ما هو HTTPS وSSL؟ كيف تعمل المواقع الآمنة، شرح مبسط
HTTPS هو النسخة الآمنة من HTTP، وهو البروتوكول الذي تستخدمه المتصفحات للتحدث مع المواقع. يغلّف كل طلب واستجابة في اتصال مشفّر باستخدام TLS (أمن طبقة النقل)، فلا يستطيع أحد بين الزائر والموقع قراءة ما يُرسل أو العبث به. أما SSL فهو الاسم القديم للفكرة نفسها، أي البروتوكول الأصلي الذي حلّ محله TLS، ولهذا ما زال الناس يقولون «شهادة SSL».
لماذا يهم HTTPS عند البناء بالذكاء الاصطناعي
ينبغي أن يُقدَّم أي تطبيق تنشره عبر HTTPS. وهذا ليس مجرد ممارسة جيدة:
- المتصفحات تتوقعه. المواقع على HTTP العادي تُوسم بـ«غير آمن»، وبعض ميزات المتصفح، مثل الوصول إلى الموقع الجغرافي والكاميرا والميكروفون وعمال الخدمة (Service Workers) للتطبيقات التي تعمل دون اتصال، تعمل عادةً فقط في الصفحات الآمنة (HTTPS).
- تسجيل الدخول والنماذج. بدون HTTPS تُرسل كلمات المرور وملفات تعريف الارتباط للجلسة وبيانات النماذج كنص مقروء. أي شخص على شبكة الواي فاي نفسها في المقهى قد يلتقطها.
- المدفوعات والأطراف الخارجية. مزودو الدفع وتسجيل الدخول عبر OAuth وكثير من واجهات البرمجة يشترطون عناوين إعادة توجيه ورد نداء عبر HTTPS.
- الثقة والبحث. يلاحظ الزوار التحذير، وقد صرّحت Google بأنها تعتبر HTTPS عامل ترتيب في نتائج البحث.
الخبر الجيد أن HTTPS يُعد تلقائيًا في معظم منصات الاستضافة الحديثة. ما تحتاجه غالبًا هو فهم المكونات بما يكفي لإصلاح الأمر حين تسوء الأمور مع نطاق مخصص أو تحذير المحتوى المختلط.
تشبيه يومي
إرسال البيانات عبر HTTP العادي أشبه ببريد بطاقة بريدية: كل موظف بريد يتعامل معها يستطيع قراءتها، بل ويستطيع تغيير الرسالة.
أما HTTPS فيشبه إرسال ظرف مختوم لا يمكن العبث به، بعد التحقق أولًا من الهوية الرسمية للمستلم. الشهادة هي بطاقة الهوية تلك، تصدرها جهة موثوقة (جهة إصدار الشهادات) تحققت من أن الموقع يتحكم فعلًا في النطاق. والتشفير هو الظرف المختوم. الهوية تثبت أنك تكتب إلى العنوان الصحيح، والظرف يحفظ خصوصية المحتوى.
كيف يعمل HTTPS ببساطة
حين يفتح المتصفح العنوان https://shop.example.com:
- التحية. يتصل المتصفح ويذكر طرق التشفير التي يدعمها.
- الشهادة. يرسل الخادم شهادته، وفيها أن «هذا المفتاح يخص
shop.example.com» وأن جهة إصدار موثوقة وقّعته. - التحقق. يتحقق المتصفح من التوقيع مقابل الجهات التي يثق بها أصلًا، ومن أن الشهادة لم تنتهِ صلاحيتها، ومن أن النطاق يطابق.
- المفاتيح. يتفق المتصفح والخادم على مفتاح سري جديد لهذه الجلسة، دون أن يرسلاه علنًا أبدًا.
- محادثة مشفّرة. كل الطلبات والاستجابات (الصفحات، وبيانات النماذج، وملفات تعريف الارتباط) تنتقل الآن مشفّرة.
هذه مصافحة TLS تستغرق أجزاءً من الثانية وتحدث تلقائيًا. الزائر يرى أيقونة القفلة فقط (أو أيقونة معلومات الموقع المحايدة في بعض المتصفحات).
