ACME: Otomatisasi Sertifikat TLS di Era Masa Berlaku Pendek
Oleh
Adisty C. Putri
Pengelolaan sertifikat TLS selama ini mungkin terlihat sebagai pekerjaan yang dilakukan sesekali. Administrator menerbitkan sertifikat, melakukan validasi domain, memasang sertifikat ke server, lalu memperbaruinya ketika masa berlaku mendekati akhir.
Daftar Isi
Pola tersebut mulai berubah karena masa berlaku sertifikat TLS publik semakin pendek. Sejak 15 Maret 2026, CA/Browser Forum menetapkan masa berlaku maksimum sertifikat TLS publik menjadi 200 hari. Batas tersebut akan turun menjadi 100 hari mulai 15 Maret 2027 dan menjadi 47 hari mulai 15 Maret 2029.
Perubahan tersebut membuat penerbitan dan penggantian sertifikat perlu dilakukan lebih sering. Kondisi ini akan semakin terasa ketika sebuah perusahaan mengelola puluhan atau ratusan sertifikat pada website, subdomain, server, maupun layanan yang berbeda.
ACME atau Automatic Certificate Management Environment menjadi salah satu teknologi yang relevan untuk menghadapi perubahan tersebut. Protokol ini memungkinkan proses penerbitan dan pembaruan sertifikat berjalan secara otomatis sehingga administrator tidak harus menangani setiap siklus sertifikat secara manual.
Apa Itu ACME?
ACME adalah singkatan dari Automatic Certificate Management Environment. ACME merupakan protokol standar yang dirancang untuk mengotomatisasi proses pengelolaan sertifikat digital.
Internet Engineering Task Force atau IETF mendefinisikan ACME melalui RFC 8555. Protokol tersebut menyediakan framework agar server dan perangkat lunak infrastruktur dapat memperoleh sertifikat tanpa membutuhkan interaksi pengguna pada setiap proses penerbitan.
Dengan ACME, sebuah ACME client dapat berkomunikasi langsung dengan server Certificate Authority atau CA. Client kemudian menjalankan rangkaian proses yang dibutuhkan untuk memperoleh sertifikat.
Secara sederhana, alurnya dapat digambarkan seperti berikut.
- ACME client membuat permintaan sertifikat kepada CA.
- CA meminta client membuktikan bahwa sistem tersebut mengendalikan domain.
- ACME client menyelesaikan proses validasi domain.
- Client mengirimkan Certificate Signing Request atau CSR.
- CA menerbitkan sertifikat setelah validasi berhasil.
- Client mengambil sertifikat dan memasangnya pada sistem yang digunakan.
- Proses dapat dijalankan kembali secara otomatis sebelum sertifikat lama kedaluwarsa.
Pada pengelolaan manual, administrator biasanya perlu menangani CSR, Private Key, CRT, dan CA Bundle secara langsung. Kamu dapat melihat proses tersebut dalam panduan cara mengaktifkan SSL dan mendapatkan CSR, Private Key, CRT, serta CA Bundle.
Dengan mekanisme ACME, administrator tidak perlu membuat permintaan dan memasang sertifikat secara manual setiap kali masa berlaku sertifikat mendekati akhir.
Mengapa ACME Menjadi Semakin Penting?
Sertifikat TLS sebelumnya dapat berlaku hingga sekitar satu tahun. Kondisi tersebut membuat pembaruan manual masih mungkin dilakukan pada lingkungan yang hanya memiliki beberapa sertifikat.
Namun, CA/Browser Forum telah mengubah aturan tersebut melalui Ballot SC-081v3. Perubahan tersebut mengurangi masa berlaku maksimum sertifikat secara bertahap.
CA/Browser Forum juga mengurangi periode penggunaan ulang data validasi nama domain dan alamat IP. Periode tersebut menjadi 200 hari pada 2026, 100 hari pada 2027, dan hanya 10 hari mulai 2029.
