شهادة SSL لمتجرك الإلكتروني: الاختيار والتثبيت والتجديد

شهادة SSL هي ملف رقمي يُثبّت على خادم موقعك ليشفّر البيانات المتنقلة بين متصفح الزائر ومتجرك، ويؤكد أن النطاق الذي يتصفحه هو نطاقك فعلًا. بدونها يعرض المتصفح تحذير “غير آمن” قبل أن يقرأ الزائر سطرًا واحدًا، وترفض بوابات الدفع المرخصة العمل مع الموقع من الأساس. لكن المسألة لم تعد “أحصل عليها وأنساها”: القواعد العالمية بدأت تقصّر مدة صلاحية الشهادات تدريجيًا حتى تصل إلى 47 يومًا بحلول مارس 2029، وهذا يغيّر طريقة إدارتك لها من اليوم. في هذا الدليل: كيف تعمل الشهادة فعليًا، وأي نوع يناسب متجرك، والفرق الحقيقي بين المجانية والمدفوعة، وخطوات التثبيت والتحقق، والأخطاء التي تُسقط المتاجر.

ما شهادة SSL وكيف تعمل فعليًا؟

شهادة SSL هي ملف بيانات مُوقَّع من جهة خارجية موثوقة تُسمى سلطة إصدار الشهادات (Certificate Authority)، يحتوي على اسم النطاق، والمفتاح العام للخادم، وتاريخ الإصدار والانتهاء، وتوقيع الجهة المُصدِرة. وجوده على الخادم هو ما يحوّل عنوان موقعك من http إلى https ويُظهر أيقونة القفل في المتصفح.

نقطة تصحيحية يجهلها كثيرون: بروتوكول SSL نفسه لم يعد مستخدمًا منذ سنوات. ما يعمل اليوم فعليًا هو بروتوكول TLS، والإصداران المعتمدان حاليًا هما TLS 1.2 وTLS 1.3. لكن مصطلح “شهادة SSL” ظل هو الاسم التجاري المتداول لأن السوق تعوّد عليه، ولهذا تجد المزودين يكتبون “SSL/TLS”. حين تشتري “شهادة SSL” اليوم فأنت تشتري شهادة TLS.

ماذا يحدث في أقل من ثانية؟

عند فتح أي صفحة في متجرك تمر العملية بأربع خطوات تحدث في أجزاء من الثانية:

1. متصفح الزائر يطلب من خادمك إثبات هويته.
2. الخادم يرسل شهادة SSL الخاصة به.
3. المتصفح يتحقق من أن الشهادة صادرة من سلطة يثق بها، وأنها سارية، وأن الاسم المكتوب فيها يطابق النطاق المفتوح فعلًا.
4. إن نجح التحقق، يتفق الطرفان على مفاتيح تشفير مؤقتة لهذه الجلسة، ويبدأ نقل البيانات مشفّرًا.

النقطة التي تفسّر كل شيء بعدها: هذه الخطوات الأربع هي عقد ثقة بين ثلاثة أطراف — أنت، والزائر، والجهة المُصدِرة. المتصفح لا يثق بك أنت، بل يثق بقائمة سلطات إصدار معتمدة مسبقًا داخله. ولهذا لا تنفع الشهادة الموقّعة ذاتيًا (Self-signed) في متجر تجاري مهما كانت قوة تشفيرها: التشفير موجود، لكن طرف الثقة غائب، فيرفضها المتصفح ويعرض تحذيرًا صريحًا.

ما الذي تحميه شهادة SSL وما الذي لا تحميه؟

هذا هو الجزء الذي يختفي من أغلب المقالات، وهو الأهم لصاحب المتجر:

الخلاصة العملية: شهادة SSL تؤمّن الطريق لا المستودع. هي شرط ضروري وغير كافٍ، وأي مزوّد يبيعها لك على أنها “حماية شاملة للموقع” يبيعك أكثر مما تعطيه فعلًا.

