DNS Challenge #

{
    email [email protected]
}

*.example.com {
    tls {
        dns cloudflare {env.CLOUDFLARE_API_TOKEN}
        
        # Timeout untuk menunggu propagasi DNS (default: 2 menit)
        # Naikkan jika DNS provider kamu lambat
        propagation_timeout 5m
        
        # Delay sebelum mulai cek propagasi
        # Berguna untuk provider yang butuh warmup time
        propagation_delay 30s
        
        # Custom resolvers untuk mengecek propagasi
        # Default: menggunakan resolver sistem
        resolvers 8.8.8.8 1.1.1.1
    }
    
    reverse_proxy localhost:3000
}

# Cara membuat API token:
# 1. Login Cloudflare Dashboard
# 2. My Profile → API Tokens → Create Token
# 3. Template: "Edit zone DNS"
# 4. Zone Resources: Include → Specific zone → example.com
# 5. Klik Continue dan Create Token

*.example.com, example.com {
    tls {
        dns cloudflare {env.CF_API_TOKEN}
    }
    reverse_proxy localhost:3000
}

# Opsi environment variable
export CF_API_TOKEN="your_cloudflare_token"

# Atau gunakan nama lain dan sesuaikan di Caddyfile
export CLOUDFLARE_API_TOKEN="your_token"
# Di Caddyfile: dns cloudflare {env.CLOUDFLARE_API_TOKEN}

*.example.com {
    tls {
        dns cloudflare {
            api_token {env.CF_API_TOKEN}
            # Atau API key global (kurang aman):
            # email    {env.CF_EMAIL}
            # api_key  {env.CF_API_KEY}
        }
    }
}

# Setup: Buat IAM user/role dengan permissions minimal
# Policy JSON (simpan sebagai caddy-dns-policy.json):
cat << 'EOF' > caddy-dns-policy.json
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "route53:GetChange",
                "route53:ChangeResourceRecordSets",
                "route53:ListResourceRecordSets"
            ],
            "Resource": [
                "arn:aws:route53:::hostedzone/Z1234567890ABC",
                "arn:aws:route53:::change/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": ["route53:ListHostedZones"],
            "Resource": "*"
        }
    ]
}
EOF

# Buat policy
aws iam create-policy \
    --policy-name CaddyDNSPolicy \
    --policy-document file://caddy-dns-policy.json

{
    email [email protected]
}

*.example.com, example.com {
    tls {
        dns route53 {
            # Credentials via environment variables (preferred)
            # AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_REGION
            # akan dibaca otomatis
            
            # Atau specify hosted zone ID secara eksplisit
            max_retries 10
        }
    }
    
    reverse_proxy localhost:3000
}

# Environment variables untuk Route53
export AWS_ACCESS_KEY_ID="AKIAIOSFODNN7EXAMPLE"
export AWS_SECRET_ACCESS_KEY="wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY"
export AWS_REGION="us-east-1"

# Di EC2 dengan IAM Role: tidak perlu set key sama sekali
# Plugin otomatis menggunakan instance metadata service

# Buat Service Account dengan permissions Cloud DNS
gcloud iam service-accounts create caddy-dns-sa \
    --display-name "Caddy DNS Service Account"

# Berikan permission Cloud DNS Administrator ke SA
gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
    --member "serviceAccount:caddy-dns-sa@YOUR_PROJECT_ID.iam.gserviceaccount.com" \
    --role "roles/dns.admin"

# Buat dan download credentials key
gcloud iam service-accounts keys create caddy-gcp-credentials.json \
    --iam-account caddy-dns-sa@YOUR_PROJECT_ID.iam.gserviceaccount.com

*.example.com, example.com {
    tls {
        dns googleclouddns {
            gcp_project "your-gcp-project-id"
            # Credentials dibaca dari GOOGLE_APPLICATION_CREDENTIALS env var
        }
    }
    
    reverse_proxy localhost:3000
}

# Set path ke credentials file
export GOOGLE_APPLICATION_CREDENTIALS="/path/to/caddy-gcp-credentials.json"

# Di GCE/GKE, bisa menggunakan Workload Identity atau VM Service Account
# tanpa credentials file

# Buat Service Principal dengan DNS Zone Contributor role
az ad sp create-for-rbac \
    --name "CaddyDNS" \
    --role "DNS Zone Contributor" \
    --scopes "/subscriptions/YOUR_SUB/resourceGroups/YOUR_RG/providers/Microsoft.Network/dnszones/example.com"

