تثبيت شهادة شاملة عبر Let's Encrypt

لا يستطيع AutoSSL إصدار الشهادات الشاملة. استخدم أداة Let's Encrypt في cPanel لـ ‎*.example.com، واعرف الشرطين اللذين يمنعان الإصدار.

أصدر شهادة تغطّي *.example.com — كل نطاق فرعي، بما في ذلك ما يُنشأ لاحقًا. ينطبق على الاستضافة المشتركة والموزِّعة والمميّزة.

وللشهادة العادية لا تحتاج فعل شيء؛ فـ AutoSSL يتولاها. استخدم هذه حين تحتاج تحديدًا شهادة شاملة، وهو ما لا يستطيع AutoSSL إصداره.

متى يكون Let's Encrypt الخيار الصحيح

التغطية الشاملة — شهادة واحدة لكل النطاقات الفرعية.
نطاقك في منطقة لا تستطيع Sectigo خدمتها. فـ AutoSSL يستخدم Sectigo، وهي خاضعة لقيود التصدير الأمريكية — راجع تثبيت شهادة SSL مجانية.
الموقع خلف Cloudflare أو وكيل آخر. فـ Let's Encrypt يتبع إعادة التوجيه أثناء التحقّق، وهو أبسط غالبًا في ذلك الإعداد.

وفيما عدا ذلك، AutoSSL أفضل: فهو يجدّد تلقائيًا دون تدخّل منك، ولا يحدّ من معدّل الإصدار.

أصدر واحدة

في cPanel، افتح Let's Encrypt™ SSL.

ويعدّد القسم العلوي الشهادات المُصدَرة أصلًا، مع تواريخ انتهائها وخيارات إعادة تثبيتها أو عرضها أو إزالتها.
في القسم السفلي، اعثر على النطاق الذي تريد تغطيته.
أصدر الشهادة، متضمّنة المدخل الشامل للنطاق.

شيئان يمنعان الإصدار

يجب أن يتحقّق الاثنان وإلا فشل الإصدار، وعادةً بخطأ تحقّق لا يبيّن أيهما هو المشكلة.

يجب أن يُحلّ النطاق إلى هذا الخادم. فالتحقّق يعمل بإثبات التحكّم، ما يعني جلب شيء من حسابك. والنطاق الذي لا يزال يشير إلى مستضيف سابق لا يمكن التحقّق منه — راجع معرفة خوادم الأسماء التي يستخدمها نطاق.

النطاقات المعاد توجيهها لا يمكن إصدار شهادة لها. فالنطاق المضبوط إعادةَ توجيه في cPanel ليس لديه من أين يقدّم ملف التحقّق. أزل إعادة التوجيه، وأصدر الشهادة، ثم أعد تطبيقها.

الشهادات الشاملة تحتاج تحقّقًا عبر DNS

لا يمكن التحقّق من شهادة شاملة بجلب ملف — إذ لا يوجد اسم مضيف واحد يُجلب منه. ويجري التحقّق بسجل TXT في DNS بدلًا من ذلك.

وحيث يكون DNS مستضافًا في cPanel، يتم ذلك تلقائيًا. وحيث يكون مستضافًا في مكان آخر — Cloudflare أو مُسجِّل — فعليك إضافة سجل TXT هناك يدويًا عند الطلب، وضمن المدة التي تسمح بها العملية.

تأكّد أنه نجح

echo | openssl s_client -connect anything.example.com:443 2>/dev/null \
  | openssl x509 -noout -subject -dates

وينبغي أن يعرض الموضوع الشهادة الشاملة، وأن تكون التواريخ حديثة. أو ببساطة زر نطاقًا فرعيًا ليست له شهادة خاصة وتأكّد من تحميله دون تحذير.

التجديدات

تدوم شهادات Let's Encrypt 90 يومًا وتُجدَّد تلقائيًا، ما دام الشرطان أعلاه قائمين. والنطاق الذي ينتقل لاحقًا، أو يكتسب إعادة توجيه، سيفشل تجديده بصمت — وأول علامة عادةً تحذير انتهاء في المتصفح.