هل يحتاج متجرك الإلكتروني شهادة SSL فعلًا؟

نعم، وبلا استثناء. لم تعد شهادة SSL تحسينًا اختياريًا بل شرط تشغيل أساسي، لأربعة أسباب لكل منها أثر مالي مباشر:

1. المتصفح يطرد زوارك قبل أن يقرأوا. المتصفحات الحديثة تعرض تحذير “غير آمن” على أي موقع بلا HTTPS، ويظهر التحذير بوضوح أكبر عند وجود حقل إدخال بيانات. متجر يعرض تحذيرًا أمنيًا في صفحة الدفع يخسر الطلب في تلك اللحظة، لا في مرحلة لاحقة.

2. بوابات الدفع لا تعمل بدونها. أي مزوّد دفع مرخّص يشترط اتصالًا مشفّرًا كحد أدنى قبل تفعيل حسابك، لأن معايير أمن بيانات البطاقات لا تسمح بنقل بيانات الدفع عبر قناة غير مشفّرة. ولهذا فإن غياب الشهادة سبب رفض شائع في مرحلة مراجعة المتجر — وهي مرحلة شرحناها بتفصيلها في دليل بوابات الدفع الإلكتروني في السعودية.

3. الالتزام بحماية البيانات الشخصية. متجرك يجمع أسماء وعناوين وأرقام تواصل، وهذه بيانات شخصية يحكمها نظام حماية البيانات الشخصية في المملكة، الذي تشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). النظام يلزم جهة التحكم باتخاذ تدابير تحفظ البيانات وتحميها، وتشفير النقل هو أبسط هذه التدابير وأقلها كلفة. راجع البوابة الرسمية لحماية البيانات للاطلاع على متطلبات حالتك تحديدًا، فالتفاصيل النظامية تُحدَّث.

4. إشارة ترتيب في محركات البحث — لكن بحجمها الحقيقي. نعم HTTPS إشارة ترتيب معلنة، وسنفصّل حجمها الفعلي في قسم مستقل أدناه لأن المحتوى العربي يبالغ فيها كثيرًا.

وهنا فرق جوهري يستحق التوضيح: القفل يطمئن الزائر بأن بياناته لن تُعترض، لكنه لا يعني أن المتجر نظامي أو موثوق. أي موقع — بما فيها المواقع الاحتيالية — يستطيع الحصول على شهادة اليوم خلال دقائق ومجانًا. هذا التمييز شرحناه من زاوية المشتري في دليل كيف أعرف أن الموقع موثوق للشراء، وما يبني الثقة فعلًا هو توثيق المتجر الإلكتروني وسياساته المعلنة، لا الشهادة وحدها.

أنشئ متجرك الإلكتروني الآن بنطاق مخصص وشهادة أمان جاهزة

ما أنواع شهادات SSL وأيها يناسب متجرك؟

تُصنَّف شهادات SSL على محورين مستقلين: مستوى التحقق من هويتك، وعدد النطاقات التي تغطيها. الخلط بينهما هو أشهر سبب لشراء شهادة أغلى بلا فائدة.

أولًا: حسب مستوى التحقق

نقطة حاسمة يغفلها المحتوى العربي: مستوى التحقق لا يغيّر قوة التشفير إطلاقًا. شهادة DV مجانية تشفّر البيانات بنفس الخوارزميات التي تشفّر بها شهادة EV باهظة. الفرق الوحيد هو مقدار ما تحقّقت منه الجهة المُصدِرة عنك، وأين يظهر ذلك.

الشريط الأخضر لم يعد موجودًا منذ 2019

كثير من المقالات العربية — وبعض صفحات البيع — ما زالت تسوّق شهادة EV بحجة أنها “تُظهر اسم شركتك بالأخضر في شريط العنوان”. هذه المعلومة لم تعد صحيحة.

المتصفحات أزالت هذا المؤشر تباعًا: Safari بدأت أولًا، ثم Chrome أزالت اسم الشركة من شريط العنوان ابتداءً من الإصدار 77 في سبتمبر 2019، وتبعتها Firefox في الإصدار 70. سبب القرار المعلن من فريق أمان Chrome أن الدراسات أظهرت أن المستخدمين لا يلاحظون المؤشر ولا يعتمدون عليه في قرار الثقة. بيانات الشهادة لم تُحذف، لكنها انتقلت إلى نافذة تفاصيل تظهر عند الضغط على القفل — وهي خطوة لا يقوم بها زائر عادي أبدًا.

