كيف يعمل HTTPS و TLS حقًا: دليل عملي

ربما رأيت رمز القفل في متصفحك وتعرف أنه يعني "آمن". لكن ماذا يحدث فعليًا عند زيارة موقع HTTPS؟ كيف يتفق متصفحك والخادم على مفاتيح التشفير دون أن يتنصت أحد؟ إذا كنت مطورًا، فإن فهم TLS ضروري لتصحيح مشكلات الاتصال، وتكوين الخوادم، وبناء تطبيقات آمنة.

يشرح هذا الدليل HTTPS و TLS بعبارات عملية. سنغطي المصافحة والشهادات والتشفير، ونقدم لك خطوات قابلة للتنفيذ لتأمين موقعك.

ما هو TLS وكيف يرتبط بـ HTTPS؟

TLS (أمان طبقة النقل) هو بروتوكول تشفير يوفر اتصالاً آمنًا عبر الشبكة. HTTPS هو ببساطة HTTP فوق TLS. عندما ترى https://، فهذا يعني أن حركة HTTP مشفرة باستخدام TLS.

يضمن TLS ثلاثة أمور:

• السرية: يتم تشفير البيانات بحيث لا يستطيع المتنصتون قراءتها.
• السلامة: لا يمكن تعديل البيانات أثناء النقل دون اكتشاف ذلك.
• المصادقة: يثبت الخادم هويته عبر الشهادات.

بدون TLS، أي بيانات ترسلها (كلمات المرور، بطاقات الائتمان، الرسائل) تنتقل كنص عادي ويمكن اعتراضها.

مصافحة TLS: خطوة بخطوة

قبل تبادل أي بيانات مشفرة، يقوم العميل والخادم بإجراء مصافحة للاتفاق على خوارزميات التشفير وإنشاء مفاتيح مشتركة. إليك نسخة مبسطة من مصافحة TLS 1.3 (المعيار الحديث):

1. Client Hello: يرسل العميل قائمة بمجموعات التشفير المدعومة، وقيمة عشوائية، ومعلمات أخرى.
2. Server Hello: يختار الخادم مجموعة تشفير، ويرسل قيمته العشوائية الخاصة، ويقدم شهادته.
3. تبادل المفاتيح: باستخدام المفتاح العام للشهادة، يستخلص العميل والخادم سرًا مشتركًا (باستخدام Diffie-Hellman).
4. الانتهاء: يتحقق الطرفان من المصافحة ويبدآن في تشفير بيانات التطبيق.

في TLS 1.3، تستغرق هذه العملية رحلة ذهاب وعودة واحدة فقط، مما يجعلها أسرع من الإصدارات الأقدم.

لماذا الشهادات مهمة

الشهادات هي هويات رقمية تصدرها جهات إصدار الشهادات (CAs). تحتوي على المفتاح العام للخادم ويتم توقيعها من قبل CA لإثبات الأصالة. عندما يتصل متصفحك، فإنه يتحقق من:

• هل الشهادة موقعة من قبل CA موثوقة؟
• هل اسم النطاق مطابق؟
• هل الشهادة منتهية الصلاحية أو ملغاة؟

إذا فشل أي فحص، سترى تحذيرًا. الشهادات الموقعة ذاتيًا مناسبة للاختبار ولكن ليس للإنتاج.

التشفير في TLS: متماثل وغير متماثل

يستخدم TLS كلاً من التشفير غير المتماثل والمتماثل:

• التشفير غير المتماثل (مثل RSA، ECDSA) يُستخدم أثناء المصافحة لتبادل المفاتيح بشكل آمن. إنه بطيء لكنه يحل مشكلة توزيع المفاتيح.
• التشفير المتماثل (مثل AES، ChaCha20) يُستخدم لتشفير البيانات المجمعة بعد المصافحة. إنه سريع وفعال.

يستخدم TLS 1.3 الحديث Diffie-Hellman المؤقت لتبادل المفاتيح، مما يوفر السرية الأمامية: حتى إذا تم اختراق المفتاح الخاص للخادم لاحقًا، تبقى الجلسات السابقة آمنة.

خطوات عملية لتطبيق HTTPS على موقعك

هل أنت مستعد لتأمين موقعك؟ اتبع هذه الخطوات:

1. احصل على شهادة: استخدم Let's Encrypt (مجانًا) أو CA تجارية.
2. قم بتثبيت الشهادة على خادم الويب الخاص بك (Nginx، Apache، إلخ).
3. قم بتكوين خادمك لاستخدام بروتوكولات وتشفيرات قوية. عطّل TLS 1.0/1.1 و SSLv3.
4. أعد توجيه HTTP إلى HTTPS باستخدام إعادة توجيه 301.
5. فعّل HSTS (أمان النقل الصارم عبر HTTP) لإجبار المتصفحات على استخدام HTTPS.
6. اختبر تكوينك باستخدام أدوات مثل SSL Labs' SSL Test.

إليك مقتطف تكوين Nginx نموذجي لـ HTTPS:

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate /path/to/fullchain.pem;
    ssl_certificate_key /path/to/privkey.pem;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
    ssl_prefer_server_ciphers off;

    add_header Strict-Transport-Security "max-age=63072000" always;

    location / {
        root /var/www/html;
        index index.html;
    }
}

تذكر تجديد الشهادات تلقائيًا (على سبيل المثال، باستخدام Certbot).

المزالق الشائعة في TLS وكيفية تجنبها

• الشهادات المنتهية الصلاحية: قم بإعداد التجديد التلقائي والمراقبة.
• المحتوى المختلط: تأكد من تحميل جميع الموارد (الصور، النصوص البرمجية) عبر HTTPS.
• التشفيرات الضعيفة: استخدم فقط مجموعات التشفير القوية؛ عطّل RC4، DES، إلخ.
• شهادات وسيطة مفقودة: قم بتضمين السلسلة الكاملة في تكوين خادمك.
• عدم وجود HSTS: بدون HSTS، يمكن تخفيض مستوى المستخدمين إلى HTTP.

الأسئلة الشائعة

ما الفرق بين TLS و SSL؟

SSL هو سلف TLS. إصدارات SSL مهملة بسبب ثغرات أمنية. عندما يقول الناس "شهادة SSL"، فإنهم عادة يقصدون شهادة TLS. استخدم دائمًا TLS 1.2 أو 1.3.

كيف يؤثر HTTPS على الأداء؟

يضيف TLS الحديث زمن وصول ضئيلاً (رحلة ذهاب وعودة واحدة في TLS 1.3). مع استئناف الجلسة و HTTP/2، يكون الحمل ضئيلاً. في الواقع، يمكّن HTTPS بروتوكولات أسرع مثل HTTP/2 وضغط Brotli.

هل يمكنني استخدام HTTPS بدون شهادة من CA؟

يمكنك استخدام شهادة موقعة ذاتيًا، لكن المتصفحات ستعرض تحذيرًا. للمواقع العامة، استخدم دائمًا شهادة من CA موثوقة. يوفر Let's Encrypt شهادات مجانية موثوقة من قبل جميع المتصفحات الرئيسية.

هل تحتاج إلى التحقق بسرعة من رؤوس الأمان لموقعك أو إنشاء تكوين آمن؟ جرب محلل سجلات Nginx الخاص بنا لفحص حركة المرور والتأكد من أن إعداد HTTPS يعمل بشكل صحيح.