أداة إكمال سلسلة الشهادة
الصق شهادتك وحدها. نتتبع رابط جهة الإصدار فيها ونجد الوسيطة الناقصة ونعطيك ملف السلسلة الكامل لتثبيته.
تأخذ أداة إكمال سلسلة الشهادة شهادة SSL الخاصة بك فقط بصيغة PEM وتتبع رابط جهة الإصدار الموجود فيها لتنزيل الشهادات الوسيطة الناقصة، وتتحقق من أنها تصل إلى جذر موثوق، ثم تعيد السلسلة بالترتيب الصحيح في ملف fullchain.pem لـ Nginx أو Apache. تُعرض شهادة الجذر منفصلة لأن الخادم لا يحتاج إليها.
آخر تحديث:
ما سلسلة الشهادة ولماذا تكون ناقصة؟
سلسلة الشهادة هي سلسلة الشهادات التي تربط شهادة موقعك بجهة إصدار جذرية تثق بها المتصفحات أصلًا. توقّع شهادتك عادةً شهادة وسيطة، وتوقّع الوسيطةَ شهادةُ جذر.
تحتفظ المتصفحات بالجذور لا بالوسيطة، لذلك يجب أن يرسل خادمك الشهادات الوسيطة بنفسه. تسلّم كثير من جهات الإصدار ثلاثة ملفات: شهادتك وحزمة الوسيطة وأحيانًا الجذر. وإن ثبّتّ الأول فقط فسيظل بعض الزوار يرون القفل لأن Chrome يستطيع جلب الجزء الناقص، بينما يفشل غيره: curl وبوابات الدفع وعملاء API وإصدارات أندرويد الأقدم وبرامج البريد. تعيد هذه الأداة بناء الجزء الناقص.
- شهادتك (leaf): الشهادة الصادرة لنطاقك.
- الوسيطة: شهادة جهة الإصدار؛ قد تلزم واحدة أو اثنتان.
- الجذر: مرساة الثقة المخزّنة في المتصفحات وأنظمة التشغيل؛ لا تُثبَّت على خادمك.
يظهر هذا العطل كثيرًا عند نقل موقع إلى استضافة جديدة أو عند تثبيت شهادة اشتُريت من جهة إصدار مختلفة، لأن الملف الذي يُنسخ يكون غالبًا شهادة النطاق وحدها.
كيف أكمل السلسلة خطوة بخطوة؟
الصق شهادتك واضغط الزر ثم نزّل الملف المناسب لخادمك.
- افتح ملف شهادتك. هو نص يبدأ بـ -----BEGIN CERTIFICATE-----. انسخ الكتلة كاملة بما فيها السطر الأول والأخير.
- الصقها في الخانة. لا تلصق مفتاحًا خاصًا أبدًا؛ تحجبه الأداة في متصفحك قبل إرسال أي شيء.
- اضغط أكمل السلسلة. نقرأ رابط جهة الإصدار داخل الشهادة وننزّل كل شهادة ناقصة ونتحقق أن التواقيع تتصل حتى جذر موثوق.
- راجع القائمة المرتبة: شهادتك أولًا ثم كل وسيطة.
- نزّل fullchain.pem، أو انسخ الوسيطة وحدها إن كانت لوحة استضافتك فيها حقل منفصل لحزمة CA.
الشهادة بيانات عامة، لكنها تُرسل إلى خادمنا ليتمكن من إجراء التنزيلات. لا نخزّنها.
كيف أثبّت fullchain.pem على Nginx أو Apache؟
استبدل ملف شهادتك الحالي بـ fullchain.pem وأبقِ ملف المفتاح الخاص دون تغيير. يجب أن يحتوي الملف شهادتك أولًا ثم الوسيطة ولا يحتوي الجذر.
- Nginx: اجعل ssl_certificate يشير إلى fullchain.pem وأبقِ ssl_certificate_key على مفتاحك الخاص. شغّل nginx -t ثم أعد تحميل Nginx.
- Apache 2.4.8 أو أحدث: اجعل SSLCertificateFile يشير إلى fullchain.pem وأبقِ SSLCertificateKeyFile كما هو. أعد تحميل Apache.
- Apache الأقدم أو لوحات الاستضافة: ضع شهادتك وحدها في حقل الشهادة والوسيطة في حقل حزمة CA، أو وجّه SSLCertificateChainFile إلى ملف الوسيطة.
