SSL چیست و چرا از https استفاده می کنیم؟

SSL چیست و چرا تقریباً همه سایت‌ها بهش نیاز دارن؟ جواب کوتاه اینه: SSL اسم رایجی برای فناوری‌ایه که ارتباط بین مرورگر کاربر و سرور سایت رو رمزگذاری می‌کنه. وقتی این ارتباط امن باشه، افراد ناشناس نمی‌تونن اطلاعاتی مثل رمز عبور، مشخصات فرم یا جزئیات سفارش رو به‌راحتی در مسیر بخونن یا تغییر بدن.

توی این راهنما تفاوت SSL، TLS و HTTPS رو خیلی ساده بررسی می‌کنیم. بعد سراغ انواع گواهی، انتخاب بین SSL رایگان و پولی، فعال‌سازی روی هاست، انتقال درست وردپرس به HTTPS، تأثیرش روی سئو و روش برطرف‌کردن خطاهای رایج می‌ریم.

SSL چیست و چطور از اطلاعات سایت محافظت می‌کنه؟

SSL مخفف Secure Sockets Layer هست. این فناوری برای امن‌کردن ارتباط اینترنتی ساخته شده بود، ولی نسخه‌های قدیمی اون دیگه امن نیستن. ارتباط امن سایت‌های امروزی با TLS برقرار می‌شه؛ بااین‌حال، عبارت «گواهی SSL» هنوز بین کاربران و شرکت‌های هاستینگ رایجه.

تفاوت SSL، TLS و HTTPS به زبان ساده

TLS یا Transport Layer Security نسخه جدیدتر و امن‌تر فناوری SSL هست. HTTPS همون ارتباط معمول وب، یعنی HTTP، روی یک اتصال رمزگذاری‌شده با TLS هست. پس وقتی آدرس سایت با https:// شروع می‌شه، مرورگر تلاش می‌کنه ارتباط امنی با سرور بسازه.

برای راحتی، توی این مقاله از عبارت رایج SSL استفاده می‌کنیم؛ ولی منظورمون گواهی و اتصال امن امروزی بر پایه TLS هست.

گواهی SSL چطور کار می‌کنه؟

وقتی کاربر وارد سایتتون می‌شه، مرورگر گواهی سایت رو بررسی می‌کنه. این گواهی به مرورگر کمک می‌کنه هویت دامنه و کلید عمومی سرور رو تشخیص بده. بعد مرورگر و سرور روی کلیدهای لازم برای ساختن یک ارتباط رمزگذاری‌شده توافق می‌کنن.

بعد از برقراری اتصال، اطلاعات در مسیر به‌شکل رمزگذاری‌شده جابه‌جا می‌شن. این کار سه فایده اصلی داره: محتوای ارتباط برای افراد بین راه خوانا نیست، تغییر غیرمجاز داده‌ها قابل تشخیص می‌شه و مرورگر می‌تونه اعتبار گواهی ارائه‌شده برای دامنه رو بررسی کنه. البته این محافظت فقط مسیر ارتباط تا نقطه پایانی TLS رو پوشش می‌ده و امنیت خود سرور، افزونه‌ها یا اطلاعات ذخیره‌شده رو تضمین نمی‌کنه.

قفل کنار آدرس سایت چه معنایی داره؟

نشانه اتصال امن در مرورگر یعنی ارتباط همون صفحه با HTTPS برقرار شده و گواهی اون برای مرورگر معتبر بوده. این نشانه تضمین نمی‌کنه صاحب سایت حتماً قابل‌اعتماده یا محتوای سایت هیچ مشکلی نداره. سایت جعلی هم ممکنه گواهی معتبر داشته باشه؛ پس همیشه نام دامنه رو هم بررسی کنید.

