مدة صلاحية شهادة SSL تتقلص إلى 47 يومًا: دليل أصحاب المواقع والاستضافات في مصر

الخلاصة: تُقصَّر مدة صلاحية شهادة SSL/TLS العامة على مراحل بقرار من منتدى CA/Browser (الاقتراح SC-081v3): 200 يوم كحد أقصى للشهادات الصادرة منذ 15 مارس 2026، ثم 100 يوم اعتبارًا من 15 مارس 2027، ثم 47 يومًا اعتبارًا من 15 مارس 2029، وتنخفض معها مدة إعادة استخدام التحقق من ملكية النطاق إلى 10 أيام فقط في 2029. والنتيجة العملية لأصحاب المواقع في مصر أن التجديد اليدوي مرة في السنة لم يعد مناسبًا: جرّدوا كل موضع تُستخدم فيه شهادة، وفعّلوا التجديد التلقائي (AutoSSL أو ACME)، وراقبوا الشهادة التي يعرضها الخادم فعليًا، وجهّزوا خطة بديلة.

إن كنت تظن أن مدة صلاحية شهادة SSL سنة كاملة تكفي لتجديدها مرة واحدة ونسيانها، فهذا الافتراض يتغير بالفعل. والشهادة ملف رقمي يثبت للمتصفح أن موقعك صاحب اسم النطاق ويشفّر الاتصال به، وعند انتهائها يعرض المتصفح تحذيرًا يراه العميل أو المريض قبل صفحتك. وما وجدناه بالعربية في بحثنا (أكتوبر 2026) يشرح الجدول الزمني عمومًا، أما هذا الدليل فيحوّله إلى خطة للمواقع والعيادات والمتاجر على الاستضافة المشتركة وVPS وcPanel. راجعنا الأرقام من المصادر الأولية في 11 أكتوبر 2026.

ما الذي تغيّر؟ مدة صلاحية شهادة SSL من 398 يومًا إلى 47 يومًا

اعتمد منتدى CA/Browser، الذي يضع قواعد الشهادات الموثوقة مع المتصفحات وجهات الإصدار، الاقتراح SC-081v3 في أبريل 2025. وتحدد «متطلبات خط الأساس» حدًّا أقصى لمدة الشهادة وآخر لإعادة استخدام التحقق من النطاق بحسب تاريخ إصدار الشهادة:

ملاحظتان تمنعان سوء الفهم. أولًا، هذه حدود قصوى لا مدد إلزامية؛ فبعض الجهات تصدر أقصر منها، إذ تصدر DigiCert مثلًا شهادات بحد أقصى 199 يومًا منذ 24 فبراير 2026. ثانيًا، القاعدة تُطبَّق بتاريخ الإصدار، فلا تتأثر بها شهادة صدرت قبل 15 مارس 2026 بمدة أطول.

مدة إعادة استخدام التحقق هي المدة التي يجوز فيها لجهة الإصدار أن تعتمد على إثبات سابق لملكيتك للنطاق. وعندما تصبح 10 أيام في 2029 ستحتاج معظم التجديدات إلى إثبات جديد للملكية، فإن كان يتم بالبريد أو بإضافة سجل DNS يدويًا فسيتكرر هذا الجهد في كل مرة.

جدول Let's Encrypt: الشهادات المجانية تقصر أيضًا

تعتمد كثير من الاستضافات على شهادات Let's Encrypt المجانية، وهي المزوّد الافتراضي لخاصية AutoSSL في cPanel بحسب توثيق cPanel. وقد أعلنت Let's Encrypt جدولها الخاص، المنشور في 2 ديسمبر 2025، وهو يسبق الحد الأقصى للمنتدى:

وتنص الجهة على أن أصحاب التجديد التلقائي لن يحتاجوا غالبًا إلى تغيير شيء، لكن عليهم التأكد أن أدواتهم تتحمل المدد الأقصر. وتحذّر من أن التجديد بفاصل ثابت مدته 60 يومًا لن يكفي، وتوصي بالتجديد عند نحو ثلثي عمر الشهادة أو باستخدام ميزة ARI التي تخبر الأداة بالموعد الأنسب، وتصف التجديد اليدوي بأنه غير مستحسن.

