شهادة SSL: ما هي وما أنواعها ومتى تكفيك المجانية؟ دليل لأصحاب الأعمال

في هذا الدليل

1. ما هي شهادة SSL؟
2. أنواع الشهادات: DV وOV وEV
3. مجانية أم مدفوعة؟
4. تحذيرات المتصفح وأسبابها
5. المحتوى المختلط
6. التجديد وقِصر مدة الشهادات
7. النماذج والدفع الإلكتروني
8. قائمة فحص لموقعك
9. شهادة SSL في مواقع ويبنا
10. أسئلة شائعة
11. الخلاصة

ما هي شهادة SSL؟ ولماذا تسمع أيضًا TLS وHTTPS؟

شهادة SSL ملف رقمي صغير يُثبَّت على الخادم الذي يستضيف موقعك. تصدره جهة إصدار معتمدة تُسمى Certificate Authority، بعد أن تتحقق من أنك تتحكم فعلًا في الدومين. وللشهادة وظيفتان: تثبت للمتصفح أن الموقع الذي يتصل به هو صاحب هذا الدومين، وتتيح تشفير كل ما يتبادله جهاز الزائر مع موقعك.

تخيّل الأمر كظرف مختوم. بدون الشهادة تنتقل بيانات زائرك مثل بطاقة بريدية مكشوفة يقرؤها كل من تمر بيده. ومع الشهادة توضع في ظرف لا يفتحه إلا موقعك.

SSL وTLS: اسم قديم واسم حديث

SSL اختصار Secure Sockets Layer، وهو البروتوكول الأول الذي استُخدم لتأمين المواقع. ثم حلّ محله بروتوكول أحدث وأقوى اسمه TLS. لكن السوق احتفظ بالاسم القديم، فما زالت الاستضافات وجهات الإصدار تقول «شهادة SSL» وهي تقصد شهادة تعمل مع TLS. لا تشغل نفسك بالمصطلح. المهم عمليًا أن يدعم خادم موقعك إصدارات TLS الحديثة، لأن المتصفحات الكبرى أوقفت دعم الإصدارات القديمة منذ سنوات.

HTTPS والقفل: ما يراه زائرك

حين تعمل الشهادة يبدأ رابط موقعك بـ https بدل http. حرف S يعني Secure، أي أن الاتصال مشفر. وبجانب الرابط يعرض المتصفح رمزًا يدل على ذلك. كان هذا الرمز لسنوات طويلة قفلًا صغيرًا، وبعض المتصفحات استبدلته اليوم برمز لإعدادات الموقع، لكن المعنى واحد: الاتصال مشفر والشهادة صالحة. أما الموقع الذي يعمل بلا شهادة فتضع المتصفحات بجانبه عبارة «غير آمن».

ماذا تثبت الشهادة؟ وماذا لا تثبت؟

هنا يقع كثير من أصحاب الأعمال في سوء فهم. الشهادة تثبت ثلاثة أشياء:

• أن البيانات تنتقل مشفرة، فلا يقرأ كلمة المرور أو بيانات النموذج من يراقب الشبكة في الطريق، مثل شبكة واي فاي عامة في مقهى أو مطار.
• أن أحدًا لم يعدّل الصفحة أثناء انتقالها، فلا تُحقن فيها إعلانات أو روابط ضارة.
• أن الشهادة صدرت لهذا الدومين تحديدًا من جهة يثق بها المتصفح.

ولا تثبت الشهادة ثلاثة أشياء يظنها الناس فيها:

• أن صاحب الموقع منشأة حقيقية أو أمينة. المواقع المحتالة تحصل على شهادات مجانية بسهولة، ويظهر بجانبها القفل نفسه.
• أن الموقع غير مخترق. الموقع المخترق قد يعمل عبر HTTPS وينقل برمجيات ضارة بتشفير ممتاز.
• أن البيانات محفوظة بأمان بعد وصولها إلى الخادم. الشهادة تحمي الطريق، أما التخزين فمسؤولية الاستضافة والإعدادات.

مثال عملي: صاحب مكتب محاسبة في الدمام يضع في موقعه نموذج «اطلب استشارة» يكتب فيه العميل اسمه ورقم جواله ونشاطه. يملأ أحد العملاء النموذج من شبكة مقهى عامة. بدون HTTPS تنتقل هذه البيانات نصًا مقروءًا لمن يراقب الشبكة. ومع HTTPS تنتقل مشفرة لا يفهمها أحد غير موقعك. لذلك فالشهادة شرط لا يُستغنى عنه، لكنها ليست خطة الحماية كلها. للخطة الكاملة راجع دليل حماية موقع ووردبريس من الاختراق.

