يتطلب تأمين الموقع ثلاث خطوات منفصلة: إصدار شهادة، وتوجيه كل زائر إلى HTTPS، والتأكد من أن لا شيء في الصفحة ما زال يُحمَّل عبر HTTP العادي. تعالج كل خطوة مشكلة مختلفة، وتنفيذها بغير ترتيبها الصحيح هو ما يسبب تحذيرات المتصفح وحلقات إعادة التوجيه.
يرشدك هذا الدليل إلى الخطوات الثلاث على الاستضافة المشتركة واستضافة الموزعين لدى WebGee، باستخدام الأدوات المتوفرة بالفعل في لوحة تحكم cPanel.
أهم النقاط
- النطاقات الجديدة مستبعدة من AutoSSL افتراضيًا، لذا أضِفها من SSL/TLS Status قبل تشغيل AutoSSL.
- ثبّت شهادة تعمل بشكل صحيح قبل فرض HTTPS، وإلا سيظهر لكل زائر تحذير أمني في المتصفح.
- خيار Force HTTPS Redirect في cPanel هو الخيار الأنسب لمعظم المواقع تقريبًا؛ ولا تلجأ إلى .htaccess إلا للقواعد المشروطة.
- غياب رمز القفل بعد نجاح إعادة التوجيه يعود غالبًا إلى المحتوى المختلط، وتعرضه لك وحدة تحكم المتصفح بالتفصيل.
- افرض HTTPS في مكان واحد فقط، واضبط Cloudflare على وضع Full (strict)، لتتجنب حلقات إعادة التوجيه.
قبل أن تبدأ
- يشير نطاقك إلى حساب الاستضافة لدى WebGee (تحقّق من خوادم الأسماء أو سجل A).
- يمكنك تسجيل الدخول إلى cPanel الخاص بالحساب.
- إذا كان الموقع يعمل بـ WordPress، يمكنك تسجيل الدخول إلى لوحة تحكم WordPress.
- إذا كان النطاق يمر عبر Cloudflare، يمكنك تسجيل الدخول إلى حسابك في Cloudflare.
الخطوة 1: أصدِر شهادة مجانية عبر AutoSSL
تُصدر WebGee شهادات SSL مجانية وتجددها عبر AutoSSL طوال مدة الحساب. تصدر هذه الشهادات عن Sectigo بتشفير 256-bit، وتكون صالحة لمدة 90 يومًا، وتتجدد تلقائيًا قبل انتهاء صلاحيتها.
لكن هناك نقطة مهمة: النطاقات الجديدة مستبعدة من AutoSSL افتراضيًا، لذا فإن تشغيل AutoSSL وحده لن يُجدي نفعًا. أضِف النطاقات أولًا:
- في cPanel، افتح SSL/TLS Status من قسم Security.
- حدّد مربع الاختيار في رأس الجدول لتحديد جميع النطاقات دفعة واحدة.
- اختر Include Domains during AutoSSL. ستظهر لك رسالة تأكيد تذكر كل نطاق أُزيل استبعاده.
- اختر Run AutoSSL.
- انتظر حتى ينتهي الفحص، ثم أعِد تحميل الصفحة.
سيظهر الآن بجوار كل نطاق رمز قفل أخضر وعبارة AutoSSL Domain Validated. يستغرق الإصدار عادةً دقيقتين تقريبًا، والإضافة إجراء يتم مرة واحدة فقط: فالتجديد لا يتطلب منك أي شيء آخر. تجد الشرح الكامل مع لقطات الشاشة في تثبيت شهادة SSL مجانية.
حدّد كل النطاقات، لا نطاقك الرئيسي فقط
تتضمن القائمة النطاقات الفرعية الخدمية التي ينشئها cPanel، مثل mail. وwebmail. وcpanel. وautodiscover. وautoconfig.. أضِفها جميعًا؛ فبرامج البريد تتصل بـ mail.، ويستخدم Outlook وApple Mail النطاقين autodiscover. وautoconfig. لضبط إعداداتهما تلقائيًا. ومن دون شهادات، ستظهر تحذيرات أمنية في هذه الاتصالات حتى لو كان الموقع نفسه يعمل بشكل سليم.
تأكّد من أن الشهادة تعمل
افتح https://example.com وتحقّق من عدم ظهور أي تحذير في المتصفح، أو اختبر ذلك من الطرفية:
curl -sI https://example.com | head -n 1يمكنك أيضًا التحقق سريعًا من الشريط الجانبي في لوحة تحكم cPanel: إذ تظهر فيه حالة Active بدلًا من Inactive بمجرد تثبيت الشهادة.
عندما يتعذر على AutoSSL إصدار الشهادة
إذا بقي نطاق بلا شهادة بعد إضافته، فراجِع الأسباب التالية:
- النطاق لا يشير إلى حسابك. يثبت AutoSSL ملكيتك للنطاق بجلب ملف عبر HTTP، لذا يفشل التحقق إذا كان النطاق يشير إلى مكان آخر أو ما زالت تغييراته قيد الانتشار. تحقّق من خوادم الأسماء التي يستخدمها النطاق.
