تفتح موقعك فيظهر بدل الصفحة تحذير يملأ الشاشة: «اتصالك ليس خاصاً» في Chrome، أو تحذير من خطر أمني محتمل في Firefox، وتحته رمز غريب مثل NET::ERR_CERT_DATE_INVALID. أغلب الزوار يغلقون الصفحة عند هذا الحد، ومنهم زبائن كانوا على وشك الشراء. لكن هذا التحذير ليس لغزاً: أسبابه محدودة، ولكل سبب علامة في رسالة الخطأ وإصلاح معروف. في هذا الدليل نشرح ما يعنيه التحذير، ونمرّ على أسبابه واحداً واحداً، ونبيّن كيف تعرف السبب في ثوانٍ وكيف تصلحه.
01ماذا يعني تحذير «اتصالك ليس خاصاً»؟
حين يفتح المتصفح موقعاً عبر HTTPS، يطلب منه تثبت أن الخادم الذي يرد هو صاحب الاسم فعلاً، ثم يسأل عنها ثلاثة أسئلة: هل ما زالت ضمن مدتها؟ هل الاسم الذي كتبه الزائر مكتوب فيها؟ هل صادرة عن جهة يثق بها؟ إن فشل أي سؤال منها، يوقف المتصفح الصفحة ويعرض التحذير، لأنه لا يستطيع أن يضمن أن أحداً لا يعترض الاتصال.
لذلك يتشابه التحذير مهما كان سببه، لكن الرمز الصغير تحته يختلف. انقر «متقدّم» أو «التفاصيل» في صفحة التحذير لتراه، فهو أول دليل على السبب:
- الشهادة منتهية أو لم تبدأ صلاحيتها، أو ساعة الجهاز خاطئة: NET::ERR_CERT_DATE_INVALID في Chrome، وSEC_ERROR_EXPIRED_CERTIFICATE في Firefox.
- الشهادة لا تغطي الاسم المكتوب في شريط العنوان: NET::ERR_CERT_COMMON_NAME_INVALID في Chrome، وSSL_ERROR_BAD_CERT_DOMAIN في Firefox.
- السلسلة لا تصل إلى جهة إصدار موثوقة: شهادة موقّعة ذاتياً أو شهادة وسيطة ناقصة: NET::ERR_CERT_AUTHORITY_INVALID في Chrome، وSEC_ERROR_UNKNOWN_ISSUER في Firefox.
- الخادم لا يقبل إصداراً حديثاً من TLS: ERR_SSL_VERSION_OR_CIPHER_MISMATCH في Chrome، وSSL_ERROR_NO_CYPHER_OVERLAP في Firefox.
02السبب الأول: شهادة منتهية الصلاحية
لكل شهادة تاريخ بداية وتاريخ انتهاء. إن مرّ تاريخ الانتهاء دون تجديد، يعرض المتصفح تحذيراً يملأ الصفحة بدل موقعك. وهذا أكثر الأسباب شيوعاً، خاصة مع الشهادات التي تُجدَّد يدوياً، أو حين يتعطل التجديد التلقائي دون أن ينتبه أحد.
- جدّد الشهادة أو أعد إصدارها: الشهادة المدفوعة تُصدر لسنة كاملة، فضع تذكيراً قبل انتهائها بأسابيع. والمجانية تحتاج التجديد كل 3 أشهر، فتأكد أن تجديدها التلقائي يعمل فعلاً.
- إن كان موقعك على استضافة cPanel لدينا: افتح «SSL/TLS Status» في cPanel، فالعلامة الخضراء بجانب النطاق تعني أنه محمي بالكامل. AutoSSL تجدد الشهادة قبل انتهائها، فإن وجدت نطاقاً بلا شهادة فتأكد أنه يشير إلى استضافتك.
- إن لم تبدأ صلاحيتها بعد: تاريخ بدايتها لم يأتِ، أو ساعة الخادم غير مضبوطة. اضبط ساعة الخادم قبل أن تعيد إصدار أي شيء.
- إن ظهر التحذير عندك وحدك: انظر إلى ساعة جهازك وتاريخه. جهاز بتاريخ خاطئ يرى الشهادات كلها منتهية أو لم تبدأ بعد، فيظهر الخطأ نفسه في كل المواقع.
03السبب الثاني: الشهادة لا تغطي اسم الموقع
تحمي الشهادة الأسماء المكتوبة فيها فقط. فإن كانت صادرة لـ saydaliya-homs.sy، وهو موقع صيدلية في حمص، ثم فتح الزائر shop.saydaliya-homs.sy، يرى تحذير اختلاف الاسم، مع أن الشهادة نفسها سليمة.
- شهادة النطاق الواحد تحمي اسماً واحداً، ويُكتب فيها عادةً مع البادئة www وبدونها. تأكد أن الصيغتين فيها، فكثير من الزوار يكتبون الاسم مع www.
- للنطاقات الفرعية الكثيرة اختر شهادة تحمي النطاق مع كل نطاقاته الفرعية، ولعدة نطاقات مختلفة شهادة متعددة النطاقات (SAN).
- إن كان الاسم مكتوباً في حقل Common Name وحده لا في قائمة الأسماء (SAN)، فالمتصفحات الحديثة ترفض الشهادة: أعد إصدارها.