ماذا يعني هذا لك عمليًا؟ الميزة التسويقية الأساسية التي كانت تبرر سعر شهادة EV اختفت من واجهة المتصفح. إن كان مبرر شرائك لها هو ظهور اسمك للزائر، فالمبرر لم يعد قائمًا. ويبقى لها معنى في سياقات امتثال مؤسسي محددة، لا في متجر تجزئة عادي.

ثانيًا: حسب النطاقات المغطاة

كيف تختار في جملة واحدة: إن كان متجرك على نطاق واحد فشهادة DV لنطاق واحد تكفيك تمامًا. إن كنت تشغّل مدونة أو لوحة أو متجرًا فرعيًا على نطاقات فرعية، فشهادة Wildcard توفر عليك إدارة عدة شهادات. وإن كنت تملك نطاقات منفصلة لأسواق مختلفة، فشهادة متعددة النطاقات هي الأنسب.

تنبيه تقني يسقط فيه كثيرون: شهادة Wildcard تغطي مستوى فرعيًا واحدًا فقط. شهادة لـ *.store.com تغطي shop.store.com لكنها لا تغطي ar.shop.store.com. تحقق من بنية نطاقاتك قبل الشراء لا بعده.

هل شهادة SSL المجانية آمنة مثل المدفوعة؟

من ناحية التشفير: نعم، متطابقة تمامًا. الشهادات المجانية من جهات إصدار معتمدة تستخدم نفس الخوارزميات والمعايير التي تستخدمها الشهادات المدفوعة، وتُقبل من المتصفحات بنفس الطريقة. الفروق الحقيقية ليست في قوة الحماية بل في التحقق والمدة والخدمة المصاحبة.

متى تكفيك المجانية؟ في أغلب المتاجر، وخصوصًا المتاجر المبنية على منصات جاهزة تدير الشهادة نيابةً عنك. متى تفكر في المدفوعة؟ إن كنت تحتاج تحققًا من مستوى OV أو EV لسبب امتثالي، أو تريد دعمًا تعاقديًا مع جهة يمكنك الرجوع إليها، أو تدير بنية معقدة تحتاج خدمات إدارة شهادات.

الخطأ الذي يكلّف بلا مقابل: شراء شهادة EV لمتجر تجزئة صغير ظنًا أنها “تزيد الثقة”. بعد إزالة الشريط الأخضر، الزائر لن يرى فرقًا واحدًا بينها وبين شهادة مجانية.

كم تكلفة شهادة SSL وما الذي تدفع مقابله؟

الشهادات المجانية موجودة فعليًا وبجودة تشفير كاملة، أما الشهادات المدفوعة فأسعارها تتفاوت تفاوتًا واسعًا بحسب المزود ومستوى التحقق وعدد النطاقات ومدة الاشتراك. لا تعتمد على أي رقم منشور في أي مقال — بما فيه هذا — لأن الأسعار تتغير وتختلف بين مزود وآخر وبين حزمة وأخرى.

ما الذي تدفع مقابله فعليًا حين تشتري شهادة مدفوعة؟ ثلاثة أشياء لا رابع لها:

• مستوى التحقق: كلما تعمّق فحص الجهة المُصدِرة لكيانك، ارتفعت الكلفة والوقت.
• التغطية: عدد النطاقات والنطاقات الفرعية المشمولة.
• الخدمة: دعم فني، وأدوات إدارة وتجديد، وضمان مالي عند بعض المزودين.

وما لا تدفع مقابله: قوة تشفير أعلى. هذه لا تُشترى، فهي محددة بمعايير موحدة تلتزم بها كل الجهات المصدِرة المعتمدة.

نصيحة تشغيلية قبل الشراء: احسب تكلفة الشهادة ضمن ميزانية متجرك السنوية لا كبند منفصل، واسأل المزوّد سؤالين مكتوبين — هل التجديد آلي؟ وما آلية الدعم عند الانقطاع؟ هذان السؤالان يوفران عليك أكثر مما يوفره فرق السعر.

