شهادات SSL: كيف تعمل وأيها تختار لموقعك

في الثالثة فجر يوم جمعة انتهت شهادة متجر إلكتروني، فصار كل زائر يرى صفحة تحذير تملأ الشاشة بدل المتجر، ولم ينتبه أحد قبل الظهر. هذا العطل سيصير أكثر شيوعاً: منذ 15/3/2026 لا تصدر جهات الإصدار شهادة يتجاوز عمرها 200 يوم، وينزل الحد إلى 47 يوماً في 2029. فهم الشهادة اليوم لا يتوقف عند القفل في شريط العنوان: ما الذي تثبته فعلاً، وكيف يتحقق منها المتصفح، وأي نوع ومفتاح تختار، وكيف تؤتمت تجديدها وتفحصها بنفسك.

01ما الذي تثبته الشهادة، وما الذي لا تثبته

الشهادة وثيقة صغيرة تربط مفتاحاً عاماً بأسماء نطاقات، وتوقّعها جهة إصدار يثق بها المتصفح. حين يتصل زائرك بموقعك عبر TLS، يثبت خادمك أنه يملك المفتاح الخاص المقابل، فيعرف المتصفح أنه يتحدث إلى من يتحكم فعلاً بالنطاق، ثم يتفقان على مفاتيح تشفّر كل ما يتبادلانه. والاسم الشائع «شهادة SSL» بقي من بروتوكول قديم، أما الاتصال نفسه فيجري اليوم بـ TLS 1.2 أو 1.3.

• ما تثبته: أن الخادم يملك المفتاح الخاص لاسم تحققت جهة الإصدار من السيطرة عليه، وفي شهادات OV وEV اسم المنظمة وبلدها أيضاً.
• ما لا تثبته: أن الموقع نزيه، فمواقع التصيد تحمل شهادات DV صالحة. ولا أن الخادم سليم من الاختراق، ولا أن البيانات محمية بعد وصولها إليه.

لذلك يعني القفل «اتصال مشفر مع صاحب هذا الاسم»، لا «موقع آمن». وهذا وحده يستحق الشهادة: بدونها يقرأ كلمات المرور وأرقام البطاقات كل من يقف في الطريق، من شبكة مقهى إلى أي عقدة في مسار الاتصال.

02المصافحة في TLS 1.3 باختصار

قبل أن يصل أول بايت من صفحتك، يجري المتصفح والخادم مصافحة تستغرق في TLS 1.3 رحلة ذهاب وإياب واحدة:

1. 01ClientHello: يرسل المتصفح الإصدارات والخوارزميات التي يدعمها، واسم النطاق المطلوب (SNI) ليختار الخادم الشهادة المناسبة، ونصيبه من تبادل المفاتيح.
2. 02ServerHello: يختار الخادم الخوارزمية ويرسل نصيبه، فيشتق الطرفان مفاتيح الجلسة، ويُشفَّر كل ما يلي.
3. 03الشهادة والتوقيع: يرسل الخادم شهادته مع الشهادات الوسيطة، ويوقّع المصافحة بمفتاحه الخاص ليثبت أنه يملكه.
4. 04التحقق: يتأكد المتصفح أن السلسلة تنتهي بجذر يثق به، وأن الاسم مكتوب في الشهادة، وأنها ضمن مدة صلاحيتها، ثم تبدأ البيانات.

مفاتيح الجلسة مؤقتة تُشتق لكل اتصال ثم تُرمى، فمن يسرق مفتاح خادمك لاحقاً لا يستطيع فك اتصالات سجّلها في الماضي. أما TLS 1.0 و1.1 فأوقفتهما المتصفحات منذ 2020، وأعلنت IETF إيقافهما رسمياً في 2021، فاجعل الحد الأدنى على خادمك TLS 1.2، وفضّل 1.3.