ماذا يحمي HTTPS وماذا لا يحمي
| يحمي | لا يحمي |
|---|---|
| البيانات أثناء انتقالها بين المتصفح والخادم | البيانات بعد وصولها إلى خادمك أو قاعدة بياناتك |
| التنصت على شبكات الواي فاي العامة | موقع خبيث أو احتيالي |
| تعديل الصفحات أثناء الطريق | أخطاء في تطبيقك، مثل غياب فحوصات الصلاحيات |
| ملفات تعريف الارتباط وكلمات المرور أثناء إرسالها | كلمات المرور الضعيفة أو مفاتيح واجهات البرمجة المسرّبة |
يشفّر HTTPS محتوى الطلبات، بما فيه مسار الصفحة وسلسلة الاستعلام. لكن اسم النطاق الذي تزوره يبقى عادةً مرئيًا للشبكات على الطريق. ولهذا السبب وحده ينبغي ألا تضع بيانات شخصية في الروابط، فهي تنتهي أيضًا في السجلات وسجل المتصفح.
مثال عملي: ربط نطاق مخصص
لنفترض أنك تنشر تطبيق حجوزات وتريده على book.myyogastudio.com:
- تضيف سجل DNS يشير
book.myyogastudio.comإلى منصة الاستضافة. انظر كيف تعمل النطاقات وDNS. - تثبت المنصة لجهة إصدار الشهادات أنها تتحكم في هذا الاسم، عادةً بالاستجابة لتحدٍّ على النطاق نفسه، فتحصل على شهادة.
- تثبّت المنصة الشهادة وتجددها تلقائيًا قبل انتهائها. الشهادات قصيرة العمر عن قصد، لذا فالتجديد التلقائي أمر مهم.
- يُعاد توجيه الزوار من
http://book.myyogastudio.comإلىhttps://.
إذا كانت الخطوة 1 خاطئة، كأن يشير السجل إلى مكان آخر أو كان وكيل يقف في المنتصف، فقد تفشل الخطوة 2 ويرى الزوار خطأ في الشهادة. وهذه أكثر مشكلة HTTPS شيوعًا عند ربط نطاق مخصص.
مصطلحات أساسية
| المصطلح | المعنى |
|---|---|
| TLS | أمن طبقة النقل، بروتوكول التشفير الذي يقف خلف HTTPS. |
| SSL | طبقة المقابس الآمنة، السلف القديم لـ TLS. ويبقى الاسم متداولًا. |
| الشهادة (Certificate) | ملف موقّع يربط نطاقًا بمفتاح عام. |
| جهة إصدار الشهادات (CA) | مؤسسة تثق بها المتصفحات لإصدار الشهادات، مثل Let's Encrypt. |
| التحقق من النطاق (DV) | شهادة تثبت التحكم في النطاق، وهي ما تستخدمه معظم المواقع. |
| الشهادة الجوكرية (Wildcard) | تغطي كل النطاقات الفرعية بمستوى واحد، مثل *.example.com. |
| المحتوى المختلط (Mixed content) | صفحة HTTPS تحمّل بعض الموارد عبر HTTP غير مشفّر. تحجبها المتصفحات أو تحذر منها. |
| HSTS | ترويسة تخبر المتصفحات بأن تستخدم HTTPS دائمًا لموقعك من ذلك الحين. |
| المنفذ 443 | المنفذ القياسي لـ HTTPS (بينما يستخدم HTTP المنفذ 80). |
مفاهيم خاطئة شائعة
- «القفلة تعني أن الموقع جدير بالثقة». تعني أن الاتصال خاص وأن النطاق يطابق. والمحتالون يحصلون على شهادات أيضًا.
- «HTTPS مطلوب فقط في صفحات الدفع». أي صفحة فيها تسجيل دخول أو نموذج أو ملف تعريف ارتباط تحتاجه، وهذا ينطبق على شبه كل تطبيق. استخدمه في كل مكان.
- «الشهادات مكلفة». الشهادات المجانية الموثوقة هي المعيار، ومعظم المنصات تديرها لك.
- «HTTPS يجعل تطبيقي آمنًا». إنه يؤمّن الاتصال فقط. تطبيقك ما زال يحتاج فحوصات صلاحيات من جهة الخادم، وحفظًا آمنًا للأسرار، والتحقق من المدخلات. انظر قائمة التحقق الأمنية للتطبيقات المبنية بالذكاء الاصطناعي.
