ماذا يحدث عندما تنتهي شهادة SSL
يرى زوارك تحذيرًا يملأ الصفحة: الاتصال ليس خاصًا، أو انتهت صلاحية الشهادة. لذلك يغادر معظمهم فورًا. فمع شهادة SSL منتهية لا تثق المتصفحات بها، وتحجب الصفحة حتى تصلحها.
كما أن لكل شهادة تاريخ انتهاء. فشهادات Let's Encrypt المجانية تدوم 90 يومًا، والمدفوعة عادة نحو سنة. وبعد ذلك التاريخ تصبح الشهادة بلا قيمة، حتى لو لم يتغير شيء آخر.
الخطوة 1: افحص ما الخطأ
أولًا، افحص الموقع باستخدام فاحص SSL المجاني. فهو يخبرك بالضبط ما الخطأ: تاريخ الانتهاء والسلسلة والأسماء التي تغطيها الشهادة.
ففي العرض أبلغ الفاحص أن الشهادة منتهية وأظهر التاريخ. لذلك كان الحل واضحًا قبل فتح لوحة الاستضافة.
الخطأ 1: انتهت صلاحية الشهادة
في لوحة الاستضافة افتح صفحة شهادة SSL. فهي تعرض الأمر نفسه: منتهية، مع التاريخ. انقر على التجديد، فتعود الشهادة الجديدة صالحة وموثوقة.
لماذا فشل التجديد التلقائي
تجدد معظم الاستضافات شهادات Let's Encrypt المجانية تلقائيًا. فإذا انتهت شهادتك، فقد فشل التجديد التلقائي. وغالبًا لم يعد النطاق يشير إلى هذه الاستضافة، لذلك لم ينجح الفحص. ولهذا افحص أيضًا سجلاتك باستخدام فاحص سجلات DNS.
الخطأ 2: السلسلة غير مكتملة
يُوثق بالشهادة عبر سلسلة: شهادتك، وشهادة وسيطة أو أكثر، وجذر تعرفه المتصفحات مسبقًا. فإذا أرسل الخادم شهادته فقط، تنكسر السلسلة.
غالبًا تسد متصفحات الحاسوب الفجوة بنفسها، لذلك قد يبدو الموقع سليمًا على جهازك. لكن كثيرًا من الهواتف والتطبيقات ترفض الاتصال. والحل هو تثبيت CA bundle، وهو الملف الوسيط الذي تعطيك إياه الاستضافة أو بائع الشهادة.
كيف تثبّت CA bundle
في معظم اللوحات يوجد حقل باسم CA bundle أو الشهادة الوسيطة بجانب الشهادة. الصق الملف هناك واحفظ. ثم شغّل فاحص SSL مرة أخرى؛ ويجب أن يُظهر السلسلة الكاملة.
الخطأ 3: الاسم لا يطابق
تذكر الشهادة الأسماء التي تغطيها. فإذا كانت تغطي example.com وفتح زائر www.example.com، يعرض المتصفح تحذيرًا بعدم تطابق الاسم.
لذلك احصل على شهادة تذكر كل عنوان تستخدمه، مع www وبدونها، والنطاقات الفرعية مثل shop أو blog. ثم أعد توجيه كل صيغة أخرى إلى عنوانك الرئيسي، حتى يصل الزوار دائمًا إلى اسم مغطى.
تحذيرات أخرى للشهادة
المحتوى المختلط
الشهادة سليمة، لكن الصفحة تحمّل صورًا أو سكربتات عبر http العادي. وعندها تحذّر المتصفحات أو تحجب هذه الملفات. حوّل كل رابط إلى https أو استخدم روابط نسبية.
ساعة الجهاز خاطئة
إذا رأى زائر واحد فقط تحذير الانتهاء، فقد تكون ساعة جهازه خاطئة. فالتاريخ البعيد جدًا في الماضي أو المستقبل يجعل كل شهادة تبدو غير صالحة. وفي هذه الحالة يكون الحل لديه.
الشهادات الموقّعة ذاتيًا
لا تثق المتصفحات بشهادة صنعتها بنفسك. استخدمها للاختبار فقط؛ أما للموقع العام فاستخدم شهادة مجانية من جهة موثوقة.
كيف تمنع تكرار ذلك
- أبقِ التجديد التلقائي مفعّلًا، وتأكد أن النطاق يشير إلى الاستضافة التي تجدده.
- ضع تذكيرًا قبل أسبوعين من انتهاء أي شهادة مدفوعة.
- افحص الموقع بفاحص SSL كل بضعة أسابيع.
- بعد نقل الخادم افحص السلسلة والأسماء فورًا.
باختصار، الشهادة المنتهية موعد فائت لا اختراق. ومع تجديد يعمل وفحص سريع كل شهر، لن يرى الزوار التحذير مرة أخرى.