ابدأ بمتجر تأتيك فيه الشهادة جاهزة ضمن الباقة — أنشاء متجرك مجانًا

كيف تحصل على شهادة SSL وتثبتها خطوة بخطوة؟

المسار يختلف جذريًا حسب طريقة بناء متجرك، والفرق بينهما فرق ساعات مقابل دقائق.

المسار الأول: متجر على منصة جاهزة

في منصات المتاجر الحديثة لا تتعامل مع الشهادة يدويًا إطلاقًا. الخطوات ثلاث:

1. اربط نطاقك من إعدادات النطاق في لوحة التحكم، بتعديل سجلات DNS لدى مسجّل النطاق حسب القيم التي تعطيك إياها المنصة.
2. انتظر انتشار التحديث — عادة من دقائق إلى ساعات حسب المسجّل.
3. تأكد من التفعيل بفتح متجرك ورؤية القفل وعنوان https.

الشهادة تُصدر وتُثبَّت وتُجدَّد تلقائيًا من طرف المنصة. في باقات فلك كارت مثلًا تُدرَج شهادة SSL مجانية ضمن إعدادات النطاق إلى جانب ربط النطاق المخصص وإدارة DNS، فلا تحتاج مطورًا ولا متابعة تواريخ انتهاء. وهذا الفارق التشغيلي هو أهم ما يميز المتجر على منصة جاهزة عن الموقع المبني من الصفر.

المسار الثاني: استضافة تديرها بنفسك

هنا المسؤولية كاملة عليك، وتمر بست خطوات:

1. أنشئ طلب توقيع الشهادة (CSR) من لوحة الاستضافة أو من الخادم مباشرة، مع مفتاح خاص يبقى على خادمك ولا يُرسل لأحد أبدًا.
2. قدّم الطلب للجهة المُصدِرة المختارة.
3. أثبت ملكيتك للنطاق بإحدى ثلاث طرق: سجل DNS، أو ملف تحقق تضعه على الخادم، أو رسالة بريد لعنوان إداري مرتبط بالنطاق.
4. ثبّت الشهادة مع سلسلة الشهادات الوسيطة كاملة. نقص أي حلقة وسيطة يسبب أخطاء ثقة على بعض الأجهزة دون غيرها — وهو عطل صعب التشخيص لأنه يعمل عندك ولا يعمل عند عميلك.
5. أجبر التوجيه إلى HTTPS بتحويل دائم (301) من http إلى https، مع توجيه واحد فقط بلا سلسلة تحويلات متتابعة.
6. حدّث الروابط الداخلية والموارد لتصبح كلها https.

نصيحة من واقع الأعطال المتكررة: لا تنتظر التجديد اليدوي. اضبط أتمتة عبر بروتوكول ACME إن كان مزودك يدعمه، وأضف تنبيهًا خارجيًا يراقب تاريخ الانتهاء بشكل مستقل عن الخادم نفسه. الخادم الذي يعطل هو نفسه الذي كان يفترض أن ينبهك.

كيف تتحقق أن شهادة SSL تعمل بشكل صحيح؟

التثبيت ليس نهاية العمل. نفّذ هذا الفحص السريع بعد كل تثبيت أو نقل أو تجديد، ثم دوريًا كل ربع سنة:

1. افتح متجرك في وضع التصفح الخاص وتأكد من ظهور القفل وعنوان https بلا تحذير.
2. اضغط على القفل وراجع الجهة المُصدِرة وتاريخ الانتهاء واسم النطاق المطابق.
3. اكتب العنوان بصيغة http يدويًا وتأكد أنه يحوّلك تلقائيًا إلى https بتحويل واحد لا بسلسلة.
4. جرّب النطاق بالصيغتين — مع www وبدونها — فكلاهما يجب أن يعمل ويصل إلى نسخة واحدة.
5. افحص كل النطاقات الفرعية المستخدمة فعليًا: المدونة، ولوحة الدخول، وأي نطاق فرعي للصور أو الملفات.
6. افتح أدوات المطور في المتصفح وراجع لسان Console بحثًا عن تحذيرات المحتوى المختلط (Mixed Content).
7. اختبر من جوال حقيقي على بيانات الجوال لا على شبكة Wi‑Fi، ومن أكثر من متصفح.

