گواهی SSL یه فایل دیجیتال کوچیکه که روی سرور سایت نصب می‌شه و ارتباط بین مرورگر کاربر و سایت رو رمزنگاری می‌کنه. وقتی سایتی گواهی SSL معتبر داره، آدرسش با https شروع می‌شه و مرورگر کنار آدرس، نشانه‌ی اتصال امن رو نمایش می‌ده. بدون این گواهی، اطلاعاتی که کاربر وارد می‌کنه، مثل رمز عبور، شماره تماس یا اطلاعات فرم، به صورت متن ساده منتقل می‌شه و هر کسی که در مسیر شبکه باشه، می‌تونه اون‌ها رو بخونه یا تغییر بده.
امروز داشتن گواهی SSL دیگه یه امکان اضافه نیست، یه ضرورت پایه‌ست. مرورگرها سایت‌های بدون HTTPS رو «ناامن» نشون می‌دن، گوگل HTTPS رو یکی از نشانه‌های رتبه‌بندی می‌دونه و درگاه‌های پرداخت هم بدون اون فعال نمی‌شن. توی این مقاله، همه‌چیز رو درباره‌ی این گواهی، انواعش، نصب و تمدیدش توضیح می‌دیم.
گواهی SSL چطور کار می‌کنه؟
وقتی کاربر آدرس سایت رو در مرورگر وارد می‌کنه، مرورگر از سرور درخواست می‌کنه هویتش رو ثابت کنه. سرور گواهی SSL خودش رو ارسال می‌کنه. مرورگر بررسی می‌کنه که گواهی توسط یه مرجع معتبر صادر شده، برای همین دامنه است و منقضی نشده. اگه همه‌چیز درست باشه، مرورگر و سرور یه کلید رمزنگاری مشترک می‌سازن و از اون لحظه، همه‌ی اطلاعات بین این دو به صورت رمزشده منتقل می‌شه. همه‌ی این مراحل در کسری از ثانیه و بدون اینکه کاربر متوجه بشه، اتفاق می‌افتن.
اسم دقیق فناوری امروزی TLS هست و SSL نسخه‌ی قدیمی‌ترشه، ولی در زبان رایج هنوز همه بهش SSL می‌گن. توضیحات فنی بیشتر رو می‌تونید در مستندات MDN درباره‌ی TLS بخونید.
۸ دلیل ضرورت گواهی SSL
۱. امنیت اطلاعات کاربران
اصلی‌ترین کار گواهی SSL، رمزنگاری اطلاعاته. فرم تماس، صفحه‌ی ورود، سبد خرید و هر جایی که کاربر اطلاعات وارد می‌کنه، بدون رمزنگاری در معرض شنود قرار داره.
۲. جلوگیری از هشدار «ناامن» در مرورگر
کروم، فایرفاکس و بقیه‌ی مرورگرها، سایت‌های بدون HTTPS رو با برچسب «Not Secure» نشون می‌دن. این هشدار به تنهایی کافیه که بخش زیادی از بازدیدکننده‌ها سایت رو ترک کنن.
۳. تأثیر روی سئو
گوگل از سال‌ها پیش اعلام کرده که HTTPS یکی از نشانه‌های رتبه‌بندیه. در مستندات رسمی گوگل درباره‌ی HTTPS هم توصیه شده همه‌ی سایت‌ها از اتصال امن استفاده کنن.
۴. شرط درگاه پرداخت
درگاه‌های پرداخت اینترنتی فقط روی سایت‌هایی فعال می‌شن که گواهی SSL معتبر دارن. برای هر سایتی که پرداخت آنلاین داره، این گواهی الزامیه.
۵. شرط نماد اعتماد
برای گرفتن نماد اعتماد الکترونیکی هم، سایت باید با HTTPS کار کنه. جزئیات رو در مقاله‌ی نماد اعتماد الکترونیکی بخونید.
۶. اعتماد مشتری
کاربرها یاد گرفتن به نشانه‌ی اتصال امن در نوار آدرس توجه کنن. سایتی که این نشانه رو نداره، حرفه‌ای و قابل‌اعتماد به نظر نمی‌رسه.
۷. جلوگیری از دستکاری محتوا
بدون رمزنگاری، بعضی شبکه‌ها یا مهاجم‌ها می‌تونن محتوای صفحه رو در مسیر تغییر بدن، مثلاً تبلیغات یا کدهای مخرب اضافه کنن. HTTPS جلوی این کار رو می‌گیره.
