Setiap sertifikat SSL/TLS punya tanggal kedaluwarsa. Sebelum era otomasi, pemilik website harus mengingat sendiri kapan sertifikatnya akan habis masa berlaku. Setelah itu, mereka mengulang proses validasi domain, mengunduh sertifikat baru dari Certificate Authority (CA — lembaga penerbit sertifikat digital), lalu memasangnya manual di server. Sekali lupa, pengunjung akan disambut peringatan "Your connection is not private" di browser mereka.
ACME adalah protokol standar yang menjawab masalah tersebut. ACME mengatur cara Certificate Authority dan pengguna saling berkomunikasi untuk memvalidasi domain, menerbitkan sertifikat, dan memperbaruinya sebelum kedaluwarsa — semuanya berjalan otomatis tanpa campur tangan manusia. Kalau Anda pernah bertanya kenapa sertifikat SSL gratis dari Let's Encrypt bisa terus aktif tanpa Anda perlu mengurusnya berulang kali, jawabannya ada di protokol ini.
Artikel ini membahas pengertian ACME, cara kerjanya secara teknis, kelebihan dan kekurangannya, sampai rekomendasi client dan penyedia yang bisa Anda pakai. Kalau Anda belum familiar dengan dasar sertifikat SSL/TLS itu sendiri, ada baiknya membaca dulu SSL adalah sebagai pengantar sebelum masuk ke bagian otomasinya.
Apa Itu ACME?
ACME adalah singkatan dari Automated Certificate Management Environment, sebuah protokol yang detail teknisnya didokumentasikan resmi dalam RFC 8555 oleh Internet Engineering Task Force (IETF) pada tahun 2019. Protokol ini dirancang oleh Internet Security Research Group (ISRG) — organisasi nirlaba yang juga mengoperasikan Let's Encrypt.
Satu hal penting untuk dipahami sejak awal: ACME adalah protokol, bukan software atau layanan yang bisa langsung Anda pakai begitu saja. Protokol hanya mengatur "aturan main" komunikasinya — format pesan, urutan permintaan, cara validasi — sementara pihak yang benar-benar menjalankan aturan itu ada dua peran berbeda.
Peran pertama adalah ACME server, yaitu sistem di sisi Certificate Authority yang menerima permintaan, memberi tantangan validasi, dan menerbitkan sertifikat. Let's Encrypt adalah contoh CA paling populer yang mengimplementasikan ACME server ini secara gratis. Peran kedua adalah ACME client, yaitu program yang berjalan di server Anda untuk mengajukan permintaan, menjawab tantangan validasi, dan memasang sertifikat yang diterima — contohnya certbot.
Perbedaan ini penting karena banyak orang mengira "ACME" dan "Let's Encrypt" adalah dua nama untuk hal yang sama. Padahal Let's Encrypt hanyalah satu dari beberapa CA yang memilih mengimplementasikan protokol ACME. CA lain seperti ZeroSSL dan Google Trust Services juga mendukung protokol yang sama.
Peta ekosistem ACME: protokol RFC 8555, CA Let's Encrypt/ZeroSSL/Google Trust Services, client certbot/acme.sh.
Cara Kerja Protokol ACME
Proses ACME dimulai saat ACME client mendaftarkan akun ke ACME server dan mengajukan order sertifikat untuk satu atau beberapa domain. Server lalu memberikan satu atau beberapa challenge (tantangan) yang harus diselesaikan client untuk membuktikan bahwa ia benar-benar menguasai domain tersebut — bukan sekadar mengaku-ngaku.
Ada tiga jenis challenge yang didefinisikan RFC 8555. HTTP-01 meminta client meletakkan file verifikasi berisi token tertentu di alamat http://domain-anda.com/.well-known/acme-challenge/. CA lalu mengunjungi alamat itu untuk memastikan filenya benar-benar ada.
DNS-01 meminta client menambahkan TXT record dengan nama _acme-challenge.domain-anda.com berisi nilai tertentu di DNS. Metode ini cocok untuk domain yang belum punya server web aktif, atau untuk penerbitan sertifikat wildcard. TLS-ALPN-01 memvalidasi lewat koneksi TLS langsung di port 443, biasanya dipakai oleh reverse proxy yang sudah terintegrasi dengan ACME client.
Setelah challenge terverifikasi, server menerbitkan sertifikat dan client memasangnya di server web. Karena sertifikat dari Let's Encrypt hanya berlaku 90 hari, seluruh proses ini dirancang untuk diulang otomatis sebelum kedaluwarsa — bukan dijalankan sekali lalu dilupakan.
Alur protokol ACME: client ajukan order, server beri tantangan HTTP-01/DNS-01, sertifikat terbit & diperbarui otomatis.
Kelebihan Menggunakan ACME
- Otomasi penuh tanpa intervensi manual: setelah dikonfigurasi sekali, seluruh siklus permintaan, validasi, penerbitan, dan pembaruan berjalan sendiri lewat cron job atau systemd timer di server.
- Biaya rendah hingga gratis: Let's Encrypt sebagai implementasi ACME paling populer tidak memungut biaya sama sekali untuk sertifikat Domain Validation (DV).
- Mengurangi risiko sertifikat kedaluwarsa: pembaruan berjalan otomatis jauh sebelum tanggal habis berlaku, sehingga risiko lupa memperpanjang berkurang signifikan. Padahal lupa memperpanjang adalah penyebab umum munculnya layar peringatan keamanan di browser pengunjung.
- Standar terbuka yang didukung luas: karena spesifikasinya publik lewat RFC 8555, banyak client tersedia untuk berbagai sistem operasi dan web server. Anda tidak terkunci ke satu vendor tertentu.
