SSL وHTTPS بالعربي: ما الفرق وما الذي يحمي موقعك فعلاً

حين أشرح لعميل أن موقعه يحتاج شهادة SSL وHTTPS، أول سؤال يأتيني دائماً: "ما الفرق؟ ألسنا نتحدث عن نفس الشيء؟". والإجابة الصادقة: ليست نفس الشيء تماماً، لكن الارتباك بينهما طبيعي ومنطقي. دعني أشرح بطريقة أنشأتها بعد سنوات من شرح هذا الموضوع لأناس من خلفيات مختلفة.

SSL وTLS: البروتوكول الذي يحمي البيانات

SSL اختصار لـ Secure Sockets Layer. هذا بروتوكول تشفير — مجموعة من القواعد التي تحدد كيف يتحدث جهازك مع الخادم بطريقة آمنة. البروتوكول الحديث اسمه TLS (Transport Layer Security) وهو خلف SSL بشكل أو بآخر، لكن الناس اعتادوا على تسمية "SSL" فبقيت.

ما يفعله SSL وHTTPS هو تشفير البيانات المتبادلة بين المتصفح والخادم. حين تكتب كلمة مرورك في موقع، هي تنتقل عبر الإنترنت. بدون تشفير، أي شخص "يسمع" الشبكة يستطيع قراءتها. مع التشفير، يرى حروفاً عشوائية لا معنى لها.

HTTPS: البروتوكول الكامل

HTTP هو بروتوكول نقل البيانات على الإنترنت. HTTPS هو HTTP مع طبقة SSL/TLS فوقه. حين ترى HTTPS في شريط العنوان، هذا يعني أن الاتصال بين متصفحك والخادم مشفّر باستخدام SSL/TLS.

الشهادة نفسها تحقق هدفين: التشفير (البيانات لا تُقرأ) والتحقق من الهوية (أنت تتحدث فعلاً مع الخادم الصحيح وليس خادم مزيف).

هذا الجزء الثاني مهم جداً ولا يفهمه كثيرون. حتى لو كان الاتصال مشفراً، من يضمن أنك تتحدث مع Facebook الحقيقي وليس موقعاً يتظاهر بأنه Facebook؟ الشهادة موقّعة من جهة موثوقة (Certificate Authority) تؤكد أن هذا الخادم هو فعلاً من يدّعيه.

ماذا يحمي SSL وماذا لا يحمي؟

هنا يأتي الجزء الذي يُفاجئ الكثيرين. SSL وHTTPS يحميان البيانات أثناء انتقالها فقط. لا يحميان موقعك من:

- الاختراق عبر ثغرات في الكود (SQL injection، XSS، وغيرها)

- كلمات مرور ضعيفة لوحة التحكم

- plugins أو themes قديمة فيها ثغرات

- هجمات Brute Force على صفحة تسجيل الدخول

بمعنى آخر: الموقع يمكن أن يكون HTTPS ومُخترقاً في نفس الوقت. SSL جزء من الأمان الكامل، ليس كل الأمان.

هل هذا يعني أن SSL غير مهم؟ بالعكس تماماً. HTTPS إلزامي اليوم: جوجل يعاقب المواقع التي لا تستخدمه في الترتيب، المتصفحات تظهر تحذير "غير آمن" للزوار، وكثير من APIs الحديثة لا تعمل إلا مع HTTPS.

أنواع شهادات SSL: ماذا تختار؟

ثلاثة أنواع رئيسية تحتاج أن تعرفها:

DV (Domain Validation): الأرخص والأسرع. يتحقق فقط من أنك تملك النطاق. مناسب للمدونات والمواقع الشخصية. Let's Encrypt يعطيك هذا النوع مجاناً.

OV (Organization Validation): يتحقق من هوية المؤسسة أيضاً. أبطأ في الإصدار وأغلى. مناسب للشركات والمواقع المؤسسية.

EV (Extended Validation): أعلى مستوى. يتطلب تحققاً قانونياً كاملاً من المؤسسة. كان يعطي شريطاً أخضر في المتصفحات، لكن المتصفحات الحديثة ألغت هذا الظهور المرئي.

لأغلب المواقع، DV كافٍ تماماً. وإن كنت تستخدم Let's Encrypt أو خدمة CDN مثل Cloudflare، فالشهادة مجانية وتجديدها تلقائي. ما يجب أن تراقبه هو أن التجديد التلقائي يعمل فعلاً — وهذا ما تضمنه أداة مراقبة SSL وHTTPS مثل Alertiva.

---