أنواع شهادة SSL: DV وOV وEV بلغة بسيطة

تختلف الشهادات في أمرين: مستوى التحقق، أي ما تتحقق منه جهة الإصدار قبل أن تصدر الشهادة، والتغطية، أي كم دومينًا ونطاقًا فرعيًا تحمي. أما التشفير نفسه فمتقارب في كل الأنواع؛ الشهادة الأغلى لا تشفر بقوة أكبر.

النوع	ما الذي تتحقق منه جهة الإصدار	طريقة الإصدار	ما يراه الزائر	يناسب
DV: التحقق من الدومين	أنك تتحكم في الدومين فقط، بملف على الموقع أو سجل في DNS	آلية غالبًا، وتصدر خلال دقائق	اتصال آمن، دون اسم منشأة	معظم المواقع التعريفية والمدونات والمتاجر الصغيرة وصفحات الهبوط
OV: التحقق من المنشأة	الدومين، ثم وجود المنشأة واسمها بمستندات رسمية	مراجعة يدوية تستغرق وقتًا أطول	الرمز نفسه في شريط العنوان، واسم المنشأة داخل تفاصيل الشهادة	شركات تطلب سياساتها الداخلية أو عملاؤها تحققًا من المنشأة
EV: التحقق الموسّع	فحص أدق للمنشأة ووضعها القانوني وصلاحية من يطلب الشهادة	أطول إجراءً وأكثر مستندات	لا فرق واضح في شريط العنوان في المتصفحات الحديثة	جهات يفرض عليها عقد أو جهة رقابية هذا المستوى

كلمة صريحة عن EV: كانت المتصفحات قديمًا تعرض اسم الشركة بجانب الرابط بلون مميز، ولم تعد المتصفحات الرئيسية تفعل ذلك. فلا تدفع مقابل هذا النوع على أمل علامة خاصة يراها زبائنك. إن طُلب منك EV فليكن ذلك لأن عقدًا أو سياسة تشترطه، لا لأنه «يبدو أقوى».

التغطية: دومين واحد أم عدة دومينات أم Wildcard؟

• شهادة لدومين واحد: تحمي اسمًا واحدًا. تأكد أنها تشمل النسخة مع www والنسخة بدونها، وإلا ظهر التحذير لمن يكتب إحداهما.
• شهادة متعددة الأسماء (SAN): تجمع عدة دومينات في شهادة واحدة، مثل دومين .sa ودومين .com لنفس الشركة.
• شهادة Wildcard: تغطي كل النطاقات الفرعية من مستوى واحد، مثل shop.example.sa وbooking.example.sa، وتفيد إذا كان لديك متجر أو نظام حجز على نطاق فرعي.

وتذكر صفحة الأسئلة الشائعة في Let's Encrypt أنها تصدر الشهادات متعددة الأسماء وشهادات Wildcard أيضًا، وأن Wildcard تتطلب إثبات التحكم في الدومين عبر سجل DNS. أي أن التغطية الواسعة لم تعد سببًا وحده لشراء شهادة مدفوعة.

شهادة SSL مجانية أم مدفوعة؟

أشهر مصدر للشهادات المجانية هو Let's Encrypt، وهي جهة إصدار غير ربحية. تقول في صفحة أسئلتها الشائعة إنها لا تتقاضى رسومًا على شهاداتها، وإنها تصدر شهادات DV فقط ولا تخطط لإصدار OV أو EV، لأن هذين النوعين لا يمكن إصدارهما آليًا. وتقول أيضًا إن معظم المتصفحات وأنظمة التشغيل تثق بشهاداتها. وتوفر معظم الاستضافات هذه الشهادات من لوحة التحكم بضغطة أو تلقائيًا، مع تنبيه في الصفحة نفسها إلى أن بعض مزودي الاستضافة قد يتقاضون رسومًا رمزية مقابل إدارتها.

أسعار الشهادات المدفوعة تختلف كثيرًا بين الجهات والوكلاء، فلا تقارن بالسعر أولًا. اسأل عن أربعة أشياء قبله: نوع التحقق، والأسماء التي تغطيها، ومدة الشهادة، وهل يجري التجديد آليًا. وإن عرض عليك مزود استضافة شهادة DV مدفوعة سنويًا وهو يدعم الشهادات المجانية، فاسأله بوضوح ما الذي تضيفه فعلًا. ولأسئلة الاستضافة الأخرى قبل التعاقد راجع دليل اختيار الاستضافة في السعودية.

