احصل على شهادة SSL مجانية لروابط لوحتك (Let's Encrypt)

يمكن أن يجلس موقعك خلف وكيل (السحابة البرتقالية). في تلك الحالة يستطيع الوكيل تقديم شهادة للموقع. أما اسم مضيف تسجيل دخول العملاء فمختلف. يجب أن يكون سجل CNAME مضبوطًا على DNS only (السحابة الرمادية) يشير إلى connect.unitward.com، لكي يصل الزوار مباشرة إلى اللوحة. لذلك لا تغطي شهادة الوكيل عنوان my.yourbrand.com.

تثبّت شهادة خاصة بك على جهة اللوحة. بعدها يظهر القفل في المتصفح عندما يفتح العملاء https://my.yourbrand.com.

Let's Encrypt جهة شهادات مجانية وموثوقة وغير ربحية. لا تنشئ حسابًا على موقعهم. أداة صغيرة على جهازك تتحدث إلى خدمة ACME لديهم وتثبت أنك تتحكم بالنطاق.

أصدر شهادة عامة واحدة تغطي yourbrand.com و*.yourbrand.com. تعمل هذه الشهادة بعدها لـ my.yourbrand.com وwww.yourbrand.com. الشهادة العامة لا تشمل اسم النطاق الرئيسي وحدها، لذلك تضيف الاسمين دائمًا. ولا تغطي اسمًا فيه تسمية إضافية، مثل shop.eu.yourbrand.com.

التحقق يستخدم DNS-01: سجل TXT قصير عند _acme-challenge.yourbrand.com. الخيار أ أدناه يستطيع إنشاء هذا السجل وحذفه نيابةً عنك. والخيار ب يطلب منك إضافته بنفسك.

الخيار أ هو الأسهل إذا كان هذا النطاق على Cloudflare أصلًا. تنشئ رمزًا يستطيع تعديل DNS لتلك المنطقة فقط. لا تستخدم مفتاح API عامًا.

في Cloudflare افتح ملفك الشخصي ثم API Tokens وانقر Create Token. استخدم رمزًا مخصصًا بهذه الصلاحيات:

• Zone — DNS — Edit
• Zone — Zone — Read

تحت Zone Resources ضمّن منطقة yourbrand.com فقط. أنشئ الرمز وانسخه مرة واحدة؛ لن يعرضه Cloudflare مرة أخرى. احفظه في ملف اعتمادات. على Linux إذا كنت ستشغّل certbot بـ sudo فاستخدم مسارًا مطلقًا تحت root، لأن ~ سيُفسَّر إلى /root:

sudo mkdir -p /root/.secrets
sudo nano /root/.secrets/cloudflare.ini

ضع هذا السطر فقط في الملف، مع وضع رمزك الحقيقي بدل العنصر النائب:

dns_cloudflare_api_token = your-cloudflare-api-token

sudo chmod 600 /root/.secrets/cloudflare.ini

على macOS يمكنك استخدام /etc/letsencrypt/secrets/cloudflare.ini بالمحتوى نفسه مع chmod 600، أو مسارًا آخر يستطيع certbot قراءته. لا تضع الرمز في محادثة أو رسالة أو لقطة شاشة.

على Linux، التثبيت الموثّق لـ Certbot يتم عبر snap:

sudo snap install --classic certbot
sudo snap set certbot trust-plugin-with-root=ok
sudo snap install certbot-dns-cloudflare

أصدر الشهادة (استخدم مسار ملف الاعتمادات الذي أنشأته):

sudo certbot certonly \
  --dns-cloudflare \
  --dns-cloudflare-credentials /root/.secrets/cloudflare.ini \
  -d yourbrand.com \
  -d '*.yourbrand.com'

يكتب Certbot هذه الملفات تحت /etc/letsencrypt/live/yourbrand.com/:

ملف fullchain.pem هو الشهادة والسلسلة معًا. استخدمه فقط إذا طلب النموذج سلسلة كاملة؛ نموذج اللوحة يستخدم الحقول الثلاثة أعلاه.

على macOS مع Homebrew:

brew install certbot
$(brew --prefix certbot)/libexec/bin/pip install certbot-dns-cloudflare

ثم شغّل sudo certbot certonly بالخيارات نفسها، مع توجيه --dns-cloudflare-credentials إلى ملف الاعتمادات.