Artinya, perubahan tersebut tidak hanya membuat sertifikat perlu diterbitkan ulang lebih sering. Validasi terhadap kontrol domain juga harus dilakukan dengan frekuensi yang semakin tinggi.
CA/Browser Forum menjelaskan bahwa salah satu dampak tambahan yang diharapkan dari perubahan tersebut adalah meningkatnya kualitas, stabilitas, dan ketersediaan komponen certificate lifecycle management yang mendukung penerbitan, penggantian, dan rotasi sertifikat secara otomatis.
Dengan kata lain, masa berlaku yang semakin pendek membuat pendekatan manual menjadi semakin sulit dipertahankan pada skala besar.
Seberapa Besar Dampaknya Jika Sertifikat Dikelola Manual?
Dampaknya akan lebih mudah terlihat apabila perubahan masa berlaku tersebut diterjemahkan menjadi jumlah siklus penerbitan.
Jika satu tahun dihitung sebagai 365 hari, kebutuhan minimum siklus sertifikat dapat diperkirakan menggunakan perhitungan berikut.
Jumlah siklus per tahun = 365 ÷ masa berlaku maksimum sertifikat, kemudian dibulatkan ke atas.
Hasilnya menjadi sekitar:
- 200 hari = 2 siklus per tahun.
- 100 hari = 4 siklus per tahun.
- 47 hari = 8 siklus per tahun.
Sekarang bayangkan sebuah tim mengelola 10, 50, atau 100 sertifikat.
Tabel tersebut menunjukkan bahwa masalah utama bukan sekadar umur satu sertifikat menjadi lebih pendek. Beban operasional bertambah secara langsung ketika jumlah sertifikat yang dikelola meningkat.
Sebagai simulasi, anggap satu proses manual membutuhkan sekitar 30 menit untuk mempersiapkan permintaan, melakukan validasi, memasang sertifikat, dan memeriksa layanan setelah sertifikat diganti. Angka 30 menit ini merupakan asumsi simulasi karena waktu aktual akan berbeda pada setiap infrastruktur.
Hasilnya sebagai berikut.
Pada 100 sertifikat dengan masa berlaku maksimum 47 hari, tim dapat menghadapi sekitar 800 siklus penerbitan dalam setahun.
Perhitungan ini pula yang digunakan sebagai dasar kalkulator workload pada halaman SSL Otomatis DomaiNesia. Sistem menghitung jumlah siklus menggunakan Math.ceil(365 / masa berlaku) kemudian mengalikannya dengan jumlah sertifikat dan estimasi waktu per pemasangan.
Otomasi tidak hanya mengurangi waktu pengerjaan. Sistem otomatis juga mengurangi ketergantungan terhadap kalender, reminder, dan pekerjaan rutin manusia untuk memastikan setiap sertifikat diperbarui sebelum kedaluwarsa.
Otomasi Sertifikat Sudah Digunakan pada Skala Besar
Kebutuhan otomasi bukan hanya gambaran teoritis.
Let’s Encrypt menerbitkan studi teknis mengenai penggunaan ACME Renewal Information atau ARI yang membahas infrastruktur Shopify. Dalam tulisan tersebut, Shopify disebut memiliki sistem otomatis untuk melakukan provisioning, renewal, dan publikasi sertifikat SSL bagi jutaan custom domain milik merchant.
Contoh tersebut memperlihatkan mengapa certificate lifecycle management perlu diotomatisasi ketika jumlah domain terus bertambah. Menjadwalkan renewal satu per satu secara manual tidak lagi realistis ketika sistem menangani jumlah sertifikat yang sangat besar.
Let’s Encrypt juga secara langsung menyatakan bahwa pembaruan manual tidak direkomendasikan karena masa berlaku yang semakin pendek membuat renewal perlu dilakukan lebih sering.
