لماذا قد تحصل شهادة صالحة على F رغم ذلك
آخر تحديث 2026-11-03 · 6 دقيقة قراءة
القفل عبارة عن الشهادة لا عن الاتصال. يمكن لموقع أن يقدّم شهادة صالحة تمامًا وغير منتهية وسلسلتها صحيحة ومع ذلك يفشل في فحص صحة TLS — وأحيانًا يصل إلى صفر.
القفل وعد ضيق جدًا
يعرض المتصفح القفل عندما تتحقق ثلاثة أمور: تتسلسل الشهادة إلى جذر موثوق، وتغطي اسم المضيف المزار، ولم تنته صلاحيتها. هذا كل شيء. لا شيء عن إصدار البروتوكول المعروض، ولا عن التشفير المقبول، ولا عن قابلية التأثر بهجمات التخفيض.
تقدير TLS يطرح سؤالًا آخر: ما مدى جودة إعداد نقطة النهاية هذه، لا مجرد قدرتها على إنشاء اتصال مشفّر.
ستة أعطال تُنتج درجة منخفضة
هذه الأسباب الأكثر شيوعًا بين عشرين ألف موقع نتابعه، بترتيب تقريبي حسب حجم الخصم.
- •شهادة منتهية أو لم تصبح صالحة بعد — صفر تلقائي بغض النظر عن كل شيء آخر.
- •عدم تطابق اسم المضيف — الشهادة صالحة لكن لاسم آخر. شائع بعد ترحيل نطاق أو عندما يقدّم CDN شهادة مشتركة دون SNI.
- •سلسلة غير مكتملة — الوسيط مفقود فلا تستطيع بعض العملاء بناء مسار إلى الجذر. المتصفحات كثيرًا ما تخفي ذلك؛ عملاء API وحزم الجوال لا.
- •بروتوكولات قديمة ما زالت مُفعّلة — عرض TLS 1.0 أو 1.1 مع الإصدارات الحديثة يخفض الدرجة حتى لو لم يستخدمها أحد.
- •تشفير ضعيف أو غياب السرية الأمامية — تبادل مفاتيح RSA الساكن يعني أن مفتاحًا خاصًا مسروقًا يفك تشفير حركة مسجّلة.
- •فشل المصافحة — الخادم يرفض الفحص كليًا، غالبًا بسبب اشتراط صارم لـ SNI أو قاعدة جدار ناري تحجب العملاء غير المتصفحات.
التشخيص بالترتيب
ابدأ بفصل مشاكل الشهادة عن مشاكل الإعداد. إن كانت الشهادة منتهية أو غير مطابقة فلا يهم شيء آخر حتى إصلاحها. إن كانت الشهادة سليمة، انظر بعدها إلى قائمة البروتوكولات: فهي أكبر مساهم في الدرجة المنخفضة بعد صلاحية الشهادة.
يعرض تقرير النطاق في CertH أي مجال من مجالات التقييم الخمسة فقد نقاطًا، مع الخصم المحدد والإصلاح. وهذا عادة أسرع من قراءة فحص كامل يدويًا.
# What does the certificate actually cover?
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName -dates
# Which protocols does the server accept?
for v in tls1 tls1_1 tls1_2 tls1_3; do
printf '%s: ' "$v"
echo | openssl s_client -connect example.com:443 -$v -servername example.com 2>/dev/null | grep -q "Protocol" && echo yes || echo no
doneفخ SNI
الخادم الذي يستضيف نطاقات كثيرة يحتاج SNI لاختيار الشهادة الصحيحة. بعض الإعدادات تشترطه وترفض العملاء التي لا ترسله — جيد للمتصفحات لكنه يعطّل أدوات المراقبة وعملاء Java القديمة وبعض مكتبات API. إن أبلغ ماسح عن فشل مصافحة بينما المتصفحات تعمل طبيعيًا، فافحص هذا أولًا.
FAQ
شهادتي صالحة والموقع يفتح — فلماذا التقدير F؟
التقدير يقيس إعداد TLS لا صلاحية الشهادة فقط. الشهادة المنتهية أو غير المطابقة تعني صفرًا، لكن البروتوكولات القديمة والتشفير الضعيف والسلاسل المكسورة قد تدفع الموقع تحت حد F بينما المتصفحات ما زالت تعرض القفل.
هل التقدير المنخفض يعني أن موقعي غير آمن؟
ليس بالضرورة غير آمن، لكنه أضعف مما ينبغي. الموقع الذي يعرض TLS 1.0 بجانب TLS 1.2 يبقى مشفّرًا للزوار الحديثين، لكنه يُبقي مسار تخفيض مفتوحًا، وهذا ما تعاقبه الدرجة.