شهادة SSL هي شهادة رقمية تقوم بعملية مصادقة هوية موقع الويب وتشفير المعلومات المرسلة إلى سيرفر الويب باستخدام البرتوكول SSL – Secure Socket Layer,
بالطبع، عندما يكون الموقع الخاص بك مُعد للعمل مع شهادة SSL فكل تفاعل يقوم به أي شخص مع موقعك سيبقى خاصاً (لا يمكن لشخص أخرى الاطلاع عليه). مثلاً عندما يقوم المستخدم بمشاركة معلوماته الشخصية أو معلوماته البنكية التي يطلبها موقع الويب فإن استخدام شهادة SSL يساعد على الحفاظ على سرية وخصوصية هذه المعلومات بين المستخدم وبين موقع الويب.
أهمية استخدام شهادة SSL:
توفر شهادة SSL ضمانة بأن كل البيانات التي سيتم تبادلها بين المستخدم وموقع الويب أو بين مخدمين ستظل محمية وغير قابلة للقراءة من قبل شخص ثالث (المهاجم). و يتم هذا الأمر من خلال استخدام التشفير لحماية البيانات المتبادلة ومنع قراءة المعلومات في حال تم التنصت عليها ضمن قناة الاتصال.
ولكن، حتى ولو تمكن المهاجم من الوصول لقناة الاتصال بين المستخدم وموقع الويب فلن يتمكن من قراءة المعلومات والبيانات المتبادلة كونها ستكون مشفرة باستخدام SSL/TLS ولن يتمكن من فهم هذه البيانات الا بعد حصوله على مفتاح فك التشفير الخاص بها.
اذا كان موقع الويب الخاص بك لا يحوي على شهادة SSL فلن يتم تطبيق أي تشفير بين المستخدم وبين موقعك. ولذلك يمكن لأي مهاجم التنصت على قناة الاتصال والحصول على كافة البيانات المتبادلة. ويعتبر هذا الأمر خطير جداً من وجهة نظر الحماية.
يعود سبب الخطورة لفكرة أن العديد من المستخدمين يمكن أن يتصلوا مع الموقع من خلال شبكة عامة لا تقدم أي نوع من الحماية بشكل افتراضي.
تستخدم شهادة SSL ضمن البرتوكول HTTPS وهو الشكل الآمن لبرتوكول HTTP الذي يعمل على تأمين حماية لحركة البيانات من خلال استخدام التشفير بواسطة البرتوكول SSL.
لا تحافظ شهادة SSL على أمان زوار مواقع الويب فقط لكنها تلعب دوراً مهم جداً في جميع عمليات الاتصال. فهي مستخدمة في الاتصال مع مخدمات البريد الالكتروني.و كذلك الاتصالات بين المخدمات مع بعضها البعض. إضافة لجميع التطبيقات التي تعتمد في عملها على الويب.
من الناحية التقنية فإن شهادة SSL هي عبارة عن ملف يتم استضافته على نفس المخدم الخاص بموقع الويب ويحوي على معلومات مهمة تعمل على التحقق من صحة الشهادة و ربطها باسم الدومين المطلوب منها حمايته.
تحتوي شهادة SSL على التفاصيل والمعلومات التالية:
- اسم الدومين -domain- الذي تم إصدار هذه الشهادة له
- اسم الشخص أو الشركة أو الجهاز الذي تم إصدار هذه الشهادة له
- ما هي مرجعية هذه الشهادة Certificates Authority
- التوقيع الرقمي للجهة المرجعية التي صادقت هذه الشهادة
- الدومينات الفرعية subdomains
- تاريخ إصدار هذه الشهادة
- تاريخ انتهاء صلاحية هذه الشهادة
- المفتاح العام (أما المفتاح الخاص لا يتم الكشف عنه)
كيف تعمل شهادة SSL؟
آلية عمل شهادات SSL تعرف أيضاً باسم المصافحة SSL Handshake وتتضمن الخطوات التالية:
- يحاول المتصفح الاتصال بموقع الويب (سيرفر الويب) المحمي باستخدام SSL
- يطلب المتصفح من سيرفر الويب أن يقوم بالتعريف عن نفسه
- يرسل سيرفر الويب إلى المتصفح نسخة عن شهادة SSL الخاصة به كرد على طلب التعريف المرسل بالخطوة السابقة
- يتحقق المتصفح من هذه المعلومات ويقوم بالتحقق فيما إذا كانت شهادة SSL موثوقة ويشير أو يخبر سيرفر الويب بذلك
- سيقوم سيرفر الويب بإعادة إعلام موقع رقمياً للبدء بجلسة SSL مشفرة
- يتم مشاركة البيانات المشفرة بين المتصفح وسيرفر الويب
تتم هذه العمليات بشكل كامل خلال أجزاء من الثانية. وعندها سيكون موقع الويب محمي باستخدام شهادة SSL وسيظهر HTTPS في بداية عنوان URL ضمن المتصفح كما سيتم عرض رمز القفل أيضاً في شريط العنوان بجانب URL. وبدون استخدام شهادة SSL سيظهر HTTP فقط في بداية عنوان URL.