أخطاء شائعة
- تجديد الشهادة ونسيان تثبيتها على الخادم.
- تثبيت الشهادة بدون CA bundle.
- تغطية example.com فقط دون www.example.com.
- نقل DNS إلى استضافة جديدة وترك التجديد التلقائي على القديمة.
- إصلاح الشهادة وترك المحتوى المختلط في الصفحات.
باختصار: جدّد، وأرسل السلسلة الكاملة، وغطِّ كل اسم، وافحص بانتظام. ولفهم طريقة عمل الشهادات راجع دليل MDN عن TLS.
أسئلة وأجوبة
ماذا يحدث عندما تنتهي شهادة SSL؟
تتوقف المتصفحات عن الثقة بها وتعرض تحذيرًا يملأ الصفحة. لذلك يغادر معظم الزوار، وبعض التطبيقات لا تتصل أبدًا.
كيف أجدد شهادة SSL منتهية؟
افتح صفحة SSL في لوحة الاستضافة وانقر على التجديد، أو اشترِ التجديد من البائع وثبّته.
لماذا لم تتجدد شهادتي المجانية؟
غالبًا لأن النطاق لم يعد يشير إلى الاستضافة، فلم ينجح الفحص. افحص سجلات DNS ثم جدّد.
كم تدوم شهادة SSL؟
تدوم شهادات Let's Encrypt المجانية 90 يومًا وتتجدد تلقائيًا. أما المدفوعة فعادة نحو سنة.
كيف أعرف متى تنتهي شهادة SSL؟
شغّل فاحص SSL المجاني على نطاقك. فهو يعرض تاريخ الانتهاء والسلسلة والأسماء المغطاة.
ما السلسلة غير المكتملة؟
يرسل الخادم شهادته دون الشهادة الوسيطة التي تربطها بجذر موثوق. وعندها ترفض هواتف كثيرة الاتصال.
ما CA bundle؟
الملف الذي يحمل الشهادات الوسيطة. تعطيك إياه الاستضافة أو البائع، فتثبّته بجانب الشهادة.
لماذا يعمل موقعي على الحاسوب ولا يعمل على الهاتف؟
غالبًا لأن السلسلة غير مكتملة. فالحاسوب يسد الفجوة، لكن هواتف كثيرة لا تفعل. لذلك ثبّت CA bundle.
ما خطأ عدم تطابق اسم الشهادة؟
لا تذكر الشهادة العنوان الموجود في الشريط، مثلًا تغطي example.com لكن لا تغطي www.example.com.
هل أحتاج شهادتين منفصلتين لـ www وبدونها؟
لا، لأن الشهادة الواحدة يمكن أن تذكر الاسمين. فقط تأكد من وجودهما معًا.
ما المحتوى المختلط؟
صفحة آمنة تحمّل صورًا أو سكربتات عبر http العادي. ولهذا تحذّر المتصفحات أو تحجب تلك الملفات.
هل تسبب الساعة الخاطئة أخطاء SSL؟
نعم. فإذا كان تاريخ الجهاز بعيدًا جدًا، تبدو كل شهادة منتهية أو غير صالحة بعد.
هل تضر الشهادة المنتهية بالسيو؟
نعم، بشكل غير مباشر. فالزوار والزواحف يصطدمون بصفحة تحذير، لذلك تنخفض الزيارات حتى تصلحها.
هل شهادة SSL المجانية آمنة مثل المدفوعة؟
في التشفير نعم. فالمدفوعة تضيف ضمانات أو تحققًا من الشركة، لا تشفيرًا أقوى.
ما شهادة wildcard؟
شهادة لكل النطاقات الفرعية لنطاق واحد مثل *.example.com. لكنها لا تغطي النطاق المجرد إلا إذا ذُكر أيضًا.
كيف أصلح NET::ERR_CERT_DATE_INVALID؟
جدّد الشهادة إن كانت منتهية. وإذا كانت صالحة، فافحص ساعة جهاز الزائر.
هل يمكنني استخدام شهادة موقّعة ذاتيًا؟
للاختبار فقط، لأن المتصفحات لا تثق بها ويرى الزوار تحذيرًا.
هل يصلح Cloudflare شهادة منتهية؟
شهادة الحافة في Cloudflare تغطي الزوار، لكن شهادة الخادم الأصلي يجب أن تبقى صالحة لوضع Full (strict).
كم مرة أفحص شهادة SSL؟
كل بضعة أسابيع، وكذلك بعد كل نقل للخادم أو تغيير في DNS.
هل يفحص مدقق السيو شهادة SSL؟
نعم. يفحص مدقق السيو لدينا HTTPS ويقودك إلى فاحص SSL لكل تفاصيل الشهادة.