۸. امکانات مدرن وب
خیلی از قابلیت‌های جدید مرورگرها، مثل دسترسی به موقعیت مکانی، اعلان‌ها، سرویس ورکرها و پروتکل HTTP/2، فقط روی سایت‌های HTTPS کار می‌کنن.
انواع گواهی SSL
بر اساس سطح اعتبارسنجی
- گواهی DV یا اعتبارسنجی دامنه: فقط مالکیت دامنه بررسی می‌شه؛ سریع و ارزون یا رایگان
- گواهی OV یا اعتبارسنجی سازمان: علاوه بر دامنه، هویت سازمان هم بررسی می‌شه
- گواهی EV یا اعتبارسنجی گسترده: دقیق‌ترین بررسی هویت سازمان، برای بانک‌ها و سازمان‌های بزرگ
بر اساس تعداد دامنه
- تک‌دامنه: فقط برای یه دامنه‌ی مشخص
- وایلدکارت: برای یه دامنه و همه‌ی زیردامنه‌هاش
- چنددامنه: برای چند دامنه‌ی مختلف در یه گواهی
از نظر سطح رمزنگاری، همه‌ی این گواهی‌ها یکسان هستن. تفاوت در میزان بررسی هویت صاحب سایت و پوشش دامنه‌هاست. برای بیشتر سایت‌های شرکتی و فروشگاهی کوچک و متوسط، گواهی DV کاملاً کافیه.
گواهی SSL رایگان یا پولی؟
سرویس Let's Encrypt گواهی DV رایگان ارائه می‌ده که توسط همه‌ی مرورگرهای اصلی پذیرفته می‌شه و امروز میلیون‌ها سایت ازش استفاده می‌کنن. بیشتر هاست‌های معتبر، نصب و تمدید خودکار این گواهی رو با یه کلیک فراهم می‌کنن. از نظر امنیت رمزنگاری، گواهی رایگان هیچ تفاوتی با گواهی DV پولی نداره.
گواهی‌های پولی وقتی منطقی هستن که به اعتبارسنجی سازمان یا اعتبارسنجی گسترده نیاز دارید، پشتیبانی و ضمانت مالی صادرکننده براتون مهمه، یا شرایط خاصی مثل الزامات قراردادی دارید. برای اکثر کسب‌وکارها، گواهی رایگان با تمدید خودکار بهترین انتخابه.
مراحل نصب گواهی SSL
۱. بررسی امکانات هاست
اول ببینید هاست شما نصب خودکار گواهی رایگان رو پشتیبانی می‌کنه یا نه. در بیشتر کنترل‌پنل‌ها، بخشی به اسم SSL یا Let's Encrypt وجود داره. اگه هنوز هاست نخریدید، مقاله‌ی خرید هاست رو ببینید.
۲. صدور و نصب گواهی
در هاست‌هایی که نصب خودکار دارن، فقط دامنه رو انتخاب می‌کنید و گواهی در چند دقیقه صادر و نصب می‌شه. برای گواهی‌های پولی، باید یه درخواست امضای گواهی یا CSR ساخته بشه، به صادرکننده ارسال بشه و بعد از تأیید، گواهی روی سرور نصب بشه.
۳. انتقال کل سایت به HTTPS
نصب گواهی به تنهایی کافی نیست. باید همه‌ی درخواست‌های HTTP به HTTPS هدایت بشن، با یه ریدایرکت دائمی ۳۰۱. این کار باعث می‌شه کاربرها و گوگل همیشه به نسخه‌ی امن برسن و اعتبار صفحه‌ها هم منتقل بشه.
۴. اصلاح لینک‌ها و منابع داخلی
عکس‌ها، فایل‌های CSS و جاوااسکریپت و لینک‌های داخلی که هنوز با http بارگذاری می‌شن، باعث خطای «محتوای ترکیبی» می‌شن. باید همه به https تغییر کنن.
۵. به‌روزرسانی سرچ کنسول و نقشه‌ی سایت
نسخه‌ی HTTPS سایت رو در سرچ کنسول گوگل بررسی کنید و نقشه‌ی سایت رو با آدرس‌های جدید ارسال کنید. روش کار رو در مقاله‌ی سرچ کنسول توضیح دادیم.