Bahkan perubahan sertifikat Let’s Encrypt dari 90 hari menuju 45 hari diperkirakan akan menggandakan jumlah permintaan renewal harian, dari renewal sekitar setiap 60 hari menjadi sekitar setiap 30 hari. Pada ACME client yang mendukung mekanisme renewal terkait, perubahan tersebut dapat ditangani secara otomatis.
Kondisi yang sama menjadi semakin relevan untuk organisasi yang menggunakan sertifikat komersial pada banyak layanan.
Bagaimana ACME Melakukan Validasi Domain?
Certificate Authority tetap harus memastikan bahwa pemohon mengendalikan domain sebelum menerbitkan sertifikat. ACME mengotomatisasi proses pembuktian tersebut menggunakan mekanisme challenge.
Beberapa challenge ACME yang umum antara lain HTTP-01, DNS-01, dan TLS-ALPN-01.
Pada HTTP-01, ACME client menempatkan token pada lokasi tertentu di web server. CA kemudian mengakses token tersebut melalui HTTP untuk memastikan bahwa client memiliki kontrol terhadap website.
Konsep tersebut serupa dengan proses Domain Validation berbasis HTTP. Jika kamu ingin melihat implementasi validasi di luar alur ACME, panduan cara validasi SSL melalui HTTP menjelaskan prosesnya secara lebih spesifik.
Pada DNS-01, client membuat record TXT tertentu pada DNS domain. CA akan memeriksa record tersebut sebelum menganggap proses validasi berhasil.
DNS-01 juga penting dalam penggunaan sertifikat wildcard karena validasi wildcard dilakukan melalui DNS. Untuk memahami mekanisme validasi DNS secara lebih konkret, kamu dapat membaca panduan cara validasi SSL melalui DNS Record.
ACME kemudian dapat mengulangi proses yang diperlukan ketika sertifikat harus diterbitkan kembali. Administrator tidak perlu melakukan setiap langkah tersebut secara manual selama client dan akses yang diperlukan sudah dikonfigurasi dengan benar.
ACME Client Menjadi Penghubung antara Server dan CA
Untuk menggunakan ACME, server membutuhkan perangkat lunak yang bertindak sebagai ACME client.
Beberapa contoh yang banyak digunakan antara lain:
- Certbot
- acme.sh
- Caddy
- lego
- cert-manager
- Traefik
Client tersebut menangani komunikasi dengan ACME server, proses challenge, pembuatan CSR, pengambilan sertifikat, hingga proses renewal sesuai kemampuan dan konfigurasi masing-masing.
Pada lingkungan Kubernetes, misalnya, certificate management dapat menjadi bagian dari deployment menggunakan cert-manager. Pada web server biasa, administrator dapat menggunakan Certbot atau acme.sh.
Jika server menggunakan VPS dan proses instalasi masih dilakukan secara manual, kamu dapat melihat panduan cara install SSL di Cloud VPS sebagai pembanding terhadap proses yang nantinya dapat diotomatisasi.
Konsep utamanya tetap sama. Administrator mengatur mekanisme otomasi terlebih dahulu, lalu software menangani siklus berikutnya.
ACME Tidak Berarti Semua Sertifikat Harus Gratis
ACME sering diasosiasikan dengan Let’s Encrypt karena CA tersebut menjadi salah satu pendorong adopsi ACME secara luas.
Namun, ACME sebenarnya merupakan protokol, bukan jenis sertifikat dan bukan Certificate Authority tertentu.
Sertifikat berbayar juga dapat menggunakan ACME selama Certificate Authority dan produk sertifikat tersebut mendukungnya.
Perbedaan ini penting karena kebutuhan setiap website tidak selalu sama. Sertifikat gratis sudah mencukupi untuk banyak website, sedangkan sebagian organisasi tetap menggunakan sertifikat komersial karena membutuhkan dukungan resmi, garansi CA, site seal, atau kebijakan internal tertentu.
Jika kebutuhan tersebut juga berlaku pada infrastrukturnya, kamu dapat melihat pilihan Sertifikat SSL DomaiNesia untuk membandingkan jenis sertifikat yang sesuai dengan jumlah domain dan skenario penggunaannya.