اختبار عملي أخير لا يعوّضه شيء: أكمل عملية شراء حقيقية بمبلغ صغير من صفحة المنتج حتى الفاتورة. الشهادة قد تعمل في الصفحة الرئيسية وتنكسر في صفحة الدفع بسبب مورد خارجي غير مشفّر — ولن تكتشف ذلك من الصفحة الأولى.

ما أثر شهادة SSL على السيو وترتيبك في جوجل؟

الأثر حقيقي لكنه أصغر بكثير مما يُروَّج له. جوجل أعلنت في 2014 أنها بدأت تستخدم HTTPS كإشارة ترتيب، ووصفتها في الإعلان نفسه بأنها إشارة خفيفة جدًا تؤثر في أقل من 1% من عمليات البحث العالمية، ووزنها أقل من إشارات أخرى مثل جودة المحتوى. وأضافت أنها قد تقوّيها لاحقًا لتشجيع المواقع على الانتقال.

ماذا يعني هذا عمليًا؟ ثلاث خلاصات:

• وجود الشهادة لن يرفع ترتيبك. اليوم تعمل الغالبية الساحقة من المواقع على HTTPS، فما كان ميزة صار الحد الأدنى. الحد الأدنى لا يمنحك أفضلية.
• غيابها يضرك بشكل غير مباشر وأشد من الإشارة نفسها. التحذير الأمني يرفع نسبة المغادرة الفورية ويهدم الثقة قبل قراءة أول سطر، وهذا أثره على أعمالك أكبر من أي وزن ترتيبي مباشر.
• الخطأ في التنفيذ يضرك حقيقةً. الانتقال إلى HTTPS بسلسلة تحويلات متعددة، أو بروابط داخلية لم تُحدَّث، أو بوسم رابط أساسي (Canonical) ما زال يشير إلى نسخة http — كل ذلك يشتّت الفهرسة ويضيّع قوة الصفحات. الضرر هنا من سوء التنفيذ لا من الشهادة.

القاعدة التي تلخص القسم: عامل شهادة SSL كشرط دخول لا كأداة ترتيب. جهدك الحقيقي في الظهور يذهب إلى المحتوى واستهداف نية البحث الصحيحة، وهو ما فصّلناه في دليل الكلمات المفتاحية للمتاجر الإلكترونية.

ابنِ متجرك على أساس تقني سليم من أول يوم

لماذا تقصر مدة شهادات SSL وماذا يعني ذلك لمتجرك؟

هذا هو التغيير الأهم في الموضوع كله، ولا يكاد يُذكر في المحتوى العربي.

في 11 أبريل 2025، أقرّ منتدى CA/Browser — الجهة التي تضع المعايير المشتركة بين سلطات إصدار الشهادات ومطوّري المتصفحات — قرارًا بتقليص الحد الأقصى لمدة صلاحية شهادات TLS على مراحل، من 398 يومًا إلى 47 يومًا. القرار مقترح من Apple ومرَّ بتأييد كامل وبلا اعتراض واحد.

انتبه للتاريخ الأول: نحن بعده بالفعل. أي شهادة تصدرها اليوم لن تتجاوز مدتها 200 يوم، مهما دفعت. وبحلول 2029 ستنتقل من تجديد واحد سنويًا إلى نحو ثمانية تجديدات في السنة لكل شهادة.

لماذا يحدث هذا؟ لأن آليات إلغاء الشهادات المخترقة أثبتت أنها غير موثوقة عمليًا، فصارت قِصَر المدة هي الوسيلة الأكثر اعتمادًا لتقليص نافذة الخطر. شهادة تسرّب مفتاحها الخاص تبقى قابلة للاستغلال حتى تنتهي — واختصار المدة يختصر هذه النافذة من ثلاثة عشر شهرًا إلى ستة أسابيع.

