شهادة SSL/TLS مستند رقمي يثبت هوية موقع ويتيح لمتصفحك إنشاء اتصال HTTPS مشفّر معه. تربط الشهادة اسم نطاق بمفتاح عام، وتوقّعها جهة إصدار شهادات (CA) تثق بها المتصفحات مسبقًا.
كلما رأيت https:// وقفلًا أو مؤشرًا مشابهًا في شريط العنوان، فهذا يعني أن شهادة فُحصت قبل جزء من الثانية. تؤدي الشهادات وظيفتين في آن واحد: تتحقق من هوية الخادم، فتعرف أنك تتحدث مع example.com الحقيقي لا مع منتحل، وتتيح التشفير، فلا يستطيع أحد على مسار الشبكة قراءة ما ترسله أو تعديله.
SSL وTLS: ما الفرق؟
كان SSL (Secure Sockets Layer) البروتوكول الأصلي، وقد طورته شركة Netscape في عقد 1990 (التسعينيات). وخلفه TLS (Transport Layer Security)، وتُعدّ جميع إصدارات SSL اليوم غير آمنة وقد أُلغي العمل بها رسميًا. كما أُلغي العمل بـ TLS 1.0 و1.1 في RFC 8996 (2021)، لذلك تستخدم الاتصالات الحديثة TLS 1.2 أو TLS 1.3.
لكن اسم «شهادة SSL» ظلّ شائعًا. فالشهادة نفسها لا ترتبط بإصدار بروتوكول؛ وتعمل الشهادة نفسها مع أي إصدار من TLS. و«شهادة SSL» و«شهادة TLS» و«شهادة HTTPS» كلها تعني الشيء نفسه.
كيف تعمل مصافحة TLS
قبل تبادل أي بيانات لصفحة ويب، يجري المتصفح والخادم مصافحة. وبشكل مبسّط تبدو مصافحة TLS 1.3 هكذا:
- Client hello. يتصل المتصفح، عادةً عبر المنفذ 443، ويذكر إصدارات TLS ومجموعات التشفير التي يدعمها. ويضمّن اسم المضيف الذي يريده (عبر امتداد Server Name Indication، بحيث يستضيف عنوان IP واحد مواقع كثيرة) وحصته في تبادل المفاتيح.
- Server hello. يختار الخادم المعاملات، ويرسل حصته من المفاتيح، ويقدّم شهادته مع توقيع يثبت أنه يملك المفتاح الخاص المقابل.
- التحقق. يتحقق المتصفح من أن الشهادة تغطي اسم المضيف، وأنها ضمن تواريخ صلاحيتها، وأنها تتصل عبر سلسلة بجهة CA جذرية موثوقة.
- مفاتيح الجلسة. يشتق الطرفان مفاتيح الجلسة المتماثلة نفسها من تبادل المفاتيح، ويُشفَّر بها كل ما يلي من حركة البيانات.
لا يغادر المفتاح الخاص الخادم أبدًا. يُستخدم التشفير بالمفتاح العام فقط للتحقق من الهوية والاتفاق على المفاتيح؛ أما معظم البيانات فتُشفَّر بخوارزميات متماثلة سريعة مثل AES-GCM أو ChaCha20-Poly1305. ويُكمل TLS 1.3 ذلك في رحلة ذهاب وإياب واحدة، مقابل اثنتين في TLS 1.2.
ما الذي تحتويه الشهادة
تتبع الشهادة معيار X.509 وتحتوي، من بين حقول أخرى، على:
- الأسماء البديلة للموضوع (SANs): أسماء المضيفين التي تصلح لها الشهادة. تفحص المتصفحات هذه القائمة، لا حقل Common Name الأقدم.
- المفتاح العام: مفتاح الخادم العام من نوع RSA أو ECDSA.
- جهة الإصدار: جهة CA التي وقّعت الشهادة.
- مدة الصلاحية: تاريخا «Not Before» و«Not After».
- الرقم التسلسلي والتوقيع: معرّف فريد وتوقيع جهة الإصدار على كل ما سبق.
