إذا كان الموقع متعدد اللغات يستخدم نطاقات فرعية، فما نوع شهادة SSL التي ينبغي شراؤها؟

إذا كان الموقع متعدد اللغات يستخدم نطاقات فرعية على المستوى نفسه، مثل en.example.com وde.example.com وfr.example.com، وكان من المتوقع إضافة مواقع بلغات أخرى لاحقًا، فعادةً ما تكون شهادة أحرف البدل أسهل في الصيانة. لكن قبل الشراء، يجب التأكد من أن الشهادة تشمل النطاق الرئيسي example.com أيضًا، ومن أن منصة إنشاء الموقع أو شبكة CDN أو الخادم يدعم نشر هذه الشهادة.

إذا كان عدد المواقع اللغوية الثابتة قليلًا، فيمكن أيضًا تلبية الاحتياجات بشهادة متعددة النطاقات أو بشهادات منفصلة لنطاق واحد. لا يتحدد الاختيار بعدد اللغات بحد ذاته، بل بأسماء المضيفين الكاملة المطلوب حمايتها، ومستويات النطاقات، والمكان الذي تنتهي عنده اتصالات HTTPS.

حدّد بوضوح النطاقات المطلوب حمايتها

تتحقق شهادة SSL من اسم المضيف في عنوان الوصول، وليس من لغة الصفحة أو دليل الموقع أو عنوان IP للخادم. لذلك، يستخدم example.com/en/ وexample.com/de/ اسم المضيف نفسه، ولا يلزم توسيع تغطية الشهادة لاختلاف اللغة؛ أما en.example.com وde.example.com فهما اسما مضيف مختلفان.

عند إعداد قائمة النطاقات، لا تقتصر على الصفحات الرئيسية للغات، بل أدرج أيضًا النطاق الرئيسي وعنوان www والنطاقات الفرعية المستقلة المستخدمة فعليًا للمتجر الإلكتروني ونماذج الاستفسار وغيرها. وحتى العنوان المستخدم للتحويل فقط يحتاج إلى شهادة صالحة: عند الوصول إلى عنوان HTTPS، يُكمل المتصفح أولًا مصافحة TLS ثم يتلقى تعليمات التحويل، ولا يمكن للتحويل إصلاح عدم تطابق الشهادة.

تغطي شهادة أحرف البدل مستوى محددًا فقط، لا شجرة النطاق بالكامل

يمكن لـ *.example.com مطابقة en.example.com وde.example.com وwww.example.com، لكنها لا تطابق example.com ولا shop.en.example.com.

تتضمن بعض منتجات شهادات أحرف البدل النطاق الرئيسي أيضًا، لكن ذلك يرجع إلى إعداد النطاقات عند إصدار الشهادة، وليس إلى ميزة متأصلة في شهادة أحرف البدل. تحقّق من قائمة أسماء الموضوع البديلة (SAN) في الشهادة، بدلًا من الاكتفاء بعبارة «أحرف البدل» في اسم المنتج.

إذا كان الموقع يستخدم en.example.com بينما يستخدم المتجر shop.en.example.com، فيلزم تغطية مستويين من النطاقات. وبالنسبة إلى عدد قليل من عناوين المتاجر الثابتة، يكفي إضافة اسم المضيف الكامل مباشرةً؛ ولا حاجة إلى شراء شهادة أحرف بدل لكل مستوى.

هل ستظل مواقع اللغات ثابتة أم ستُضاف باستمرار؟

عندما يكون عدد النطاقات الفرعية الثابتة قليلًا، يمكن إضافة النطاق الرئيسي وwww والنطاقات الفرعية الخاصة باللغات إلى شهادة متعددة النطاقات واحدة. وهي تسرد أسماء المضيفين المسموح بها واحدًا واحدًا عبر SAN، ما يجعل نطاق التغطية واضحًا، لكن إضافة موقع بلغة جديدة تستلزم تحديث قائمة النطاقات ثم إعادة إصدار الشهادة ونشرها.

إذا كان من المتوقع إضافة مواقع لغات باستمرار، وكانت جميعها ضمن مستوى النطاق نفسه، فإن شهادة أحرف البدل تقلل أعمال الصيانة. عند إضافة es.example.com، لا تكون هناك حاجة إلى إعادة إصدار الشهادة لهذا الاسم، ما دامت إعدادات DNS والموقع ونشر الشهادة صحيحة. ومع ذلك، لا تُنشئ شهادة أحرف البدل نطاقات فرعية تلقائيًا، ولا تفعّل HTTPS للمواقع الجديدة تلقائيًا.

إذا كانت اللغات المختلفة تستخدم نطاقات مستقلة مثل example.de وexample.fr، فلن تتمكن شهادة *.example.com واحدة من تغطيتها. في هذه الحالة، يمكن استخدام شهادة متعددة النطاقات أو إصدار شهادة مستقلة لكل موقع. وينبغي أن يستند الاختيار إلى موقع النشر ومسؤولية الصيانة، لا إلى السعي لتقليل عدد الشهادات فحسب.

