أخطاء شهادة SSL وحلولها: الدليل الشامل لعام 2026

لماذا تحدث أخطاء شهادة SSL؟

تظهر أخطاء شهادات SSL/TLS عندما يتعذر التحقق من الاتصال الآمن بين المتصفح وخادم الويب . هذه الأخطاء تضع زوارك أمام صفحات تحذير مخيفة، وتؤدي إلى فقدان الثقة وتراجع الزيارات. وتعرض جميع المتصفحات الكبرى تحذيرات تملأ الصفحة كاملة عند أخطاء SSL.

والخبر السار أن الغالبية العظمى من أخطاء شهادة SSL ناتجة عن مشكلات بسيطة في الإعدادات ويمكن حلها سريعًا. نتناول في هذا الدليل بالتفصيل أكثر الأخطاء شيوعًا وحلولها.

1. NET::ERR_CERT_AUTHORITY_INVALID

ما هو؟

يظهر هذا الخطأ عندما لا يتعرف المتصفح على هيئة إصدار الشهادات (CA) التي أصدرت شهادة SSL. تعرض متصفحات Chrome و Firefox و Edge هذا الخطأ برسائل مختلفة، لكن السبب الأساسي واحد.

الأسباب

• غياب الشهادة الوسيطة (intermediate certificate): وهو السبب الأكثر شيوعًا. الخادم مثبّتة عليه الشهادة النهائية فقط، وسلسلة الشهادات الوسيطة ناقصة.
• شهادة Self-signed: الشهادات الموقّعة ذاتيًا لا تعدّها المتصفحات العامة موثوقة.
• شهادة root قديمة: إذا لم يكن نظام التشغيل أو المتصفح محدّثًا، فقد لا يتعرف على شهادات root الجديدة لهيئات الإصدار.

الحل

1. نزِّل من مزوّد الشهادة ملف CA Bundle (سلسلة الشهادات الوسيطة)
2. ثبِّت سلسلة الشهادات على خادمك بالترتيب الصحيح: شهادة الموقع، ثم الشهادة أو الشهادات الوسيطة، ثم Root
3. تحقق من السلسلة بأداة SSL Checker
4. انصح الزوار بتحديث المتصفح ونظام التشغيل

2. NET::ERR_CERT_DATE_INVALID (شهادة منتهية الصلاحية)

ما هو؟

يدل هذا الخطأ على أن مدة صلاحية شهادة SSL قد انتهت أو لم تبدأ بعد. وينتج عن عدم التوافق بين تاريخَي "Not Before" و"Not After" في الشهادة وساعة الخادم.

الأسباب

• الشهادة لم تُجدَّد: منذ 15 مارس 2026 أصبحت المدة القصوى لصلاحية شهادات SSL 200 يوم (وتنخفض إلى 100 يوم اعتبارًا من 15 مارس 2027 وإلى 47 يومًا اعتبارًا من 15 مارس 2029). وإذا لم يُجرَ تجديد تلقائي فقد تكون المدة انتهت.
• ساعة الخادم غير صحيحة: إذا كانت ساعة الخادم متقدمة أو متأخرة فقد تبدو الشهادة غير صالحة.
• ساعة العميل غير صحيحة: قد تكون ساعة حاسوب المستخدم مضبوطة بشكل خاطئ.

الحل

1. تحقق من تاريخ انتهاء الشهادة: openssl s_client -connect domain.com:443 | openssl x509 -noout -dates
2. إذا انتهت المدة فجدِّدها فورًا — في الحالات العاجلة تصدر شهادات DV عادةً خلال دقائق
3. زامِن ساعة الخادم عبر NTP: timedatectl set-ntp true (Linux)
4. وللمستقبل فعِّل التجديد التلقائي (عبر Certbot أو خاصية auto-renewal لدى مزوّد الشهادة)

3. ERR_SSL_VERSION_OR_CIPHER_MISMATCH

ما هو؟

يحدث هذا الخطأ عندما لا يوجد إصدار TLS أو خوارزمية تشفير مشتركة بين المتصفح والخادم.

