Belajar Traefik - Let's Encrypt & ACME

#Pendahuluan

Mengelola sertifikat manual — membeli, menaruh, memperbarui sebelum kedaluwarsa — adalah pekerjaan paling membosankan dan paling rawan bencana di dunia proxy. Episode 15 menghapus semua itu dengan ACME dan Let's Encrypt: sertifikat diterbitkan otomatis, dipasang otomatis, dan diperbarui otomatis tanpa intervensi manusia.

Ini adalah salah satu alasan terbesar orang memilih Traefik. Setelah konfigurasi sekali, HTTPS di seluruh domain kalian berjalan sendiri. Mari kita pahami protokol ACME, cara mengonfigurasi certificate resolver, ketiga jenis challenge, dan bagaimana Traefik mengelola siklus hidup sertifikat.

#Protokol ACME dan Certificate Resolver

#Cara Kerja ACME

ACME (Automatic Certificate Management Environment) adalah protokol untuk otomasi sertifikat. Traefik bertindak sebagai klien ACME: mendaftar ke Let's Encrypt, membuktikan kepemilikan domain lewat challenge, lalu menerima sertifikat yang langsung dipasang. Sertifikat berumur 90 hari dan otomatis diperbarui sekitar 30 hari sebelum kedaluwarsa.

#Konfigurasi Resolver

Certificate resolver adalah blok static config yang menghubungkan Traefik dengan server ACME:

certificatesResolvers:
  letsencrypt:
    acme:
      email: admin@example.com
      storage: /etc/traefik/acme.json
      httpChallenge:
        entryPoint: web

• email: alamat untuk notifikasi kedaluwarsa dan perpanjangan dari Let's Encrypt.
• storage: lokasi file acme.json tempat semua sertifikat dan kunci disimpan.
• httpChallenge: membuktikan kepemilikan domain lewat entrypoint web (port 80).

File acme.json adalah harta karun: berisi private key seluruh sertifikat. Setel permission ketat:

chmod 600 acme.json

#Tiga Jenis Challenge

#HTTP-01

HTTP-01 paling sederhana: Let's Encrypt meminta file acak di http://domain/.well-known/acme-challenge/<token>, dan Traefik menyajikannya. Syaratnya: port 80 harus terbuka dari internet dan request harus sampai ke Traefik. Inilah mengapa entrypoint web di httpChallenge wajib ada.

#TLS-ALPN-01

TLS-ALPN-01 berjalan lewat port 443: Let's Encrypt menghubungi Traefik dengan ALPN khusus acme-tls/1, dan Traefik membuktikan kepemilikan domain di dalam handshake TLS. Tidak memerlukan port 80, tapi membutuhkan port 443 terbuka:

certificatesResolvers:
  letsencrypt:
    acme:
      email: admin@example.com
      storage: /etc/traefik/acme.json
      tlsChallenge: {}

#DNS-01

DNS-01 membuktikan kepemilikan domain lewat record DNS TXT. Inilah satu-satunya cara mendapatkan wildcard certificate dan tidak memerlukan port inbound sama sekali. Kita bedah seluruh detailnya di episode 16.

#Pemasangan TLS pada Router

#Mengaktifkan HTTPS per Router

Sertifikat diterbitkan untuk domain yang diminta router. Untuk mengaktifkan TLS, router harus berada di entrypoint HTTPS dan menyebut certResolver:

services:
  app:
    image: nginx:alpine
    labels:
      - traefik.enable=true
      - traefik.http.routers.app.rule=Host(`app.example.com`)
      - traefik.http.routers.app.entrypoints=websecure
      - traefik.http.routers.app.tls.certresolver=letsencrypt
      - traefik.http.routers.app.tls.domains[0].main=app.example.com
      - traefik.http.routers.app.tls.domains[0].sans=www.app.example.com
      - traefik.http.routers.app.service=app-svc
      - traefik.http.services.app-svc.loadbalancer.server.port=80

Saat router ini muncul, Traefik memeriksa apakah sertifikat untuk app.example.com sudah ada di acme.json. Jika belum, dia langsung memproses challenge dan menerbitkannya. Label tls.domains[0].sans mendaftarkan SAN tambahan dalam satu sertifikat.

#Siklus Hidup Sertifikat

#Renewal dan Backup

Traefik memantau sertifikat dan memperbaruinya otomatis sekitar 30 hari sebelum kedaluwarsa, dengan beberapa percobaan jika gagal. Yang wajib kalian lakukan sebagai operator:

• Backup acme.json secara rutin — kehilangan file ini berarti private key hilang.
• Jangan pernah mengedit acme.json saat Traefik berjalan; tulis lewat mekanisme backup-restore.
• Awasi log untuk error renewal — kegagalan berulang berarti masalah DNS atau firewall.

Untuk high availability dengan beberapa instance Traefik, acme.json harus dibagikan dengan hati-hati — kita bahas detailnya di episode 26.

#Penutup

Inti yang harus dibawa pulang:

• ACME mengotomasi penerbitan dan perpanjangan sertifikat.
• Certificate resolver butuh email, storage acme.json, dan satu tipe challenge.
• HTTP-01 butuh port 80; TLS-ALPN-01 butuh port 443; DNS-01 tanpa port inbound.
• Router mengaktifkan HTTPS dengan label tls.certresolver dan tls.domains.
• Renewal otomatis 30 hari sebelum kedaluwarsa.
• Backup acme.json dan uji dengan staging server sebelum production.

Di episode 16 selanjutnya kita akan membahas wildcard certificates & DNS challenge — sertifikat untuk semua subdomain, integrasi provider DNS seperti Cloudflare dan Route53, konfigurasi env var, SAN multi-domain, serta troubleshooting DNS propagation dan timeout.