Kekurangan dan Hal yang Perlu Anda Pertimbangkan
Otomasi ACME tidak menyelesaikan semua kebutuhan sertifikat. Ada beberapa batasan yang perlu Anda ketahui sebelum bergantung penuh pada protokol ini.
- Terbatas pada validasi domain (DV): ACME standar hanya memverifikasi kepemilikan domain, bukan identitas badan usaha. Kalau bisnis Anda butuh sertifikat Organization Validation (OV) atau Extended Validation (EV), ACME saja tidak cukup. Kedua jenis sertifikat itu memuat identitas perusahaan lewat proses verifikasi manual. Karena itu, Anda tetap perlu membelinya lewat CA komersial, seperti pilihan yang tersedia di halaman sertifikat SSL Indowebsite.
- Bergantung pada akses jaringan untuk proses challenge: server yang berada di belakang firewall ketat atau jaringan internal tanpa akses publik akan kesulitan menyelesaikan challenge HTTP-01. Solusinya biasanya beralih ke DNS-01, namun itu menuntut API DNS provider yang mendukung otomasi pembaruan record.
- Masa berlaku pendek menuntut otomasi yang benar-benar andal: sertifikat 90 hari dari Let's Encrypt jauh lebih pendek dibanding sertifikat tahunan konvensional. Jendela toleransinya pun jauh lebih sempit kalau proses renewal gagal diam-diam. Contohnya, kredensial API DNS yang berubah tanpa disadari bisa membuat sertifikat kedaluwarsa lebih cepat dari perkiraan.
Rekomendasi Client dan Penyedia ACME
Pilihan client dan CA sebaiknya disesuaikan dengan cara Anda mengelola server, bukan asal ikut yang paling populer.
Kalau Anda mengelola sendiri VPS tanpa panel kontrol, certbot adalah pilihan paling umum. Client ini mendukung plugin otomatis untuk Nginx dan Apache, serta secara default memeriksa kebutuhan pembaruan dua kali sehari lewat systemd timer. Certbot baru benar-benar memperbarui sertifikat begitu sisa masa berlakunya kurang dari 30 hari. Alternatif lain adalah acme.sh, sebuah shell script ringan tanpa dependency Python, cocok untuk server dengan resource terbatas.
Kalau Anda memakai shared hosting dengan panel seperti cPanel atau CWP, Anda umumnya tidak perlu menyentuh ACME client sama sekali. Fitur AutoSSL di panel-panel tersebut sudah menjalankan client ACME bawaan di balik layar begitu domain diarahkan ke hosting. Inilah alasan kenapa pengguna hosting biasa jarang sadar protokol ini bekerja untuk mereka. Panduan aktivasinya sudah dibahas di cara install SSL gratis.
Untuk pilihan CA, selain Let's Encrypt ada ZeroSSL yang juga gratis dengan tambahan dukungan External Account Binding (EAB) untuk beberapa client. Ada juga Google Trust Services, yang tersedia untuk penggunaan tertentu lewat ACME. Ketiganya kompatibel dengan client ACME manapun karena sama-sama mengikuti RFC 8555 — Anda bisa berpindah CA tanpa mengganti client yang sudah dipasang.
Pertanyaan yang Sering Muncul
Apakah ACME sama dengan Let's Encrypt?
Tidak. ACME artinya protokol atau aturan komunikasi, sementara Let's Encrypt adalah salah satu Certificate Authority yang memilih mengimplementasikan protokol tersebut. Anda bisa membayangkannya seperti HTTP dan browser: HTTP adalah protokolnya, sementara Chrome atau Firefox adalah salah satu program yang menjalankannya.
Apakah sertifikat SSL dari ACME aman digunakan?
Ya. Baik sertifikat SSL Let's Encrypt yang gratis maupun sertifikat berbayar dari CA komersial sama-sama memakai algoritma enkripsi yang setara dan diakui semua browser besar. Perbedaannya ada di tingkat validasi identitas dan dukungan teknis, bukan di kekuatan enkripsinya.
Bisakah ACME dipakai untuk sertifikat OV atau EV?
Tidak secara langsung. Protokol ACME standar dirancang untuk validasi domain otomatis, sehingga hanya cocok untuk sertifikat DV. Sertifikat OV dan EV membutuhkan verifikasi identitas badan usaha yang melibatkan dokumen dan proses manual, di luar cakupan otomasi ACME.
Apa yang terjadi kalau proses renewal ACME gagal?
Sertifikat akan tetap kedaluwarsa begitu masa berlakunya habis, sama seperti sertifikat yang dipasang manual. Bedanya, kegagalan pada sertifikat 90 hari dari Let's Encrypt akan terasa lebih cepat dibanding sertifikat tahunan. Karena itu, sebaiknya Anda tetap memasang pemantauan atau notifikasi terpisah untuk memastikan proses renewal benar-benar berjalan, bukan hanya mengandalkan asumsi bahwa otomasi selalu berhasil.
Kesimpulan
ACME adalah protokol standar (RFC 8555) yang mengotomasi permintaan, validasi, penerbitan, dan pembaruan sertifikat SSL/TLS lewat komunikasi terstruktur antara ACME client dan ACME server. Let's Encrypt, ZeroSSL, dan Google Trust Services adalah contoh Certificate Authority yang mengimplementasikan protokol ini. Certbot dan acme.sh, sebaliknya, adalah contoh client yang berjalan di sisi pengguna.
Kalau Anda memakai shared hosting dengan panel modern, proses ini kemungkinan besar sudah berjalan otomatis tanpa perlu Anda pikirkan. Namun kalau Anda mengelola VPS atau server sendiri, memahami cara kerja challenge dan siklus pembaruannya akan sangat membantu. Anda bisa mendiagnosis masalah lebih cepat saat suatu hari renewal otomatis gagal berjalan.
Semoga artikel ini membantu.
