كيف تحصل على شهادة SSL مجانية

ما الذي تفعله شهادة SSL

بدقة أكبر، تستخدم الاتصالات اليوم بروتوكول TLS، خليفة SSL، لكن الجميع ما زالوا يقولون "شهادة SSL". تؤدي الشهادة وظيفتين:

• التشفير: تنتقل كلمات المرور والنماذج والمدفوعات مشفّرة، فلا يستطيع أحد على الشبكة قراءتها أو تعديلها.
• الهوية: تحققت جهة إصدار الشهادات (CA) من أن من طلب الشهادة يتحكم في النطاق.

الشهادات المجانية من نوع التحقق من النطاق (DV): تتحقق CA من أنك تتحكم في النطاق فقط، لا أكثر. والتشفير بالقوة نفسها تمامًا كما في الشهادة المدفوعة. أما شهادات OV وEV المدفوعة فتضيف تحققًا من المؤسسة التي تقف وراء الموقع، وهو ما تريده بعض الشركات، لكن المتصفحات تعرض القفل نفسه لها جميعًا.

مقارنة الخيارات المجانية

كلها تشفّر بالجودة نفسها. الفرق في طريقة إصدارها وتجديدها، وهذا يزداد أهمية عامًا بعد عام.

لماذا يهم التجديد التلقائي

أعمار الشهادات تقصر في القطاع كله. وفق قواعد CA/Browser Forum، أقصى مدة يمكن أن تدومها شهادة عامة هي 200 يوم منذ مارس 2026، و100 يوم اعتبارًا من مارس 2027، و47 يومًا اعتبارًا من مارس 2029.

تدوم شهادات Let's Encrypt اليوم 90 يومًا. وستنتقل شهاداتها الافتراضية إلى 64 يومًا في فبراير 2027 وإلى 45 يومًا في فبراير 2028. كما توقفت Let's Encrypt في 2025 عن إرسال رسائل التذكير بانتهاء الصلاحية، فلن ينبهك أحد قبل أن تنتهي الشهادة.

الدرس العملي: لا تجدد الشهادات يدويًا أبدًا. استخدم أداة تجددها من تلقاء نفسها، مثل AutoSSL في cPanel أو Certbot على VPS، وتحقق من حين لآخر أنها تعمل.

على الاستضافة المشتركة: AutoSSL في cPanel

على استضافة cPanel لا يوجد عادةً ما تفعله. تطلب AutoSSL شهادة Let's Encrypt لكل نطاق في الحساب يشير إلى الخادم، وتثبّتها وتجددها قبل انتهاء صلاحيتها.

1. وجّه نطاقك إلى الاستضافة: اضبط خوادم الأسماء (nameservers) أو سجل A الذي أعطاك إياه مزود الاستضافة، وانتظر حتى يتحدث DNS.
2. في cPanel افتح Security → SSL/TLS Status. يظهر لكل نطاق ما إذا كان مغطى، أو تقترب صلاحيته من الانتهاء، أو لديه مشكلة في AutoSSL.
3. إذا لم يكن النطاق مغطى بعد، انقر Run AutoSSL. لا يعمل ذلك إلا بعد أن يشير النطاق إلى الخادم.
4. افتح موقعك بـ https:// وتحقق من القفل. ومع WordPress، اضبط عنوان الموقع على https:// أيضًا.

على استضافة المواقع من HytHost، تكون AutoSSL مع Let's Encrypt مفعّلة في كل باقة وتغطي كل نطاق ونطاق فرعي تضيفه بمجرد أن يشير إلى الخادم. وما تفعله cPanel غير ذلك تجده في ما هي cPanel.

على VPS: Certbot مع nginx

على خادمك الخاص، يحصل Certbot من EFF على شهادات Let's Encrypt ويجددها. الطريقة الرسمية على Ubuntu تستخدم حزمة snap:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

تأكد من أن سجل A لنطاقك يشير إلى الـ VPS، وأن لدى nginx إعداد server_name له، وأن المنفذين 80 و443 مفتوحان في الجدار الناري. ثم شغّل:

sudo certbot --nginx -d example.com -d www.example.com

يثبت Certbot أنك تتحكم في النطاق، ويثبّت الشهادة في إعدادات nginx، ويمكنه إعادة توجيه HTTP إلى HTTPS. كما يثبّت مؤقتًا يجدد الشهادات تلقائيًا. اختبر التجديد مرة واحدة:

sudo certbot renew --dry-run

خلف Cloudflare

إذا كان نطاقك يمر عبر Cloudflare والسحابة البرتقالية مفعّلة، فإن الزوار يتصلون بـ Cloudflare، التي تعرض لهم شهادة Universal SSL المجانية الخاصة بها. لكن هذا لا يغطي إلا نصف الطريق: فما زالت Cloudflare تتصل بخادمك.

• اضبط وضع SSL/TLS على Full (strict). عندها تشترط Cloudflare وجود شهادة صالحة على خادمك، فيكون المسار كله مشفرًا ومُتحققًا منه.
• امنح خادمك شهادة: تعمل Let's Encrypt عبر AutoSSL أو Certbot، أو شهادة Cloudflare Origin CA المجانية. لا يثق بشهادة Origin CA إلا Cloudflare، لذا سيرى الزوار أخطاء إذا أوقفت الوسيط (proxy) يومًا ما.
• تجنب وضع Flexible. فهو يترك الاتصال بخادمك دون تشفير، وكثيرًا ما يسبب حلقات إعادة توجيه لا تنتهي.

مشكلات SSL الشائعة وحلولها

• الشهادة لا تصدر: النطاق لا يشير إلى الخادم بعد، أو ما زال DNS يحتفظ بالعنوان القديم في الذاكرة المؤقتة. تحقق من سجل A وانتظر.
• سجل CAA يمنع الإصدار: إذا كان في DNS الخاص بك سجلات CAA، فيجب أن تسمح بجهة CA التي تستخدمها، مثل 0 issue "letsencrypt.org".
• يفشل التحقق على VPS: تتحقق Let's Encrypt افتراضيًا عبر المنفذ 80، لذا أبقِ المنفذ 80 مفتوحًا حتى لو كان الموقع يعيد التوجيه إلى HTTPS.
• "غير آمن" رغم وجود شهادة: الصفحة تحمّل صورًا أو سكربتات عبر http:// (محتوى مختلط). غيّر تلك الروابط إلى https://.
• شهادة wildcard: يحتاج *.example.com إلى تحقق عبر DNS، لذا لا يعمل إلا مع إضافة DNS أو مزود قادر على إنشاء سجل التحقق.
• انتهت صلاحية الشهادة: توقف التجديد التلقائي عن العمل. افحص صفحة SSL/TLS Status في cPanel، أو شغّل certbot renew --dry-run على الـ VPS واقرأ رسالة الخطأ.