والسوق تسبق الجدول أصلًا: Let’s Encrypt — أكبر جهة إصدار مجانية — تُصدر شهاداتها الافتراضية بمدة 90 يومًا منذ سنوات، وأتاحت في 2026 خيار شهادات قصيرة العمر صالحة نحو ستة أيام فقط، وأعلنت خطة لتقليص مدة ملفها الافتراضي إلى 64 يومًا في 2027 ثم 45 يومًا في 2028.

ما الذي يجب أن تفعله أنت اليوم؟

• إن كان متجرك على منصة جاهزة: لا شيء. المنصة تتولى التجديد الآلي، وهذا التغيير لن تشعر به إطلاقًا — وهو ما ينطبق على المتاجر المبنية على منصات مثل فلك كارت التي تُدرج الشهادة وتجديدها ضمن إدارة النطاق نفسها. هذه واحدة من أوضح الميزات التشغيلية للمنصات الجاهزة، وستزداد وضوحًا كل عام.
• إن كنت تدير خادمك بنفسك: التجديد اليدوي انتهى عمليًا. اضبط أتمتة عبر ACME من الآن، واختبر أن التجديد التلقائي ينجح فعلًا مرتين متتاليتين قبل أن تعتمد عليه، وأضف مراقبة خارجية لتاريخ الانتهاء.
• إن كنت تشتري شهادات متعددة السنوات: راجع ما تشتريه. الدفع لسنوات لم يعد يعني شهادة طويلة المدة، بل إعادة إصدار متكررة ضمن الاشتراك.

ما الأخطاء الشائعة في إدارة شهادة SSL؟

هذه الأخطاء السبعة تتكرر في المتاجر بنسب متقاربة، وكلها قابلة للتفادي قبل وقوعها:

• المحتوى المختلط (Mixed Content): الصفحة تُحمَّل عبر HTTPS لكنها تستدعي صورة أو ملف تنسيق أو سكربتًا عبر HTTP. النتيجة: القفل يختفي أو يظهر بتحذير، وقد يُحجب المورد كليًا فتنكسر واجهة الصفحة. أشهر مصدر له: صور قديمة مرفوعة بروابط مطلقة قبل الانتقال إلى HTTPS.
• نسيان التجديد: أشهر سبب انقطاع على الإطلاق، وسيزداد شيوعًا مع تقصير المدد. علاجه أتمتة + تنبيه مستقل عن الخادم.
• نطاق فرعي غير مغطى: الشهادة تغطي store.com ولا تغطي checkout.store.com. النتيجة تحذير في أخطر صفحة لديك تحديدًا.
• سلسلة تحويلات متتابعة: http://store.com ← https://store.com ← https://www.store.com. كل حلقة إضافية تبطئ التحميل وتشوّش الفهرسة. اجعله تحويلًا واحدًا إلى الصيغة النهائية التي اخترتها.
• تعارض الروابط الأساسية: وسم Canonical أو خريطة الموقع ما زال يشير إلى نسخة http أو إلى صيغة نطاق مختلفة عن الصيغة المعتمدة. هذا يشتّت إشارات الفهرسة بصمت.
• سلسلة شهادات وسيطة ناقصة: يعمل على متصفحك وينكسر على أجهزة أخرى. اختبر دائمًا من أكثر من جهاز ومتصفح.
• الاكتفاء بالقفل كدليل ثقة: الشهادة تشفّر ولا توثّق. الثقة تُبنى ببيانات تواصل حقيقية وسياسات مكتوبة بمُدد محددة وتوثيق نظامي، لا بالقفل وحده.

ماذا يحدث عند انتهاء صلاحية شهادة SSL؟

يتوقف متجرك عمليًا عن العمل بالنسبة لأغلب الزوار. المتصفح لا يعرض تحذيرًا صغيرًا بل صفحة تحذير كاملة تحجب الموقع وتطلب من الزائر تأكيدًا صريحًا للمتابعة، وأغلب الزوار يغادرون عند هذه الشاشة.

