كيف تثبّت شهادة SSL مجانية (Let’s Encrypt) على VPS 2026

أصبح تثبيت شهادة SSL مجانية على خادمك الافتراضي الخاص (VPS) خطوة لا غنى عنها في عام 2026، فالمتصفحات الحديثة تضع علامة «غير آمن» على أي موقع يعمل عبر HTTP فقط، كما أنّ محركات البحث تمنح المواقع المشفّرة أفضلية واضحة في الترتيب. والخبر الجيّد أنّك لم تعد بحاجة إلى دفع مبالغ سنوية للحصول على التشفير؛ فبفضل مشروع Let’s Encrypt صار بإمكانك إصدار شهادة تشفير موثوقة بالكامل وتفعيلها في دقائق معدودة. في هذا الدليل العملي نشرح كيف تعمل الشهادات، وكيف تثبّتها بأداة Certbot خطوة بخطوة، وكيف تضمن تجديدها تلقائيًا دون تدخّل منك.

شهادة SSL مجانية: لماذا تحتاجها على VPS؟

عندما تدير موقعك على خادم افتراضي خاص فأنت المسؤول الكامل عن أمانه، ولا يوجد مزوّد استضافة مشتركة يفعّل التشفير نيابةً عنك. الحصول على شهادة SSL مجانية يحقّق لك ثلاثة مكاسب مباشرة: حماية بيانات الزوّار أثناء انتقالها بين المتصفح والخادم، وبناء الثقة عبر إظهار القفل الأخضر في شريط العنوان، وتحسين ترتيبك في نتائج البحث لأنّ Google يعتبر HTTPS عامل ترتيب رسميًا. إضافةً إلى ذلك، فإنّ كثيرًا من الميزات الحديثة في المتصفحات — مثل بروتوكول HTTP/2 وعامل الخدمة Service Worker وواجهات الموقع الجغرافي — لا تعمل إلا عبر اتصال مشفّر. والأهمّ أنّ ترك الموقع يعمل عبر HTTP وحده يعرّض بيانات تسجيل الدخول ونماذج الاتصال وبطاقات الدفع لخطر الاعتراض على الشبكات العامة، وهو ما قد يكلّفك ثقة زوّارك وسمعة علامتك دفعةً واحدة. إن كنت ما زلت في بداية رحلتك مع الخوادم فقد يفيدك الاطلاع على دليل ما هو VPS للمبتدئين قبل المضي قدمًا.

كيف تعمل شهادات SSL/TLS باختصار

المصطلح الشائع هو SSL، لكنّ المعيار الفعلي المستخدم اليوم هو TLS (أمان طبقة النقل)، وهو الجيل الأحدث والأكثر أمانًا. تعتمد الفكرة على التشفير غير المتماثل: يملك الخادم مفتاحًا خاصًا يحتفظ به سرًّا، ومفتاحًا عامًا يُضمَّن داخل الشهادة. عندما يفتح الزائر موقعك عبر HTTPS تجري «مصافحة» (handshake) يتبادل فيها الطرفان مفاتيح جلسة مؤقتة تُشفَّر بها بقية البيانات. دور الشهادة هنا أنّها وثيقة موقّعة من سلطة إصدار موثوقة (CA) تؤكّد أنّ المفتاح العام يخصّ نطاقك فعلًا، فيثق بها المتصفح تلقائيًا. تحقّق هذه الآلية ثلاثة أهداف مجتمعة: السرّية بحيث لا يستطيع أحد قراءة البيانات المعترَضة، والتكامل بحيث يُكتشَف أي تلاعب بها أثناء النقل، والمصادقة بحيث يتأكّد الزائر أنّه يتصل بخادمك الحقيقي لا بموقع منتحل. ومن المفيد أن تعرف أنّ نسخ TLS القديمة مثل 1.0 و1.1 باتت مهجورة لأسباب أمنية، وأنّ المعيار الموصى به اليوم هو TLS 1.2 و1.3، وهو ما يضبطه خادم الويب لك افتراضيًا في الإصدارات الحديثة. يمكنك التعمّق في التفاصيل التقنية عبر مقالة بروتوكول طبقة المنافذ الآمنة (SSL/TLS) على ويكيبيديا للاطلاع على آلية المصافحة وخوارزميات التشفير بتفصيل أكبر.

ما هو Let’s Encrypt ولماذا هو الخيار الأول

Let’s Encrypt هي سلطة إصدار شهادات غير ربحية أطلقتها مؤسسة Internet Security Research Group بهدف جعل تشفير HTTPS متاحًا للجميع دون تكلفة. تثق بها جميع المتصفحات وأنظمة التشغيل الحديثة، وتصدر شهادات التحقّق من النطاق (DV) آليًا عبر بروتوكول يُسمّى ACME، وهو ما يجعل الإصدار والتجديد عمليتين مؤتمتتين بالكامل. الميزة الكبرى أنّك تحصل على شهادة Let’s Encrypt بنفس مستوى التشفير الذي توفّره الشهادات المدفوعة؛ فالفارق ليس في قوة التشفير بل في خدمات إضافية مثل التأمين المالي أو شهادات التحقّق الموسّع. بالنسبة للغالبية العظمى من المواقع — المدوّنات والمتاجر والتطبيقات — تكفي شهادة التشفير المجانية تمامًا. النقطة الوحيدة التي يجب تذكّرها هي أنّ شهادات Let’s Encrypt صالحة لمدة 90 يومًا فقط، وهذا مقصود لتشجيع الأتمتة وتقليل مخاطر تسرّب المفاتيح، ولهذا يصبح التجديد التلقائي ضرورة لا رفاهية.

