شهادة SSL ملف صغير على خادمك يشفّر البيانات بين موقعك وزوّارك، ويُثبت أن الموقع ملكك حقاً. إليك ما تفعله، ولماذا تُنبّه المتصفحات المواقعِ بدونها، وكيف تحصل عليها مجاناً.
شهادة SSL هي ملف صغير يُثبَّت على خادم الويب لديك وتؤدّي وظيفتين: تُشفِّر كل ما ينتقل بين موقعك وكل زائر، فلا يمكن قراءة كلمات السر وأرقام البطاقات والرسائل أو التلاعب بها أثناء النقل، وتُثبت للمتصفح أن الموقع هو موقعك فعلاً وليس نسخة مُنتحِلة. بعد تثبيتها يُخدَم موقعك عبر HTTPS بدلاً من HTTP العادي، ويعرض المتصفح رمز القفل. إنها أرخص إشارة ثقة يمكن أن يعرضها أي موقع، لأن شهادة صالحة من Let's Encrypt لا تكلف شيئاً، وكل المتصفحات الرئيسية أصبحت تُعلِّم المواقع بدونها بأنها «غير آمنة».
شهادة SSL هي زوج من المفاتيح المشفّرة بالإضافة إلى بيان موقَّع عمّن يملك النطاق. النصف العام يعيش داخل الشهادة التي يعرضها خادمك على الزوّار، والنصف الخاص ملف سرّي يحمله خادمك وحده. عندما يتصل المتصفح، يتفق الطرفان على مفتاح جلسة في مصافحة تستغرق أجزاءً من الثانية، ومن تلك اللحظة يصبح الحوار كله مشفّراً. يمنحك ذلك ضمانين منفصلين. السرّية: لا أحد بين الزائر وخادمك يستطيع قراءة ما يمرّ، سواء كان كلمة سر أو دفعاً أو رسالة خاصة. السلامة: إذا عبث أي شخص بالبيانات أثناء النقل، تكون نتيجة فك التشفير بلا معنى ويفشل الاتصال بدلاً من أن يصل تالفاً بصمت. رمز القفل في شريط العنوان هو المتصفح يؤكّد أن الضمانين معاً في مكانهما.
HTTP العادي يرسل كل شيء كنصّ مقروء. على شبكة غير مؤمّنة، يستطيع أي شخص آخر على نفس شبكة Wi-Fi أو أي خادم في المنتصف قراءة الجلسات واعتراض النماذج المُرسَلة، بل ومشاهدة زائر يسجّل الدخول ثم إعادة تشغيل تسجيل الدخول بنفسه. كما يستطيع المزوِّدون على المسار حقن محتوى داخل الصفحة، وهكذا تظهر إعلانات وسكربتات تتبّع على مواقع لم توافق عليها أبداً. يجعل HTTPS كل ذلك غير قابل للقراءة. وإلى جانب الخصوصية هناك ثلاث نتائج عملية. المتصفحات الحديثة تُعلِّم كل صفحة HTTP بأنها «غير آمنة» وتُخفي رمز القفل، مما يكلِّفك الثقة لحظة يلاحظ فيها العميل ذلك. محرّكات البحث تعامل HTTPS كعامل ترتيب، فالمحتوى المتساوي على HTTP يخسر مرتبته. وبروتوكولات HTTP/2 وHTTP/3 الأسرع، التي تتطلّب معظم الخوادم وشبكات CDN تشفيراً لاستخدامها، غير متاحة ببساطة على HTTP العادي.
تختلف الشهادات بقدر ما يتحقّق المُصدِر من الهوية. شهادة التحقق من النطاق (DV) تؤكّد فقط أنك تتحكّم بالنطاق، وتُصدَر خلال دقائق وغالباً تلقائياً، وهذا بالضبط ما توفّره Let's Encrypt مجاناً، وهي تغطّي الغالبية العظمى من مواقع الأعمال. شهادة التحقق من المؤسسة (OV) تطابق الشركة المسجَّلة مع السجلّات العامة، فتُسمّي شهادتك اسم مؤسستك، وتناسب المواقع التي تريد مصداقية شركة ظاهرة. شهادة التحقق الموسّع (EV) هي الأصرم، وكانت تُظهر اسم الشركة باللون الأخضر في شريط العنوان، وتستخدمها البنوك وبوّابات الدفع أساساً. كما تختار التغطية: شهادة اسم واحد تغطّي مضيفاً واحداً، وشهادة Wildcard تغطّي كل النطاقات الفرعية لنطاق واحد، وشهادة النطاقات المتعددة تغطّي قائمة أسماء في شهادة واحدة. لمعظم المواقع الصغيرة والمتوسطة الإجابة الصحيحة هي شهادة DV مجانية آلية تُجدَّد وفق جدول.
