TLS Certificate Self-Hosted: Setup HTTPS Gratis dengan Let's Encrypt & Certbot 2026

Pernahkah lo mengakses website dan melihat pesan 'Your connection is not private' di browser? Itu terjadi karena situs tersebut tidak menggunakan TLS certificate yang valid. Di era sekarang, TLS bukan lagi optional — ini kebutuhan dasar. Browser modern akan melabel situs tanpa HTTPS sebagai 'Not Secure', Google memberikan ranking lebih rendah untuk situs HTTP, dan yang paling penting: data pengguna lo tidak terenkripsi. Gue pernah ngalamin insiden di mana credentials user bocor karena gue malas setup HTTPS di server development — untungnya itu hanya environment testing, tapi pelajaran yang didapat sangat berharga: tidak ada alasan untuk tidak menggunakan TLS, bahkan di server development sekalipun.

Artikel ini bakal bahas cara setup TLS certificate gratis menggunakan Let's Encrypt dan Certbot, termasuk auto-renewal yang tidak perlu dipikirkan lagi. Let's Encrypt adalah Certificate Authority (CA) gratis yang didukung oleh ISRG (Internet Security Research Group) — sertifikat mereka diakui oleh semua browser modern, sama dengan certificate berbayar dari DigiCert atau Comodo. Certbot adalah client yang memudahkan lo berinteraksi dengan Let's Encrypt: mengurus verifikasi domain, generate CSR, obtain certificate, dan configure web server secara otomatis.

Kenapa TLS Certificate Itu Wajib untuk Self-Hosted Server?

Pernahkah kamu mengakses website dan melihat pesan "Your connection is not private" di browser? Itu terjadi karena situs tersebut tidak menggunakan TLS certificate yang valid. Di era sekarang, TLS bukan lagi optional — ini adalah kebutuhan dasar. Browser modern akan meng-label situs tanpa HTTPS sebagai "Not Secure", Google memberikan ranking lebih rendah untuk situs HTTP, dan yang paling penting: data pengguna kamu tidak terenkripsi.

Saya pernah mengalami insiden di mana credentials user bocor karena saya malas setup HTTPS di server development. Untungnya itu hanya environment testing, tapi pelajaran yang didapat sangat berharga: tidak ada alasan untuk tidak menggunakan TLS, bahkan di server development sekalipun.

Artikel ini akan membahas cara setup TLS certificate gratis menggunakan Certbot dan Let's Encrypt, termasuk auto-renewal yang tidak perlu dipikirkan lagi.

Apa itu Let's Encrypt dan Certbot?

Let's Encrypt adalah Certificate Authority (CA) gratis yang didukung oleh ISRG (Internet Security Research Group). Mereka menyediakan TLS certificates yang diakui oleh semua browser modern — sama dengan certificate berbayar dari DigiCert, Comodo, atau GlobalSign.

Certbot adalah client yang memudahkan kamu berinteraksi dengan Let's Encrypt. Certbot mengurus semua proses: verifikasi domain, generate CSR, obtain certificate, dan configure web server kamu. Yang paling menarik: certificates berlaku 90 hari, tapi Certbot bisa mengurus renewal otomatis.

Instalasi Certbot

# Debian/Ubuntu (Recommended)
sudo apt update
sudo apt install certbot python3-certbot-nginx -y

# CentOS/RHEL 9+
sudo dnf install certbot python3-certbot-nginx -y

# Via Snap (Semua Distro)
sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot

Setup Certificate dengan Nginx

Misalnya kamu punya domain app.rina.my.id yang mengarah ke server kamu. Berikut langkah-langkahnya:

Langkah 1: Buat Server Block

# /etc/nginx/sites-available/app.rina.my.id
server {
    listen 80;
    server_name app.rina.my.id;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

sudo ln -s /etc/nginx/sites-available/app.rina.my.id /etc/nginx/sites-enabled/
sudo nginx -t && sudo systemctl reload nginx

Langkah 2: Obtain Certificate

sudo certbot --nginx -d app.rina.my.id

Certbot akan otomatis: verify ownership domain via HTTP challenge, download certificate dari Let's Encrypt, modifikasi konfigurasi Nginx, dan reload Nginx. Proses ini biasanya selesai dalam 30 detik.

