شهادات TLS صارت مدتها 200 يوم. وهذا ما سينكسر بعدها.

في 15 مارس 2026 دخلت حيّز التنفيذ المرحلة الأولى من خفض صلاحية الشهادات الموثوقة عموميًا الذي أقرّه CA/Browser Forum. فصارت المدة القصوى لصلاحية شهادات TLS الموثوقة عموميًا حديثة الإصدار 200 يوم بدل 398 يومًا سابقًا. 1

وهذا مجرد الخفض الأول. فالجدول يمضي إلى 100 يوم اعتبارًا من 15 مارس 2027، ثم إلى 47 يومًا اعتبارًا من 15 مارس 2029. والجدول نفسه يقلّص المدة القصوى لإعادة استخدام نتائج التحقق من النطاقات وعناوين IP، بما يُلزم مقدّمي الطلبات بإثبات سيطرتهم عليها بوتيرة أعلى. أما في شهادات OV وEV فتنخفض إعادة استخدام معلومات هوية الجهة من 825 يومًا إلى 398 يومًا مع مرحلة مارس 2026. 1

نشأ هذا الجدول عن التصويت SC-081 في CA/Browser Forum، الذي تقدّمت به Apple وجرى تطويره ضمن إجراءات المنتدى بمشاركة أعضاء كبار في المنظومة، منهم Apple وGoogle وMozilla وSectigo. 2

الإبطال لم يكن كافيًا يومًا

تقصير عمر الشهادات إجراء أمني في المقام الأول، لا تعديل إجراءات. فنص التصويت يوضح أن الآليات القائمة للتحقق من حالة الشهادات، مثل CRL وOCSP، لها حدود على نطاق الإنترنت، من الخصوصية إلى الأداء إلى الفورية والدقة. والشهادات الأقصر لا تحلّ محلّ الإبطال، لكنها تقلّص المدة التي تظل فيها شهادة مخترَقة أو صادرة بالخطأ صالحة للاستعمال على الإنترنت العام. 2

والأثر التشغيلي كبير. فالانتقال من مدة قصوى قدرها 398 يومًا إلى 47 يومًا يعني نحو 8.5 أضعاف دورات التجديد الممكنة في الفترة نفسها. وحتى المرحلة الوسيطة عند 100 يوم في مارس 2027 قصيرة بما يكفي لكسر أي عملية ما زالت تعتمد على تذكيرات التقويم أو التذاكر اليدوية أو على أن يسجّل أحدهم الدخول بعد تنبيه بقرب الانتهاء.

أربعة أمور تستحق الإنجاز هذا الربع

ابدأ بالجرد. فكثير من المؤسسات لا تملك قائمة دقيقة بكل شهادة تشغّلها، والأتمتة لا تستطيع تجديد شهادة لا يعرف أحد بوجودها. وسجلات Certificate Transparency وسيلة مفيدة لاكتشاف الشهادات الظاهرة علنًا والصادرة لنطاقاتك.

ثم أتمت كل خدمة تستخدم TLS. فمنظومة ACME جعلت التجديد التلقائي لشهادات TLS أمرًا معياريًا، بأدوات مثل Let's Encrypt وCertbot وacme.sh وlego وإدارة الشهادات المدمجة في Caddy. اختر أسلوبًا واحدًا واجعله المعيار.

ولا تنسَ الأنظمة التي ليست مواقع ويب تقليدية. فخوادم البريد وموازنات الأحمال وواجهات البرمجة الداخلية ومنصات المراقبة ومجمّعات VPN وواجهات IPMI كلها قد تعتمد على الشهادات، وغالبًا ما تنال اهتمامًا أقل من خوادم الويب.

وأخيرًا، راقب انتهاء الشهادات من الخارج. فالتنبيه على مهام التجديد وحده لا يكفي. إذ قد تنجح مهمة التجديد بينما يفشل النشر أو التحقق عبر DNS أو قواعد جدار الحماية أو إعادة تحميل الخدمة. تحقق من الشهادة التي يتلقاها فعلًا المستخدمون على الإنترنت.

المنصات المُدارة لديها مشكلة هنا

الأتمتة سهلة حين تتحكم في نظام التشغيل، وتصبح أصعب حين تُخفي المنصة عملية التجديد.

