فاحص شهادات SSL/TLS
افحص شهادة SSL لأي نطاق فورًا، واطّلع على تاريخ الانتهاء والجهة المُصدِّرة وحالة الثقة وسلسلة الشهادات كاملة. مجاني ومن دون تسجيل.
كيفية قراءة نتائج شهادة SSL
كل حقل في النتائج يشرح جانبًا مختلفًا من الشهادة. إليك معنى كل معلومة وما الذي يجدر الانتباه إليه.
الجهة المُصدِّرة (اسم CA)
هي المؤسسة التي وقّعت الشهادة وأصدرتها. ويجب أن تكون CA معروفة مثل Let's Encrypt أو DigiCert أو Sectigo أو GlobalSign. وإذا كان المُصدر والموضوع يشتركان في CN وO نفسيهما، فالشهادة موقَّعة ذاتيًا، وستعرض المتصفحات تحذيرًا.
الأسماء البديلة للموضوع
هي قائمة النطاقات والنطاقات الفرعية التي تكون الشهادة صالحة لها. وفي بيئة الإنتاج، تأكد من وجود النطاق الرئيسي ونسخة www معًا. أما الإدخال wildcard مثل (*.example.com) فيغطي جميع النطاقات الفرعية من المستوى الأول، لكنه لا يغطي النطاق الرئيسي ولا النطاقات الفرعية من المستوى الثاني.
تاريخ الانتهاء والعدّ التنازلي
هذا هو التاريخ الذي تصبح بعده الشهادة غير صالحة. ويتحول شريط العدّ من الأخضر (>30 يومًا) إلى الأصفر (8-30 يومًا) ثم إلى الأحمر (<7 أيام). تنتهي صلاحية شهادات Let's Encrypt كل 90 يومًا، بينما تستمر الشهادات التجارية عادةً عامًا واحدًا.
إصدار بروتوكول TLS
هو إصدار TLS الذي تفاوض عليه خادمك لهذا الاتصال. يُعد TLS 1.3 المعيار الحالي لأنه أسرع وأكثر أمانًا، ويظل TLS 1.2 مقبولًا. أما TLS 1.0 و1.1 فقد أُوقِفا ويجب تعطيلهما، في حين أن SSLv3 وSSLv2 شديدا الضعف.
الرقم التسلسلي
هو معرّف فريد تعينه جهة CA لهذه الشهادة تحديدًا. ويفيد في إدارة الشهادات وعمليات البحث المتعلقة بـ OCSP stapling وتتبع الحوادث عندما توجد شهادات متعددة للنطاق نفسه.
بصمة SHA-256
هي تجزئة تشفيرية لمحتوى الشهادة بالكامل. وتطابق بصمتين يعني تطابق شهادتين. قارن البصمة قبل تدوير الشهادة وبعده للتأكد من تطبيق التحديث، أو لاكتشاف أي استبدال غير متوقع للشهادة.
خطة العمل عند اقتراب انتهاء الشهادة
يُعد انتهاء الصلاحية السبب الأكثر شيوعًا لانقطاعات SSL. استخدم هذا الجدول لمعرفة الإجراء المناسب بحسب عدد الأيام المتبقية.
| الأيام حتى الانتهاء | الحالة | الإجراء الموصى به |
|---|---|---|
| > 30 يومًا | جيدة | لا يلزم اتخاذ إجراء الآن. حدّد تذكيرًا بالتجديد عند الوصول إلى 30 يومًا. |
| 8-30 يومًا | تحذير | ابدأ عملية التجديد الآن. فمعظم هيئات التصديق وخدمات التجديد التلقائي (Let's Encrypt وCertbot) تجدّد عند بقاء 30 يومًا. |
| 1-7 أيام | عاجلة | جدّد فورًا. فالشهادة المنتهية الصلاحية تتسبب في أخطاء بالمتصفح وتحظر كل حركة HTTPS. |
| 0 أو أقل | منتهية الصلاحية | انتهت صلاحية الشهادة. استبدلها فورًا، فموقعك يعرض أخطاء أمان لجميع الزوار. |
أكثر أخطاء SSL شيوعًا في Chrome وFirefox وSafari — الأسباب والحلول
في ما يلي أكثر أخطاء SSL شيوعًا في المتصفحات وما يعنيه كل واحد منها. حدّد السبب الجذري بهذه الأداة، ثم طبّق الحل المناسب.
يقع تاريخ valid_to الخاص بالشهادة في الماضي. وهذا يعني أن الشهادة انتهت صلاحيتها ويجب تجديدها قبل أن تعود المتصفحات إلى الوثوق بالاتصال.
جدّد الشهادة عبر جهة الإصدار CA أو مزود الاستضافة. وتأكد من أن التجديد التلقائي مضبوط بشكل صحيح، لأن معظم الجهات تجدّد تلقائيًا خلال آخر 30 يومًا قبل الانتهاء.
النطاق الظاهر في شريط عنوان المتصفح غير مدرج في حقول CN أو SAN في الشهادة. ويحدث هذا عادةً بعد ترحيل النطاق أو عند عدم تطابق نطاق فرعي أو عند إصدار شهادة للنطاق الخطأ.
أعد إصدار الشهادة مع تضمين النطاق الصحيح. وتأكد من أن النطاق الرئيسي (example.com) ونطاق www الفرعي (www.example.com) موجودان في قائمة SAN.
صدرت الشهادة عن جهة CA غير موجودة في مخزن الثقة الخاص بالمتصفح أو نظام التشغيل. ويشمل ذلك الشهادات الموقَّعة ذاتيًا، أو الشهادات الصادرة داخليًا، أو الشهادات التي تنقصها شهادة CA الوسيطة في السلسلة.
ثبّت شهادة صادرة من جهة CA موثوقة علنًا. وإذا كنت تستخدم CA داخلية، فثبّت الشهادة الجذرية في مخزن الثقة لدى العميل. وتأكد من أن الخادم يرسل السلسلة الوسيطة كاملة.
جرى إبطال الشهادة صراحةً من قبل جهة الإصدار CA، وغالبًا ما يحدث ذلك بسبب اختراق المفتاح الخاص أو انتقال ملكية النطاق أو إصدار الشهادة عن طريق الخطأ.
احصل على شهادة جديدة فورًا. وإذا لم تكن أنت من أبطلها، فقد يكون مفتاحك الخاص قد تعرّض للاختراق، لذا بدّل المفتاح، وأعد إصدار الشهادة، وحقّق في سبب التعرض.
يرسل الخادم استجابة HTTP على منفذ HTTPS، أو يعيد الوكيل خطأ HTTP قبل اكتمال مصافحة TLS. وهذا يعني أن المنفذ 443 يستقبل نصًا صريحًا بدل TLS.
تأكد من أن الخادم مضبوط لتقديم TLS على المنفذ الجاري الاتصال به. وراجع إعدادات موازن التحميل والوكيل، وتأكد من أن إنهاء SSL مهيأ بشكل صحيح.
لا يستطيع العميل والخادم الاتفاق على إصدار بروتوكول TLS أو على مجموعة التشفير. ويظهر هذا غالبًا عندما لا يدعم الخادم إلا TLS 1.0/1.1 (الموقوف في Chrome 84+ وFirefox 74+ وSafari 14+)، أو عندما يستخدم مجموعات تشفير أزيلت من المتصفحات الحديثة.
فعّل TLS 1.2 وTLS 1.3 على الخادم، وعطّل TLS 1.0 وTLS 1.1. ثم حدّث قائمة مجموعات التشفير لإزالة RC4 و3DES ومجموعات التشفير من فئة export-grade. ويمكنك استخدام مولّد إعدادات TLS من Mozilla للحصول على تهيئات جاهزة لـ Nginx وApache.
كيفية فحص شهادة SSL في 3 خطوات
أدخل نطاقًا
أدخل أي اسم نطاق — مثل github.com أو api.example.com — في حقل الإدخال. تزيل الأداة أي بادئة https:// تلقائيًا. ويمكنك أيضًا تحديد منفذ مخصص إذا لم تكن خدمة HTTPS تعمل على المنفذ الافتراضي 443.
افحص الشهادة
خلال ثوانٍ سترى الشهادة كاملة: تاريخ الانتهاء والعدّ التنازلي، سلسلة الجهة المُصدِّرة، حالة الثقة، إصدار البروتوكول (TLS 1.2 أو 1.3)، مجموعة التشفير، SANs، وبصمة SHA-256. لا يتم تخزين أي بيانات.
اقرأ النتائج
إذا كانت الشهادة منتهية الصلاحية أو موقَّعة ذاتيًا أو يوجد عدم تطابق في اسم المضيف، فستعرض النتيجة المشكلة بوضوح. يتحول شريط الانتهاء إلى الأصفر عند أقل من 30 يومًا وإلى الأحمر عند أقل من 7 أيام. ويمكنك نسخ جميع التفاصيل بنقرة واحدة.
ماذا تكشف لك شهادة SSL؟
شهادة SSL/TLS هي اعتماد رقمي يثبت هوية الموقع ويتيح إنشاء اتصال مشفّر. وعندما تزور موقعًا عبر HTTPS، يتحقق المتصفح من شهادة الموقع — الصادرة عن هيئة تصديق موثوقة (CA) — قبل إنشاء القناة المشفّرة. ومن دون شهادة صالحة، تعرض المتصفحات تحذيرات أمنية وقد تمنع الوصول، ما يؤثر مباشرة في ثقة المستخدم وترتيب الموقع في نتائج البحث.
تحتوي كل شهادة SSL على 3 عناصر رئيسية:
- •الموضوع — اسم النطاق (والمؤسسة في OV/EV) الذي صُدرت له الشهادة
- •الجهة المُصدِّرة — هيئة التصديق (CA) التي وقّعت الشهادة وتحققت منها
- •مدة الصلاحية — تاريخا البداية والنهاية اللذان تكون الشهادة موثوقة بينهما
ما الذي لا تتحقق منه هذه الأداة
تُجري هذه الأداة مصافحة TLS مباشرة وتقرأ الشهادة، لكنها لا:
- تقيّم قوة مجموعة التشفير (A-F) — استخدم SSL Labs لإجراء تدقيق TLS كامل
- تتحقق من ترويسة HSTS أو حالة قائمة التحميل المسبق
- تختبر إعداد OCSP stapling
- تكتشف certificate pinning (HPKP)
- تتحقق من سلوك إعادة التوجيه من HTTP إلى HTTPS
أنواع شهادات SSL
توفر الأنواع المختلفة من الشهادات مستويات متفاوتة من التحقق من الهوية. ونوع الشهادة يحدد ما الذي راجعته جهة الإصدار قبل التوقيع، لا قوة التشفير.
تتحقق جهة الإصدار CA فقط من أن مقدم الطلب يسيطر على النطاق، من دون التحقق من هوية الشركة. تُصدر خلال دقائق عبر تحدي DNS أو HTTP آلي. وهي مناسبة للمدونات والمواقع الشخصية والأدوات الداخلية. ويظهر في Subject عادةً CN فقط (اسم النطاق) من دون حقل O (المؤسسة).
تتحقق جهة الإصدار CA من السيطرة على النطاق ومن الوجود القانوني للمؤسسة. يستغرق ذلك من يوم إلى ثلاثة أيام عمل. وتُظهر الشهادة اسم الشركة في حقل O، بحيث يمكن للزوار فحص الشهادة ومعرفة الجهة المالكة. وهي موصى بها لمواقع الشركات وواجهات API.
هذا هو أعلى مستويات التحقق صرامة: تتحقق جهة الإصدار CA من النطاق والمؤسسة والعنوان الفعلي والوضع القانوني والوجود التشغيلي. وكانت هذه الشهادات تُظهر سابقًا الشريط الأخضر في المتصفحات، أما اليوم فيظهر اسم الشركة ضمن تفاصيل الشهادة. وغالبًا ما تكون مطلوبة لدى المؤسسات المالية ومنصات التجارة الإلكترونية التي تتعامل مع بيانات الدفع.
تغطي النطاق الجذري وجميع النطاقات الفرعية من المستوى الأول باستخدام النمط *.example.com في CN أو SAN. ويمكن لشهادة Wildcard واحدة تأمين www.example.com وapi.example.com وcdn.example.com وغيرها. لكنها لا تغطي نطاقات فرعية من المستوى الثاني مثل dev.api.example.com، إذ تحتاج هذه إلى شهادة منفصلة.
يمكن لشهادة واحدة تغطية عدة نطاقات مستقلة عبر امتداد Subject Alternative Names. ويشيع استخدامها عند استضافة عدة منتجات تحت شهادة واحدة — مثل example.com وexample.io وapp.example.net. وتستخدم معظم الشهادات الحديثة SANs حتى للنطاق الواحد، مع تكرار CN داخل قائمة SAN.
متى ينبغي فحص شهادة SSL؟
قبل النشر
تأكد من أن الشهادة تغطي النطاق المراد نشره بالضبط. وتحقق من أن الجهة المُصدِّرة CA موثوقة وليست موقَّعة ذاتيًا، وأن SANs تتضمن النطاق الرئيسي ونسخة www، وأن البروتوكول المستخدم هو TLS 1.2 أو أحدث قبل توجيه DNS إلى بيئة الإنتاج.
مراقبة تجديد الشهادة
راقب تواريخ الانتهاء بشكل استباقي. تنتهي صلاحية شهادات Let's Encrypt كل 90 يومًا، وقد يؤدي فشل التجديد التلقائي إلى انقطاع الخدمة. أما الشهادات التجارية فعادةً ما تستمر سنة واحدة. احتفظ بهذه الأداة في المفضلة وافحص شهريًا أي شهادة تبقى لها أقل من 30 يومًا.
تدقيق أمني
حدّد الخوادم التي ما تزال تستخدم TLS 1.0 أو 1.1، أو مجموعات تشفير ضعيفة، أو شهادات موقَّعة ذاتيًا. وقارن بصمة SHA-256 بالقيمة المتوقعة بعد تدوير الشهادة للتأكد من عدم حدوث استبدال MITM.
بعد ترحيل النطاق
بعد نقل نطاق إلى مستضيف جديد أو CDN، تأكد من أن الشهادة الجديدة تغطي النطاق، وأن الجهة المُصدِّرة صحيحة، وأن SANs تطابق المجموعة المتوقعة. فترك شهادة على الخادم القديم وعدم توفيرها على الخادم الجديد يؤدي إلى أخطاء في المتصفح حتى لو كان DNS صحيحًا.