۶. تست نهایی
صفحه‌های مختلف سایت رو با مرورگرهای مختلف باز کنید و مطمئن بشید نشانه‌ی اتصال امن نمایش داده می‌شه و هیچ هشداری وجود نداره.
خطاهای رایج گواهی SSL و راه‌حلشون
- گواهی منقضی شده: تمدید خودکار رو فعال کنید یا تاریخ انقضا رو یادداشت کنید
- محتوای ترکیبی: منابعی که با http بارگذاری می‌شن رو به https تغییر بدید
- عدم تطابق دامنه: گواهی باید هم برای نسخه‌ی با www و هم بدون www صادر بشه
- زنجیره‌ی ناقص: گواهی‌های میانی صادرکننده هم باید روی سرور نصب بشن
- ریدایرکت بی‌پایان: تنظیمات ریدایرکت در سرور و نرم‌افزار سایت باید هماهنگ باشن
- ساعت اشتباه دستگاه کاربر: گاهی خطا از سمت کاربره و با تنظیم ساعت دستگاه رفع می‌شه
تمدید گواهی SSL
هر گواهی SSL تاریخ انقضا داره. گواهی‌های رایگان معمولاً کوتاه‌مدت هستن و به همین دلیل، تمدید خودکار براشون طراحی شده. گواهی‌های پولی هم معمولاً یک‌ساله هستن. فراموش کردن تمدید، یکی از رایج‌ترین دلایل از دسترس خارج شدن سایت‌هاست؛ کاربر با یه صفحه‌ی هشدار قرمز بزرگ روبه‌رو می‌شه و تقریباً هیچ‌کس جرئت ادامه دادن نداره. بررسی تمدید باید بخشی از کارهای منظم نگهداری سایت باشه. جزئیات بیشتر رو در مقاله‌ی پشتیبانی سایت بخونید.
چطور بفهمیم یه سایت گواهی معتبر داره؟
برای کاربر عادی، ساده‌ترین راه نگاه کردن به نوار آدرس مرورگره. اگه آدرس با https شروع بشه و کنارش نشانه‌ی قفل یا اتصال امن دیده بشه، یعنی سایت گواهی معتبر داره. با کلیک روی همین نشانه، می‌شه جزئیات بیشتری دید: گواهی برای چه دامنه‌ای صادر شده، چه مرجعی اون رو صادر کرده و تا چه تاریخی معتبره.
برای صاحب سایت یا تیم فنی، ابزارهای آنلاین بررسی گواهی وجود دارن که وضعیت نصب، زنجیره‌ی گواهی‌ها، پروتکل‌های پشتیبانی‌شده و نقاط ضعف تنظیمات رو گزارش می‌دن. بررسی دوره‌ای با این ابزارها کمک می‌کنه مشکلات پیش از اینکه کاربرها باهاش روبه‌رو بشن، شناسایی و رفع بشن.
یه نکته‌ی مهم برای کاربرها: داشتن HTTPS یعنی ارتباط امنه، نه اینکه صاحب سایت لزوماً قابل‌اعتماده. سایت‌های فیشینگ هم می‌تونن گواهی رایگان بگیرن. پس کنار نشانه‌ی امن، به آدرس دقیق دامنه، نماد اعتماد و نشانه‌های دیگه‌ی اعتبار هم توجه کنید.
گواهی SSL و سایت‌های وردپرسی
بخش بزرگی از سایت‌ها با وردپرس ساخته شدن و انتقالشون به HTTPS چند نکته‌ی خاص داره. بعد از نصب گواهی روی هاست، باید آدرس سایت در تنظیمات عمومی وردپرس به https تغییر کنه. لینک‌های قدیمی داخل محتوا، که در پایگاه داده با http ذخیره شدن، باید با یه ابزار جایگزینی امن به‌روز بشن. افزونه‌های کش و امنیتی هم باید با تنظیمات جدید هماهنگ بشن. اگه این مراحل کامل انجام نشه، ممکنه بخشی از عکس‌ها بارگذاری نشن یا هشدار محتوای ترکیبی نمایش داده بشه. برای آشنایی بیشتر با این سیستم، مقاله‌ی وردپرس چیست رو بخونید.