- وعلى استضافة cPanel لدينا يحصل كل نطاق فرعي تضيفه على شهادته عبر AutoSSL، وقد يحتاج النظام بضع دقائق ليصدرها بعد ربط النطاق.
04السبب الثالث: شهادة «غير موثوق بها»
لا يثق المتصفح بالشهادة لأنها مركّبة على موقعك، بل لأن تصل منها إلى شهادة جذر يعرفها مسبقاً. بين شهادتك والجذر شهادة وسيطة أو أكثر، وعلى الخادم أن يرسلها مع شهادتك. حين تنقطع السلسلة يقول المتصفح إن الشهادة غير موثوق بها:
- شهادة وسيطة ناقصة: يحدث هذا كثيراً حين تُركَّب الشهادة يدوياً على خادم VPS دون ملف السلسلة (CA Bundle). بعض المتصفحات تكمل الشهادة الوسيطة الناقصة بنفسها، فيفتح الموقع عندك ويفشل عند غيرك وفي التطبيقات. الحل أن تركّب ملف السلسلة الذي يصلك مع الشهادة.
- شهادة موقّعة ذاتياً: الشهادة تشهد لنفسها، فلا يثق بها أي متصفح. تصلح للاختبار على جهازك، لا لموقع يزوره الناس. استبدلها بشهادة من جهة إصدار موثوقة.
- جذر غير موثوق: تنتهي السلسلة عند جهة إصدار خاصة أو مجهولة لا يعرفها أي متصفح، كشهادات بعض الأجهزة والأنظمة الداخلية.
- توقيع قديم: في السلسلة شهادة موقّعة بـ SHA-1 أو MD5، والمتصفحات ترفضها لأن هذا التوقيع قابل للتزوير.
05أسباب أخرى تُظهر تحذيراً أو تُخفي القفل
- إصدار TLS قديم: خادم لا يقبل TLS 1.2 ولا 1.3 لا تستطيع المتصفحات الحالية الاتصال به، والإصداران 1.0 و1.1 متقاعدان.
- محتوى مختلط: الصفحة نفسها على HTTPS، لكنها تحمّل صورة أو ملفاً عبر http://، فيختفي القفل أو يحظر المتصفح الملف. ابحث في صفحاتك عن روابط تبدأ بـ http:// وغيّرها إلى https://.
- لا تحويل إلى HTTPS: الموقع يجيب على http:// دون تحويل، فيبقى من يكتب الاسم وحده على اتصال غير مشفّر. أضف تحويلاً دائماً إلى HTTPS، ثم ترويسة لستة أشهر أو أكثر.
- شبكة تعترض الاتصال: بعض شبكات الشركات وبرامج الحماية تفحص الاتصال بشهادة خاصة بها، فيظهر التحذير على تلك الشبكة وحدها. جرّب من شبكة أخرى قبل أن تغيّر شيئاً في موقعك.
06اعرف السبب في ثوانٍ
بدل التخمين، افحص موقعك بأداة فحص شهادة SSL في موقع إليفانتي. تكتب اسم الموقع، فتعرض صلاحية الشهادة وجهة إصدارها وسلسلة الثقة والأسماء التي تغطيها وإصدارات TLS وHSTS، مع درجة من A+ إلى F، وتستطيع أن تحفظ النتيجة تقرير PDF موقّعاً رقمياً. الدرجة F تعني أن المتصفح لا يثق بالشهادة: منتهية، أو لا تغطي الاسم، أو سلسلتها لا تصل إلى جذر موثوق.
- المشكلةالتحذير يظهر في كل المواقع على جهاز واحد
- الحلصحّح ساعة الجهاز وتاريخه، ثم أعد المحاولة.
- المشكلةالموقع يفتح بلا www ويحذّر معها
- الحلاستخدم شهادة تغطي الصيغتين، أو أعد إصدارها لتشمل www.
- المشكلةيفتح في متصفحك ويفشل في تطبيق أو جوال
- الحلركّب ملف السلسلة (CA Bundle) مع الشهادة على الخادم.
- المشكلةانتهت الشهادة رغم التجديد التلقائي
- الحلتأكد أن النطاق ما زال يشير إلى الخادم الذي يجدد الشهادة، ثم افحص الموقع بعد التجديد.
- المشكلةالقفل غائب والصفحة تفتح
- الحلابحث عن صور وملفات تُحمَّل عبر http:// وحوّلها إلى https://.
07هل تكفيك الشهادة المجانية؟
الشهادة المجانية تشفّر الاتصال كما تشفّره المدفوعة، وتكفي معظم المواقع والمدونات. لكنها تقتصر على التحقق من النطاق (DV)، وتحتاج التجديد كل 3 أشهر. أما المدفوعة فتُصدر لسنة كاملة، وتتيح لك مستويي OV وEV اللذين يكتبان بيانات منظمتك الرسمية في الشهادة، وهذا ما تحتاجه متاجر ومؤسسات تريد أن يرى زبونها من يقف وراء الموقع.
شهادات إليفانتي من Sectigo وDigiCert وGeoTrust وthawte وRapidSSL، بمستويات DV وOV وEV، وتبدأ من $12 سنوياً لشهادة PositiveSSL. شهادة DV تُصدر خلال دقائق معدودة، بينما تنتظر OV التحقق من مستندات المنظمة، وEV التحقق من عنوانها الفعلي وصلاحيات ممثلها.