ACME memungkinkan kenyamanan otomasi juga diterapkan pada model sertifikat tersebut.
SSL dan Automate untuk Mengurangi Pekerjaan Manual
Perubahan masa berlaku TLS membuat DomaiNesia menyediakan paket SSL +Automate untuk pengguna yang tetap membutuhkan sertifikat SSL komersial tetapi tidak ingin mengelola setiap siklus sertifikat secara manual.
Dalam implementasinya, empat paket +Automate yang tersedia dapat menggunakan dua pendekatan, yaitu agent atau ACME. Pengguna dapat memilih mekanisme yang sesuai dengan infrastruktur yang digunakan.
Pilihan paket yang tersedia mencakup RapidSSL dan GeoTrust, termasuk varian wildcard. DomaiNesia juga menyediakan Sectigo ACME Certificate-as-a-Service untuk lingkungan yang memang dibangun menggunakan ACME client. Seluruh paket menggunakan Domain Validation dengan masa langganan 12 bulan.
🔒
Kurangi Pekerjaan Manual saat Siklus SSL Semakin Pendek
Jika kamu tetap membutuhkan SSL komersial, pilih paket SSL DomaiNesia yang sesuai dengan kebutuhan domain dan infrastruktur agar pengelolaan sertifikat dapat dilakukan dengan lebih praktis.
Pendekatan ini menjadi relevan ketika sebuah tim perlu mengelola beberapa website, wildcard certificate, banyak subdomain, load balancer, atau sertifikat yang tersebar di beberapa server.
Tujuannya bukan memperpanjang masa berlaku sertifikat. Batas masa berlaku tetap mengikuti ketentuan CA/Browser Forum. Otomasi membantu mengelola siklus penerbitan dan pemasangan yang menjadi lebih sering.
Kapan ACME Sebaiknya Digunakan?
ACME semakin layak dipertimbangkan ketika pengelolaan sertifikat mulai menjadi pekerjaan rutin.
Sebuah organisasi dapat mempertimbangkan ACME apabila mempunyai banyak domain atau subdomain, menjalankan beberapa server, menggunakan container dan Kubernetes, memiliki wildcard certificate, atau membutuhkan proses deployment yang tidak bergantung pada pekerjaan manual administrator.
Namun, manfaat ACME juga tidak hanya berlaku untuk perusahaan besar. Sebuah website dengan satu sertifikat tetap dapat memperoleh manfaat dari renewal otomatis karena risiko sertifikat lupa diperbarui dapat dikurangi.
Perbedaannya terletak pada skalanya. Semakin banyak sertifikat yang harus dikelola, semakin besar pula pekerjaan yang dapat dihilangkan melalui otomasi.
Masa Berlaku TLS Semakin Pendek, Otomasi Menjadi Bagian dari Infrastruktur
Perubahan certificate lifetime menunjukkan bahwa pengelolaan TLS sedang bergerak dari proses berkala menuju proses yang semakin otomatis.
Sejak 15 Maret 2026, batas maksimum sertifikat publik telah menjadi 200 hari. Batas tersebut akan menjadi 100 hari pada 2027 dan 47 hari pada 2029. Pada saat yang sama, periode penggunaan ulang validasi domain juga akan semakin pendek.
ACME menyediakan standar yang memungkinkan penerbitan, validasi, dan pembaruan sertifikat menjadi bagian dari sistem, bukan pekerjaan yang harus selalu diingat oleh administrator.
Bagi pengguna yang membutuhkan sertifikat komersial, SSL +Automate DomaiNesia dapat menjadi salah satu pendekatan untuk menerapkan pola tersebut. Pengguna tetap memperoleh sertifikat sesuai kebutuhannya, sedangkan pekerjaan rutin untuk menghadapi siklus sertifikat yang semakin pendek dapat ditangani secara otomatis.