- النطاق خاضع لقيود التصدير. لا تستطيع Sectigo إصدار شهادات لنطاقات في بعض الولايات القضائية بموجب قوانين التصدير الأمريكية. أما Let's Encrypt فلا تخضع لهذا القيد؛ اخترها كمزوّد من SSL/TLS Status.
- تحتاج إلى شهادة Wildcard. يُصدر AutoSSL شهادات لكل اسم مضيف على حدة فقط. أما لـ
*.example.comفاستخدم أداة Let's Encrypt™ SSL في cPanel. يتم التحقق من شهادات Wildcard عبر سجل DNS من نوعTXT، وهو إجراء تلقائي عندما تكون إدارة DNS في cPanel، وخطوة يدوية عندما تكون لدى Cloudflare أو لدى مسجّل النطاق. راجِع تثبيت شهادة Wildcard عبر Let's Encrypt. - النطاق الفرعي خدمي تابع لنطاق بديل. لا ينشئ cPanel النطاقين
mail.أوcpanel.للنطاقات البديلة (المركونة)، لذا لا يجد AutoSSL ما يؤمّنه. استخدم بدلًا من ذلك اسم المضيفmail.الخاص بالنطاق الرئيسي في برامج البريد؛ فلا يلزم أن يطابق عنوان صندوق البريد اسم مضيف الخادم. راجِع لماذا يتجاوز AutoSSL بعض النطاقات الفرعية الخدمية.
الشهادة أولًا، ثم إعادة التوجيه فرض HTTPS على نطاق لا يملك شهادة تعمل بشكل صحيح يجعل كل زائر يرى تحذيرًا أمنيًا في المتصفح بدلًا من موقعك. افتح https://example.com مباشرةً وتأكّد من أنه يعمل قبل تفعيل أي إعادة توجيه.
الخطوة 2: افرض HTTPS
تثبيت الشهادة لا يوجّه الزوار تلقائيًا إلى النسخة الآمنة من موقعك، فهذا إعداد منفصل.
استخدم خيار cPanel
هذا هو الخيار الأنسب لمعظم المواقع تقريبًا؛ فهو يعمل على مستوى خادم الويب قبل تشغيل أي شيفرة برمجية للتطبيق، ولا يترك شيئًا يلزم التراجع عنه إذا نقلت موقعك إلى استضافة أخرى.
- في cPanel، افتح Domains.
- ابحث عن نطاقك في القائمة.
- فعّل Force HTTPS Redirect.
يسري التغيير فورًا. ولتغيير عدة نطاقات دفعة واحدة، حدّدها من العمود الأيسر ثم اختر Enable Force HTTPS Redirect أعلى الجدول.
حدّث إعدادات WordPress بما يتوافق مع ذلك
يحتفظ WordPress بعنوانه الخاص، فإذا كان ما زال يبدأ بـ http://، فسيستمر في إنشاء روابط HTTP ويحوّل الزوار ذهابًا وإيابًا.
- في WordPress، انتقل إلى Settings → General.
- اضبط كلًا من WordPress Address (URL) وSite Address (URL) على
https://example.com. - اختر Save Changes.
لا تستخدم .htaccess إلا للقواعد المشروطة
إذا احتجت إلى سلوك لا يوفره هذا الخيار، مثل فرض HTTPS على مجلد فرعي دون آخر، فأضِف ما يلي في أعلى ملف .htaccess في المجلد الجذر للموقع، فوق أي قواعد إعادة كتابة موجودة. واحرص على وضع كل توجيه في سطر مستقل؛ فخادم Apache يرفضها إذا كُتبت متصلة.
RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]استخدم R=301 وليس R وحدها: فإعادة التوجيه الدائمة تتيح لمحركات البحث اعتماد عنوان HTTPS كعنوان أساسي. واستخدم %{HTTP_HOST} بدلًا من كتابة النطاق بشكل ثابت، حتى تعمل القاعدة مع كل النطاقات والنطاقات الفرعية في الحساب.
تحقّق من إعادة التوجيه
curl -sI http://example.com | head -n 3النتيجة المطلوبة هي HTTP/1.1 301 Moved Permanently مع ترويسة Location: تشير إلى العنوان الذي يبدأ بـ https://. أما 302 فيعني أن إعادة التوجيه مؤقتة. تجد مزيدًا من التفاصيل في فرض HTTPS على موقعك.
تجنّب حلقات إعادة التوجيه
تعني حلقة إعادة التوجيه في الغالب أن HTTPS مفروض في مكانين في الوقت نفسه، وعادةً ما يكون ذلك عبر خيار cPanel مع قاعدة في .htaccess إضافةً إلى إضافة (Plugin). اختر طريقة واحدة واحذف الباقي.
