أخطاء إعداد SSL/TLS التي تعرّض موقعك للخطر

بالنسبة لمعظم الزوّار، HTTPS ثنائي — القفل موجود أو غير موجود. أما للمهاجم فإن TLS طيف متدرّج. قد تكون الشهادة صالحة وموثوقة بينما الإعداد خلفها ما زال يسمح بهجمات التخفيض، أو يسرّب بين النطاقات الفرعية، أو ينهار بصمت الشهر المقبل عند انتهائها. إليك ما يبحث عنه الفحص بعد سؤال «هل هو HTTPS».

شهادات على وشك الانتهاء

الانتهاء أكثر حوادث TLS شيوعاً وأسهلها تجنّباً. مع تقلّص أعمار الشهادات، لم يعد التجديد اليدوي واقعياً. أتمِت الإصدار والتجديد (ACME/Let's Encrypt أو شهادات منصّتك المُدارة)، ونبّه قبل تاريخ الانتهاء بوقت كافٍ لا في يومه. يُظهر الفحص الأيام المتبقية كي لا تفاجئك شهادة قصيرة العمر.

سلاسل شهادات غير مكتملة

الخادم الذي يرسل الشهادة الطرفية ويُسقط الوسيطة سيعمل في متصفحك — لأن متصفحك خزّن الوسيطة مسبقاً — ويفشل عند غيرك. إنه خطأ TLS الكلاسيكي «يعمل عندي». قدّم السلسلة الكاملة دائماً:

openssl s_client -connect example.com:443 -servername example.com -showcerts

إن أظهر الناتج شهادة واحدة فقط، فسلسلتك غير مكتملة.

بروتوكولات وتشفيرات ضعيفة ما زالت مفعّلة

TLS 1.0 و1.1 مهجوران وينبغي تعطيلهما؛ وكذلك تشفيرات فئة التصدير وRC4. الإرشاد الحديث:

• ادعم TLS 1.2 وTLS 1.3 فقط.
• فضّل المجموعات ذات السرية المستقبلية (ECDHE).
• عطّل RC4 و3DES وكل ما يحمل وسم EXPORT.
• فعّل تدبيس OCSP لتسريع فحوص الإبطال.

محتوى مختلط في صفحات HTTPS

صفحة HTTPS تجلب سكربتاً أو ورقة أنماط أو صورة عبر http:// تمنح المهاجم موطئ قدم في صفحة يُفترض أنها آمنة — وسيحجب المتصفح الأجزاء النشطة على أي حال، مُعطّلاً واجهتك. اعثر على كل إشارة مطلقة http:// وأصلحها، أو دع المتصفح يرقّيها:

Content-Security-Policy: upgrade-insecure-requests

لا تحويل من HTTP إلى HTTPS

إذا كان http://yoursite.com يقدّم محتوى بدل التحويل، فكل زيارة أولى طلبٌ بنص صريح. حوّل كل HTTP إلى HTTPS بـ 301/308، ثم افرضه بـ HSTS كي لا يجرّب المتصفح HTTP مجدداً (راجع الخطأ رقم 1 في دليل ترويسات الأمان).

شهادات بدل (wildcard) موسّعة أكثر من اللازم

استخدام شهادة *.example.com واحدة عبر خدمات غير مترابطة يعني أن مفتاحاً خاصاً مسروقاً واحداً يُعرّضها جميعاً للخطر. مريح، لكنه يوسّع نطاق الأثر. اقصر نطاق الشهادات على الخدمات التي تحتاج فعلاً لمشاركتها.

افحصه باستمرار لا مرة واحدة

إعداد TLS ينحرف: نطاق فرعي جديد، تبديل موازن حمل، تجديد منسيّ. أدرِج فحص TLS ضمن الإيقاع نفسه الذي تستخدمه للترويسات — يتناول كيف تقرأ تقرير فحص أمان الموقع تحويل هذه النتائج إلى خطة أسبوعية، وتُظهر صفحة الأسعار حدود الفحص اللازمة لإبقائه مجدولاً.