شهادة SSL: لماذا يظهر «غير آمن» رغم وجودها

يفتح عميلك موقعك فيجد تحذيرًا: «هذا الموقع غير آمن». وقد تكون شهادتك مركّبة وسارية فعلًا. التحذير لا يعني دائمًا غياب الشهادة — وأكثر أسبابه ليست الشهادة أصلًا.

ما الذي تفعله الشهادة فعلًا

شهادة SSL/TLS تشفّر ما يمرّ بين متصفح الزائر وخادمك، فلا يستطيع من يعترض الاتصال قراءته أو تعديله. وتثبت كذلك أن النطاق هو ما يدّعيه.

وما لا تفعله: لا تجعل موقعك آمنًا. موقع مخترَق على HTTPS يظلّ مخترَقًا — بتشفير جيد. القفل يعني «الاتصال مشفَّر» لا «الموقع سليم».

وهي اليوم ليست رفاهية: المتصفحات تحذّر صراحة من الصفحات غير المشفَّرة، ومحركات البحث تعدّها إشارة أساسية، ومعظم ما يفيد موقعك تقنيًا لا يعمل بدونها.

لماذا يظهر «غير آمن» رغم وجود الشهادة؟

١. محتوى مختلط (Mixed Content) — السبب الأول

الصفحة تُحمَّل عبر HTTPS، لكن بداخلها صورة أو ملف أنماط أو سكربت يُطلب عبر http://. فيعدّ المتصفح الصفحة كلها غير موثوقة.

يحدث هذا غالبًا بعد تركيب الشهادة على موقع قديم: الروابط محفوظة في قاعدة البيانات بصيغة http. والعلاج ليس في الشهادة بل في استبدال تلك الروابط، أو استخدام روابط نسبية.

٢. الشهادة لا تغطي الاسم المطلوب

شهادة أُصدرت لـexample.com ولا تغطي www.example.com — أو العكس. فمن يكتب الصيغة غير المغطاة يرى تحذيرًا. وشهادة النطاق الواحد لا تغطي النطاقات الفرعية إلا إن كانت شهادة عامة (wildcard).

٣. الشهادة منتهية

الشهادات المجانية قصيرة العمر وتُجدَّد تلقائيًا. وحين يفشل التجديد لا يظهر ذلك فورًا — بل يظهر يوم الانتهاء، ودفعةً واحدة. وهذا بالضبط ما وصلنا في تذكرة: «انتهاء https من الموقع». السبب المعتاد لفشل التجديد هو تغيير في النطاق أو سجلاته بعد الإصدار.

٤. لا تحويل من HTTP إلى HTTPS

الشهادة موجودة لكن الموقع يُخدم على العنوانين. من يكتب الاسم بلا بادئة قد يصل إلى النسخة غير المشفَّرة. والحلّ تحويل دائم (301) من http إلى https — وهذا مفيد لمحركات البحث أيضًا، فنسختان من الصفحة نفسها تقتسمان وزنها.

٥. تاريخ الجهاز خاطئ

نادر لكنه يحدث: جهاز الزائر ساعته غير مضبوطة، فيرى كل الشهادات منتهية أو غير سارية بعد. إن اشتكى زائر واحد والموقع سليم عند الجميع، اسأله عن تاريخ جهازه.

كيف تتحقق بنفسك

افتح الموقع في نافذة خفيّة (لتتجنب الكاش)، ثم افتح أدوات المطوّر وانظر في تبويب Console: مشاكل المحتوى المختلط تُطبع هناك بوضوح مع الرابط المخالف بالضبط.

ولفحص الشهادة نفسها من الطرفية:

openssl s_client -connect yourdomain.com:443 -servername yourdomain.com < /dev/null 2>/dev/null | openssl x509 -noout -dates -subject

يعطيك تاريخ البداية والانتهاء والأسماء التي تغطيها الشهادة — وهي الأسئلة الثلاثة التي تحسم الأمر.

عندنا

شهادة SSL مجانية مشمولة في كل باقات الاستضافة، وتُجدَّد تلقائيًا. وإن ظهر تحذير رغم ذلك فالمشكلة في واحد من الأسباب أعلاه لا في الشهادة — وأرسِل لنا رابط الصفحة التي يظهر فيها التحذير لنحدّد أيّها.