مشتری آدرس سایت شرکت را باز می‌کند و به‌جای صفحه اصلی، یک هشدار قرمز می‌بیند: اتصال شما امن نیست. بیشتر بازدیدکنندگان همین‌جا صفحه را می‌بندند. علت در اغلب موارد ساده است: گواهی SSL منقضی شده و کسی متوجه نشده است. همین اتفاق برای سرور ایمیل هم می‌افتد و Outlook و موبایل کارکنان مدام خطای گواهی نشان می‌دهند.
SSL دقیقاً چه کاری می‌کند؟
گواهی SSL، که نام دقیق فناوری امروزی‌اش TLS است، دو کار انجام می‌دهد. اول، ارتباط بین مرورگر و سرور را رمزنگاری می‌کند تا اطلاعاتی مثل رمز عبور و فرم‌ها در مسیر خوانده یا دست‌کاری نشوند. دوم، هویت سایت را تأیید می‌کند؛ یعنی یک مرجع صدور گواهی (CA) تأیید کرده که این سرور واقعاً به همین دامنه تعلق دارد. نتیجه، آدرسی است که با https شروع می‌شود و مرورگر بدون هشدار بازش می‌کند.
انواع گواهی
- DV (تأیید دامنه): فقط کنترل دامنه بررسی می‌شود. سریع صادر می‌شود و برای بیشتر سایت‌ها کافی است. گواهی‌های رایگان مثل Let’s Encrypt از این نوع‌اند.
- OV و EV (تأیید سازمان): مرجع صدور هویت حقوقی شرکت را هم بررسی می‌کند. صدورش زمان‌برتر و پولی است، هرچند مرورگرهای امروزی تفاوت ظاهری چندانی بین آن‌ها و DV نشان نمی‌دهند.
- Wildcard: یک گواهی برای همه زیردامنه‌های یک سطح؛ مثلاً
*.company.com. - چنددامنه‌ای (SAN): یک گواهی برای چند نام مشخص، مثل
company.com،www.company.comوmail.company.com.
چرا تمدید خودکار دیگر اختیاری نیست؟
عمر گواهی‌ها در سال‌های اخیر مدام کوتاه‌تر شده است. گواهی‌های Let’s Encrypt از ابتدا کوتاه‌مدت بوده‌اند و CA/Browser Forum، نهادی که قواعد صدور گواهی را تعیین می‌کند، کاهش مرحله‌ای حداکثر عمر همه گواهی‌ها را تصویب کرده است. یعنی تمدید دستی سالانه که قبلاً رایج بود دیگر جواب نمی‌دهد و تمدید باید خودکار باشد.
در هاست cPanel معمولاً قابلیت AutoSSL فعال است که برای دامنه‌ها و زیردامنه‌های حساب، گواهی صادر و پیش از انقضا تمدید می‌کند. وضعیت آن را در بخش SSL/TLS پنل ببینید؛ نام دقیق این بخش به نسخه و میزبان بستگی دارد. روی سرورهای دیگر هم ابزارهای مبتنی بر پروتکل ACME، مثل Certbot، همین کار را انجام می‌دهند.
چرا تمدید خودکار گاهی شکست می‌خورد؟
- رکورد A دامنه یا زیردامنه به سرور دیگری اشاره می‌کند و مرجع صدور نمی‌تواند کنترل دامنه را تأیید کند.
- دامنه پشت یک CDN یا پروکسی است و درخواست تأیید به سرور نمی‌رسد.
- قانونی در فایروال یا فایل
.htaccessدسترسی به مسیر/.well-known/را می‌بندد. - یک گواهی پولی به‌صورت دستی نصب شده و کسی به یاد ندارد کی منقضی می‌شود.
خطاهای رایج پس از نصب
- زنجیره ناقص: گواهی واسط (Intermediate) نصب نشده؛ سایت در مرورگر رایانه باز می‌شود اما در برخی موبایل‌ها یا نرم‌افزارها خطا می‌دهد.
- محتوای ترکیبی (Mixed Content): صفحه با https باز می‌شود اما تصاویر یا اسکریپت‌ها هنوز با http بارگذاری می‌شوند.
- نام نادرست: گواهی برای
company.comصادر شده اما کاربرانwww.company.comیاmail.company.comرا باز می‌کنند. - نبود هدایت به https: نسخه http سایت هنوز بدون هدایت خودکار در دسترس است.
پایش انقضا؛ پیش از آنکه مشتری خبر دهد
حتی با تمدید خودکار، تاریخ انقضا را پایش کنید. یک سرویس مانیتورینگ می‌تواند هر روز گواهی سایت، وب‌میل و سرور ایمیل را بررسی کند و اگر کمتر از دو هفته به انقضا مانده بود، هشدار بدهد. برای بررسی دستی کافی است روی آیکون قفل مرورگر کلیک کنید یا این دستور را اجرا کنید:
openssl s_client -connect company.com:443 -servername company.com | openssl x509 -noout -dates
فقط سایت را نبینید. گواهی سرور ایمیل، پنل‌های مدیریتی، VPN و هر سرویسی که با نام دامنه از بیرون در دسترس است، تاریخ انقضا دارد.
چک‌لیست
- همه نام‌های در دسترس، از جمله www و mail، گواهی معتبر دارند.
- تمدید خودکار فعال است و نتیجه آخرین تمدید موفق بوده است.
- زنجیره گواهی کامل است و در موبایل هم خطایی دیده نمی‌شود.
- همه آدرس‌های http به https هدایت می‌شوند.
- تاریخ انقضای گواهی‌ها به‌صورت خودکار پایش و هشدار داده می‌شود.
کارشناسان ITPlus724 می‌توانند گواهی‌های سایت، ایمیل و سرویس‌های شما را بررسی کنند، تمدید خودکار را راه‌اندازی کنند و انقضای آن‌ها را زیر پایش بگذارند.