Let’s Encrypt و HTTPS

در سال ۲۰۱۵ گرفتن گواهی HTTPS برای یک سایت کوچک هنوز غالباً سخت یا گران بود. همان سال Let’s Encrypt به‌صورت بتای عمومی آمد تا گواهی رایگان و خودکار بدهد. یک دهه بعد، رمزگذاری ارتباط وب دیگر استثنا نیست؛ بخش بزرگی از سایت‌ها با گواهی‌هایی کار می‌کنند که به‌طور خودکار صادر و تمدید می‌شوند و Let’s Encrypt یکی از اصلی‌ترین صادرکننده‌های آن‌هاست.

این صفحه تاریخچه و معنای عملی همان تغییر است، نه تبلیغ یک صادرکننده به‌خصوص. برای کسی که صفحه را می‌خواند، قفل کنار نشانی حالا باید عادی باشد و نبودش سؤال ایجاد کند. برای کسی که سایت دارد، انتظار این است که HTTPS پیش‌فرض باشد و تمدید از قلم نیفتد. رمزگذاری وب را با رمزگذاری سرتاسری پیام عوضی نگیرید؛ آن لایهٔ جدا در راهنمای آیا رمزگذاری هنوز مفید است شرح داده شده است.

قفل کنار نشانی برای خواننده چه می‌گوید

قفل فقط می‌گوید ارتباط تا همان دامنه‌ای که در نوار نشانی می‌بینید رمزگذاری شده و در میانهٔ راه به‌آسانی خوانده یا عوض نمی‌شود. نمی‌گوید سایت مال چه کسی است، محتوای صادقانه‌ای دارد، یا صفحه فیشینگ نیست. سایت فریبنده هم می‌تواند گواهی معتبر داشته باشد.

1. قبل از وارد کردن رمز یا کارت، خودِ نام دامنه را حرف‌به‌حرف بخوانید. یک حرف جابه‌جا کافی است که به دامنهٔ دیگری بروید که قفل هم دارد.
2. اگر مرورگر هشدار گواهی نشان می‌دهد — منقضی، نام ناهماهنگ، یا صادرکنندهٔ ناشناس — آن را دور نزنید مگر دلیل فنی روشنی دارید که خودتان می‌فهمید.
3. در بیشتر مرورگرها با زدن روی قفل می‌توانید ببینید ارتباط امن گزارش شده یا نه. این بررسی جای خواندن دامنه را نمی‌گیرد.
4. صفحه‌ای که بخشی از آن هنوز از HTTP بارگذاری می‌شود ممکن است هشدار محتوای ترکیبی بدهد. آن هشدار را نادیده نگیرید اگر قرار است داده وارد کنید.

عادت‌های مرور، افزونه و مسیر رسمی مرورگر در راهنمای مرور امن‌تر وب آمده است. HTTPS به‌تنهایی فیلتر شبکه را برنمی‌دارد؛ آن موضوع در راهنمای چگونه دسترسی اینترنت محدود می‌شود جداست.

Let’s Encrypt چه تغییری ایجاد کرد

مدل Let’s Encrypt این بود که صدور گواهی با پروتکل ACME خودکار شود تا مدیر سایت مجبور نباشد هر بار دستی فایل را عوض کند. گواهی رایگان است و هویت سازمان را مثل برخی گواهی‌های تجاری نشان نمی‌دهد؛ برای بیشتر سایت‌ها همان رمز کردن ارتباط کافی است.

تا نوامبر ۲۰۲۶ گواهی پیش‌فرض Let’s Encrypt معمولاً حدود نود روز اعتبار دارد. صادرکننده اعلام کرده که از ۱۰ فوریه ۲۰۲۷ اعتبار پیش‌فرض به شصت‌وچهار روز می‌رسد و بعدتر کوتاه‌تر می‌شود. معنای عملی‌اش این است که تمدید دستی دیگر روش پایداری نیست و زمان‌بندی ثابت قدیمی ممکن است با عمر تازه جور درنیاید.

1. اگر سایتی دارید، ببینید سرویس میزبانی‌تان Let’s Encrypt یا صادرکنندهٔ دیگری را به‌طور خودکار تمدید می‌کند.
2. تاریخ انقضا را از پنل میزبان یا با نگاه به خود گواهی در مرورگر بررسی کنید، نه از روی حافظه.
3. از کلاینت ACME بخواهید به اطلاعات تمدید صادرکننده (مثل ACME Renewal Info) توجه کند، نه اینکه فقط هر شصت روز یک‌بار روی یک تقویم ثابت تمدید کند.