شهادات SAN وشهادات النطاق الشامل (Wildcard)
يمكن لشهادة واحدة تغطية أسماء كثيرة بإدراجها كـ SANs، مثل example.com وwww.example.com وshop.example.com. أما شهادة Wildcard مثل *.example.com فتغطي أي مقطع واحد في ذلك المستوى، فتطابق www.example.com وapi.example.com، لكنها لا تطابق example.com نفسه ولا الأسماء الأعمق مثل a.b.example.com. ولهذا تُدرج شهادات Wildcard عادةً النطاق المجرد كاسم SAN إضافي.
شهادات DV وOV وEV
تختلف الشهادات في مدى دقة تحقق جهة CA من مقدّم الطلب قبل الإصدار:
| النوع | ما الذي يُتحقَّق منه | الاستخدام المعتاد |
|---|---|---|
| التحقق من النطاق (DV) | فقط أن مقدّم الطلب يتحكم بالنطاق، عبر سجل DNS أو ملف على الموقع أو بريد إلكتروني | معظم المواقع؛ وتُصدَر تلقائيًا خلال ثوانٍ |
| التحقق من المؤسسة (OV) | التحكم بالنطاق إضافةً إلى الوجود القانوني للمؤسسة | الشركات التي تريد اسمها في تفاصيل الشهادة |
| التحقق الموسّع (EV) | فحص أشد صرامة وموحّد للكيان القانوني | بعض المصارف والشركات الكبرى |
الأنواع الثلاثة توفر قوة التشفير نفسها تمامًا. الفرق فقط في معلومات الهوية. وقد توقفت المتصفحات الرئيسية نحو عام 2019 عن منح شهادات EV عرضًا خاصًا أخضر لاسم الشركة، لذلك فإن شهادة DV هي الخيار العملي لمعظم المواقع.
سلسلة الثقة
يأتي نظام التشغيل والمتصفح مزوَّدَين بـمخزن جذور: قائمة بشهادات CA الجذرية التي يثقان بها. ونادرًا ما توقّع جهات CA الجذرية شهادات المواقع مباشرة. بل توقّع شهادات وسيطة توقّع بدورها شهادة الورقة (شهادة الخادم):
Root CA (في مخزن الثقة بالمتصفح)
└── Intermediate CA (يرسلها الخادم)
└── www.example.com (شهادة الورقة، يرسلها الخادم)يجب أن يرسل الخادم شهادة الورقة والشهادات الوسيطة. ثم يتحقق المتصفح من كل توقيع وصولًا إلى جذر يثق به مسبقًا. يتيح هذا الترتيب إبقاء مفاتيح الجذر غير متصلة بالإنترنت ومحمية جيدًا. وللحماية من الإصدار الخاطئ، تُسجَّل الشهادات الموثوقة علنًا أيضًا في سجلات شفافية الشهادات (Certificate Transparency) العامة، ويستطيع مالكو النطاقات تقييد الجهات التي يحق لها الإصدار لهم عبر سجل CAA في DNS، كما هو موضّح في دليلنا عن أنواع سجلات DNS.
Let's Encrypt ومدد صلاحية الشهادات
جعلت Let's Encrypt، وهي جهة CA غير ربحية، شهادات DV المجانية أمرًا شائعًا. تصلح شهاداتها لمدة 90 يومًا وهي مصمَّمة لتُجدَّد تلقائيًا باستخدام بروتوكول ACME، مع عملاء مثل Certbot أو ميزات مدمجة في كثير من خوادم الويب ولوحات الاستضافة. وتصدر معظم شركات الاستضافة وشبكات CDN اليوم الشهادات وتجدّدها دون أي خطوات يدوية.
تزداد مدد الصلاحية قِصرًا في القطاع كله. فبموجب اقتراح CA/Browser Forum رقم SC-081، يجري تقليص الحد الأقصى لصلاحية شهادات TLS الموثوقة علنًا على مراحل، بدءًا من 200 يوم اعتبارًا من مارس 2026 ثم مزيد من التخفيض في السنوات اللاحقة. وقد يتطور الجدول الدقيق، لكن الاتجاه واضح: أتمتة التجديد، لأن تجديد الشهادات يدويًا سيصبح غير عملي أكثر فأكثر.
