv6 gagal validasi padahal situsnya tampak sehat bagi sebagian besar pengunjung.
Apakah jalur tantangan bisa dijangkau
Mengambil /.well-known/acme-challenge/ lewat HTTP biasa dari luar. 404 adalah jawaban yang benar — ia membuktikan permintaan sampai ke server web Anda. Sambungan yang ditolak, 403 dari aturan direktori berawalan titik, atau pengalihan menyeluruh ke halaman depan adalah kegagalan yang sesungguhnya, dan masing-masing dilaporkan terpisah.
Apakah CAA mengizinkan otoritasnya
Rekaman CAA diperiksa pada nama itu dan pada seluruh induknya, karena rekaman di example.com juga mengatur www.example.com. Rekaman CAA yang menyebut CA lain adalah salah satu penyebab paling memakan waktu, sebab galat ACME tidak menyatakannya dengan jelas.
Pengalihan diperiksa, bukan sekadar diikuti
Pengalihan dari HTTP ke HTTPS aman dan tidak pernah merusak validasi — itu perlu diketahui, karena kerap dicurigai tanpa alasan. Pengalihan yang berakhir di luar jalur tantangan barulah masalah, dan alat ini membedakan keduanya.
Perintah untuk langkah berikutnya
Pemanggilan certbot sesuai jenis tantangan yang Anda pilih, dengan opsi yang sesuai dengan temuannya.

Pertanyaan umum

Situs saya khusus HTTPS. Kenapa porta 80 penting?

Karena tantangan HTTP-01 selalu dimulai di porta 80. Otoritas sertifikat menyambung ke sana lebih dulu, apa pun yang situs Anda lakukan sesudahnya, dan firewall yang membuang porta 80 membuat tantangan itu mustahil. Mengalihkan porta 80 ke HTTPS tidak masalah — CA mengikuti pengalihan dan tidak memeriksa sertifikat saat itu. Menutup portanya baru masalah. Bila benar-benar tidak bisa dibuka, DNS-01 adalah alternatifnya.

Alat ini menyebut 404 dan menganggapnya baik. Apa benar?

Benar. Sebelum penerbitan tidak ada berkas tantangan, jadi 404 memang yang harus dikembalikan server yang dikonfigurasi dengan benar. Yang penting adalah permintaannya sampai ke server web Anda. Saat validasi, certbot menaruh token sesungguhnya di jalur itu dan CA menemukannya. Kegagalan sambungan atau 403 berarti permintaan tidak pernah tiba, dan itulah masalah sebenarnya.

Apa itu rekaman CAA dan kenapa saya bisa punya?

Rekaman DNS yang menyebut otoritas sertifikat mana yang boleh menerbitkan untuk domain Anda. Otoritas wajib memeriksanya dan menolak bila tidak tercantum. Orang mendapatkannya dari wisaya penyiapan penyedia sebelumnya, dari panel hosting, atau mewarisinya dari domain induk — rekaman di example.com berlaku juga untuk www.example.com, dan itulah sebabnya «saya tidak pernah membuatnya» sering keliru.

Saya kena batas penerbitan. Apakah ini membantu?

Secara tidak langsung, dan justru itulah tujuannya. Let's Encrypt membatasi berapa sertifikat yang bisa diminta per domain per minggu, dan yang menghabiskan kuota itu adalah percobaan gagal yang berulang. Memeriksa prasyaratnya sebelum menjalankan certbot lagi mencegah kuota terbakar untuk percobaan yang memang sudah pasti gagal.

Apakah alat ini menerbitkan sertifikat?

Tidak, dan tidak akan pernah. Ia tidak melakukan operasi ACME, tidak memegang kunci apa pun, dan tidak berbicara dengan otoritas sertifikat mana pun — ia hanya mengamati domain Anda dari luar. Penerbitan adalah urusan server Anda, tempat kunci privat berada dan tempat perpanjangan bisa otomatis, sesuatu yang tak bisa disediakan sebuah halaman web.

Anda Mungkin Juga Suka

🔐 Cek SSL 📜 Dekoder sertifikat SSL 🔄 Konverter format sertifikat ⛓️ Pembenah rantai sertifikat 📝 Pembuat CSR 🏷️ Pembuat sertifikat tanda tangan sendiri 🔗 Pencocok kunci dan sertifikat

Bagaimana Anda menilai alat ini?

Terima kasih atas penilaian Anda!
Ingin berbagi lebih? Tinggalkan komentar!
Terima kasih! Komentar Anda akan muncul setelah moderasi.
Siapa yang cocok menggunakan alat ini?
💻 Developer & IT Pro 🔒 Keamanan & Privasi
Diterbitkan Diperbarui Penulis: