التقني
الموقع غير آمن: ما هي HTTPS وشهادة SSL، وكيف تزيل التحذير
إلياس المسعودي6 دقائق قراءةالإجابة المختصرة
تحذير «غير آمن» أو «اتصالك بهذا الموقع غير آمن» يظهر حين يفتح الموقع عبر HTTP بلا تشفير، أو حين تكون شهادة SSL منتهية أو خاطئة، أو حين تحمل صفحة HTTPS عناصر عبر HTTP. شهادة SSL (واسمها الدقيق اليوم TLS) ملف يثبت أن النطاق لك ويشفر ما يمر بينك وبين الزائر، وHTTPS هو البروتوكول الذي يستخدمها. الشهادة مجانية عبر Let's Encrypt أو مدمجة في أغلب الاستضافات والمنصات، والإصلاح الكامل ثلاث خطوات: شهادة سارية تتجدد تلقائيا، تحويل كل HTTP إلى HTTPS، وإصلاح المحتوى المختلط. العميل الخليجي يغادر عند التحذير، وجوجل يعد HTTPS شرطا أساسيا.
ما يراه الزائر
يكتب اسم موقعك في هاتفه، فيظهر بدل القفل تحذير: «غير آمن»، أو صفحة كاملة حمراء: «اتصالك بهذا الموقع غير خاص». في الخليج، حيث يتعلم الناس الحذر من المواقع الوهمية، يغلق أغلبهم الصفحة فورا. لن يقرأ ما تقدمه، ولن يرسل رقم هاتفه في نموذج على موقع يقول له المتصفح إنه غير آمن.
المصطلحات في ثلاثة أسطر
- HTTP هو الطريقة القديمة لنقل الصفحة بين الخادم والمتصفح، بلا تشفير: أي طرف في الطريق يستطيع قراءة ما يمر وتعديله.
- HTTPS هو الطريقة نفسها مع تشفير، فلا يقرأ ما يمر إلا طرفاه.
- شهادة SSL (والاسم التقني الحالي TLS) ملف صادر عن جهة موثوقة يثبت أن النطاق لك ويمكن المتصفح من التشفير. بلا شهادة لا HTTPS.
القفل في المتصفح يعني: الشهادة سارية، والنطاق مطابق، وكل ما في الصفحة محمل عبر HTTPS.
الحصول على الشهادة
| وضعك | الطريقة | التكلفة |
|---|---|---|
| متجر على سلة أو زد أو شوبيفاي | مفعلة تلقائيا للنطاق المربوط | مجانية |
| موقع على استضافة مشتركة | من لوحة الاستضافة: Let’s Encrypt بنقرة | مجانية غالبا |
| موقع خلف كلاودفلير | مفعلة من لوحة كلاودفلير، مع ضبط وضع التشفير على الكامل | مجانية |
| خادم خاص | Certbot يصدر ويجدد تلقائيا | مجانية |
| متطلبات مؤسسية | شهادة مدفوعة من جهة إصدار | سنوية |
الشهادة المجانية تتجدد كل ثلاثة أشهر تلقائيا. الخطأ الشائع: تجديد يدوي ينساه أحدهم، فتنتهي الشهادة صباح يوم عطلة ويصبح الموقع كله صفحة حمراء.
الخطوات الثلاث للإصلاح الكامل
- شهادة سارية للنطاق بشكليه مع www وبدونها، بتجديد تلقائي.
- تحويل إجباري من كل رابط HTTP إلى مقابله HTTPS بتحويل دائم (301)، ومن أحد شكلي النطاق إلى الآخر، حتى يكون لكل صفحة عنوان واحد. وتحديث الروابط الداخلية والخريطة إلى HTTPS.
- إصلاح المحتوى المختلط: أي صورة أو ملف أو سكريبت محمل عبر http داخل صفحة https يسقط القفل. أدوات المطور في كروم تعرضها في تبويب Console.
ثم فعل HSTS إن كان كل شيء يعمل، فيخبر المتصفح ألا يجرب HTTP أبدا.
علامات تراها بعد الإصلاح في Search Console
بعد التحويل تظهر نسخة HTTPS كموقع مستقل في Search Console، أضفها كملكية نطاق كاملة لترى الاثنين معا. وفي تقرير الفهرسة تختفي تدريجيا الصفحات المكررة بين http وhttps. إن كان لديك موقع قديم بروابط خارجية إلى http فالتحويل الدائم يحفظ قيمتها.
ما لا تفعله الشهادة
القفل يعني أن الاتصال مشفر، لا أن الموقع صادق. موقع نصب يستطيع الحصول على شهادة مجانية في دقيقة. لذلك يبقى الزائر بحاجة إلى علامات الثقة الأخرى، وهي في مقال علامات الثقة. والشهادة لا تحمي الموقع من الاختراق أو البرمجيات الخبيثة، فهذه طبقة أخرى: تحديث المنصة والإضافات، وكلمات مرور قوية، ونسخ احتياطية.
أين يدخل هذا في الفحص
الفحص يتحقق من الشهادة وصلاحيتها والتحويل الإجباري والمحتوى المختلط وترويسات الأمان على كل الصفحات المزحوفة، ضمن بعد الأمان في الأساس التقني. بند يصلحه من يدير الاستضافة في ساعة، وقد يكون وحده سبب مغادرة الزوار قبل أن يقرؤوا حرفا.