استخدام acme.sh بدلًا من ذلك (Linux أو macOS). Let's Encrypt ليست جهة الشهادات الافتراضية، لذلك يجب تمرير --server letsencrypt:

curl https://get.acme.sh | sh -s [email protected]
# افتح طرفية جديدة (أو نفّذ رسالة المثبّت) حتى يصبح أمر acme.sh متاحًا
export CF_Token="your-cloudflare-api-token"
export CF_Zone_ID="your-cloudflare-zone-id"
acme.sh --issue --dns dns_cf -d yourbrand.com -d '*.yourbrand.com' --server letsencrypt

يمكنك نسخ Zone ID من صفحة نظرة عامة للنطاق في Cloudflare. تُحفظ الملفات تحت ~/.acme.sh/yourbrand.com/ أو ~/.acme.sh/yourbrand.com_ecc/:

استخدم هذا الخيار إذا لم تستطع إنشاء رمز Cloudflare، أو إذا لم يكن DNS النطاق على Cloudflare. سيتوقف Certbot ويعرض قيمة TXT لإضافتها.

sudo certbot certonly --manual --preferred-challenges dns \
  -d yourbrand.com -d '*.yourbrand.com'

أنشئ سجل TXT لـ _acme-challenge.yourbrand.com بالقيمة التي يطبعها Certbot. انتظر حتى يظهر السجل ثم تابع في الطرفية. قد تطلب الأداة قيمتي TXT (واحدة لكل اسم)؛ أضفهما معًا، أو استبدل القيمة إذا طلبت الأداة جولتين. الملفات الناتجة في المجلد نفسه /etc/letsencrypt/live/yourbrand.com/ كما في الخيار أ.

الشهادة الصادرة بهذه الطريقة لا تتجدد تلقائيًا، لأن Certbot لا يستطيع تحديث سجل TXT بنفسه. خطط لتكرار هذه الخطوة قبل 90 يومًا، أو انتقل إلى الخيار أ عندما تستطيع.

افتح لوحة الموزع الخاصة بك. انتقل إلى Settings > Branding Settings > Control Panel URL. تحت Step 3: Secure your URL افتح خيار الرفع (قد يظهر باسم Upload certificates).

الصق أو ارفع:

• Private Key — privkey.pem أو yourbrand.com.key
• Certificate (قد يظهر باسم SSL Certificate) — cert.pem أو yourbrand.com.cer
• CA Bundle — chain.pem أو ca.cer

احفظ أو أرسل. قد تظهر صفحة دخول منفصلة لرفع الشهادة. استخدم اسم المستخدم وكلمة المرور نفسيهما للوحة الموزع. لا تستخدم حسابًا مختلفًا.

انتظر بضع دقائق ثم افتح https://my.yourbrand.com في نافذة تصفح خاصة. تحقق من التالي:

• العنوان يستخدم https:// والقفل ظاهر.
• لا يوجد تحذير أمني، ولا تُعاد الصفحة إلى http://.
• الشهادة صادرة لـ *.yourbrand.com أو لـ my.yourbrand.com (افتح القفل واعرض الشهادة).
• صفحة تسجيل الدخول هي لوحة العميل على نطاقك، وليس على اسم مضيف مختلف.

إذا استمر تحذير المتصفح فتأكد أن سجل CNAME مضبوط على DNS only، وأن الحقول الثلاثة من الإصدار نفسه، وأن DNS للاسم قد انتشر.

شهادات Let's Encrypt تستمر 90 يومًا. ضع تذكيرًا قبل نحو ثلاثة أسابيع من الانتهاء.

إذا استخدمت Certbot مع إضافة Cloudflare فاختبر التجديد وأبقِ المؤقّت الذي ثبّته Certbot:

sudo certbot renew --dry-run

إذا استخدمت acme.sh فالمثبّت عادة يضيف مهمة cron. ويمكنك أيضًا تشغيل:

acme.sh --renew -d yourbrand.com --server letsencrypt

بعد تجديد ناجح أعد رفع المفتاح الخاص والشهادة وسلسلة الشهادات الجديدة في صفحة Control Panel URL نفسها. اللوحة لا تلتقط الملفات الجديدة وحدها.

الإصدار اليدوي عبر DNS (الخيار ب) لا يتجدد تلقائيًا. كرّر الخيار ب، أو انتقل إلى الخيار أ.