چرا سایت شما به HTTPS نیاز داره؟

HTTPS فقط برای فروشگاه‌ها نیست. حتی یک وبلاگ ساده هم صفحه ورود، فرم دیدگاه یا بخش مدیریت داره. فعال‌بودن HTTPS از اطلاعات در حال انتقال محافظت می‌کنه و جلوی هشدار ناامن‌بودن سایت در مرورگرهای جدید رو می‌گیره. برای آشنایی بیشتر می‌تونید مطلب هشدار سایت‌های بدون SSL در گوگل کروم رو هم بخونید.

رمزگذاری اطلاعات بین مرورگر و سرور

HTTPS اطلاعاتی مثل رمز عبور، متن فرم‌ها و داده‌های سفارش رو در مسیر رمزگذاری می‌کنه. شرکت اینترنت، مدیر شبکه عمومی یا فردی که ترافیک مسیر رو بررسی می‌کنه ممکنه بسته به روش اتصال و تنظیمات DNS بعضی اطلاعات کلی رو ببینه؛ ولی محتوای رمزگذاری‌شده صفحه و فرم‌ها براش خوانا نیست.

جلوگیری از دست‌کاری اطلاعات در مسیر

اگه ارتباط رمزگذاری نشده باشه، یک واسطه مخرب ممکنه محتوای صفحه یا فایل‌های دریافتی رو تغییر بده. TLS به مرورگر کمک می‌کنه دست‌کاری اطلاعات در مسیر رو تشخیص بده و اتصال آسیب‌دیده رو نپذیره.

تأیید هویت سرور و کاهش خطر سایت‌های جعلی

مرورگر بررسی می‌کنه که گواهی برای دامنه فعلی صادر شده، تاریخ اعتبارش تموم نشده و زنجیره اعتمادش معتبره. زنجیره اعتماد یعنی مرورگر بتونه گواهی سایت رو به یک صادرکننده معتبر وصل کنه. این بررسی احتمال اتصال ناخواسته به یک سرور دیگه رو کمتر می‌کنه. بااین‌حال، خودتون هم باید املای دامنه رو بررسی کنید.

افزایش اعتماد کاربر موقع ورود یا پرداخت

دیدن هشدار «Not Secure» موقع واردکردن رمز یا اطلاعات خرید حس خوبی به کاربر نمی‌ده. HTTPS این هشدار رو برطرف می‌کنه و یکی از پایه‌های اعتماد فنی سایت رو می‌سازه. البته اعتماد واقعی به کیفیت محصول، پشتیبانی، شفافیت و اعتبار خود کسب‌وکار هم بستگی داره.

SSL چه تأثیری روی سئوی سایت داره؟

آیا HTTPS رتبه سایت رو بهتر می‌کنه؟

گوگل HTTPS رو یک سیگنال سبک رتبه‌بندی معرفی کرده. پس استفاده از HTTPS کار درستی برای امنیت و سئوی فنی سایت هست، ولی نباید انتظار داشته باشید فقط با نصب گواهی به رتبه‌های اول برسید.

چرا HTTPS به‌تنهایی باعث افزایش بازدید یا فروش نمی‌شه؟

رتبه و فروش به عوامل زیادی مثل کیفیت محتوا، پاسخ درست به نیاز کاربر، سرعت، تجربه کاربری و اعتبار سایت بستگی دارن. HTTPS فقط یکی از پایه‌های فنی سایته. برای دید کامل‌تر می‌تونید راهنمای سئو تکنیکال وردپرس رو بخونید.

مهاجرت اشتباه به HTTPS چه آسیبی به سئو می‌زنه؟

اگه نسخه‌های HTTP و HTTPS هم‌زمان بدون ریدایرکت درست باز بشن، لینک‌های داخلی قدیمی بمونن یا صفحه‌ها به مقصد اشتباه منتقل بشن، موتور جست‌وجو ممکنه نسخه‌های تکراری ببینه. ریدایرکت‌های زنجیره‌ای، حلقه ریدایرکت و خطای صفحه هم می‌تونن خزش و تجربه کاربر رو خراب کنن.