المتطلّبات قبل التثبيت: دومين موجَّه وخادم ويب ومنافذ مفتوحة

قبل أن تُصدر الشهادة تأكّد من توفّر الأساسيات التالية حتى تمرّ عملية التحقّق من أول محاولة:

• دومين فعّال موجَّه إلى عنوان IP الخاص بخادمك عبر سجلّ A، ويمكنك مراجعة طريقة ربط الدومين بالـ VPS إن لم تكمل هذه الخطوة بعد.
• خادم ويب مثبّت ويعمل، سواء Nginx أو Apache، لأنّ Certbot يتعرّف عليه ويعدّل إعداداته تلقائيًا.
• صلاحية الوصول الجذر (root) أو مستخدم يملك صلاحيات sudo لتثبيت الحزم وتعديل الإعدادات.
• المنفذ 80 مفتوحًا للتحقّق من ملكية النطاق، والمنفذ 443 مفتوحًا لخدمة الموقع عبر HTTPS لاحقًا.
• انتشار سجلّات DNS فعليًا؛ قد يستغرق ذلك دقائق إلى ساعات بعد أي تعديل.

إن كانت هذه أول مرة تجهّز فيها خادمك لاستضافة موقع فقد يكون من المفيد أيضًا مراجعة دليل استضافة ووردبريس على VPS لضبط خادم الويب وقاعدة البيانات بشكل سليم قبل إضافة طبقة التشفير.

تثبيت شهادة SSL بأداة Certbot خطوة بخطوة

Certbot هي الأداة الرسمية التي توصي بها Let’s Encrypt لأتمتة طلب الشهادة وتثبيتها وتجديدها. العملية مباشرة وتستغرق دقائق، وفيما يلي الخطوات بالترتيب على نظام مبني على Debian أو Ubuntu:

1. حدّث قائمة الحزم على الخادم عبر الأمر sudo apt update لضمان أحدث الإصدارات.
2. ثبّت الأداة بتشغيل sudo apt install certbot، وأضف إضافة خادم الويب المناسبة (python3-certbot-nginx أو python3-certbot-apache).
3. شغّل certbot --nginx إن كنت تستخدم Nginx، أو certbot --apache إن كنت تستخدم Apache، ليتولّى الأداة التحقّق والتثبيت معًا.
4. أدخل بريدك الإلكتروني للتنبيهات، ووافق على شروط الخدمة، ثم اختر النطاقات التي تريد تأمينها من القائمة المعروضة.
5. اختر إعادة التوجيه التلقائي من HTTP إلى HTTPS عند سؤالك، لضمان عمل جميع الروابط عبر الاتصال المشفّر.
6. تأكّد من نجاح العملية بفتح موقعك في المتصفح والتحقّق من ظهور القفل المغلق في شريط العنوان.

بعد اكتمال هذه الخطوات يكون موقعك قد حصل على شهادة التشفير وبدأ العمل عبر HTTPS فورًا. يعدّل Certbot ملفات إعداد خادم الويب نيابةً عنك، فلا تحتاج غالبًا إلى تحرير أي ملف يدويًا، وهذا ما يجعل الحصول على شهادة SSL مجانية أمرًا في متناول حتى المبتدئين. تجدر الإشارة إلى أنّ الطريقة الموضّحة أعلاه تناسب أنظمة Debian وUbuntu؛ أمّا على توزيعات مثل CentOS أو AlmaLinux فتستبدل مدير الحزم apt بـ dnf مع بقاء بقيّة الأوامر على حالها. وإذا كنت تشغّل خادم الويب داخل حاوية Docker أو خلف وكيل عكسي، فقد تفضّل طريقة التحقّق المستقلة (standalone) التي توقف الخدمة مؤقتًا على المنفذ 80 أثناء الإصدار ثمّ تعيدها.

تفعيل التجديد التلقائي للشهادة

بما أنّ شهادة Let’s Encrypt تنتهي صلاحيتها بعد 90 يومًا، فإنّ التجديد التلقائي هو ما يحافظ على موقعك مشفّرًا دون انقطاع. لحسن الحظ يثبّت Certbot عند تنصيبه مهمّة مجدولة (عبر systemd timer أو cron) تتحقّق من الشهادات مرتين يوميًا وتجدّد ما يقترب من الانتهاء تلقائيًا. كل ما عليك هو التأكّد من أنّ هذه الآلية تعمل. اختبر عملية التجديد دون إصدار فعلي بتشغيل الأمر certbot renew --dry-run؛ فإن انتهى دون أخطاء فأنت مطمئن إلى أنّ التجديد سيجري من تلقاء نفسه عند الحاجة. يُنصح أيضًا بالتأكّد من أنّ عنوان البريد الذي أدخلته صحيح، إذ ترسل Let’s Encrypt تنبيهات قبل انتهاء الصلاحية في حال تعطّل التجديد لأي سبب، كأن يكون المنفذ 80 محجوبًا أو خادم الويب متوقفًا وقت المحاولة.