HSTS؛ یه لایه‌ی امنیتی بیشتر
حتی وقتی ریدایرکت از HTTP به HTTPS تنظیم شده، اولین درخواست کاربر ممکنه هنوز بدون رمزنگاری ارسال بشه و در همون لحظه در معرض حمله باشه. فناوری HSTS به مرورگر می‌گه که این سایت رو همیشه و فقط با HTTPS باز کنه، حتی اگه کاربر آدرس رو با http تایپ کرده باشه. فعال‌سازی این قابلیت با اضافه کردن یه هدر ساده در تنظیمات سرور انجام می‌شه. البته قبل از فعال‌سازی، باید مطمئن بشید همه‌ی بخش‌های سایت و زیردامنه‌ها درست با HTTPS کار می‌کنن، چون بعد از فعال شدن، برگشت به حالت قبل برای کاربرهایی که سایت رو دیدن، تا مدتی ممکن نیست.
انتقال سایت قدیمی به HTTPS بدون افت رتبه
خیلی از سایت‌های قدیمی هنوز با HTTP کار می‌کنن و صاحبانشون نگرانن که انتقال باعث افت رتبه بشه. اگه انتقال با برنامه انجام بشه، این نگرانی بی‌مورده. چند اصل مهم:
- قبل از هر کاری، از کل سایت پشتیبان بگیرید
- همه‌ی صفحه‌ها رو با ریدایرکت ۳۰۱ به نسخه‌ی HTTPS هدایت کنید، نه فقط صفحه‌ی اصلی
- تگ‌های canonical رو به آدرس‌های جدید تغییر بدید
- لینک‌های داخلی رو مستقیم به آدرس‌های HTTPS تغییر بدید
- نقشه‌ی سایت جدید رو در سرچ کنسول ارسال کنید
- چند هفته بعد از انتقال، گزارش‌های ایندکس و خطاها رو با دقت بررسی کنید
ممکنه در روزهای اول، نوسان کوچیکی در ترافیک دیده بشه که معمولاً بعد از مدت کوتاهی برطرف می‌شه. اگه بعد از چند هفته هنوز افت محسوسی وجود داره، معمولاً به خاطر ریدایرکت‌های ناقص یا خطاهای فنیه که باید پیدا و رفع بشه. برای آشنایی با اصول کلی، مقاله‌ی آموزش سئو رو ببینید.
هزینه‌ی گواهی SSL
گواهی‌های رایگان هیچ هزینه‌ای ندارن و برای اکثر سایت‌ها کافی هستن. گواهی‌های DV پولی معمولاً قیمت مناسبی دارن و گواهی‌های OV و EV به خاطر بررسی هویت سازمان، گرون‌تر هستن. گواهی‌های وایلدکارت و چنددامنه هم بسته به تعداد دامنه‌ها، هزینه‌ی بیشتری دارن. علاوه بر قیمت گواهی، هزینه‌ی نصب و تنظیم، مخصوصاً برای سایت‌های قدیمی که باید منتقل بشن، رو هم در نظر بگیرید. در بیشتر پروژه‌های طراحی سایت، راه‌اندازی HTTPS بخشی از کار اولیه است و هزینه‌ی جداگانه‌ای نداره. برای آشنایی با هزینه‌ها، صفحه‌ی قیمت طراحی سایت رو ببینید.
گواهی SSL برای فروشگاه‌های اینترنتی
برای فروشگاه‌های اینترنتی، اهمیت گواهی SSL چند برابره. مشتری در فروشگاه نام، آدرس، شماره تماس و گاهی اطلاعات حساب کاربری‌اش رو وارد می‌کنه. اگه این اطلاعات بدون رمزنگاری منتقل بشه، نه تنها امنیت مشتری در خطره، بلکه اعتبار کسب‌وکار هم به شدت آسیب می‌بینه. جبران اعتماد ازدست‌رفته‌ی مشتری، معمولاً خیلی سخت‌تر و پرهزینه‌تر از پیشگیری اولیه‌ست. علاوه بر این، فرایند خرید معمولاً از چند صفحه عبور می‌کنه: صفحه‌ی محصول، سبد خرید، ورود اطلاعات، انتخاب روش ارسال و انتقال به درگاه بانک. اگه حتی یکی از این صفحه‌ها هشدار امنیتی نشون بده، احتمال رها شدن سبد خرید خیلی بالا می‌ره.