اگر سایتی را اداره می‌کنید

امروز انتظار بازدیدکننده این است که آدرس با HTTPS باز شود و مرورگر هشدار منقضی ندهد. گواهی را از مسیر رسمی همان میزبان یا از مستندات خود Let’s Encrypt در letsencrypt.org بگیرید، نه از یک فایل ناشناس که کسی در گروه فرستاده است.

1. در پنل میزبان گزینهٔ رسمی SSL یا Let’s Encrypt را روشن کنید اگر میزبان آن را پشتیبانی می‌کند. بسیاری از میزبان‌ها تمدید را خودشان انجام می‌دهند.
2. اگر خودتان کلاینت می‌گذارید، Certbot و ابزارهای مشابه را از سایت رسمی‌شان یا از بستهٔ رسمی توزیع بگیرید.
3. بعد از صدور، یک‌بار تمدید آزمایشی یا تمدید خشک را طبق مستندات همان کلاینت اجرا کنید تا نفهمید فقط در روز انقضا که سایت خوابیده است.
4. تغییر نشانی، زیردامنهٔ تازه یا سرور تازه را در نظر بگیرید؛ گواهی قدیمی برای نام تازه کافی نیست و باید همان نام‌ها در گواهی بیایند.
5. تغییر به HTTPS را تا آخر انجام دهید: پیوندهای داخلی را روی HTTPS بگذارید و درخواست HTTP را به‌درستی به نسخهٔ رمزشده بفرستید تا بازدیدکننده در نسخهٔ باز نماند.
6. به هشدار مرورگر دربارهٔ گواهی منقضی بی‌اعتنا نباشید. بازدیدکننده همان هشدار را می‌بیند و بسیاری از آن‌ها ـ درست ـ صفحه را می‌بندند.

شفافیت گواهی را بشناسید

لاگ‌های Certificate Transparency صدور گواهی برای یک دامنه را قابل مشاهده می‌کنند. اگر دامنهٔ مهمی دارید، ارزش دارد بدانید چنین رکوردی وجود دارد و می‌توان صدور غیرمنتظره را دید.

1. اگر برای دامنهٔتان گواهی تازه‌ای می‌بینید که خودتان درخواست نکرده‌اید، همان را جدی بگیرید: پیکربندی را بررسی کنید و در صورت نیاز از میزبان یا از فرآیند رسمی صادرکننده پیگیری کنید.
2. شفافیت گواهی به‌تنهایی جلوی فیشینگ روی دامنهٔ شبیه را نمی‌گیرد. باز هم بازدیدکننده باید نام را بخواند.

HTTPS را با لایه‌های دیگر قاطی نکنید

قفل وب یعنی مسیر تا آن دامنه رمز است. فراهم‌کنندهٔ سایت، پس از رسیدن درخواست، معمولاً محتوا را می‌بیند. نامهٔ وبی که قفل دارد همچنان برای ارائه‌دهنده خوانا است مگر لایهٔ دیگری مثل OpenPGP اضافه کنید؛ شرح حساب در راهنمای حساب ایمیل امن‌تر است.

1. فرم ورود را فقط روی همان دامنهٔ اصلی که می‌شناسید پر کنید.
2. اگر صفحه‌ای گواهی ندارد و از شما رمز می‌خواهد، همان را نشانهٔ خطر بگیرید.
3. VPN یا تور را با HTTPS عوضی نگیرید. آن‌ها سؤال‌های دیگری را جواب می‌دهند: مسیر شبکه یا جداسازی. قفل سایت جایگزین آن‌ها نیست و برعکس.

اگر مرورگر هشدار داد چه کار کنید

هشدار گواهی همیشه به معنای «هکر پشت وای‌فای» نیست. گاهی تاریخ دستگاه غلط است، گاهی گواهی سایت واقعاً منقضی شده، و گاهی نام روی گواهی با نشانی که زده‌اید یکی نیست. در هر حال دور زدن هشدار برای وارد کردن رمز کار خطرناکی است.

1. اول تاریخ و ساعت دستگاه را ببینید. ساعت خیلی جلو یا عقب خودش می‌تواند گواهی معتبر را «منقضی» نشان دهد.
2. نشانی را دوباره بخوانید و اگر لازم است آن را از منبعی که از قبل می‌شناسید باز کنید، نه از پیوند پیام.
3. اگر سایت متعلق به خودتان است، به پنل میزبان بروید و انقضا و نام‌های روی گواهی را بررسی کنید؛ تمدید را همان‌جا درست کنید نه با گفتن به بازدیدکننده که هشدار را نادیده بگیرد.
4. اگر سایت مال دیگری است و هشدار ادامه دارد، کار حساس را همان لحظه انجام ندهید.