الأسباب

• إصدار TLS قديم: عطّلت جميع المتصفحات الحديثة TLS 1.0 و 1.1. فإذا كان الخادم لا يدعم سوى الإصدارات القديمة تعذّر إنشاء الاتصال.
• مجموعات تشفير (cipher suites) ضعيفة: تحجب المتصفحات الحديثة الخوارزميات غير الآمنة مثل RC4 و 3DES.
• غياب دعم SNI: قد لا تدعم الخوادم القديمة Server Name Indication.

الحل

1. فعِّل على الخادم TLS 1.2 و TLS 1.3 وعطِّل الإصدارات القديمة
2. اضبط مجموعات تشفير قوية (يوصى بـ ECDHE + AES-GCM)
3. أنشئ الإعدادات المثلى باستخدام Mozilla SSL Configuration Generator
4. بعد الضبط استهدف تقييم A+ في SSL Labs

4. خطأ Mixed Content

ما هو؟

ينتج هذا الخطأ عن الموارد المحمَّلة عبر HTTP (الصور والسكربتات وملفات CSS) داخل صفحة HTTPS. فالمتصفحات تحجب موارد HTTP أو تعرض تحذيرًا حتى لو كانت الصفحة نفسها عبر HTTPS.

الحل

1. حدِّث روابط جميع الموارد لتصبح HTTPS
2. استخدم روابط غير مقيّدة ببروتوكول: //cdn.example.com/style.css
3. أضِف ترويسة Content-Security-Policy : upgrade-insecure-requests
4. حوِّل إشارات HTTP في قاعدة البيانات إلى HTTPS دفعة واحدة
5. راجع تحذيرات mixed content في Console ضمن أدوات المطوّر (DevTools) في المتصفح

5. NET::ERR_CERT_COMMON_NAME_INVALID

ما هو؟

يظهر هذا الخطأ عندما لا يطابق اسم النطاق في الشهادة اسم النطاق الذي يُزار .

سيناريوهات شائعة

• www.example.com : الشهادة الصادرة لهذا النطاق لا تشمل example.com(أو العكس)
• النطاق الفرعي (subdomain) غير مشمول في الشهادة
• تثبيت شهادة خاطئة (شهادة نطاق آخر)

الحل

1. تحقق من حقل SAN (Subject Alternative Name) في الشهادة
2. تأكد من أن الشهادة تشمل النطاق مع www ومن دونها (bare domain)؛ وإن لم تكن تشملهما فاطلب إعادة إصدارها بالأسماء الصحيحة أو استخدم شهادة Multi-Domain SAN
3. لتغطية جميع النطاقات الفرعية استخدم شهادة Wildcard SSL
4. تأكد من أن قواعد إعادة التوجيه (redirect) توجّه إلى نطاق مشمول في الشهادة

6. ERR_SSL_PROTOCOL_ERROR

ما هو؟

خطأ عام في بروتوكول SSL يدل على فشل الاتصال في مرحلة المصافحة (SSL/TLS handshake).

خطوات الحل السريعة

• تحقق من إعدادات الخادم (هل مسارات ملفات الشهادة صحيحة؟)
• هل تتطابق الشهادة مع المفتاح الخاص؟ قارن قيمة modulus باستخدام openssl x509 و openssl rsa
• تأكد من أن جدار الحماية أو CDN لا يحجب حركة SSL
• افحص سجلات الخادم: tail -f /var/log/nginx/error.log

أدوات تشخيص أخطاء SSL

الخلاصة

قد تبدو أخطاء شهادة SSL مخيفة، لكن معظمها يُحل بتصحيحات بسيطة في الإعدادات. فحص سلسلة الشهادات الوسيطة، ومتابعة مدة صلاحية الشهادة، وإبقاء إعدادات TLS محدّثة — هذه الخطوات الثلاث تمنع معظم الأخطاء. وبإعداد المراقبة الاستباقية والتجديد التلقائي يمكنك حل مشكلات SSL قبل أن يلاحظها زوارك.