وعند استخدام Cloudflare، يسبب وضع SSL المسمى Flexible الحلقة نفسها: إذ يطلب Cloudflare موقعك عبر HTTP، فيعيد خادمك التوجيه إلى HTTPS، وتتكرر الدورة بلا نهاية. اضبط وضع SSL في Cloudflare على Full (strict)، وهو يعمل مع شهادة AutoSSL الخاصة بك. راجِع تشغيل موقعك عبر Cloudflare.
الخطوة 3: عالِج تحذيرات المحتوى المختلط
إذا كانت إعادة التوجيه تعمل لكن المتصفح ما زال يعرض Not secure أو قفلًا مكسورًا أو صفحة تفتقد تنسيقاتها، فهذا يعني أن الصفحة تحمّل صورًا أو ملفات تنسيق أو سكربتات عبر HTTP العادي، وهذا ما يُعرف بالمحتوى المختلط. تحظر المتصفحات السكربتات وملفات التنسيق تمامًا، وتعرض تحذيرًا بشأن الصور.
اعثر على الموارد المسببة للمشكلة
افتح وحدة تحكم المتصفح: في Chrome أو Edge أو Firefox، انقر بزر الفأرة الأيمن على الصفحة واختر Inspect، ثم Console. أما في Safari، ففعّل Develop من التفضيلات المتقدمة أولًا. أعِد تحميل الصفحة ووحدة التحكم مفتوحة، وستجد أن كل تحذير يذكر رابطًا يبدأ بـ http://، وهذه هي قائمة ما تحتاج إلى إصلاحه.
أصلِحها
- WordPress: تأكّد من أن العنوانين في Settings → General يبدآن بـ
https://، ثم ثبّت إضافة Really Simple SSL التي تعيد كتابة الإشارات إلىhttp://أثناء عرض الصفحات. وللحصول على حل دائم، استبدل الروابط في قاعدة البيانات باستخدام إضافة Better Search Replace، التي تتعامل مع البيانات المتسلسلة (Serialized) بشكل صحيح، بينما يؤدي البحث والاستبدال العادي عبر SQL إلى إتلافها. - المواقع المكتوبة يدويًا: عدّل كل إشارة لتستخدم مسارًا نسبيًا مثل
/logo.pngأو رابطًا مطلقًا يبدأ بـhttps://. تعمل المسارات النسبية بغض النظر عن البروتوكول أو النطاق. - موارد الجهات الخارجية: انتقل إلى رابط HTTPS إن كان الموقع الخارجي يوفره. وإن لم يكن كذلك، فاستضِف الملف بنفسك؛ إذ لا توجد طريقة أخرى لتحميله بشكل آمن.
تجد الدليل الكامل في معالجة تحذيرات المحتوى المختلط.
اختبر في نافذة خاصة قد تستمر النسخة المخزنة مؤقتًا من الصفحة في إظهار السلوك القديم. امسح ذاكرة إضافة التخزين المؤقت، وأفرِغ ذاكرة Cloudflare إن كنت تستخدمه، وتحقّق من عدة صفحات لا من الصفحة الرئيسية فقط.
ملخص سريع
أضِف كل النطاقات إلى AutoSSL وشغّله، ثم تأكّد من أن https:// يعمل دون مشكلات. فعّل Force HTTPS Redirect في مكان واحد فقط، وحدّث إعدادات WordPress بما يتوافق مع ذلك. بعدها استخدم وحدة تحكم المتصفح للتخلص من أي موارد متبقية تبدأ بـ http:// حتى يعود رمز القفل إلى كل صفحة.
الأسئلة الشائعة
كم تبلغ تكلفة شهادة SSL؟
لا شيء. تُصدر WebGee شهادات AutoSSL وتجددها مجانًا طوال مدة الحساب على الاستضافة المشتركة واستضافة الموزعين.
هل أحتاج إلى تجديد الشهادة يدويًا؟
لا. شهادات AutoSSL صالحة لمدة 90 يومًا وتتجدد تلقائيًا قبل انتهاء صلاحيتها. وبمجرد إضافة النطاق إلى AutoSSL، لا يتطلب التجديد أي إجراء إضافي منك.
لماذا لا يُصدر AutoSSL شهادة لنطاقي؟
السببان الأكثر شيوعًا هما أن النطاق ما زال مستبعدًا من AutoSSL، أو أنه لا يشير إلى حسابك بعد. ويبدو الأمران متطابقين في الواجهة، لذا تحقّق من الاستبعاد أولًا، ثم تحقّق من خوادم الأسماء التي يستخدمها النطاق.
هل يمكن لـ AutoSSL إصدار شهادة Wildcard؟
لا. يُصدر AutoSSL شهادات لكل اسم مضيف على حدة. أما لـ *.example.com فاستخدم أداة Let's Encrypt SSL في cPanel، التي تتحقق من شهادات Wildcard عبر سجل DNS من نوع TXT.