چه نام‌هایی باید روی گواهی باشد

گواهی فقط برای نام‌هایی کار می‌کند که در آن آمده‌اند. دامنهٔ اصلی، پیشوند www، و زیردامنه‌های جدا اگر در گواهی نباشند، بازدیدکننده هشدار می‌بیند حتی اگر «همان سایت» به‌نظر برسد.

1. فهرست نام‌هایی را که مردم واقعاً در مرورگر می‌نویسند بنویسید و همان‌ها را در صدور گواهی بگنجانید.
2. گواهی صادرشده برای یک نام، زیردامنهٔ تازه‌ای را که بعداً ساخته‌اید پوشش نمی‌دهد مگر گواهی را با آن نام تازه صادر کنید یا از پیشوند مجاز آگاهانه استفاده کنید.
3. تغییر از یک میزبان به میزبان دیگر را بدون صدور گواهی تازه تمام‌شده ندانید؛ کپی کردن پروندهٔ قدیمی ممکن است با نام یا کلید تازه جور نباشد.

Let’s Encrypt چه چیزی را برایتان انجام نمی‌دهد

صدور خودکار گواهی سایت را از بدافزار، از محتوای فریبنده و از نفوذ به حساب مدیریت پاک نمی‌کند. Let’s Encrypt معمولاً هویت حقوقی سازمان را مثل بعضی گواهی‌های نمایش‌دهندهٔ نام شرکت نشان نمی‌دهد. برای بیشتر خوانندگان همان قفل ارتباط مهم است، نه لوگوی شرکت در نوار نشانی که دیگر در مرورگرهای رایج دیده نمی‌شود.

1. پنل مدیریت سایت را با رمز یکتا و در صورت امکان با تأیید دومرحله‌ای همان میزبان قفل کنید. گواهی معتبر، پنل باز را محافظت نمی‌کند.
2. نرم‌افزار سایت را به‌روز نگه دارید. HTTPS ارتباط را رمز می‌کند؛ آسیب‌پذیری افزونهٔ کهنه را نمی‌بندد.
3. اگر فقط یک وبلاگ شخصی دارید، از مسیر رسمی میزبان جلو بروید و خودتان را با پیکربندی پیچیدهٔ سرور درگیر نکنید مگر نگهداری‌اش را بلدید.

روی دستگاه سازمانی قفل ممکن است معنای دیگری داشته باشد

در بعضی شبکه‌های محل کار یا مدرسه، دستگاه طوری پیکربندی شده که یک میانه ترافیک HTTPS را باز و دوباره رمز کند. روی آن دستگاه قفل همچنان دیده می‌شود، اما ناظر همان شبکه ممکن است محتوا را ببیند. این با وای‌فای کافه که گواهی سایت را ندارد فرق دارد.

1. اگر دستگاه مال سازمان است، فرض نکنید قفل یعنی هیچ‌کس در مسیر محتوا را نمی‌بیند.
2. کار شخصی خیلی حساس را روی دستگاهی که سیاست امنیتی‌اش را نمی‌شناسید انجام ندهید.
3. اگر فقط به وای‌فای عمومی وصل شده‌اید و هشدار گواهی آمد، آن هشدار را نشانهٔ خطر واقعی بگیرید، نه یک دست‌انداز معمولی که بشود خیلی به‌سادگی نادیده‌اش گرفت.

اشتباه‌های رایج

• گمان اینکه قفل یعنی مالک سایت تأیید شده و محتوا امن است.
• دور زدن هشدار گواهی چون «دیروز کار می‌کرد».
• تمدید دستی هر چند ماه برای سایتی که حالا باید خودکار تمدید شود.
• گرفتن کلاینت ACME از یک پیوند ناشناس.
• فعال کردن گواهی روی دامنهٔ اصلی و رها کردن نسخهٔ HTTP یا زیردامنه‌های فراموش‌شده.
• یکی دانستن HTTPS با پیام سرتاسری یا با ناشناسی.

از همین امروز چه کار کنید

1. اگر سایتی دارید، ببینید گواهی‌اش خودکار تمدید می‌شود و تاریخ انقضا را بررسی کنید. اگر تمدید آزمایشی در مستندات هست یک‌بار اجرا کنید.
2. اگر فقط خواننده‌اید، به هشدار گواهی مرورگر احترام بگذارید و دامنه را قبل از ورود بخوانید.
3. رمزگذاری وب را با رمزگذاری سرتاسری پیام عوضی نگیرید؛ هر کدام لایهٔ جداگانه‌ای هستند.
4. اگر دامنهٔ مهمی دارید، با مفهوم شفافیت گواهی آشنا شوید تا صدور غیرمنتظره برایتان غریبه نباشد.