Langkah 3: Verifikasi

# Cek HTTPS sudah aktif
curl -I https://app.rina.my.id

# Lihat certificate details
echo | openssl s_client -connect app.rina.my.id:443 -servername app.rina.my.id 2>/dev/null | openssl x509 -noout -dates

Auto-Renewal: Sekali Set, Selamanya

Certbot sudah menginstall systemd timer untuk auto-renewal secara default. Timer ini menjalankan certbot renew dua kali sehari. Jika ada certificate yang akan expired dalam 30 hari, Certbot akan otomatis renew.

# Cek timer status
systemctl list-timers | grep certbot

# Dry run untuk verifikasi
sudo certbot renew --dry-run

Jika tidak ada error, auto-renewal sudah berfungsi. Kamu tidak perlu melakukan apa-apa lagi. Untuk post-renewal hook (misalnya reload service), buat script di /etc/letsencrypt/renewal-hooks/post/:

#!/bin/bash
# /etc/letsencrypt/renewal-hooks/post/reload-nginx.sh
systemctl reload nginx
logger "Certbot: Certificate renewed, nginx reloaded"

Wild Card Certificate dengan DNS Challenge

Jika kamu punya banyak subdomain, wildcard certificate bisa jadi solusi. Tapi perlu DNS challenge:

# Install Cloudflare plugin
sudo apt install python3-certbot-dns-cloudflare -y

# Buat credentials file
mkdir -p ~/.secrets
cat > ~/.secrets/cloudflare.ini << 'EOF'
dns_cloudflare_api_token = YOUR_CLOUDFLARE_API_TOKEN
EOF
chmod 600 ~/.secrets/cloudflare.ini

# Obtain wildcard certificate
sudo certbot certonly \
  --dns-cloudflare \
  --dns-cloudflare-credentials ~/.secrets/cloudflare.ini \
  -d "*.rina.my.id" \
  -d rina.my.id

TLS Configuration Terbaik untuk Keamanan

Setelah certificate terinstall, pastikan konfigurasi TLS kamu optimal. Tambahkan snippet ini di Nginx:

# /etc/nginx/snippets/ssl-params.conf
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_stapling on;
ssl_stapling_verify on;

# Security headers
add_header X-Frame-Options DENY always;
add_header X-Content-Type-Options nosniff always;

Gunakan di server block:

server {
    listen 443 ssl http2;
    server_name app.rina.my.id;
    include snippets/ssl-params.conf;
    ssl_certificate /etc/letsencrypt/live/app.rina.my.id/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/app.rina.my.id/privkey.pem;
    # ...
}

Troubleshooting Umum

Error: "Challenge failed"

# Pastikan port 80 terbuka
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# Pastikan DNS sudah pointing ke server
dig +short app.rina.my.id

# Cek nginx listening di port 80
sudo ss -tlnp | grep :80

Error: "Too many certificates already issued"

Let's Encrypt punya rate limit: maksimal 50 certificates per domain per minggu. Untuk development, gunakan staging:

sudo certbot --nginx --staging -d app.rina.my.id

Error: Certificate tidak direnew

# Cek log renewal
sudo journalctl -u certbot --since "7 days ago"

# Force renewal
sudo certbot renew --force-renewal

Monitoring Certificate Expiry

Script sederhana untuk cek expiry setiap minggu:

#!/bin/bash
DOMAIN="app.rina.my.id"
EXPIRY=$(echo | openssl s_client -connect $DOMAIN:443 -servername $DOMAIN 2>/dev/null | \
         openssl x509 -noout -enddate | cut -d= -f2)
EXPIRY_EPOCH=$(date -d "$EXPIRY" +%s)
NOW_EPOCH=$(date +%s)
DAYS_LEFT=$(( ($EXPIRY_EPOCH - $NOW_EPOCH) / 86400 ))

if [ $DAYS_LEFT -lt 14 ]; then
    echo "WARNING: Certificate for $DOMAIN expires in $DAYS_LEFT days" | \
    mail -s "SSL Certificate Alert" [email protected]
fi

Kesimpulan

TLS certificate dengan Let's Encrypt dan Certbot adalah solusi gratis, otomatis, dan production-ready untuk keamanan web server. Dengan auto-renewal yang sudah built-in, kamu tidak perlu khawatir certificate expired. Investasi 30 menit untuk setup ini akan menghemat berjam-jam masalah di kemudian hari.

Pastikan juga kamu sudah melakukan SSH hardening dan Docker container security untuk pertahanan server yang lebih menyeluruh.

