أداة مطابقة الشهادة والمفتاح

ماذا يعني أن تتطابق الشهادة والمفتاح؟

تتطابقان عندما أُنشئتا من زوج المفاتيح نفسه: تحمل الشهادة المفتاح العام، ولا يعمل مع هذه الشهادة إلا المفتاح الخاص الذي وُلِّد معه. وإذا اختلف الزوج فلن يستطيع الخادم إتمام مصافحة HTTPS، وسيرى الزوار خطأ في الاتصال أو يفشل الخادم في الإقلاع أصلاً حسب البرنامج المستخدم.

تقرأ الأداة المفتاح العام من شهادتك ومن الـ CSR، وتشتق المفتاح العام من مفتاحك الخاص، ثم تقارن بينها. العناصر التي تشترك في زوج المفاتيح تحمل الحرف نفسه للمجموعة والبصمة القصيرة نفسها؛ أما العناصر ذات المفاتيح المختلفة فتظهر في مجموعات مختلفة. ويدخل الـ CSR في المقارنة لأنه يحمل المفتاح العام الذي طلبت من الجهة المُصدِرة توثيقه.

كيف أفحص الشهادة والـ CSR والمفتاح؟

الصق عنصرين على الأقل من الثلاثة واضغط الزر؛ يظهر الحكم في الأعلى.

1. الصق الشهادة (PEM) في الخانة الأولى. ولا بأس بسلسلة كاملة: تُختار شهادة الموقع تلقائياً وتُعرض شهادات الجهات الوسيطة كعناصر غير مقارَنة.
2. الصق الـ CSR في الخانة الثانية إن كان لديك.
3. الصق المفتاح الخاص في الخانة الثالثة، أو افتح الملفات مباشرة. وإذا كان المفتاح مشفّراً فأدخل كلمة مروره.
4. اضغط فحص التطابق.
5. اقرأ الحكم: متطابقة تعني زوج مفاتيح واحداً؛ وغير متطابقة تُظهر العناصر المختلفة.

ويمكنك أيضاً لصق مفتاح عام بدل المفتاح الخاص، فتفحص الزوج دون أن تلصق النصف السري أبداً. وإذا كانت الشهادة لنطاق في الإمارات مثل example.ae فالمبدأ نفسه: المهم هو المفتاح لا اسم النطاق.

لماذا لا تتطابق الشهادة والمفتاح؟

ينتج عدم التطابق تقريباً دائماً عن خلط ملفات من طلبات مختلفة. هذه هي الأسباب المعتادة.

• المفتاح من CSR آخر: أنشأت عدة طلبات واحتفظت بالمفتاح الخطأ.
• إعادة إصدار أو تجديد أنتجت مفتاحاً جديداً، وما زال المفتاح القديم مثبتاً.
• لوحة التحكم أنشأت مفتاحها الخاص، بينما طلبت الشهادة بـ CSR صُنع في مكان آخر.
• الشهادة لنطاق أو خادم آخر غير المفتاح الذي تنظر إليه.

على الخادم يظهر ذلك كخطأ مثل key values mismatch عند تشغيل Nginx أو Apache. والحل أن تجد المفتاح الذي أُنشئ مع الـ CSR، أو تنشئ مفتاحاً وCSR جديدين بأداة إنشاء CSR وتطلب من الجهة المُصدِرة إعادة إصدار الشهادة. وافحص أي شهادة بالتفصيل بأداة فك الشهادات.

هل من الآمن لصق مفتاحي الخاص هنا؟

تقارن الصفحة المفاتيح محلياً ولا توجد فيها شيفرة ترسل شيئاً إلى خادم؛ ولا يُحفظ شيء في الكوكيز أو تخزين المتصفح أو شريط العنوان. ويمكنك التحقق من ذلك بأدوات المطوّر عبر مراقبة تبويب Network. ومع ذلك تعامل مع المفتاح الخاص كسر: استخدم جهازاً تثق به، واضغط «مسح» عند الانتهاء وأغلق التبويب.

وإذا كنت تفضّل ألا تلصق المفتاح أبداً فنفّذ على الخادم: openssl pkey -in private.key -pubout. والصق المفتاح العام الناتج بدلاً منه. ولمفاتيح RSA يمكنك أيضاً مقارنة تجزئات modulus عبر OpenSSL كما تظهر الأوامر في الصفحة. ولتحويلات أخرى استخدم محوّل SSL.