# Output menyertakan:
# appId (client_id), password (client_secret), tenant

*.example.com, example.com {
    tls {
        dns azure {
            tenant_id       {env.AZURE_TENANT_ID}
            client_id       {env.AZURE_CLIENT_ID}
            client_secret   {env.AZURE_CLIENT_SECRET}
            subscription_id {env.AZURE_SUBSCRIPTION_ID}
            resource_group  "your-resource-group"
        }
    }
    
    reverse_proxy localhost:3000
}

# Buat API token di:
# DigitalOcean Dashboard → API → Tokens/Keys → Generate New Token
# Nama token: CaddyDNS, scope: Read + Write

*.example.com, example.com {
    tls {
        dns digitalocean {env.DO_AUTH_TOKEN}
    }
    
    reverse_proxy localhost:3000
}

# Cloudflare: Buat token dengan scope DNS:Edit untuk zone tertentu saja
# (bukan API Key global yang punya akses ke semua zone dan semua fitur)

# Route53: Buat IAM policy yang hanya izinkan:
# - ChangeResourceRecordSets untuk zone tertentu
# - GetChange untuk zone tertentu
# - ListHostedZones (readonly)

# GCP: Gunakan Service Account dengan roles/dns.admin
# (lebih baik lagi: roles/dns.recordSets jika tersedia di project kamu)

# ANTI-PATTERN: Hardcode di Caddyfile yang masuk ke Git
tls {
    dns cloudflare cf_token_12345abcde  # ← JANGAN!
}

# BENAR: Environment variable
tls {
    dns cloudflare {env.CF_API_TOKEN}
}

# Di systemd, gunakan override untuk set env var
sudo systemctl edit caddy
# Tambahkan:
# [Service]
# EnvironmentFile=/etc/caddy/caddy.env

# Buat file /etc/caddy/caddy.env
# CF_API_TOKEN=token_kamu
# Set permission strict
sudo chmod 600 /etc/caddy/caddy.env
sudo chown caddy:caddy /etc/caddy/caddy.env

# Buat token baru di Cloudflare/AWS/GCP
# Update environment variable di server
# Reload Caddy (bukan restart — tidak perlu downtime)
sudo systemctl reload caddy
# Hapus token lama setelah yakin yang baru bekerja

# Server internal — tidak ada koneksi dari internet ke server ini
# Tapi tetap bisa mendapat sertifikat valid via DNS challenge!
{
    email [email protected]
}

# Domain ini resolve ke IP private
internal.company.com {
    tls {
        # DNS challenge bekerja karena verifikasi via DNS API
        # (bukan via HTTP ke server ini)
        dns cloudflare {env.CF_API_TOKEN}
    }
    
    reverse_proxy localhost:8080
}

# Wildcard untuk semua service internal
*.services.company.com {
    tls {
        dns cloudflare {env.CF_API_TOKEN}
    }
    
    reverse_proxy localhost:9000
}

# Gejala: "DNS record not created" di log
# Diagnosa: Cek apakah Caddy bisa reach DNS API

# Test koneksi ke Cloudflare API dari server
curl -X GET "https://api.cloudflare.com/client/v4/zones" \
    -H "Authorization: Bearer $CF_API_TOKEN"

# Jika gagal: cek firewall outbound ke api.cloudflare.com:443
# Jika berhasil tapi error 403: token permissions tidak cukup

# Gejala: TXT record ada di DNS tapi CA tetap reject

# Diagnosa 1: Cek apakah record resolve dari luar
dig TXT _acme-challenge.example.com @8.8.8.8
dig TXT _acme-challenge.example.com @1.1.1.1
# Keduanya harus return record yang sama

# Diagnosa 2: Mungkin ada multiple TXT record (dari attempt sebelumnya)
# CA kadang gagal jika ada multiple records dengan nilai berbeda
dig TXT _acme-challenge.example.com

# Solusi: Hapus record lama dari DNS dashboard
# Caddy akan buat yang baru saat attempt berikutnya

# Diagnosa 3: Naikkan propagation timeout
# tls { dns cloudflare {env.CF} propagation_timeout 10m }

# Gejala: "429 Too Many Requests" di log API calls
# Cloudflare: 1200 req/5 menit per token
# Route53: 5 requests per second per account

# Jika banyak domain di-renew bersamaan, bisa hit rate limit
# Solusi: Caddy otomatis retry — tidak perlu aksi manual
# Atau set renewal_window lebih lebar agar tidak semua renew bersamaan