أنواع شهادات SSL:
يوجد العديد من الأنواع المختلفة لشهادات SSL ولكل منها مستوى تحقق مختلف وهي:
EV SSL – Extended Validation Certificates:
هذا النوع يعتبر الأعلى تصنيفاً وهو الأغلى مادياً ويتم استخدامه من قبل المواقع التي تتضمن عمليات الدفع عبر الانترنت والتي تتطلب إدخال معلومات شخصية أو معلومات مالية. وعند تنصيب هذه الشهادة فسيتم عرض اسم الشركة والبلد (معلومات مالك موقع الويب) على شريط العنوان وهذا يسمح للمستخدم التمييز بين المواقع الآمنة والمواقع المزورة أو الخبيثة.
لإعداد شهادة EV SSL يجب أن يخضع مالك الموقع لعملية تحقق ذات معايير موحدة للتأكد من أنه مصرح له قانونياً بالحقوق الحصرية للنطاق -domain- وقد تتضمن هذه العملية مراجعة عناصر أخرى مثل:
- الوثائق التي تثبت هوية مقدم الطلب
- وثائق الشركة الخاصة بهذا العمل
ويتم التحقق من المعلومات المقدمة من قبل طرف ثالث مستقل للتأكد من صحتها.
OV SSL – Organization Validated Certification:
هذا النوع يعتبر ثاني أغلى نوع بعد EV SSL. والهدف الأساسي منه هو تشفير المعلومات الحساسة للمستخدم أثناء الاتصال بمواقع الويب. ويجب على المواقع التجارية تثبيت هذا النوع من الشهادات للتأكد من سلامة وسرية معلومات المستخدم الشخصية والمالية.
يتمتع هذا النوع من الشهادات بمستوى ضمان مشابه للشهادة EV SSL. و ذلك لأن مالك موقع الويب أو المنظمة بحاجة إلى إكمال عملية تحقق كبيرة للحصول على هذه الشهادة. وهذه العملية تتضمن معلومات مكان وجود المنظمة الحقيقي واسم الدومين. وهذه المعلومات تعرض أيضاً على شريط العنوان لتميز الموقع عن المواقع المزورة أو الضارة.
DV SSL – Domain Validation Certificated:
هذا النوع من شهادات SSL هو أقل الأنواع تكلفة والأسرع من ناحية الحصول عليه. وأغلب استخدامها يكون للمدونات والمواقع التي لا تتضمن جمع المعلومات أو إدخال بيانات حساسة أو الدفع عبر الانترنت. ولا يتم عرض أي معلومات ضمن شريط العنوان (كإسم الشركة أو معلومات مالك الدومين). وتتطلب عملية التحقق فقط التأكد من ملكية الدومين عبر رسالة تأكيد من خلال البريد الالكتروني أو رقم الموبايل. وهذا التحقق يعتبر ضعيف نوعاً ما لذلك يعتبر هذا النوع من الشهادات أقل ضماناً وأقل حماية من ناحية التشفير.
Wildcard SSL Certificates:
هذا النوع من الشهادات يسمح لك بتأمين أو حماية دومين أساسي ودومينات فرعية subdomain غير محدودة من خلال استخدام شهادة واحدة. في حال كان لديك عدد من الدومينات الفرعية فإن شراء هذا النوع من الشهادات يعتبر أقل كلفة. و سيكون ذلك بديلاً عن شراء شهادة SSL فردية لكل دومين فرعي.
MDC – Multi-Domain SSL Certificate:
يمكن استخدام هذا النوع من شهادات SSL لتأمين وحماية عدد من الدومينات والدومينات الفرعية. ويتضمن ذلك مجموعة من الدومينات المختلفة والدومينات الفرعية التي تنتمي لدومينات علوية TLD مختلفة (دومينات المستوى أعلى) باستثناء الدومينات المحلية أو الداخلية.
UCC – Unified Communications Certificate:
هذا النوع من الشهادات يعتبر أيضاً Multi-Domain SSL Certificates. في البداية تم تصميم هذا النوع UCC لتأمين سيرفرات Microsoft Exchange بالإضافة لتأمين الاتصالات المباشرة للسيرفرات. أما اليوم فيمكن لأي مالك موقع استخدام هذا النوع من الشهادات.
كيف يمكن الحصول على شهادة SSL؟
يمكنك الحصول على شهادة SSL لموقعك من CA – Certificate Authority وهي عبارة عن منظمة خارجية من طرف ثالث موثوق بها. تقوم الـ CA بإنشاء شهادات SSL وإضافة التوقيع الرقمي لها باستخدام مفتاحها الخاص ليتمكن جهاز المستخدم من التحقق منها. معظم هيئات CA ولكن ليس كلها تطلب رسوم مادية مقابل إصدار شهادات SSL. وبمجرد إصدار الشهادة يجب تثبيتها وتفعيلها على سيرفر الويب الذي يستضيف الموقع الخاص بك. وعندها ستتم عملية الاتصال مع الموقع باستخدام HTTPS وسيتم تشفير وتأمين حركة البيانات من وإلى الموقع.
يمكن الحصول على شهادات SSL مجانية من العديد من المواقع مثل Cloudflare and ZeroSSL والعديد من المواقع الأخرى.