شهادة لعدة نطاقات ونطاقات فرعية (wildcard)

إذا كنت تدير أكثر من موقع أو عدّة نطاقات فرعية على الخادم نفسه، فلديك خياران. الأول تأمين كل نطاق ونطاق فرعي باسمه صراحةً، وهو مناسب عندما يكون عددها محدودًا ومعروفًا. الثاني إصدار شهادة wildcard واحدة تغطّي جميع النطاقات الفرعية ضمن نطاق واحد، مثل *.example.com، وهي عملية للمواقع التي تنشئ نطاقات فرعية ديناميكيًا. النقطة المهمّة أنّ شهادة wildcard لا يمكن التحقّق منها عبر المنفذ 80 كالشهادات العادية، بل تتطلّب تحقّق DNS؛ أي أنّك ستضيف سجلّ TXT محدّدًا في لوحة إدارة نطاقك ليثبت لـ Let’s Encrypt سيطرتك على النطاق بالكامل. يدعم Certbot ذلك عبر إضافات DNS الخاصة بمزوّدي النطاقات، وتصبح العملية أوتوماتيكية بالكامل عند استخدام مزوّد مدعوم. ومن الجدير بالذكر أنّ شهادة wildcard لا تغطّي النطاق الجذر وحده مع نطاقاته الفرعية من مستوى واحد؛ أي أنّ *.example.com تشمل blog.example.com لكنها لا تشمل مستوى أعمق مثل a.b.example.com، كما يُنصح بإضافة النطاق الجذر صراحةً إلى جانب صيغة النجمة ليعمل الموقع بدون نطاق فرعي أيضًا. ولأنّ التحقّق يتمّ عبر DNS فقد يحتاج الإصدار إلى دقائق إضافية حتى ينتشر سجلّ TXT قبل أن يتحقّق منه ACME. إن كنت تخطّط لتشغيل أكثر من موقع على الخادم ذاته فراجع دليل استضافة عدة مواقع على VPS واحد لتنظيم بنية النطاقات قبل إصدار الشهادات.

أخطاء شائعة وحلولها: المنفذ 443 وDNS وحدود الإصدار

تنجح معظم عمليات التثبيت من أول محاولة، لكن إن واجهت مشكلة فغالبًا ما تندرج تحت أحد الأسباب التالية:

• فشل التحقّق عبر المنفذ 80: تأكّد من أنّ الجدار الناري ومجموعة الأمان لدى مزوّدك يسمحان بالمنفذ 80، فهو ضروري لعملية التحقّق حتى لو كان موقعك سيعمل على 443.
• الموقع يعمل لكن HTTPS لا يستجيب: تحقّق من فتح المنفذ 443 في الجدار الناري، ومن أنّ خادم الويب يستمع عليه فعلًا بعد تعديل الإعدادات.
• خطأ في DNS: تأكّد من أنّ سجلّ A يشير إلى IP الصحيح وأنّ التغييرات انتشرت؛ فالتحقّق يفشل إذا كان النطاق يشير إلى خادم آخر.
• تجاوز حدود الإصدار (rate limits): تضع Let’s Encrypt حدودًا أسبوعية لعدد الشهادات لكل نطاق؛ لتجنّب استهلاكها أثناء التجربة استخدم بيئة الاختبار (staging) قبل الإصدار الفعلي.
• فشل التجديد التلقائي: أعد تشغيل certbot renew --dry-run لتشخيص السبب، وتأكّد من أنّ خادم الويب لا يحجب مسار التحقّق /.well-known/acme-challenge/.

الخلاصة

الحصول على شهادة SSL مجانية عبر Let’s Encrypt لم يعد مهمّة معقّدة؛ فبخطوات قليلة بأداة Certbot يتحوّل موقعك إلى اتصال مشفّر بالكامل عبر HTTPS، مع تجديد تلقائي يحميك من انتهاء الصلاحية كل 90 يومًا. تذكّر أنّ التشفير اليوم ليس ترفًا بل معيار أساسي للأمان والثقة وترتيب البحث، وأنّ شهادة wildcard تبقى الحلّ الأمثل حين تتعامل مع نطاقات فرعية كثيرة شرط إتمام تحقّق DNS.

ماذا تفعل الآن:

• تأكّد من توجيه نطاقك عبر سجلّ A وفتح المنفذين 80 و443.
• ثبّت Certbot عبر sudo apt install certbot مع إضافة خادم الويب المناسبة.
• أصدر الشهادة بتشغيل certbot --nginx أو certbot --apache واختر إعادة التوجيه إلى HTTPS.
• اختبر التجديد التلقائي بالأمر certbot renew --dry-run وتأكّد من نجاحه.
• افتح موقعك وتحقّق من ظهور القفل المغلق، وفكّر في شهادة wildcard إن كبرت بنيتك.