تحذيرات المتصفح: ماذا يرى زائرك حين تخطئ الشهادة؟

تحذيرات المتصفح هي النتيجة التي تخسر بسببها العملاء فعلًا. ولكل تحذير سبب شائع وحل واضح:

ما يراه الزائر	السبب الشائع	الحل
عبارة «غير آمن» بجانب الرابط	الموقع يعمل عبر http بلا شهادة	فعّل الشهادة وحوّل كل الروابط إلى https
صفحة كاملة تقول إن الاتصال ليس خاصًا	الشهادة منتهية الصلاحية	جدّد فورًا، ثم فعّل التجديد التلقائي والتنبيه
الصفحة نفسها مع إشارة إلى اسم لا يطابق	الشهادة لا تغطي الاسم المطلوب، مثل www أو نطاق فرعي	أضف الاسم إلى الشهادة أو أصدر شهادة تغطيه
تحذير من شهادة غير موثوقة	شهادة موقعة ذاتيًا، أو شهادات وسيطة ناقصة على الخادم	ثبّت شهادة من جهة معتمدة مع سلسلتها كاملة
الرمز لا يظهر كاملًا رغم وجود الشهادة	محتوى مختلط في الصفحة	انظر القسم التالي

والتحذيرات تزداد صرامة. أعلنت جوجل في مدونتها الأمنية أنها ستفعّل في متصفح Chrome، ابتداءً من الإصدار 154 المقرر في أكتوبر 2026، خيار «استخدام الاتصالات الآمنة دائمًا» افتراضيًا لكل المستخدمين. معنى ذلك أن المتصفح يطلب إذن المستخدم قبل أول دخول إلى أي موقع عام لا يعمل عبر HTTPS. فالموقع بلا شهادة لم يعد يُظهر علامة صغيرة يتجاهلها الزائر فقط، بل قد يقف عميلك الجديد أمام صفحة تحذير قبل أن يرى موقعك.

وتذكّر أن معظم زوارك يأتون من الجوال، وفيه يملأ التحذير الشاشة كلها. والزائر الذي جاء من إعلان دفعت ثمنه ثم رأى صفحة تحذير، خسارة مضاعفة: دفعت ثمن النقرة ولم تحصل على العميل.

المحتوى المختلط: لماذا يختفي القفل رغم وجود الشهادة؟

المحتوى المختلط مشكلة شائعة بعد نقل موقع قديم إلى HTTPS. تشرحه وثائق MDN بأنه صفحة تُحمَّل عبر HTTPS لكنها تطلب بعض مواردها، مثل الصور أو السكربتات، عبر http غير المشفر. وهذه الموارد قد يقرؤها أو يعدّلها طرف في الطريق، فتصبح الصفحة كلها غير مأمونة.

وبحسب MDN تتعامل المتصفحات مع المشكلة بطريقتين: ترقّي طلبات الصور والصوت والفيديو تلقائيًا إلى https، وتحجب الأنواع الأخرى مثل السكربتات وملفات التنسيق والإطارات المضمّنة. والنتيجة التي يراها صاحب النشاط ليست رسالة تقنية، بل أعراض محيرة:

• صورة لا تظهر، لأن مصدرها لا يدعم https.
• زر حجز أو نموذج تواصل مضمّن من خدمة خارجية يختفي من الصفحة.
• خريطة أو فيديو لا يُحمَّل، أو تنسيق الصفحة يبدو مكسورًا.
• رمز الاتصال الآمن لا يظهر كاملًا، فيتردد الزائر.

من أين يأتي المحتوى المختلط؟

غالبًا من روابط مكتوبة كاملة تبدأ بـ http داخل المحتوى أو القالب: صور رُفعت حين كان الموقع على http فحُفظ رابطها القديم في قاعدة البيانات، أو كود مضمّن قديم لخريطة أو أداة تتبع، أو إضافة تحمّل ملفًا من رابط ثابت.