03DV وOV وEV، وما يغطيه كل نوع

مستوى التحقق يحدد ما فحصته جهة الإصدار قبل التوقيع، لا قوة التشفير: المفتاح والخوارزمية نفسهما في المستويات الثلاثة.

الشريط الأخضر الذي كان يحمل اسم الشركة اختفى: منذ 2019 لم تعد المتصفحات الكبرى تعرض اسم المنظمة في شريط العنوان، واستبدل Chrome القفل نفسه في 2023 بأيقونة محايدة. فاختر OV أو EV حين تحتاج أن يجد من يفتح تفاصيل الشهادة هويتك الموثقة، أو حين يشترطها عقد أو تدقيق امتثال.

وتختلف الشهادات أيضاً بالأسماء التي تغطيها، والمتصفح لا يقبل إلا الأسماء المكتوبة فيها:

• نطاق واحد: تُكتب فيها عادةً الصيغتان، مع www ودونها.
• Wildcard: باسم يبدأ بنجمة مثل *.oud-waqif.com، تغطي النطاق وكل فروعه من المستوى الأول، لا الفروع الأعمق مثل api.v2.oud-waqif.com.
• متعددة النطاقات (SAN): أسماء مختلفة في شهادة واحدة، مثل oud-waqif.com وoud-waqif.net.

وفي إليفانتي عشرون شهادة من خمس جهات إصدار، هي Sectigo وDigiCert وGeoTrust وthawte وRapidSSL، بالمستويات الثلاثة، لنطاق واحد أو Wildcard أو عدة نطاقات، ومنها ما يُصدر على عنوان IP.

04المفتاح والسلسلة وCAA

RSA أم ECDSA

نوع المفتاح تختاره أنت حين تنشئ طلب توقيع الشهادة (CSR). مفتاح ECDSA على المنحنى P-256 يعطي أماناً يعادل RSA بطول 3072 بت تقريباً، بتوقيع أصغر ومصافحة أخف على معالج الخادم، وتدعمه كل المتصفحات والأنظمة الحديثة. أبقِ RSA 2048 حين تخدم أجهزة أو أنظمة قديمة جداً، وبعض الخوادم تقدم الشهادتين معاً وتختار بحسب العميل.

# مفتاح ECDSA P-256 وطلب توقيع يغطي النطاق مع www (OpenSSL 1.1.1 أو أحدث)openssl req -new -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -nodes \  -keyout oud-waqif.key -out oud-waqif.csr \  -subj "/CN=oud-waqif.com" \  -addext "subjectAltName=DNS:oud-waqif.com,DNS:www.oud-waqif.com"# المفتاح الخاص لا يغادر الخادم: صلاحية قراءة لمالكه فقطchmod 600 oud-waqif.key

السلسلة والشهادة الوسيطة

جهات الإصدار لا توقّع شهادة موقعك بجذرها مباشرة، بل بـ شهادة وسيطة، والجذر وحده محفوظ مسبقاً في المتصفحات والأنظمة. لذلك يجب أن يرسل خادمك شهادته ومعها الوسيطة، في ملف واحد يسمى غالباً fullchain. وإن نسيتها، فقد يعمل الموقع في متصفح سطح المكتب الذي يجلب الوسيطة الناقصة أو يحفظها مسبقاً، ويفشل في curl وتطبيقات الهاتف وواجهات البرمجة. وهذا من أكثر أعطال الشهادات خداعاً.

سجل CAA

سجل CAA في DNS يحدد جهات الإصدار المسموح لها بإصدار شهادات لنطاقك، وتفحصه كل جهة قبل الإصدار. وGeoTrust وthawte وRapidSSL علامات تصدر عن DigiCert، فيكفيها عادةً سطر digicert.com، وراجع وثائق جهتك للتأكد. ولا تنسَ الجهة التي تأتي منها شهاداتك التلقائية، وإلا فشل تجديدها دون أن تنتبه.