Baca juga:

• Caddy Reverse Proxy dengan Auto-HTTPS
• Traefik Reverse Proxy untuk Docker
• Zero Trust mTLS untuk Server Self-Hosted

Troubleshooting TLS Issues yang Sering Terjadi

Meskipun Certbot handle 90% setup secara otomatis, ada beberapa edge case yang sering bikin pusing. Berikut troubleshooting untuk masalah yang paling umum:

Challenge Validation Gagal

Paling sering terjadi: Certbot gagal verifikasi domain karena firewall, web server yang konflik, atau DNS yang belum propagate. Untuk VPS dengan Nginx, pastikan Nginx listen di port 80 dan tidak ada service lain (seperti Apache) yang konflik. Solusi: stop Apache dulu, lalu start Nginx, atau konfig Certbot untuk pakai webroot plugin yang nggak perlu stop service.

# Standalone mode (stop Nginx dulu)
sudo systemctl stop nginx
sudo certbot certonly --standalone -d example.com -d www.example.com
sudo systemctl start nginx

# Webroot mode (Nginx tetap jalan)
sudo certbot certonly --webroot -w /var/www/html -d example.com

Rate Limit Let's Encrypt

Let's Encrypt punya rate limit: 50 certificate per minggu per registered domain. Kalau lo salah konfigurasi dan generate certificate berkali-kali, bisa kena limit. Solusi: gunakan staging environment dulu untuk testing:

# Testing dengan staging (limit lebih longgar)
sudo certbot certonly --staging --standalone -d test.example.com

# Kalau sudah OK, baru pakai production
sudo certbot certonly --standalone -d example.com

Auto-Renewal Gagal

Kadang cron job untuk renewal jalan tapi gagal karena ada perubahan di web server config. Solusi: test renewal secara manual dulu:

# Dry-run renewal
sudo certbot renew --dry-run

# Kalau OK, baru force renewal
sudo certbot renew --force-renewal
sudo systemctl reload nginx

Setelah fix, pastikan cron job untuk renewal tetap jalan. Default-nya Certbot install timer systemd, bukan cron, jadi pastikan timer aktif:

sudo systemctl status certbot.timer
sudo systemctl list-timers | grep certbot

Hardening TLS Configuration untuk Security Ekstra

Default Certbot configuration udah cukup aman, tapi untuk security maksimal, lo bisa tweak cipher suites dan protocol yang di-enable. Tambahkan ini di Nginx config:

# /etc/nginx/snippets/ssl-params.conf
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
ssl_session_tickets off;
ssl_stapling on;
ssl_stapling_verify on;

Setelah update, test dengan SSL Labs (https://www.ssllabs.com/ssltest/) — kalau dapat A+ rating, konfigurasi lo sudah optimal. Tools online lain yang berguna: testssl.sh untuk CLI testing, atau Mozilla SSL Configuration Generator untuk generate config yang sesuai dengan browser compatibility requirements.

Migrasi dari HTTP ke HTTPS: Checklist Lengkap

Setelah certificate ter-install, ada beberapa hal yang perlu di-update untuk migrasi penuh ke HTTPS:

1. Update semua link internal dari http:// ke https://, atau pakai relative URL (//example.com/path).
2. Setup 301 redirect dari HTTP ke HTTPS di Nginx config agar semua traffic otomatis ke-redirect.
3. Update canonical URL di HTML head dan sitemap.xml ke https://.
4. Update application config — terutama untuk framework yang detect base URL otomatis.
5. Update CDN atau reverse proxy** config (kalau ada) untuk support HTTPS upstream.
6. Update external integrations** — webhook URLs, OAuth callback URLs, API endpoints.

# Generate wildcard certificate (perlu DNS-01 challenge)
sudo certbot certonly --manual --preferred-challenges dns \\
  -d "example.com" \\
  -d "*.example.com" \\
  --email [email protected] \\
  --agree-tos \\
  --manual-public-ip-logging-ok

# Setelah dapat TXT record challenge, tambahkan ke DNS:
# _acme-challenge.example.com TXT "xxxxxx"

# Certbot verify dan generate certificate
# Certifikat akan valid untuk example.com dan semua subdomain level-1

# Di DNS provider, tambahkan CAA record:
example.com.  CAA  0 issue "letsencrypt.org"
example.com.  CAA  0 issuewild "letsencrypt.org"
example.com.  CAA  0 iodef "mailto:[email protected]"