فكثير من منتجات الاستضافة المُدارة تُصدر الشهادات عبر لوحة تحكم أو نظام يديره المزود، مع وصول محدود إلى خطافات ACME أو إلى مسار نشر الشهادات. كان ذلك محتملًا مع نافذة 398 يومًا. أما عند 100 يوم، ثم 47 في النهاية، فيزداد اعتماد العميل على أن تعمل أتمتة المزود في كل مرة دون استثناء.

صلاحية root تزيل اعتمادًا كبيرًا

نمنح صلاحية root لأن التحكم مهم تحديدًا في متطلبات تشغيلية من هذا النوع.

تعمل منتجات VPS لدينا على مُحاكاة KVM مع صلاحية root كاملة، وتمنح باقات VDS المستوى نفسه من التحكم على نطاق أوسع. يمكنك تثبيت عميل ACME الذي تفضّله، واختيار جدول التجديد الخاص بك، وكتابة خطافات النشر التي تناسب nginx أو HAProxy أو Postfix أو أي خدمة أخرى تحتاج إلى شهادات محدّثة.

ولأن الجهاز الافتراضي تحت تحكمك، لا يعتمد إصدار الشهادات ولا تجديدها على لوحة تحكمنا الداخلية ولا على أتمتة شهادات يديرها المزود. بنيتك التحتية، وأتمتتك، وشهاداتك.

وهذا يغطي كذلك الإعدادات الأكثر تقدمًا. فبإمكانك إدارة تحديات DNS-01 عبر مزود DNS الخاص بك، أو تشغيل نظام مركزي لأتمتة الشهادات لعدة خوادم، أو توزيع الشهادات على خدمات داخلية غير مكشوفة مباشرة للإنترنت العام.

وإن كنت تشغّل خدمات في أكثر من موقع، منها تيرانا وسكوبيه وأمستردام ودبلن، فالنهج نفسه يعمل في كل مكان، لأن كل خادم يبقى نظام لينكس تتحكم فيه أنت.

تبدأ الباقات من €5 شهريًا، ونقبل العملات المشفّرة، ولا نطلب التحقق من الهوية. شغّل خادمًا واضبط أتمتة شهاداتك اليوم.

الموعد الحقيقي هو مارس 2027

في 15 مارس 2027 ستشعر مؤسسات كثيرة بالأثر. فنافذة 100 يوم قصيرة بما يكفي لتخرج الإجراءات اليدوية الفصلية عن حدود دورة التجديد الآمنة.

ما زال أمامك وقت للاستعداد. فضبط أتمتة الشهادات يستغرق دقائق، مقارنة بالفوضى التي تسببها شهادة منتهية.

أسئلة متكررة

هل صارت شهادات SSL محدودة بـ 200 يوم؟

بالنسبة لشهادات TLS الموثوقة عموميًا حديثة الإصدار من سلطات إصدار عامة، نعم. أما الشهادات الخاصة وأنظمة PKI الداخلية فلا تخضع لقواعد CA/Browser Forum.

هل يؤثر ذلك في شهادات Let's Encrypt؟

التغيير يسري على الشهادات الموثوقة عموميًا عمومًا. وخدمات مثل Let's Encrypt تستخدم بروتوكول ACME أصلًا، لذا فمن أعدّ التجديد التلقائي يكون في معظمه جاهزًا لمدد صلاحية أقصر.

هل يجب أن تلتزم الشهادات الخاصة بحدّ 200 يوم؟

لا. فقواعد CA/Browser Forum تسري على الشهادات الموثوقة عموميًا التي تثق بها المتصفحات وأنظمة التشغيل. أما في بنية PKI خاصة فأنت من يختار مدد الشهادات.

ماذا يحدث حين تصبح الشهادات 47 يومًا؟

ستصبح أتمتة الشهادات إلزامية عمليًا لمعظم الخدمات المكشوفة للإنترنت. فكلما قصرت المدة بين الإصدار والانتهاء، صارت إجراءات التجديد اليدوية أشد خطورة.

المصادر

1. TLS Certificate Lifetimes Will Officially Reduce to 47 Days، DigiCert
2. Ballot SC-081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods، CA/Browser Forum Server Certificate Working Group