- «HTTPS يجعل المواقع بطيئة». بروتوكول TLS الحديث يضيف عبئًا ضئيلًا جدًا، وميزات مثل HTTP/2 التي تُسرّع المواقع تتطلب HTTPS في المتصفحات عادةً.
حل مشكلات HTTPS الشائعة
| العَرَض | السبب المحتمل |
|---|---|
| «الاتصال غير خاص» | الشهادة لا تغطي هذا النطاق بالضبط، أو انتهت صلاحيتها، أو لم تُصدر بعد |
يعمل على www. لكن لا يعمل على النطاق الأساسي (أو العكس) | لأحد الاسمين فقط سجل DNS وشهادة |
| القفلة مفقودة، و«غير آمن» في بعض الصفحات | محتوى مختلط: صورة أو سكربت أو خط محمّل عبر http:// |
| خطأ شهادة مباشرة بعد ربط نطاق | ما زال DNS ينتشر، أو وكيل أمامك يمنع التحقق من الشهادة |
ماذا تطلب من مُنشئ التطبيقات بالذكاء الاصطناعي
- «تأكد من أن كل صورة وسكربت وخط يُحمَّل عبر HTTPS أو رابط نسبي، دون روابط
http://.» - «أعد توجيه كل حركة HTTP إلى HTTPS.»
- «اضبط ملفات تعريف ارتباط الجلسة بعلامتي
SecureوHttpOnly.» - «استخدم
https://لكل عنوان رد نداء في OAuth والمدفوعات والـ webhooks.» - «نطاقي المخصص يعرض خطأ شهادة، فما سجل DNS الذي تتوقعه المنصة؟»
HTTPS في Mythex
حين تربط نطاقًا مخصصًا في Mythex (ميزة في Pro)، تضيف سجل CNAME يشير إلى الهدف slug.mythex.ai الذي تعرضه Mythex، ثم تضغط Verify، فتصدر Mythex شهادة HTTPS للنطاق تلقائيًا. تغطي الوثائق أكثر عقبتين شيوعًا: إذا كان DNS لديك على Cloudflare فاضبط السجل على «DNS only» (السحابة الرمادية) بدلًا من الوكيل المفعّل، حتى تستطيع Mythex إصدار الشهادة؛ وقد يتحقق DNS قبل اكتمال إعداد HTTPS، فانتظر بضع دقائق وأعد التحقق. انظر النطاقات المخصصة في الوثائق، ودليلنا حول ربط نطاق مخصص.
الأسئلة
ما الفرق بين HTTP وHTTPS؟
يرسل HTTP البيانات بين المتصفح والموقع كنص مقروء. أما HTTPS فهو HTTP يُرسل عبر اتصال مشفّر بـ TLS، فلا يستطيع من على الشبكة نفسها أو على طول الطريق قراءة ما يُرسل أو تعديله، ويستطيع المتصفح التحقق من أنه يتحدث إلى الموقع الحقيقي.
هل SSL وTLS الشيء نفسه؟
TLS هو الخلف الحديث لـ SSL. جميع إصدارات SSL قديمة وغير آمنة، والمواقع الآمنة اليوم تستخدم TLS. ما زال الناس يقولون «شهادة SSL» من باب العادة، لكن الشهادات تُستخدم مع TLS.
هل تعني القفلة أن الموقع آمن؟
لا. القفلة تعني أن الاتصال مشفّر وأن الشهادة تطابق النطاق. قد يملك موقع احتيالي شهادة صالحة أيضًا. تعني القفلة أن أحدًا لا يستطيع التنصت على الاتصال، لا أن صاحب الموقع جدير بالثقة.
هل يجب أن أدفع ثمن شهادة SSL؟
عادةً لا. الجهات المانحة المجانية والآلية مثل Let's Encrypt تصدر شهادات تثق بها المتصفحات، ومعظم منصات الاستضافة تحصل عليها وتجددها لك. الشهادات المدفوعة تضيف أساسًا دعمًا أو تحققًا إضافيًا من الهوية.
لماذا يقول موقعي «غير آمن»؟
من الأسباب الشائعة فتح الموقع عبر http:// بدلًا من https://، أو شهادة منتهية الصلاحية أو لا تغطي النطاق بالضبط، أو صفحة تحمّل صورًا أو سكربتات عبر http:// غير مشفّر (المحتوى المختلط).