انتهاء النطاق وشهادة SSL: لماذا يحدث وكيف تمنعه

النطاق المنتهي أو شهادة TLS المنتهية هما أوضح عطل قد تتعرض له البنية التقنية لمنشأة صغيرة: يعرض الموقع تحذيرًا من المتصفح أو صفحة إعلانية مركونة، ويتوقف وصول البريد الإلكتروني، ويظن العملاء أن المنشأة أغلقت أو تعرضت للاختراق. وهو أيضًا من أكثر الأعطال قابلية للتجنب، لأن لكل نطاق وكل شهادة تاريخ انتهاء معروفًا قبل أشهر. يتناول هذا الدليل لماذا تنتهي رغم ذلك، وما الذي يحدث فعلًا عند انتهائها، وكيف تبني حصرًا لها، ومزالق الاعتماد على التجديد التلقائي، وكيف تتعامل مع شهادات الـ 90 يومًا، وقفل المسجّل، وقائمة مراجعة للمراقبة.

لماذا تنتهي النطاقات والشهادات

لا يكون السبب تقريبًا أبدًا أن أحدًا لم يعرف التاريخ. الأسباب المعتادة هي:

• انتهت البطاقة المسجلة للدفع. كان التجديد التلقائي مفعّلًا؛ فشل الدفع؛ وذهبت رسائل التحذير إلى عنوان لا يقرؤه أحد.
• بريد المسجِّل لم يعد يعمل. سُجّل النطاق قبل سنوات على يد أحد المؤسسين أو موظف سابق أو وكالة تصميم مواقع، باستخدام عنوان لم يعد موجودًا. فتذهب إشعارات التجديد وطلبات التحقق وموافقات النقل كلها إلى الفراغ.
• انتهت العلاقة مع الوكالة. كان المطوّر الذي أنشأ الموقع يدفع ثمن النطاق أو الشهادة من حسابه الخاص. وعندما انتهى التعاقد، انتهت التجديدات معه.
• ثُبّتت الشهادات يدويًا مرة واحدة. اشتُريت شهادة لمدة سنة وثُبّتت يدويًا؛ وبعد عام يكون من قام بذلك قد انتقل إلى عمل آخر، ولا يوجد شيء مجدول.
• مزوّدون أكثر من اللازم. نطاقات لدى مسجّلَين، وشهادات من طرف ثالث، وDNS لدى طرف رابع، ولكل منها بيانات دخول ودورة تجديد خاصة.
• لا أحد مسؤول. يظن قسم التسويق أن تقنية المعلومات تتولى النطاق؛ وتظن تقنية المعلومات أن الوكالة تتولاه؛ وتظن الوكالة أن العميل يتولاه.

ما الذي يحدث فعلًا عند الانتهاء

انتهاء النطاق سلسلة من المراحل لا سقوط مفاجئ. ففي تاريخ الانتهاء يوقف معظم المسجّلين تحليل DNS، فيتوقف الموقع والبريد فورًا رغم أن النطاق لم يُفقد بعد. تليه فترة سماح يمكنك خلالها التجديد بالسعر المعتاد، ثم عادةً فترة استرداد يظل التجديد فيها ممكنًا لكن برسوم أعلى بكثير، وأخيرًا يُطلق النطاق ليسجله أي شخص. وتختلف المدد والرسوم بدقة بحسب المسجّل والنطاق العلوي؛ فراجع الشروط الحالية لدى مسجّلك. والنطاقات المنتهية التي لها سجل زيارات يشتريها المضاربون ومنتحلو النطاقات عادةً خلال دقائق من إطلاقها.

وبعيدًا عن الموقع، فإن البريد الإلكتروني هو الضحية الحقيقية. كل رسالة تُرسل إلى نطاقك ترتد؛ ورسائل إعادة تعيين كلمة المرور لكل خدمة أخرى تستخدمها لا تصل إلى أي مكان؛ وإذا استولى أحد على النطاق، فبإمكان من يملكه استقبال بريدك وإعادة تعيين كلمات المرور تلك.

انتهاء الشهادة سقوط مفاجئ. فلحظة انقضائها تعرض المتصفحات تحذيرًا يملأ الصفحة للموقع، وترفض برامج الواجهات البرمجية الاتصال، ويتعطل كل ما يعتمد على الاتصال — صفحات الدفع، وتطبيقات الجوال، والتكاملات مع الشركاء. والشهادات الداخلية على خوادم البريد والشبكات الافتراضية الخاصة وواجهات الإدارة تنتهي بالقسوة نفسها، لكنها تُلاحظ لاحقًا.

