أخطاء شهادة SSL: ماذا تعني وكيف تُصلحها

آخر مراجعة: 20‏/10‏/2026

عندما يعرض المتصفح رسالة «اتصالك ليس خاصًا» فهذا يعني أن شهادة الخادم أخفقت في أحد فحوص قليلة. يخبرك رمز الخطأ بأيها. وعندما تعرف أين تبحث، يُصلَح معظمها في دقائق.

باختصار

لمعظم الأخطاء أحد أربعة أسباب: شهادة منتهية، أو شهادة لا تغطي الاسم الذي فتحته، أو شهادة وسيطة مفقودة، أو جهة إصدار لا يثق بها المتصفح.
الشهادات المجانية مثل Let's Encrypt قصيرة العمر، لذا فالتجديد التلقائي ضروري.
منذ 15 مارس 2026 لا تتجاوز صلاحية الشهادات الموثوقة علنًا 200 يوم، وستنخفض إلى 100 يوم في 2027 وإلى 47 يومًا في 2029.
افحص الشهادة عبر فحص SSL ودع المراقبة تنبّهك قبل انتهائها.

رموز الأخطاء

الخطأ (Chrome)	المعنى	الحل
`NET::ERR_CERT_DATE_INVALID`	انتهت صلاحية الشهادة أو لم تبدأ بعد	جدّد الشهادة وأعد تحميل خادم الويب؛ وإن بدت صالحة فتحقق من ساعة الجهاز.
`NET::ERR_CERT_COMMON_NAME_INVALID`	الشهادة لا تغطي الاسم الذي فتحته	استخرج شهادة تضم كل الأسماء المستخدمة: example.com وwww.example.com والنطاقات الفرعية (أو شهادة wildcard).
`NET::ERR_CERT_AUTHORITY_INVALID`	جهة الإصدار غير موثوقة: شهادة ذاتية التوقيع أو جهة داخلية أو شهادة وسيطة مفقودة	استخدم جهة إصدار موثوقة علنًا وثبّت السلسلة الكاملة.
`ERR_SSL_VERSION_OR_CIPHER_MISMATCH`	الخادم لا يقدّم إلا بروتوكولات أو خوارزميات تشفير قديمة	فعّل TLS 1.2 وTLS 1.3.
`NET::ERR_CERT_REVOKED`	ألغت جهة الإصدار الشهادة	استخرج شهادة جديدة، ومفتاحًا جديدًا إن كان المفتاح القديم قد تسرّب.
`ERR_TOO_MANY_REDIRECTS`	حلقة إعادة توجيه بين HTTP وHTTPS، غالبًا مع شبكة CDN في وضع «flexible»	استخدم وضع full/strict في CDN واترك إعادة توجيه واحدة على الخادم.

شهادة منتهية الصلاحية

يعرض Firefox المشكلة نفسها بالرمز SEC_ERROR_EXPIRED_CERTIFICATE. شهادات Let's Encrypt صالحة 90 يومًا، ويجددها تلقائيًا عميل ACME مثل certbot أو لوحة الاستضافة. وكثيرًا ما يفشل التجديد بصمت: أُغلق المنفذ 80، أو نُقل DNS إلى خادم آخر، أو لم يُعَد تحميل خادم الويب بعد وصول الشهادة الجديدة.

تقلّص قواعد CA/Browser Forum عمر الشهادات: 398 يومًا كحد أقصى حتى 15 مارس 2026، ثم 200 يوم، ثم 100 يوم اعتبارًا من 15 مارس 2027، و47 يومًا اعتبارًا من 15 مارس 2029. لم يعد التجديد اليدوي عمليًا، فاجعله تلقائيًا عبر ACME.

شهادة وسيطة مفقودة

يجب أن يرسل الخادم شهادته مع الشهادة أو الشهادات الوسيطة. كثيرًا ما تسدّ متصفحات الحاسوب هذا النقص من ذاكرتها المؤقتة، فيبدو أن الموقع «يعمل عندي» لكنه يفشل على الهواتف وفي التطبيقات وcurl وعملاء الـAPI. ثبّت السلسلة الكاملة: fullchain.pem في Let's Encrypt، أو حقل «CA bundle» في لوحات الاستضافة. يُظهر فحص SSL ما إذا كانت السلسلة مكتملة.

عدم تطابق الاسم

تُدرَج الأسماء التي تغطيها الشهادة في حقل SAN (Subject Alternative Name)، ويعرض Firefox هذا الخطأ بالرمز SSL_ERROR_BAD_CERT_DOMAIN. شهادة wildcard مثل *.example.com تغطي مستوى واحدًا فقط (shop.example.com)، ولا تغطي example.com نفسه ولا a.b.example.com. وإذا كان الموقع يفتح أيضًا مع www فيجب أن تتضمن الشهادة الاسمين.

أسباب أخرى

المحتوى المختلط: صفحة HTTPS تحمّل سكربتات أو صورًا أو ملفات تنسيق عبر http://، فيختفي القفل أو يُحجب المحتوى. غيّر هذه العناوين إلى https://.
HSTS: بعد أن يرسل الموقع HSTS مرة، لا تسمح المتصفحات بتجاوز أخطاء الشهادة حتى تنتهي مدة max-age. والحل إصلاح الشهادة لا إيقاف HTTPS.
CAA: إذا كانت لنطاقك سجلات CAA فلا يحق إلا للجهات المدرجة فيها إصدار الشهادات، وإذا لم تكن جهتك مدرجة فسيفشل التجديد.
الساعة الخاطئة على الجهاز تجعل الشهادات تبدو منتهية أو غير صالحة بعد.
برامج مكافحة الفيروسات وخوادم الوكيل في الشركات التي تفحص HTTPS تقدّم شهادتها الخاصة، فيظهر الخطأ على تلك الشبكة أو ذلك الجهاز فقط.

افحص واحصل على تنبيهات

يعرض فحص SSL تواريخ الصلاحية والأسماء المغطاة والسلسلة وإصدارات TLS وHSTS وإعادة التوجيه من HTTP إلى HTTPS وسجلات CAA.
أضف النطاق إلى المراقبة: ستصلك رسالة بريد أو Telegram قبل انتهاء الشهادة وعندما تصبح غير صالحة.

المصادر

يلخّص هذا الدليل معلومات عامة وليس استشارة قانونية.