بعد ذلك شغّل فاحص SSL على نطاقك. يجب أن يختفي تحذير الشهادة الوسيطة الناقصة. وإن كنت تدير عدة نطاقات .ae أو .com فكرر الفحص لكل منها لأن لكل شهادة سلسلتها.
لماذا لم تجد الأداة شهادة وسيطة وما حدودها؟
لا تستطيع الأداة إلا تتبّع رابط جهة الإصدار المكتوب داخل شهادتك، لذلك تفشل حين يكون الرابط غائبًا أو معطّلًا.
- لا يوجد رابط لجهة الإصدار: بعض الشهادات لا تحتويه. نزّل الوسيطة من موقع جهة الإصدار.
- الرابط لا يمكن الوصول إليه: قد يكون خادم ملفات الجهة متوقفًا. حاول لاحقًا أو استخدم صفحة التنزيل لدى الجهة.
- جذر خاص: تُعرض جهة إصدار داخل شركة كجذر غير موثوق. هذا متوقع للاستخدام الداخلي لا للموقع العام.
- شهادة منتهية: لا تصلح السلسلة شهادة منتهية. جدّد الشهادة أولًا.
للأمان تجلب الأداة العناوين العامة فقط عبر المنفذين 80 و443، وتتجاهل الملفات الأكبر من 100 كيلوبايت، وتتبع ستة روابط إصدار على الأكثر. ولا تفحص الإلغاء. وإن كانت مشكلتك مفتاحًا لا يطابق الشهادة فاستخدم أداة مطابقة الشهادة والمفتاح بدلًا من ذلك.
الأسئلة الشائعة
هل يجب أن تكون شهادة الجذر في ملف الخادم؟
لا. تحتوي المتصفحات وأنظمة التشغيل جذورها الموثوقة أصلًا، لذا لا يفيد إرسال الجذر إلا في تكبير كل مصافحة. يجب أن يضم ملف خادمك شهادتك ثم الوسيطة. تعرض الأداة الجذر منفصلًا لتعرف أين تنتهي السلسلة، لكنها تُبقيه خارج fullchain.pem حتى تنسخ الملف إلى خادمك وهو جاهز.
بأي ترتيب يجب أن تكون الشهادات في fullchain.pem؟
تأتي شهادتك أولًا ثم الوسيطة التي وقّعتها ثم الوسيطة التالية إن وُجدت. ويجب أن تكون كل شهادة هي جهة إصدار التي قبلها. بعض العملاء صارمون في هذا الترتيب. تبني الأداة الملف بهذا الترتيب تمامًا، فتستخدمه دون إعادة ترتيب أو تعديل يدوي.
هل من الآمن لصق شهادتي في هذه الأداة؟
الشهادة عامة: يحصل عليها كل زائر عند الاتصال بموقعك. وتُرسل إلى خادمنا ليتمكن من تنزيل الوسيطة الناقصة، ولا نخزّنها. لا تلصق مفتاحًا خاصًا أبدًا. تحجب الأداة المفاتيح الخاصة في متصفحك قبل إرسال أي شيء، لكن لا ينبغي أن تنسخ مفتاحًا إلى صفحة ويب.
ماذا لو لم يكن في شهادتي رابط لجهة الإصدار؟
عندئذ لا تستطيع الأداة تنزيل الوسيطة بنفسها وتخبرك بذلك. افتح موقع الجهة التي أصدرت شهادتك وابحث عن صفحة تنزيل الشهادة الوسيطة أو حزمة CA، واختر الملف المناسب لنوع شهادتك، وضعه بعد شهادتك في الملف نفسه. ثم تحقق من النتيجة بفاحص SSL على نطاقك.
هل يصلح إكمال السلسلة شهادة منتهية أو غير مطابقة للاسم؟
لا. السلسلة تربط شهادتك بجذر موثوق فقط. الشهادة المنتهية يجب تجديدها، والشهادة التي لا تذكر نطاقك يجب إعادة إصدارها بالأسماء الصحيحة. تبلغك الأداة بأن الشهادة منتهية حتى لا تضيع وقتك في السلسلة والمشكلة في الشهادة نفسها، فجدّدها أولًا ثم أعد المحاولة.
صفحات ذات صلة
شاهد نموذج تصميم لنشاطك أنت
تصفّح نماذج تصميم خيالية من مئات القطاعات. لا ترى نوع نشاطك؟ أخبرنا بما تعمل عبر واتساب وسنجهّز لك نموذج تصميم مجانياً دون أي التزام.