أخطاء الشهادات الشائعة وكيفية إصلاحها
شهادة منتهية الصلاحية
تعرض المتصفحات أخطاء مثل NET::ERR_CERT_DATE_INVALID. جدّد الشهادة وأعد تحميل خادم الويب. ثم اكتشف سبب فشل التجديد التلقائي، وغالبًا ما يكون جدارًا ناريًا يحجب التحقق أو تغييرًا في DNS أو مهمة cron معطّلة. وقد تسبب ساعة غير صحيحة في جهاز الزائر الخطأ نفسه، لذا تحقق من التاريخ إذا اشتكى جهاز واحد فقط.
عدم تطابق الاسم
تعني أخطاء مثل ERR_CERT_COMMON_NAME_INVALID أن اسم المضيف في شريط العنوان غير موجود في قائمة SAN بالشهادة، كأن تُقدَّم شهادة www.example.com للنطاق example.com. أعد إصدار الشهادة لتشمل كل اسم مضيف تقدّمه، أو وجّه الزوار إلى اسم مغطّى.
سلسلة غير مكتملة
إذا أرسل الخادم شهادة الورقة وحدها دون وسيطاتها، فإن بعض المتصفحات تتدبر الأمر بجلب الجزء المفقود أو تخزينه مؤقتًا بينما يفشل غيرها، إضافةً إلى كثير من أدوات سطر الأوامر والتطبيقات. اضبط الخادم على ملف السلسلة الكاملة (يسمى غالبًا fullchain.pem).
موقّعة ذاتيًا أو جهة إصدار غير موثوقة
يعني NET::ERR_CERT_AUTHORITY_INVALID أن السلسلة لا تؤدي إلى جذر موثوق، وغالبًا لأن الشهادة موقّعة ذاتيًا أو من جهة CA خاصة. لا بأس بذلك للاختبار الداخلي لكنه غير مقبول لموقع عام؛ استبدلها بشهادة من جهة CA عامة. وقد يظهر الخطأ نفسه عندما يعترض برنامج مكافحة فيروسات أو خادم وكيل (proxy) تابع لجهة العمل اتصالات HTTPS.
المحتوى المختلط
الشهادة صالحة، لكن الصفحة تحمّل نصوصًا برمجية أو صورًا عبر http:// العادي. حدّث تلك الروابط إلى HTTPS، وفكّر في إضافة ترويسة HSTS حتى تستخدم المتصفحات HTTPS دائمًا.
openssl s_client -connect example.com:443 -servername example.com السلسلة الكاملة التي يرسلها الخادم.الأسئلة الشائعة
هل يعني HTTPS أن الموقع آمن؟
لا. يعني HTTPS أن اتصالك بالموقع مشفّر وأن الموقع يتحكم بالنطاق المعروض. يمكن لمواقع التصيّد أن تملك شهادات DV صالحة، وكثيرًا ما تفعل. تحقق دائمًا من اسم النطاق نفسه.
هل الشهادات المجانية أقل أمانًا من المدفوعة؟
لا. توفر شهادة DV المجانية من Let's Encrypt التشفير نفسه الذي توفره الشهادة المدفوعة. قد تضيف الشهادات المدفوعة تحققًا من الهوية (OV/EV) أو ضمانات أو دعمًا، لكنها لا تضيف تشفيرًا أقوى.
كم تدوم شهادة SSL؟
تدوم شهادات Let's Encrypt 90 يومًا. وتلتزم جهات CA العامة الأخرى بالحد الأقصى الذي يضعه CA/Browser Forum، ويجري تقصيره على مراحل ابتداءً من 200 يوم في 2026. والتجديد التلقائي هو الأسلوب الأكثر أمانًا.
أي منفذ يستخدمه HTTPS؟
يستخدم HTTPS المنفذ 443 عبر TCP افتراضيًا، بينما يستخدم HTTP العادي المنفذ 80. اطّلع على دليلنا عن منافذ الشبكة الشائعة للمزيد.