ما الذي ينكسر أولًا في المواقع المصرية الصغيرة والمتوسطة؟

أصل المشكلة أن الشهادة لا تعيش في مكان واحد. وهذه مواضع البحث، وبعضها استنتاج عملي لا نصّ في القواعد:

• التجديد اليدوي المعتمد على التقويم: شهادة اشتراها مطوّر سابق أو موظف غادر، ولا يتذكرها أحد إلا بعد انتهائها. ومع دورات 100 ثم 47 يومًا يزداد احتمال النسيان.
• شهادات مثبّتة يدويًا على cPanel أو على خادم البريد: يثبّت AutoSSL شهادات التحقق من النطاق (DV) لخدمات Apache وDovecot وExim وWeb Disk وخدمة cPanel. لكنه لا يستبدل الشهادة المثبّتة يدويًا إلا إن فعّل مدير الخادم خيارًا خاصًا، وحينها يستبدلها فقط إن كانت غير صالحة أو ستنتهي خلال ثلاثة أيام. وتحذّر cPanel من أن هذا الخيار قد يستبدل شهادة OV أو EV مدفوعة بشهادة DV.
• أجهزة موازنة الحمل وCDN وخوادم الواجهة العكسية: قد يصل الملف الجديد إلى خادم ويبقى الآخر على القديم. أما شهادات Cloudflare Origin فتحمي الاتصال بين Cloudflare وخادمك فقط، وتذكر Cloudflare أنها لا ترسل إشعارات انتهاء لها، فتتبّعها في جردك أنت.
• بوابات الدفع وتكاملات API وwebhooks: إن كان أحد الأطراف يثبّت شهادتك بعينها (certificate pinning) فسيفشل الاتصال عند تغييرها، ويفشل كذلك أي تكامل يستدعي عنوانًا انتهت شهادته. اسأل مزوّد كل تكامل عن سياسته قبل أن تحتاج إلى معرفتها.
• أنظمة العيادات: بوابة حجز المواعيد أو نتائج التحاليل أو نظام الاستقبال على نطاق فرعي مستقل، وربما على خادم منفصل عن موقع العيادة. تأكد أن لكل نطاق فرعي شهادة مشمولة بالتجديد التلقائي.
• التجديد دون إعادة تحميل الخدمة: قد تصدر الأداة الملف الجديد بينما تبقى الخدمة تعرض القديم، وتنبّه DigiCert إلى أن إعادة إصدار الشهادة لا تحدّثها على موقعك تلقائيًا.
• التحقق من النطاق وDNS: منذ 15 مارس 2026 يجب على جهات الإصدار إجراء التحقق من DNSSEC في فحوص ملكية النطاق وسجلات CAA، ولا يجوز عدّ أخطاء فحص CAA (مثل SERVFAIL) إذنًا بالإصدار. فإن كان نطاقك موقّعًا بـDNSSEC وانقطعت السلسلة بعد نقل DNS فقد يتعذر الإصدار. وإن كان لديك سجل CAA يحصر الإصدار في جهة بعينها فتأكد أنه يسمح بالجهة التي تستخدمها أداتك.

خطة من أربع خطوات: جرد ← أتمتة ← مراقبة ← بديل

الخطوة 1: الجرد — اعرف كل شهادة وأين تنتهي

أنشئ جدولًا بسيطًا في ملف مشترك، وسجّل لكل اسم مضيف (hostname) ما يلي:

الخطوة 2: الأتمتة — دع الأداة تجدّد

بروتوكول ACME هو المعيار الذي تطلب به أداة على خادمك شهادة وتجدّدها دون تدخل بشري، بعد أن تثبت سيطرتك على النطاق. وتختلف طريقة التطبيق بحسب بيئتك:

• استضافة مشتركة أو cPanel: فعّل AutoSSL واطلب من مزوّد الاستضافة تأكيد أنه يعمل لكل نطاق فرعي. ويعمل بحسب cPanel ضمن التحديث الليلي للنظام، وتحتفظ سجلاته 30 يومًا فراجعها.
• VPS أو خادم خاص: استخدم أداة ACME مثل Certbot مع مهمة مجدولة. ويوصي توثيق Certbot بتشغيل الأمر certbot renew مرتين يوميًا، ويعدّ الشهادة جاهزة للتجديد عندما يبقى أقل من ثلث عمرها منذ الإصدار 4.0.0، بعد أن كان الحد الثابت 30 يومًا. وأضف خطّاف نشر (deploy hook) يعيد تحميل الخدمة بعد النجاح. والشهادات المنشأة بالإضافة اليدوية (manual) لا تُجدَّد تلقائيًا ما لم تضف سكربت تحقق.
• شهادات Wildcard: لا تصدر Let's Encrypt شهادة wildcard إلا بالتحقق عبر سجل DNS (dns-01)، فيلزم أن تدعم لوحة DNS أتمتة تعديل السجلات. وتعمل Let's Encrypt على طريقة DNS-PERSIST-01 التي تُبقي سجل التحقق ثابتًا، وتوقعت إتاحتها في 2026، فتحقق من دعم أداتك لها.

الخطوة 3: المراقبة — راقب ما يعرضه الخادم لا ما أُصدر

نجاح التجديد في سجل الأداة لا يعني أن الزائر يرى الشهادة الجديدة. راقب النقطة العامة نفسها، وضع تنبيهًا قبل الانتهاء بوقت يكفي للتدخل البشري. وقد أنهت Let's Encrypt إرسال رسائل انتهاء الشهادة في 4 يونيو 2025، وأشارت إلى خدمات مراقبة مستقلة، منها Red Sift Certificates Lite المجاني حتى 250 شهادة بحسب صفحتها، مع تنبيه إلى أنها لا تضمن أي خدمة بعينها.

الخطوة 4: البديل — ماذا لو فشل التجديد؟

اكتب «ورقة طوارئ» من نصف صفحة: من يملك صلاحية لوحة الاستضافة ولوحة DNS؟ وكيف تُصدَر شهادة يدويًا مؤقتًا؟ ومن يتصل بمزوّد الاستضافة؟ وجرّب التجديد مسبقًا بالأمر certbot renew --dry-run. وأي شهادة OV أو EV مدفوعة أضفها إلى الجرد، فهي خاضعة لحدود الصلاحية نفسها.

كيف تفحص تاريخ انتهاء شهادتك في دقيقة؟

من المتصفح: انقر على أيقونة القفل أو أيقونة الموقع بجوار العنوان، ثم افتح تفاصيل الاتصال أو الشهادة، واقرأ تاريخ الانتهاء (Not After / صالحة حتى). ويختلف الشكل قليلًا بين المتصفحات.

من سطر الأوامر (يتوفر OpenSSL في Linux وmacOS ومع Git على Windows)، استبدل example.com باسم موقعك:

• ‎echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -subject -issuer -dates‎ — يعرض صاحب الشهادة والجهة المُصدِرة وتاريخي البدء والانتهاء.
• ‎echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -checkend 1209600‎ — يخبرك هل ستنتهي الشهادة خلال 14 يومًا (1209600 ثانية)، ويعيد رمز خروج غير صفري إن كانت ستنتهي، فيصلح للمراقبة الآلية.
• لخادم البريد، استخدم الأمر نفسه بمنفذ الخدمة مثل 993، أو الخيار -starttls smtp مع المنفذ 587. فقد يعرض البريد وبوابة الحجز شهادة مختلفة عن موقعك الرئيسي، فافحص كلًّا منها.