كيف تعالجه؟

1. افتح صفحاتك المهمة واحدة واحدة، لا الرئيسية فقط، وافتح أدوات المطور في المتصفح وابحث في الـ Console عن تحذيرات Mixed Content، كما توصي MDN.
2. خذ نسخة احتياطية، ثم استبدل روابط http بروابط https في الإعدادات والقالب والمحتوى. في ووردبريس ابدأ بعنوان الموقع في الإعدادات العامة، ثم الروابط داخل قاعدة البيانات بأداة بحث واستبدال موثوقة.
3. إن كان مصدر خارجي لا يدعم https، فاستبدله بخدمة تدعمه أو استضف الملف عندك.
4. أعد الفحص بعد كل إضافة جديدة أو كود مضمّن، لأن المشكلة تعود بسطر واحد.

تجديد شهادة SSL: لماذا تقصر مدتها كل عام؟

لكل شهادة تاريخ انتهاء، وبعده يعرض المتصفح صفحة التحذير الكاملة لكل زائر. وكانت الشهادات قديمًا تصدر لسنوات، ثم لسنة واحدة. أما اليوم فالاتجاه واضح: مدد أقصر وتجديد آلي.

تصدر Let's Encrypt شهاداتها الافتراضية لمدة 90 يومًا، وتوصي بتجديدها كل 60 يومًا. وأعلنت أنها ستقلص المدة على مراحل: من 10 فبراير 2027 تصبح الشهادة الافتراضية 64 يومًا، ومن 16 فبراير 2028 تصبح 45 يومًا. وتوضح أن هذا التغيير يجري مع بقية القطاع، لأن متطلبات CA/Browser Forum، وهو الاتحاد الذي يجمع جهات الإصدار والمتصفحات، تفرضه على كل جهات الإصدار العامة. أي أن الشهادات المدفوعة تقصر مدتها أيضًا، لا المجانية وحدها.

ماذا يعني هذا لصاحب النشاط؟

يعني أن التجديد اليدوي مرة في السنة نموذج انتهى. توصي Let's Encrypt صراحة بعدم التجديد اليدوي، وبوجود مراقبة تنبّه إذا لم تتجدد الشهادة في موعدها. مثال: شركة مقاولات اشترت قبل سنوات شهادة سنوية، ويجددها موظف يدويًا حين تصله رسالة التذكير. حين تقصر المدة إلى أسابيع يصبح التجديد مهمة متكررة يسهل نسيانها، ويوم تُنسى يرى كل زائر صفحة تحذير، وقد لا يخبرك أحد.

لذلك اسأل من يدير موقعك ثلاثة أسئلة واضحة:

1. هل تتجدد الشهادة آليًا على الخادم، دون تدخل أحد؟
2. من يصله التنبيه إذا فشل التجديد؟ وكم يومًا قبل الانتهاء؟
3. هل يغطي التجديد كل الأسماء: الدومين مع www وبدونها وأي نطاق فرعي؟

ولا تنس أن الشهادة مربوطة بالدومين. إن انتهى تسجيل الدومين نفسه توقف الموقع كله، فتابع تاريخ تجديده أيضًا، خاصة إن كان دومينًا سعوديًا؛ وتجد شروطه في دليل حجز دومين سعودي .sa.

شهادة SSL للنماذج وتسجيل الدخول والدفع الإلكتروني

كل صفحة يكتب فيها الزائر شيئًا تحتاج HTTPS: نموذج التواصل، وطلب عرض السعر، والحجز، وتسجيل الدخول، ولوحة تحكم موقعك نفسها. والأصح ألا تكتفي بتأمين هذه الصفحات وحدها، بل أن يعمل الموقع كله عبر HTTPS، لأن الزائر ينتقل بين الصفحات، ولأن صفحة غير آمنة واحدة قد تُعدَّل في الطريق فتُوجّه النموذج إلى مكان آخر.

الدفع الإلكتروني: ما دور الشهادة بالضبط؟

في معظم مواقع الشركات والمتاجر الصغيرة لا يُكتب رقم البطاقة في موقعك أصلًا. يُدخله العميل في صفحة بوابة الدفع أو في حقل آمن تديره البوابة داخل صفحتك، فلا تمر بيانات البطاقة على خادمك. لكن هذا لا يعفيك من الشهادة. صفحة السلة والطلب تحمل اسم العميل وعنوانه ورقم جواله، والتحويل إلى البوابة يجب أن يبدأ من صفحة آمنة. ولهذا تطلب بوابات الدفع عادةً أن يعمل موقعك عبر HTTPS قبل تفعيل الدفع الحقيقي. ولتفاصيل اختيار البوابة وربطها راجع دليل بوابات الدفع الإلكتروني في السعودية.

