Membuat CA Bundle dan Mengonversi Sertifikat SSL ke .PFX

Bagi banyak developer maupun sysadmin, pengelolaan sertifikat SSL/TLS adalah pekerjaan rutin yang cukup teknis. Salah satu kebutuhan yang sering muncul adalah menggabungkan sertifikat intermediate menjadi CA Bundle dan kemudian mengonversi file sertifikat ke format .pfx.

Format .pfx (atau PKCS#12) biasanya dibutuhkan saat kita ingin menginstal sertifikat di server Windows (IIS), Exchange, atau aplikasi tertentu yang hanya mendukung format tersebut.

Di artikel ini, kita akan membahas langkah-langkahnya.

1. Membuat CA Bundle

Biasanya, saat membeli SSL, kita menerima beberapa file:

• Sertifikat utama domain (STAR_aaa_net.crt dalam contoh ini)
• Sertifikat intermediate (misalnya dari Sectigo/Comodo)
• Root certificate

Agar sertifikat bekerja dengan benar, semua intermediate certificate perlu digabungkan menjadi satu file CA Bundle.

Perintahnya:

cat SectigoRSADomainValidationSecureServerCA.crt \
    USERTrustRSAAAACA.crt \
    AAACertificateServices.crt > ca_bundle.crt

Perintah di atas akan menggabungkan tiga file .crt menjadi ca_bundle.crt. Urutannya penting: mulai dari intermediate paling dekat dengan sertifikat domain, lalu intermediate berikutnya, hingga root certificate.

2. Mengonversi ke Format .PFX

Setelah CA Bundle siap, kita bisa membuat file .pfx menggunakan OpenSSL. Format ini berisi:

• Sertifikat domain
• Private key
• CA Bundle (chain certificate)

Perintahnya:

openssl pkcs12 -export \
  -out certificate.pfx \
  -inkey private.key \
  -in STAR_aaa_net.crt \
  -certfile ca_bundle.crt

Penjelasan parameter:

• -out certificate.pfx → nama file hasil konversi
• -inkey private.key → private key milik domain Anda
• -in STAR_aaa_net.crt → sertifikat domain utama
• -certfile ca_bundle.crt → file bundle yang sudah digabungkan

Saat menjalankan perintah ini, Anda akan diminta membuat password. Simpan password tersebut dengan aman karena akan digunakan saat mengimpor .pfx ke server.

3. Kapan Perlu Format .PFX?

Beberapa skenario umum:

• Instalasi SSL di IIS/Windows Server
• Microsoft Exchange Server
• Aplikasi yang hanya menerima PKCS#12
• Migrasi sertifikat antar server

Jika Anda hanya menggunakan Linux/Nginx/Apache, biasanya cukup file .crt + .key + ca_bundle.crt, tanpa perlu .pfx.

Kesimpulan

Proses membuat CA Bundle dan mengonversinya ke format .pfx dengan OpenSSL sebenarnya sederhana, tapi sangat krusial untuk memastikan sertifikat SSL bekerja dengan benar di berbagai platform.

Dengan perintah cat untuk menggabungkan sertifikat dan openssl pkcs12 -export untuk konversi, Anda bisa dengan mudah menyiapkan file .pfx yang siap dipasang di server Windows atau aplikasi enterprise lainnya.