لماذا لا يحل شراء شهادة لعدة سنوات المشكلة؟

الفرق جوهري بين مدة الاشتراك التي تدفع عنها ومدة صلاحية الشهادة التي يقبلها المتصفح. فخطط DigiCert متعددة السنوات، بحسب توثيقها، تتيح دفع سعر واحد لتغطية تصل إلى ثلاث سنوات، لكن الشهادة الصادرة ضمنها لا تتجاوز 199 يومًا، وتعيد إصدارها دون رسوم عند كل انتهاء، وقد تحتاج إلى إعادة التحقق من النطاق والمؤسسة، ولا تُثبَّت الشهادة الجديدة على خادمك تلقائيًا. أي أن الشراء الطويل يغيّر طريقة الدفع، ولا يعفيك من التركيب المتكرر. والحل هو الأتمتة لا طول الاشتراك.

من أين تبدأ هذا الأسبوع؟

ابدأ بالجرد وبفحص تواريخ الانتهاء الفعلية لكل اسم مضيف، ثم انقل ما أمكن إلى تجديد تلقائي. وإن كان موقعك أو بريدك أو نظامك على خوادم استضافة سمارت ون جروب، فصفحة الاستضافة تذكر ضمن الباقات شهادات SSL مجانية تتجدد تلقائيًا. وإن أردت مراجعة شهاداتك وأتمتة تجديدها مع فريق متابعة، فاطلع على عقود الدعم الفني أو التحدث إلينا لنراجع معك وضعك. ولا تنسَ أن تجديد النطاق وإعدادات DNS جزء من السلسلة نفسها.

الأسئلة الشائعة

هل أصبحت كل شهادات SSL مدتها 200 يوم؟

لا. 200 يوم هو الحد الأقصى للشهادات العامة الصادرة منذ 15 مارس 2026، وليس مدة إلزامية، فقد تصدر الجهة أقصر منه. أما الصادرة قبل ذلك بمدة أطول فتبقى صالحة حتى نهايتها لأن القاعدة تُطبَّق بتاريخ الإصدار.

هل تشمل القاعدة شهادات Let's Encrypt المجانية؟

نعم. تنص Let's Encrypt على أن التغيير مطلوب بموجب متطلبات المنتدى، وأن جميع جهات الإصدار العامة ستجري تغييرات مماثلة، وفق الجدول الوارد أعلاه.

هل يكفي أن يكون موقعي على استضافة cPanel؟

غالبًا يخفف AutoSSL العبء، لكن لا تفترض ذلك. تأكد أنه يعمل لكل نطاق فرعي، وراجع سجلاته، وتذكر أنه يثبّت شهادات DV فقط ولا يستبدل شهادة مثبّتة يدويًا إلا بخيار خاص وبشروط محددة.

هل أشتري شهادة لثلاث سنوات لأرتاح؟

لا. ستبقى الشهادة الفعلية محدودة بمدتها القصوى، وستعيد إصدارها وتركيبها عدة مرات خلال الاشتراك. والأفضل الاستثمار في أتمتة التجديد والمراقبة لا في اشتراك أطول.

ماذا لو لم تدعم لوحة DNS لدي واجهة برمجية؟

للأسماء العادية يمكن استخدام التحقق عبر HTTP على المنفذ 80 دون تعديل DNS. أما شهادة wildcard من Let's Encrypt فتتطلب التحقق عبر DNS، وحينها فكّر في نقل استضافة DNS إلى مزوّد يدعم الأتمتة، بعد التحقق من أثر ذلك على سجلاتك.

هل أهتم بشهادات Cloudflare Origin؟

نعم، ضمها إلى جردك. فهي تشفّر الاتصال بين Cloudflare والخادم فقط، وتذكر Cloudflare أنها لا ترسل إشعارات انتهاء لها حاليًا، فسجّل تواريخها وراقبها بنفسك.

المصادر: متطلبات خط الأساس من CA/Browser Forum (الإصدار 2.3.1)، وإعلان Let's Encrypt عن 45 يومًا، وتوثيق AutoSSL في cPanel، وتوثيق خطط DigiCert متعددة السنوات. والمواعيد قابلة للتعديل من الجهات المعنية.