ابنِ الحصر

لا يمكنك تجديد ما لا تعرف بوجوده. بالنسبة إلى النطاقات:

• اذكر كل نطاق تملكه المنشأة، بما في ذلك التسجيلات الدفاعية، والنسخ الخاصة بالدول، وأسماء العلامات التجارية القديمة، ونطاقات الحملات. ابحث في كشوف البطاقات ودفتر الحسابات الدائنة عن رسوم المسجّلين، واسأل الموظفين القدامى.
• سجّل لكل نطاق: المسجّل، وصاحب بيانات دخول الحساب، وعناوين بريد المسجِّل وجهة الاتصال الإدارية، وتاريخ الانتهاء، وحالة التجديد التلقائي، ووسيلة الدفع، ومكان استضافة DNS، وما يعتمد عليه (الموقع، والبريد، والنطاقات المخصصة لخدمات SaaS).
• أجرِ استعلام WHOIS أو RDAP على كل نطاق للتأكد من أن تاريخ الانتهاء وجهات اتصال المسجِّل هي ما تظنه.

بالنسبة إلى الشهادات:

• اذكر كل اسم مضيف يخدم TLS: المواقع العامة، والنطاقات الفرعية، والواجهات البرمجية، وخوادم البريد، ونقاط الشبكات الافتراضية الخاصة، ولوحات الإدارة الداخلية، وموازنات الأحمال، وحواف شبكات توصيل المحتوى.
• سجّل لكل منها: جهة إصدار الشهادة، وتاريخ الانتهاء، وطريقة الإصدار (يدويًا، أو بأتمتة ACME، أو بإدارة شبكة توصيل المحتوى أو مزوّد الاستضافة)، ومكان المفتاح الخاص، ومن يستطيع إعادة إصدارها.
• استخدم سجلات شفافية الشهادات (قواعد بيانات عامة قابلة للبحث للشهادات الصادرة) للعثور على شهادات لنطاقاتك لم تكن تعرف بوجودها.

مزالق التجديد التلقائي

التجديد التلقائي ضروري لكنه غير كافٍ. وأنماط فشله متوقعة:

• يعتمد على وسيلة دفع ستنتهي هي نفسها. سجّل تاريخ انتهاء البطاقة إلى جانب تاريخ انتهاء النطاق، وراجع الاثنين.
• كثيرًا ما يحاول المسجّلون التجديد قبل الانتهاء بعدد محدد من الأيام ويكررون المحاولة بضع مرات؛ فإذا فشلت المحاولات توقفوا وأرسلوا بريدًا. وإذا لم يُقرأ ذلك البريد، ينتهي النطاق والتجديد التلقائي «مفعّل».
• بعض المسجّلين يعطّلون التجديد التلقائي بعد فشل الدفع، أو تغيير بريد الحساب، أو النقل.
• التجديد لعدة سنوات يقلل تكرار المشكلة لا حدّتها، والفاصل الأطول يجعل التجديد أسهل نسيانًا على مستوى المنشأة.

اعتبر التجديد التلقائي خط الدفاع الثاني. أما الأول فهو إنسان يتلقى تذكيرًا في وقت مناسب ويتحقق من أن التجديد قد تم فعلًا.

شهادات الـ 90 يومًا والأتمتة

تقصر مدة صلاحية الشهادات الموثوقة علنًا منذ سنوات، ويتجه القطاع نحو مدد صلاحية تُقاس بالأسابيع لا بالسنة. وبهذه الفواصل لا يكون التجديد اليدوي خيارًا واقعيًا؛ والنهج الوحيد المستدام هو الأتمتة باستخدام بروتوكول ACME، حيث يطلب برنامج على الخادم (أو شبكة توصيل المحتوى أو مزوّد الاستضافة لديك) الشهادات ويتحقق منها ويثبّتها وفق جدول زمني دون تدخل بشري.

لا تلغي الأتمتة الحاجة إلى المراقبة؛ بل تغيّر ما تراقبه. فالتجديدات المؤتمتة تفشل بصمت عندما تُفسد تغييرات DNS عملية التحقق، أو عندما تحجب قاعدة في جدار الحماية طلب التحقق، أو عندما يكون البرنامج قديمًا. أبقِ فحصًا خارجيًا على كل اسم مضيف عام ينبّه عندما يبقى للشهادة المعروضة أقل من 14 يومًا مثلًا — فإذا كانت الأتمتة تعمل فلن يُطلق هذا التنبيه أبدًا، وإذا أُطلق يبقى لديك أسبوعان.