والأثر يمتد إلى ما هو أبعد من الصفحة الرئيسية:

• صفحة الدفع تتعطل، وقد ترفض بوابة الدفع إتمام العمليات.
• التطبيقات وعمليات الربط تنقطع، لأن الاتصالات البرمجية بين الأنظمة ترفض الشهادة المنتهية بشكل قاطع بلا خيار تجاوز.
• الحملات الإعلانية قد تتوقف، لأن منصات الإعلانات تفحص صفحات الهبوط وترفض توجيه ميزانية إلى موقع يعرض تحذيرًا أمنيًا.
• قد تتأثر الفهرسة إن استمر الانقطاع أيامًا.

ما تفعله فورًا عند الانقطاع: جدّد الشهادة أو أعد إصدارها، ثم أعد تشغيل خدمة الخادم، ثم امسح ذاكرة التخزين المؤقت وتحقق من الظهور من جهاز خارجي لا من جهازك، ثم راجع لماذا لم يعمل التنبيه أصلًا. النقطة الأخيرة هي التي تمنع التكرار.

كيف تنقل موقعًا قائمًا من HTTP إلى HTTPS بلا خسارة ترتيب؟

الانتقال نفسه بسيط، لكن الخسارة تأتي من التفاصيل المهمَلة بعده لا من الانتقال ذاته. رتّب العملية على سبع خطوات بهذا الترتيب تحديدًا:

1. ثبّت الشهادة وتأكد أنها تعمل على كل الصيغ المستخدمة من نطاقك قبل أن تغيّر أي شيء آخر.
2. حدّد الصيغة النهائية الواحدة التي ستعتمدها — مع www أو بدونها — والتزم بها في كل مكان بلا استثناء.
3. فعّل تحويلًا دائمًا (301) من كل نسخة http إلى ما يقابلها في https مباشرة، بحلقة واحدة لا بسلسلة.
4. حدّث وسوم الروابط الأساسية (Canonical) في كل الصفحات لتشير إلى نسخة https بالصيغة المعتمدة.
5. حدّث الروابط الداخلية والموارد داخل المحتوى نفسه: الصور، والملفات، وأكواد التتبع، وأي مورد خارجي.
6. أعد توليد خريطة الموقع بالروابط الجديدة وأرسلها في أداة تحليل أداء البحث.
7. راقب أسبوعين: مرات الظهور، وأخطاء الزحف، وتقرير الفهرسة. الانخفاض الطفيف المؤقت طبيعي، والانخفاض المستمر يعني خطأ في إحدى الخطوات السابقة.

الخطأ الذي يكرره أغلب من ينقل موقعه: تحديث التحويلات ونسيان الروابط الداخلية. النتيجة أن كل رابط داخلي يمر بتحويل إضافي، فيتباطأ الموقع وتُهدر جزءًا من قوة صفحاتك بلا سبب.

وما HSTS ومتى تحتاجه؟

HSTS رأس أمان ترسله مع كل صفحة ليأمر المتصفح بعدم فتح موقعك عبر http إطلاقًا، حتى قبل إرسال أي طلب. فائدته أنه يغلق ثغرة الطلب الأول غير المشفّر الذي يسبق التحويل.

متى تفعّله؟ بعد أن تتأكد من عمل HTTPS على كل نطاقاتك الفرعية بلا استثناء ولمدة كافية. والسبب أن التفعيل ملزِم للمتصفح لمدة تحددها أنت، فإن انكسرت الشهادة على نطاق فرعي بعد التفعيل، لن يستطيع الزائر الوصول ولن يملك خيار التجاوز. ابدأ بمدة قصيرة، وتحقق، ثم مدّدها. ولا تُدرج نطاقك في قوائم التحميل المسبق (Preload) إلا بعد استقرار كامل، لأن الخروج منها بطيء ومعقّد.

في المتاجر المبنية على منصات جاهزة تُدار هذه الطبقة من جهة المنصة، وهذا أحد الفروق التشغيلية بين متجر على منصة مثل فلك كارت وموقع مبني من الصفر تتحمل فيه كل قرار أمني بنفسك.