# الشهادات المدفوعة من Sectigooud-waqif.com.  3600  IN  CAA  0 issue "sectigo.com"# الشهادات التلقائية من Let’s Encrypt، إن كنت تستخدمهاoud-waqif.com.  3600  IN  CAA  0 issue "letsencrypt.org"# عنوان يصله تنبيه عند كل طلب مرفوضoud-waqif.com.  3600  IN  CAA  0 iodef "mailto:[email protected]"

05عمر الشهادة يقصر: 200 يوم ثم 100 ثم 47

أقرّ منتدى CA/Browser، الذي يضع قواعد جهات الإصدار والمتصفحات، القرار SC-081 لتقصير عمر الشهادات على مراحل، ومعه المدة التي يجوز فيها إعادة استخدام التحقق من النطاق دون تكراره:

النتيجة العملية أن التجديد اليدوي مرة في السنة انتهى. اليوم تحتاج كل شهادة إلى نسخة جديدة مرتين في السنة على الأقل، وفي 2029 إلى ثماني مرات أو أكثر، ويحتاج كل إصدار تقريباً إلى تحقق جديد من النطاق. لا يصمد أمام ذلك إلا ACME، البروتوكول الذي يطلب به برنامج على خادمك الشهادة، ويثبت السيطرة على النطاق، ويجددها ويثبّتها وحده.

والشهادة المدفوعة؟ تشتريها لسنة، وتتيح لك إليفانتي إعادة إصدارها طوال مدة السريان، فتصدر نسخة جديدة ضمن مدة الاشتراك كلما اقتربت النسخة المثبتة من الحد الذي تفرضه القواعد. وجهات كبرى مثل Sectigo وDigiCert تقدم ACME لحساباتها أيضاً؛ وإن لم يتوفر لك، فراقب تاريخ الانتهاء آلياً، ولا تعتمد على الذاكرة.

وعلى استضافة cPanel من إليفانتي يتولى AutoSSL ذلك عنك: يصدر شهادة لكل نطاق أو نطاق فرعي تربطه بالاستضافة، ويجددها قبل انتهائها. وعلى خادم VPS تتولاه أداة مثل certbot:

# Ubuntu أو Debian مع nginxsudo apt install -y certbot python3-certbot-nginxsudo certbot --nginx --key-type ecdsa -d oud-waqif.com -d www.oud-waqif.com# جرّب التجديد دون إصدار فعليsudo certbot renew --dry-run# مؤقت التجديد الذي ثبّتته الحزمةsystemctl list-timers | grep certbot

06HTTPS كاملاً، ثم افحص بنفسك

الشهادة المثبتة نصف العمل. حوّل كل طلب HTTP إلى HTTPS بإعادة توجيه دائمة (301)، ثم أخبر المتصفح ألا يحاول HTTP أصلاً بترويسة HSTS. ابدأ بمدة قصيرة، ولا تضف includeSubDomains إلا حين تعمل كل نطاقاتك الفرعية بـ HTTPS، لأن المتصفح سيرفض الاتصال بأي فرع غير مشفر طوال المدة.

# nginx: تحويل HTTP كله إلى HTTPSserver {    listen 80;    server_name oud-waqif.com www.oud-waqif.com;    return 301 https://$host$request_uri;}# داخل كتلة server التي تستمع على 443: البروتوكولات وHSTS (ابدأ بيوم، ثم ارفعها إلى سنة)ssl_protocols TLSv1.2 TLSv1.3;add_header Strict-Transport-Security "max-age=86400" always;

وبعد التحويل، ابحث عن المحتوى المختلط: صفحة HTTPS تحمّل سكربتاً أو صورة عبر http. المتصفحات تحجب السكربتات والإطارات غير المشفرة، وتحاول ترقية الصور والوسائط إلى https وتحجبها إن فشلت، فتختفي أجزاء من صفحتك أو تتعطل وظائفها. الحل أن تصحح الروابط في القوالب وقاعدة البيانات، لا أن تتجاهل التحذير. ثم افحص ما يرسله خادمك فعلاً، من خارجه:

# السلسلة كما يرسلها الخادم، ونتيجة التحقق (ابحث عن Verify return code: 0)openssl s_client -connect oud-waqif.com:443 -servername oud-waqif.com -showcerts </dev/null# الموضوع والجهة وتاريخا الصلاحيةecho | openssl s_client -connect oud-waqif.com:443 -servername oud-waqif.com 2>/dev/null | openssl x509 -noout -dates -issuer -subject# الأسماء المكتوبة في الشهادةecho | openssl s_client -connect oud-waqif.com:443 -servername oud-waqif.com 2>/dev/null | openssl x509 -noout -ext subjectAltName# رمز خروج 1 إن كانت تنتهي خلال 21 يوماً: اربطه بنظام المراقبةecho | openssl s_client -connect oud-waqif.com:443 -servername oud-waqif.com 2>/dev/null | openssl x509 -noout -checkend 1814400# الإصدار والخوارزمية وترويسة HSTS كما يراها عميل حقيقيcurl -svI https://oud-waqif.com 2>&1 | grep -Ei "SSL connection|expire date|issuer|strict-transport"

ومن لا يفتح الطرفية، يجد في أداة فحص شهادة SSL في إليفانتي الجهة المُصدرة وتاريخ الانتهاء وسلسلة الثقة لأي موقع. وهذه أعطال تتكرر بعد التثبيت أو التجديد:

المشكلةالموقع يعمل في متصفح الحاسوب، ويفشل في curl وتطبيقات الهاتف بخطأ unable to get local issuer certificate

الحلالخادم لا يرسل الشهادة الوسيطة. ثبّت ملف السلسلة الكاملة (fullchain)، وتأكد بـ openssl s_client أن الخادم يرسل أكثر من شهادة.

المشكلةتحذير اسم غير مطابق على www أو على النطاق دونها

الحلالاسم غير مكتوب في قائمة SAN. أعد إصدار الشهادة بالاسمين معاً.

المشكلةفشل الإصدار أو التجديد الآلي فجأة

الحلراجع سجل CAA، فقد لا تكون الجهة مذكورة فيه. ثم تأكد أن سجل التحقق في DNS أو مسار التحقق على الموقع يصل إلى خادمك.

المشكلةجُددت الشهادة والمتصفح ما زال يعرض القديمة المنتهية

الحلخادم الويب لم يُعد تحميل إعداده. أعد تحميله، واجعل أداة التجديد تفعل ذلك بعد كل تجديد.

المشكلةالقفل يظهر مع تحذير «غير آمن بالكامل»

الحلمحتوى مختلط: موارد تُحمَّل عبر http. صحّح روابطها في القوالب وقاعدة البيانات.

07توصية عملية

اجعل الأتمتة نقطة البداية لا إضافة لاحقة: AutoSSL على استضافة cPanel، أو certbot أو أي عميل ACME على خادمك، ومراقبة لتاريخ الانتهاء تنبهك قبل 21 يوماً على الأقل. اختر مفتاح ECDSA P-256، واحصر الخادم في TLS 1.2 و1.3، وثبّت السلسلة كاملة، وأضف CAA بكل الجهات التي تستخدمها، وفعّل HSTS بعد أن تتأكد أن كل شيء يعمل بـ HTTPS.

شهادة DV تكفي معظم المواقع. وحين تحتاج هوية منظمتك موثقة في الشهادة بمستوى OV أو EV، أو ضماناً تأمينياً، أو دعماً مباشراً من جهة الإصدار، فاختر من الشهادات المدفوعة، وخطط لإعادة إصدارها مرتين على الأقل في كل سنة اشتراك. ومع نزول العمر إلى 100 يوم في 15/3/2027، كل شهادة تُجدد يدوياً اليوم عطل مؤجل.