איך מקבלים תעודת SSL בחינם

מה עושה תעודת SSL

אם לדייק, החיבורים כיום משתמשים ב-TLS, היורש של SSL, אבל כולם עדיין אומרים "תעודת SSL". תעודה עושה שני דברים:

• הצפנה: סיסמאות, טפסים ותשלומים עוברים מוצפנים, כך שאף אחד ברשת לא יכול לקרוא או לשנות אותם.
• זהות: רשות אישורים (CA) בדקה שמי שביקש את התעודה שולט בדומיין.

תעודות חינמיות הן מאומתות דומיין (DV): ה-CA בודקת שאתם שולטים בדומיין, ותו לא. ההצפנה חזקה בדיוק כמו בתעודה בתשלום. תעודות OV ו-EV בתשלום מוסיפות בדיקות על הארגון שמאחורי האתר, וחלק מהעסקים רוצים את זה, אבל הדפדפנים מציגים את אותו מנעול לכולן.

השוואה בין האפשרויות החינמיות

כולן מצפינות באותה רמה. ההבדל הוא באופן ההנפקה והחידוש, וזה חשוב יותר משנה לשנה.

למה חידוש אוטומטי חשוב

תוקף התעודות מתקצר בכל התעשייה. לפי הכללים של CA/Browser Forum, תעודה ציבורית יכולה להיות תקפה לכל היותר 200 יום מאז מרץ 2026, ‏100 יום החל ממרץ 2027 ו-47 יום החל ממרץ 2029.

תעודות Let's Encrypt תקפות היום ל-90 יום. תעודות ברירת המחדל שלה יעברו ל-64 יום בפברואר 2027 ול-45 יום בפברואר 2028. בנוסף, Let's Encrypt הפסיקה ב-2025 לשלוח מיילים של תזכורת לפני פקיעת תוקף, כך שאף אחד לא יזהיר אתכם לפני שתעודה פוקעת.

המסקנה המעשית: אף פעם אל תחדשו תעודות ידנית. השתמשו במשהו שמחדש אותן לבד, כמו AutoSSL ב-cPanel או Certbot בשרת VPS, ובדקו מדי פעם שזה עובד.

באחסון משותף: AutoSSL ב-cPanel

באחסון cPanel בדרך כלל אין מה לעשות. AutoSSL מבקש תעודת Let's Encrypt לכל דומיין בחשבון שמצביע על השרת, מתקין אותה ומחדש אותה לפני שהיא פוקעת.

1. הפנו את הדומיין לאחסון: הגדירו את שרתי השמות (nameservers) או את רשומת ה-A שספק האחסון נתן לכם, וחכו שה-DNS יתעדכן.
2. ב-cPanel פתחו את Security → SSL/TLS Status. ליד כל דומיין מופיע אם הוא מכוסה, אם התעודה עומדת לפקוע או אם יש בעיה ב-AutoSSL.
3. אם דומיין עדיין לא מכוסה, לחצו על Run AutoSSL. זה עובד רק אחרי שהדומיין מצביע על השרת.
4. פתחו את האתר עם https:// ובדקו את המנעול. ב-WordPress, הגדירו גם את כתובת האתר ל-https://.

באחסון האתרים של HytHost, ‏AutoSSL עם Let's Encrypt פעיל בכל חבילה ומכסה כל דומיין ותת-דומיין שתוסיפו ברגע שהוא מצביע על השרת. מה עוד cPanel עושה תמצאו במה זה cPanel.

בשרת VPS: ‏Certbot עם nginx

בשרת משלכם, Certbot של EFF מקבל תעודות Let's Encrypt ומחדש אותן. השיטה הרשמית ב-Ubuntu משתמשת בחבילת snap:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

ודאו שרשומת ה-A של הדומיין מצביעה על ה-VPS, של-nginx יש server_name עבורו, ושהפורטים 80 ו-443 פתוחים בחומת האש. אחר כך הריצו:

sudo certbot --nginx -d example.com -d www.example.com

‏Certbot מוכיח שאתם שולטים בדומיין, מתקין את התעודה בהגדרות של nginx ויכול להפנות HTTP ל-HTTPS. הוא גם מתקין טיימר שמחדש תעודות אוטומטית. בדקו את החידוש פעם אחת:

sudo certbot renew --dry-run

מאחורי Cloudflare

אם הדומיין שלכם עובר דרך Cloudflare עם הענן הכתום דלוק, המבקרים מתחברים ל-Cloudflare, שמציגה להם את תעודת ה-Universal SSL החינמית שלה. זה מכסה רק חצי מהדרך: Cloudflare עדיין מתחברת לשרת שלכם.

• הגדירו את מצב SSL/TLS ל-Full (strict). כך Cloudflare דורשת תעודה תקפה בשרת שלכם, וכל הדרך מוצפנת ונבדקת.
• תנו לשרת תעודה: ‏Let's Encrypt דרך AutoSSL או Certbot עובדת, וגם תעודת Cloudflare Origin CA חינמית. רק Cloudflare סומכת על תעודת Origin CA, כך שאם תכבו אי פעם את הפרוקסי, המבקרים יראו שגיאות.
• הימנעו ממצב Flexible. הוא משאיר את החיבור לשרת שלכם לא מוצפן ולעיתים קרובות גורם ללולאות הפניה.

בעיות SSL נפוצות ופתרונות

• התעודה לא מונפקת: הדומיין עדיין לא מצביע על השרת, או שה-DNS עדיין שומר את הכתובת הישנה במטמון. בדקו את רשומת ה-A וחכו.
• רשומת CAA חוסמת: אם ב-DNS שלכם יש רשומות CAA, הן חייבות להתיר את ה-CA שבה אתם משתמשים, למשל 0 issue "letsencrypt.org".
• האימות נכשל ב-VPS: ‏Let's Encrypt בודקת כברירת מחדל דרך פורט 80, אז השאירו את פורט 80 פתוח גם אם האתר מפנה ל-HTTPS.
• "לא מאובטח" למרות שיש תעודה: הדף טוען תמונות או סקריפטים דרך http:// (תוכן מעורב). שנו את הקישורים האלה ל-https://.
• תעודת wildcard: ‏*.example.com דורשת אימות DNS, ולכן היא עובדת רק עם תוסף DNS או ספק שיכול ליצור את רשומת האימות.
• תוקף התעודה פג: החידוש האוטומטי הפסיק לעבוד. בדקו את דף SSL/TLS Status ב-cPanel, או הריצו certbot renew --dry-run ב-VPS וקראו את השגיאה.