في أبريل 2025 وافق منتدى CA/Browser، وهو الجهة التي تتفق فيها جهات إصدار الشهادات وشركات المتصفحات على قواعد شهادات TLS العامة، على القرار SC-081. يقلّص هذا القرار مدة صلاحية الشهادة القصوى على ثلاث مراحل.
الجدول الزمني
- من 15 مارس 2026: لا تزيد صلاحية الشهادة على 200 يوم.
- من 15 مارس 2027: لا تزيد على 100 يوم.
- من 15 مارس 2029: لا تزيد على 47 يومًا.
وتتقلص معها المدة التي يجوز فيها لجهة الإصدار إعادة استخدام التحقق من ملكية النطاق، لتصل إلى 10 أيام في 2029. عمليًا يعني ذلك إثبات ملكيتك للنطاق بشكل أكثر تكرارًا بكثير.
لماذا يتجه القطاع إلى ذلك
الشهادة وعدٌ بأن مفتاحًا معينًا يخص نطاقًا معينًا. وكلما طالت مدة هذا الوعد، طالت المدة التي يظل فيها مفتاح مسروق أو شهادة صدرت بالخطأ مفيدًا للمهاجم. كان الإلغاء (Revocation) هو الحل المفترض، لكنه لم يعمل بشكل موثوق على نطاق الإنترنت. أما العمر القصير فيجعل المشكلة تنتهي من تلقاء نفسها.
ماذا يعني ذلك لشركتك
إذا كان أحد في فريقك يجدد الشهادات يدويًا، فهذه العملية بدأ عدّها التنازلي. فمع عمر 47 يومًا تحتاج الشهادة إلى الاستبدال نحو ثماني مرات في السنة، لكل نطاق ونطاق فرعي تديره. وتجديد واحد فائت يكفي لإيقاف موقع أو واجهة برمجية أو صفحة دفع مع تحذير في المتصفح.
الحل هو الأتمتة:
- استخدم بروتوكول ACME للإصدار التلقائي حيثما تدعمه خوادمك.
- اجرد كل شهاداتك، بما فيها شهادات موازنات الأحمال وخوادم البريد والأدوات الداخلية.
- راقب تواريخ الانتهاء مركزيًا، ونبّه قبل الموعد بوقت كافٍ لا في يومه.
- تأكد من أن تعديلات DNS اللازمة للتحقق يمكن إجراؤها تلقائيًا.
كيف تتعامل IDX مع ذلك
تتجدد الشهادات على استضافة IDX تلقائيًا، وتغطي خدمة SSL لدينا الحالات التي لا تكفيها الأتمتة وحدها، مثل شهادات التحقق من المؤسسة للشركات التي تحتاجها. وإذا كنت تدير خوادمك لدينا، يستطيع فريق الخدمات المُدارة إعداد ACME ومراقبة تواريخ الانتهاء، ليمر موعد 2029 دون أن يلاحظه أحد.
مقالات IDX للبنية التحتية الرقمية
الرجوع للمدوّنة →