یه نکته‌ی دیگه اینه که اعتماد در فروش آنلاین مجموعه‌ای از نشانه‌هاست. گواهی امنیتی، نماد اعتماد، اطلاعات تماس واقعی، نظرات مشتری‌ها و طراحی حرفه‌ای، همه با هم به مشتری اطمینان می‌دن که خریدش امنه. نبود هر کدوم از این نشانه‌ها، می‌تونه کل تجربه رو زیر سوال ببره. اگه قصد راه‌اندازی فروشگاه دارید، مقاله‌ی راه اندازی فروشگاه اینترنتی قدم‌های کامل رو توضیح داده.
تجربه‌ی کاربر و پیام‌های هشدار
وقتی مشکلی در گواهی وجود داره، مرورگرها پیام‌های هشدار تمام‌صفحه نمایش می‌دن که برای کاربر عادی ترسناکه. این پیام‌ها معمولاً با رنگ قرمز، علامت خطر و جمله‌هایی مثل «اتصال شما خصوصی نیست» همراهن. تقریباً هیچ کاربری بعد از دیدن این صفحه به سایت اعتماد نمی‌کنه، حتی اگه بعداً مشکل رفع بشه. به همین دلیل، پیشگیری از خطاهای گواهی خیلی مهم‌تر از رفع سریعشونه. یه ابزار پایش ساده که چند هفته قبل از انقضای گواهی هشدار بده، یا فعال بودن تمدید خودکار، جلوی تقریباً همه‌ی این موقعیت‌ها رو می‌گیره. همچنین بعد از هر تغییر در هاست، دامنه یا تنظیمات سرور، چند صفحه‌ی اصلی سایت رو در مرورگرهای مختلف باز کنید و مطمئن بشید اتصال امن بدون هیچ هشداری برقراره. این تست چند دقیقه بیشتر وقت نمی‌گیره، ولی می‌تونه جلوی از دست رفتن مشتری‌ها رو در ساعت‌ها یا روزهایی که متوجه مشکل نشدید، بگیره.
HTTPS کافیه؟ امنیت فراتر از گواهی
گواهی SSL ارتباط بین کاربر و سرور رو امن می‌کنه، ولی سایت رو در برابر همه‌ی تهدیدها محافظت نمی‌کنه. یه سایت با HTTPS هم ممکنه به خاطر رمز ضعیف، نرم‌افزار قدیمی یا افزونه‌ی آسیب‌پذیر هک بشه. امنیت کامل سایت ترکیبی از این‌هاست:
- گواهی SSL معتبر و تمدید خودکار
- به‌روز نگه داشتن نرم‌افزار و افزونه‌ها
- رمزهای قوی و ورود دومرحله‌ای
- پشتیبان‌گیری منظم
- هاست امن و قابل‌اعتماد
- محدود کردن دسترسی کاربران
سوالات متداول درباره گواهی SSL
آیا سایت بدون فرم و پرداخت هم به گواهی SSL نیاز داره؟
بله. حتی سایت‌های ساده هم بدون HTTPS با هشدار «ناامن» نمایش داده می‌شن و از نظر سئو هم ضرر می‌کنن.
گواهی رایگان امنیت کمتری داره؟
نه. سطح رمزنگاری گواهی رایگان با گواهی DV پولی یکسانه. تفاوت در پشتیبانی و مدت اعتباره.
نصب گواهی SSL سرعت سایت رو کم می‌کنه؟
در عمل نه. با پروتکل‌های جدید، سایت‌های HTTPS حتی می‌تونن سریع‌تر هم باشن.
بعد از نصب، رتبه‌ی سایت افت می‌کنه؟
اگه انتقال با ریدایرکت ۳۰۱ و درست انجام بشه، نه. ممکنه چند روز نوسان کوچیکی دیده بشه که طبیعیه.
جمع‌بندی
گواهی SSL ارتباط کاربر و سایت رو رمزنگاری می‌کنه، جلوی هشدار ناامن مرورگر رو می‌گیره، به سئو کمک می‌کنه و شرط لازم برای درگاه پرداخت و نماد اعتماده. برای بیشتر سایت‌ها، گواهی رایگان با تمدید خودکار کاملاً کافیه؛ مهم اینه که کل سایت درست به HTTPS منتقل بشه و تمدید هیچ‌وقت فراموش نشه.
همه‌ی سایت‌هایی که طراحی می‌کنیم، از روز اول با HTTPS و گواهی معتبر راه‌اندازی می‌شن. برای اطلاعات بیشتر، صفحه‌ی طراحی سایت و طراحی فروشگاه اینترنتی رو ببینید و از طریق تماس با ما یا ثبت سفارش با ما در ارتباط باشید.