الثقة: الشهادة شرط أدنى لا ميزة

لن يشكرك عميل لأن موقعك يعمل عبر HTTPS، لكنه سيغادر إن لم يكن كذلك. فالشهادة اليوم شرط أدنى مثل رقم الجوال الصحيح. ما يبني الثقة فوقها هو معلومات المنشأة الواضحة، والعنوان، وطرق التواصل، وسياسة الخصوصية. ونشرح هذه العناصر في دليل علامات الثقة في الموقع.

قائمة فحص شهادة SSL لموقعك

طبّق هذه الخطوات بالترتيب على موقعك الحالي، أو اطلبها ممن يديره. لا تحتاج خبرة تقنية لتنفيذ الخطوة الأولى، وتكشف لك وحدها معظم المشكلات:

وبعد أن يستقر كل شيء على HTTPS، يمكن لمن يدير موقعك تفعيل إعداد اسمه HSTS، يطلب من المتصفح ألا يفتح موقعك إلا عبر اتصال آمن. لكن لا تفعّله قبل التأكد من كل النطاقات الفرعية، لأن التراجع عنه لا يسري فورًا على أجهزة من زاروك.

وإن ظهر تحذير مفاجئ على موقع كان سليمًا، مع صفحات غريبة أو تحويل إلى مواقع أخرى، فقد لا تكون المشكلة في الشهادة أصلًا. راجع حينها دليل التعامل مع اختراق الموقع.

شهادة SSL في مواقع ويبنا

في ويبنا لا تشتري شهادة SSL ولا تتابعها بنفسك. الاستضافة وشهادة الأمان مشمولتان في كل الباقات دون رسوم إضافية، من موقع الصفحة الواحدة على نطاق فرعي من ويبنا الذي يبدأ من 39 ريال سعودي شهريًا، إلى المواقع على دومينك الخاص. فيعمل موقعك عبر HTTPS من يوم إطلاقه. وفي كل باقة أيضًا:

• نكتب محتوى موقعك لك، بالعربية أو الإنجليزية أو باللغتين بواجهة كاملة لكل لغة.
• نرسل لك التصميم على رابط معاينة خلال 24 ساعة من اكتمال معلوماتك، قبل إطلاقه على دومينك.
• دومين مسجل باسمك في كل موقع على دومين خاص.
• استرداد المبلغ إن لم يعجبك التصميم في مرحلة التصميم، وفق سياسة الإلغاء والاسترجاع.
• الاستشارة مجانية دائمًا.

سعر الموقع على دومينك يعتمد على نوعه ولغاته وعدد صفحاته، وتراه في ثوانٍ في حاسبة الأسعار. وتجد ما يشمله العمل في صفحة خدمة تصميم المواقع الإلكترونية للشركات، وتعرّف على ويبنا من تصميم مواقع الشركات مع ويبنا.

وإن كان لديك موقع قائم يظهر عليه تحذير، أو تريد نقل دومين أو استضافة أو إعداد بريد رسمي، فخدمة الدومين والاستضافة والبريد الرسمي تتولى ذلك بعرض مكتوب بعد استشارة مجانية. ولمتابعة موقعك بعد الإطلاق هناك خدمة صيانة المواقع والدعم الفني.

أسئلة شائعة

الخلاصة

شهادة SSL هي ما يجعل موقعك يعمل عبر HTTPS: تشفر الطريق بين زائرك وموقعك، وتمنع تحذيرات المتصفح التي تطرد العملاء. لا تثبت الشهادة أمانة صاحب الموقع ولا تحميه من الاختراق، لكنها شرط أدنى لا غنى عنه. لمعظم مواقع الشركات تكفي شهادة DV مجانية، بشرط أن تغطي كل أسماء موقعك، وأن تتجدد آليًا مع تنبيه عند الفشل، وأن يخلو الموقع من المحتوى المختلط. ومع قِصر مدة الشهادات عامًا بعد عام، صار السؤال الأهم ليس «أي شهادة أشتري؟» بل «من يتأكد أنها تتجدد؟».

المراجع (اطُّلع عليها في 1 نوفمبر 2026): الأسئلة الشائعة في Let's Encrypt عن مجانية الشهادات وأنواعها ومدتها، وإعلان Let's Encrypt عن تقليص مدة الشهادات إلى 45 يومًا، وشرح MDN للمحتوى المختلط، ومدونة Google الأمنية: HTTPS افتراضيًا في Chrome. ومن ويبنا: صفحة الأسعار وخدمة الدومين والاستضافة والبريد.