تحقّق قبل الشراء مما إذا كانت المنصة توفر شهادة بالفعل

قد تدعم منصات إنشاء المواقع المستضافة أو شبكات CDN إصدار الشهادات وتجديدها تلقائيًا. إذا كانت الخدمة تغطي جميع النطاقات الفرعية للغات، فقد لا تكون هناك حاجة إلى شراء شهادة إضافية؛ كما أن بعض المنصات لا تسمح بتحميل شهادة تم شراؤها بشكل مستقل. تحقّق أولًا من النطاقات المدعومة، وما إذا كانت المنصة تدعم شهادات أحرف البدل، وما إذا كانت خدمة الشهادات مشمولة في الباقة الحالية.

عند استخدام شبكة CDN، يجب التمييز بين الاتصال من المتصفح إلى شبكة CDN والاتصال من شبكة CDN إلى الخادم الأصلي. فسلامة شهادة الحافة في شبكة CDN لا تعني بالضرورة أن شهادة الخادم الأصلي صحيحة أيضًا؛ ويجب أن يتوافق نوع الشهادة المستخدمة على الخادم الأصلي مع متطلبات التشفير والتحقق من الشهادات لدى شبكة CDN. كما لا يمكن استخدام شهادة الخادم الأصلي المخصصة لاتصال شبكة CDN بالخادم مباشرةً كشهادة عامة موثوقة لدى المتصفحات.

إذا كانت مواقع اللغات المتعددة موزعة على خوادم مختلفة، فإن مشاركة شهادة أحرف البدل تعني ضرورة توزيع المفتاح الخاص المرتبط بها. وقد يؤدي تسرب المفتاح الخاص في موقع واحد إلى التأثير في المواقع الأخرى التي تستخدم المفتاح نفسه. أما المواقع التي تديرها فرق أو مزودو خدمات مختلفون، فتساعد الشهادات المستقلة على عزل المخاطر وتقليل التنسيق بين الفرق عند التجديد.

لا تخلط بين مستوى التحقق ونطاق التغطية

تشير DV وOV وEV إلى أساليب التحقق من الهوية؛ بينما تصف الشهادات أحادية النطاق ومتعددة النطاقات وشهادات أحرف البدل نطاق تغطية النطاقات. وهذان بُعدان مختلفان. فشراء شهادة OV لا يزيد تلقائيًا عدد النطاقات الفرعية للغات التي يمكن حمايتها؛ وفي ظل إعدادات TLS نفسها، لا يمكن أيضًا استنتاج قوة التشفير من مستوى التحقق وحده.

إذا كان الهدف هو تشغيل مواقع اللغات باستخدام HTTPS على النحو المطلوب فحسب، فإن شهادة DV موثوقة لدى المتصفحات ويطابق نطاقها أسماء النطاقات المطلوبة تفي بالاحتياجات الأساسية. وينبغي أن يعتمد اختيار OV أو EV على متطلبات التحقق من هوية الشركة أو العقود أو الإدارة الداخلية، لا على مجرد استهداف الموقع لأسواق خارجية.

يمكن للشهادات المجانية تلبية احتياجات HTTPS أيضًا، لكن يجب توفير آلية موثوقة لتجديدها. فعلى سبيل المثال، يتطلب إصدار شهادة أحرف بدل من Let’s Encrypt التحقق عبر DNS؛ ولتجديدها تلقائيًا، تأكد من أن خدمة DNS تدعم الأتمتة المطلوبة، وقيّد صلاحيات بيانات اعتماد واجهة DNS على نحو مناسب.

تحقّق من كل عنوان عند فحص الموقع قبل إطلاقه

قبل طلب الشهادة أو تفعيل شهادة المنصة، تحقّق من قائمة أسماء المضيفين الفعلية، ونطاق تغطية SAN، وموقع النشر، والجهة المسؤولة عن التجديد. لا يكفي التأكد من أن الخدمة «تدعم SSL» من دون تحديد المسؤول عن معالجة فشل الإصدار، وتنبيهات انتهاء الصلاحية، وإعادة النشر.

بعد الإطلاق، زُر النطاق الرئيسي وعنوان www وجميع النطاقات الفرعية للغات واحدًا تلو الآخر، وتحقق من تطابق أسماء النطاقات وسلسلة الشهادة وعمليات إعادة التوجيه إلى HTTPS، وافحص أيضًا الموارد التي لا تزال الصفحة تحمّلها عبر HTTP. إن عدم ظهور تحذير بشأن الشهادة لا يعني أن الصفحة قد حُمّلت بالكامل وبأمان عبر HTTPS.

بالنسبة إلى بنية «نطاق رئيسي مع نطاقات فرعية للغات على المستوى نفسه»، تُعد شهادة أحرف البدل التي تشمل النطاق الرئيسي خيارًا يسهل توسيعه؛ أما المواقع الثابتة القليلة أو المواقع الموزعة في أماكن مختلفة، فقد تكون الشهادة متعددة النطاقات أو الشهادات المستقلة أنسب لها. ينبغي أن يستند الشراء إلى قائمة نطاقات مؤكدة وظروف نشر واضحة، لا إلى شراء شهادة أولًا ثم تعديل الموقع ليتوافق معها.