الطريق المجاني هو Let's Encrypt مع عميل ACME مثل Certbot، الذي يتحقق من تحكّكك بالنطاق بوضع ملف تحدٍّ مؤقت على موقعك، ثم يُصدر الشهادة ويثبّتها في خادم الويب لديك، ويُعدّ تجديداً تلقائياً فلا تفكّر في الانتهاء أبداً. معظم لوحات تحكم الاستضافة ومزوّدي الاستضافة الحديثين يضمّنون المسار نفسه خلف زر واحد، فعلى الاستضافة المُدارة كل شيء بنقرة واحدة. أيّاً كان طريقك، نفِّر النشر بهذا الترتيب: ثبّت الشهادة، ثم أضِف إعادة توجيه ترسل كل طلب HTTP إلى نظيره HTTPS حتى لا تبقى نسخة غير آمنة من الموقع قابلة للوصول، ثم تحقّق أن مؤقّت التجديد يعمل فعلاً وأنك تتلقّى تنبيهاً إذا فشل التجديد. أخيراً فكّر في إرسال ترويسة Strict-Transport-Security بعد أن يستقرّ HTTPS، وهي تُخبر المتصفحات أن تستخدم HTTPS دائماً لنطاقك. كل خادم VPS ينشره EGYmass يأتي مع TLS مُعدّ بهذه الطريقة من اليوم الأول.
الشهادة هي البداية فقط؛ يختفي رمز القفل كلما كان شيء ما على الصفحة غير متّسق. أكثرها شيوعاً المحتوى المختلط: تُحمَّل الصفحة عبر HTTPS لكن يُشار إلى صورة أو سكربت أو خط بعنوان http://، فيقوم المتصفح إما بحظره أو بإسقاط رمز القفل وتحذير الزائر. أصلِح كل مرجع من هذا إلى https:// أو اجعله نسبياً مقارنة بالبروتوكول. الثاني شهادة منتهية، تُنتج تحذيراً يملأ الشاشة يأخذه الزوّار على محمل الجدّ؛ التجديدات تلقائية لكن فقط إن استمرّت عملية الأتمتة، فراقبها أو استخدم خدمة مراقبة تُنبهك عند انتهاء الشهادة. الثالث نسيان النطاق الفرعي www أو اسم مضيف بديل: شهادة تغطّي example.com لا تغطّي www.example.com إلا إذا كانت wildcard أو متعددة النطاقات. والرابع إبقاء شهادة ذاتية التوقيع في الإنتاج، فهي تشفّر البيانات لكنها تعرض تحذيراً لأن لا جهة موثوقة تضمنها — جيدة للاختبار الداخلي، ولا تستخدم أبداً لموقع يخدم العملاء.
لا. تُصدر Let's Encrypt شهادات التحقق من النطاق (DV) دون أي تكلفة، وتجديدها آلي، فلا ينبغي لموقع أعمال تجاري قياسي أن يشتري شهادة أبداً. الشهادات المدفوعة منطقية عندما تريد أن تُسمّي الشهادة مؤسستك للمصداقية، أو تحتاج تحققاً موسّعاً (EV)، أو تغطية wildcard ونطاقات متعددة لا يوفّرها المستوى المجاني.
لا. تضيف مصافحة TLS أجزاءً من الثانية وتحدث مرة واحدة لكل اتصال، والتشفير نفسه ضئيل على الأجهزة الحديثة. عملياً يكون HTTPS أسرع عادةً، لأنه شرط لاستخدام HTTP/2 وHTTP/3، وهي تحمّل الصفحات بالتوازي عبر اتصال واحد ولا يمكن لـ HTTP العادي استخدامهما.
الصفحة تحمّل بعض الموارد عبر http:// بينما الصفحة نفسها https://، فيُعلِّمها المتصفح. افتح وحدة تحكّم المتصفح أو تبويب الشبكة لتعرف عناوين الموارد غير الآمنة، ثم غيّر كل واحد إلى https:// أو إلى مسار نسبي. عندما يتطابق كل مورد مع بروتوكول الصفحة يزول التحذير ويعود رمز القفل نظيفاً.
خوادم VPS تُنشَر مع TLS من اليوم الأول — شهادات Let's Encrypt مجانية، تجديد تلقائي، وHTTPS مُفعَّل افتراضياً.
قائمة الأمان على مستوى الخادم التي يبني عليها هذا المقال — مفاتيح SSH، جدار حماية، تحديثات تلقائية، TLS ونسخ احتياطي يومي.
جديد على الاستضافة؟ شرح بسيط لما هو الـ VPS، ومتى تحتاجه، وكيف يختلف عن الاستضافة المشتركة.
تتولى إيجي ماس الاستضافة والأمان والإدارة المستمرة - لتتفرغ أنت لمنتجك.
احصل على استشارة مجانية