الشهادات التي لا يمكن أتمتتها — بعض الأنظمة الداخلية، وشهادات توقيع الشيفرة، وشهادات الأجهزة — تدخل الحصر مع تذكيرات صريحة، تمامًا كالنطاق.

قفل المسجّل ونظافة الحسابات

وما دام الحصر مفتوحًا أمامك، فأغلق الثغرات الشائعة الأخرى:

• فعّل قفل المسجّل (قفل النقل) على كل نطاق حتى لا يمكن نقله دون فك القفل صراحةً.
• فعّل المصادقة الثنائية على حسابات المسجّل وDNS وجهة إصدار الشهادات، وتأكد من أن أكثر من شخص يستطيع الدخول.
• اجعل عناوين بريد المسجِّل وجهة الاتصال الإدارية صندوق بريد وظيفيًا تتحكم فيه المنشأة (مثل domains@ أو it@)، لا عنوان شخص بعينه، وتأكد من أنه مراقب.
• اجمع النطاقات لدى مسجّل أو اثنين حيثما كان ذلك عمليًا.
• إذا كان المسجّل يتيح ذلك، فاستخدم إعدادات إشعارات التجديد لإرسال التنبيهات إلى عنوان ثانٍ.

قائمة مراجعة للمراقبة

1. كل نطاق وكل شهادة موجودان في حصر واحد مع مسؤول وتاريخ انتهاء.
2. تذكيرات لكل نطاق قبل الانتهاء بـ 90 و30 و7 أيام، تُرسل إلى أكثر من شخص.
3. تواريخ انتهاء بطاقات الدفع مسجلة لكل حساب يتجدد تلقائيًا، مع تذكيرات خاصة بها.
4. مراقبة خارجية للشهادات على كل اسم مضيف عام، تنبّه عند بقاء 14 يومًا.
5. كل ربع سنة: تأكد من جهات اتصال المسجِّل والأقفال وحالة المصادقة الثنائية في كل حساب لدى المسجّلين.
6. سنويًا: أعد بناء الحصر من كشوف الحساب واستعلامات WHOIS وسجلات شفافية الشهادات لالتقاط أي جديد.
7. عند انتهاء خدمة موظف: تحقق مما إذا كان المغادر صاحب الحساب أو جهة الاتصال لأي نطاق أو شهادة أو مزوّد DNS.

كيف يساعدك Trackords

Trackords أداة متابعة مجانية لا تتطلب بطاقة ائتمان، والنطاقات والشهادات تناسبها بطبيعتها. أنشئ نوعي سجل باسم «النطاق» و«الشهادة» مع حقول مخصصة للمسجّل أو جهة إصدار الشهادة، وصاحب الحساب، ومستضيف DNS، وحالة التجديد التلقائي، وتاريخ انتهاء بطاقة الدفع. ويقبل كل سجل حتى ثلاثة تذكيرات بالبريد الإلكتروني بعدد أيام تختاره قبل الانتهاء، أو في تاريخ ثابت، إضافة إلى تنبيه اختياري في يوم الانتهاء — فيُضبط جدول 90 و30 و7 أيام المذكور أعلاه مرة واحدة لكل سجل.

تُرسل التذكيرات بالبريد إلى كل مستخدم نشط في مساحة العمل إضافة إلى عنوان بريد إضافي اختياري لكل سجل، فيصل التنبيه إلى أكثر من الشخص الوحيد الذي يصادف أنه يملك بيانات الدخول. ويحمّل الاستيراد من CSV الحصر من جدول بيانات في دقائق، ويُظهر سجل التدقيق من حدّث تاريخ التجديد. Trackords نظام تذكيرات وسجلات، لا أداة مراقبة حية للشهادات، لذا استخدمه مع فحص خارجي للتوافر أو لشهادات TLS على أسماء المضيفين الأهم. اطّلع على صفحة متابعة العمليات أو النسخة التجريبية المباشرة، وللحصول على حصر أشمل لتكاليف تقنية المعلومات المتكررة اقرأ قائمة تدقيق اشتراكات SaaS.