حدود هذا الدليل

هذا الدليل تعريفي وتشغيلي، وليس استشارة أمنية أو قانونية. أسعار الشهادات وسياسات المزودين تتغير باستمرار، ولهذا لم يُذكر فيه أي رقم سعري — اطلب عرضًا مكتوبًا من المزود مباشرة. كما أن الجدول الزمني لتقصير المدد صادر عن جهة معيارية وقد يخضع لتعديلات لاحقة، فراجع الإعلان الرسمي عند التخطيط طويل المدى. وأخيرًا، متطلبات حماية البيانات الشخصية في المملكة تُحدَّث دوريًا، والمرجع النهائي لحالتك هو البوابة الرسمية لحماية البيانات لدى الهيئة السعودية للبيانات والذكاء الاصطناعي.

الأسئلة الشائعة

هل شهادة SSL المجانية كافية للمتجر الإلكتروني؟

نعم في أغلب الحالات. الشهادة المجانية الصادرة من جهة إصدار معتمدة تستخدم نفس معايير التشفير التي تستخدمها المدفوعة، وتُقبل من كل المتصفحات بلا فرق. الاختلاف في مستوى التحقق من هويتك والدعم الفني والضمان المالي، لا في قوة الحماية. فكّر في المدفوعة فقط إن كنت تحتاج تحققًا من مستوى OV أو EV لسبب امتثالي محدد.

ما الفرق بين SSL وTLS؟

TLS هو الخليفة الفعلي لـ SSL، وهو البروتوكول العامل اليوم بإصداريه 1.2 و1.3، بينما توقف استخدام SSL نفسه منذ سنوات لثغرات أمنية. لكن مصطلح “شهادة SSL” بقي هو الاسم التجاري السائد في السوق، ولهذا يكتب أغلب المزودين “SSL/TLS”. عمليًا: حين تشتري شهادة SSL اليوم فأنت تشتري شهادة TLS، والاسم وحده هو ما بقي قديمًا.

كم مرة يجب تجديد شهادة SSL؟

المدة تقصر تدريجيًا بقرار معياري عالمي: الحد الأقصى أصبح 200 يوم منذ مارس 2026، وينزل إلى 100 يوم في مارس 2027، ثم إلى 47 يومًا في مارس 2029. وبعض الجهات المجانية تصدر شهادات بمدة 90 يومًا أو أقل بكثير أصلًا. الخلاصة العملية: لا تعتمد على التجديد اليدوي، وفعّل أتمتة التجديد وتنبيهًا مستقلًا يراقب تاريخ الانتهاء.

لماذا يظهر تحذير “غير آمن” رغم تثبيت شهادة SSL؟

أشهر ثلاثة أسباب: وجود محتوى مختلط، أي أن الصفحة تستدعي صورة أو سكربتًا عبر http داخل صفحة https؛ أو أن الشهادة لا تغطي الصيغة المفتوحة من النطاق — مع www أو بدونها أو نطاقًا فرعيًا؛ أو أن سلسلة الشهادات الوسيطة لم تُثبَّت كاملة على الخادم. افحص لسان Console في أدوات المطور، فهو يحدد المورد المسبب بالاسم مباشرة.

الخلاصة

شهادة SSL شرط تشغيل لا ميزة تنافسية: بدونها لا تعمل بوابة الدفع، ويطرد المتصفح زوارك، ويظل التزامك بحماية البيانات ناقصًا. اختر DV لنطاق واحد إن كنت متجر تجزئة عاديًا، ولا تدفع فرقًا مقابل شريط أخضر أزالته المتصفحات منذ 2019. تعامل مع أثرها في السيو بحجمه الحقيقي — شرط دخول لا رافعة ترتيب. والأهم: اضبط التجديد آليًا اليوم، لأن المدد تنكمش عامًا بعد عام حتى 47 يومًا في 2029، والإدارة اليدوية لم تعد خيارًا واقعيًا.

وأبسط طريقة لتخرج من هذه المسألة كليًا هي أن تبني متجرك على منصة تتولاها عنك. على منصة فلك كارت تُدرج شهادة SSL ضمن إعدادات النطاق مع ربط النطاق المخصص وإدارة DNS، وتُجدَّد آليًا بلا متابعة منك، فيتفرغ وقتك للمنتج والتسويق بدل مراقبة تواريخ انتهاء.

ابدأ الآن: أنشئ متجرك الإلكتروني مجانًا بنطاق وشهادة أمان جاهزين