Mitos 1: Protokol ACME menolak semua bentuk redirect dari port 80
/.well-known/acme-challenge/<TOKEN>, validator tersebut bersedia mengikuti respons status HTTP 301, 302, atau redirect sementara lainnya hingga beberapa kali lompatan. CA bahkan secara eksplisit mengizinkan pengalihan dari http://domain.com/.well-known/... menuju https://domain.com/.well-known/....
Lalu, kenapa perpanjangan otomatis tetap gagal jika redirect sebenarnya diizinkan? Masalahnya bukan pada keberadaan redirect itu sendiri, melainkan pada ke mana trafik tersebut diarahkan dan bagaimana web server memproses request lanjutan setelah pengalihan terjadi. Jika redirect memotong path URL, menimpa nama domain dengan subdomain yang belum memiliki sertifikat, atau melempar validator ke vhost yang keliru, validasi akan langsung ditolak.
Mitos 2: Mengalihkan seluruh trafik port 80 ke HTTPS selalu aman asalkan domainnya sama
/.well-known/acme-challenge/abcxyz, server merespons dengan redirect 301 menuju https://domain.com/. Validator membaca halaman HTML beranda, bukan token acak yang dicari, sehingga proses validasi HTTP-01 otomatis gugur.
Kasus ini juga bisa memicu masalah pengalihan berulang yang memusingkan, terutama jika web server berada di balik CDN atau reverse proxy. Pola pengalihan semacam ini perlu diuji langsung di terminal dengan memeriksa respons header satu per satu, sebagaimana langkah yang dijelaskan pada panduan melacak sumber redirect loop HTTPS lewat header respons curl.
Mitos 3: Perpanjangan sertifikat pasti berjalan mulus jika instalasi awal berhasil
.htaccess atau blok konfigurasi Nginx.
Ketika jadwal cron job ACME berjalan otomatis dua bulan kemudian, aturan-aturan baru inilah yang mencegat request dari validator. Modul keamanan server sering kali mencurigai bot verifikasi eksternal atau memblokir akses ke direktori bertitik seperti .well-known karena dianggap sebagai upaya manipulasi direktori tersembunyi (hidden directory traversal). Akibatnya, server mengembalikan kode 403 Forbidden alih-alih file token yang valid.
Mitos 4: Menangani masalah ini butuh restrukturisasi arsitektur web server
/.well-known/acme-challenge/ harus selalu dilayani secara lokal dari direktori webroot langsung lewat HTTP biasa tanpa aturan rewrite apa pun.
Berikut contoh penerapan pengecualian direktori challenge pada blok virtual host Nginx port 80:
NGINX
server {
listen 80;
server_name example.com www.example.com;
# Layani validasi ACME langsung dari folder tanpa redirect
location ^~ /.well-known/acme-challenge/ {
root /var/www/html;
default_type 'text/plain';
try_files $uri =404;
}
# Alihkan seluruh request lainnya ke HTTPS
location / {
return 301 https://hostrequest_uri;
}
}^~ pada Nginx memastikan bahwa jika URI request diawali dengan path challenge tersebut, Nginx akan langsung berhenti mencari blok lokasi ekspresi reguler lain dan langsung menyajikan file teks dari direktori /var/www/html. Trafik umum untuk halaman website tetap dialihkan secara aman ke HTTPS melalui blok location / di bawahnya.
Pendekatan serupa juga dapat diterapkan pada Apache melalui modul rewrite dengan menambahkan RewriteCond %{REQUEST_URI} !^/.well-known/acme-challenge/ persis sebelum baris RewriteRule yang memaksakan pengalihan ke protokol HTTPS.
Mengamankan jalur komunikasi website dengan HTTPS memang sudah menjadi standar mutlak saat ini. Namun, web server tetap membutuhkan satu celah kecil yang terbuka bagi otoritas sertifikat untuk memeriksa kepemilikan domain Anda. Memberikan pengecualian khusus pada direktori /.well-known/acme-challenge/ memastikan pengunjung website Anda selalu menikmati koneksi terenkripsi tanpa harus mengorbankan otomatisasi perpanjangan sertifikat di masa mendatang.