انواع گواهی SSL کدوم هستن؟

گواهی DV برای تأیید مالکیت دامنه

DV مخفف Domain Validation هست. بر اساس الزامات CA/Browser Forum، صادرکننده این نوع گواهی کنترل متقاضی روی دامنه رو بررسی می‌کنه. گواهی DV محتوای ارتباط رو رمزگذاری می‌کنه، ولی هویت حقوقی صاحب کسب‌وکار یا آنلاین‌بودن دائمی سایت رو تضمین نمی‌کنه.

گواهی چنددامنه‌ای برای چند سایت یا دامنه

گواهی چنددامنه‌ای چند نام مشخص رو داخل یک گواهی پوشش می‌ده. این گزینه برای وقتی مناسبه که چند دامنه یا چند زیردامنه محدود دارید و می‌خواید مدیریت گواهی‌ها ساده‌تر باشه.

گواهی Wildcard برای ساب‌دامین‌ها

گواهی Wildcard زیردامنه‌ها یا همون ساب‌دامین‌های یک سطح رو پوشش می‌ده؛ مثلاً *.example.com می‌تونه برای shop.example.com و blog.example.com استفاده بشه. اگه با مفهوم زیردامنه آشنا نیستید، راهنمای ساب دامین چیست کمکتون می‌کنه.

گواهی رایگان و پولی چه تفاوتی دارن؟

رایگان یا پولی‌بودن به‌تنهایی قدرت رمزگذاری رو مشخص نمی‌کنه. تفاوت اصلی معمولاً توی نوع اعتبارسنجی، پشتیبانی، شرایط ضمانت، روش صدور، امکانات مدیریتی و سازگاری سرویس‌دهنده دیده می‌شه. مهم‌تر از قیمت، نصب درست و تمدید به‌موقع گواهیه.

SSL رایگان بهتره یا پولی؟

گواهی رایگان Let’s Encrypt برای چه سایت‌هایی مناسبه؟

Let’s Encrypt گواهی‌های رایگان و خودکار ارائه می‌ده. این گواهی برای وبلاگ‌ها، سایت‌های شرکتی، فروشگاه‌ها و پروژه‌های شخصی‌ای مناسبه که به اعتبارسنجی سازمانی، پشتیبانی قراردادی یا سیاست امنیتی خاصی نیاز ندارن؛ به‌خصوص وقتی هاست تمدید خودکار رو به‌درستی انجام می‌ده.

چه وقت‌هایی خرید گواهی پولی منطقیه؟

وقتی سازمانتون به اعتبارسنجی حقوقی، قرارداد پشتیبانی ویژه، مدیریت متمرکز تعداد زیادی گواهی یا شرایط سازمانی خاص نیاز داره، گزینه پولی می‌تونه منطقی باشه. قبل از خرید دقیقاً بررسی کنید بابت چه خدمتی هزینه می‌دید.

موقع انتخاب گواهی به چه چیزهایی توجه کنید؟

• گواهی باید دامنه اصلی، نسخه www و زیردامنه‌های موردنیاز رو پوشش بده.
• هاست باید نصب و تمدید خودکار اون رو پشتیبانی کنه.
• روش اعتبارسنجی باید با دسترسی شما به DNS یا هاست هماهنگ باشه.
• پشتیبانی شرکت ارائه‌دهنده باید برای سطح دانش و نیازتون کافی باشه.

چطور برای سایت گواهی SSL بگیرید؟

بررسی SSL رایگان در پنل هاست

اول وارد پنل هاست بشید و بخش‌هایی با نام SSL/TLS، Let’s Encrypt یا AutoSSL رو پیدا کنید. خیلی از سرویس‌های میزبانی گواهی رایگان رو با چند کلیک یا حتی به‌صورت خودکار فعال می‌کنن.

صدور گواهی با Let’s Encrypt

دامنه موردنظرتون رو انتخاب کنید و درخواست صدور بدید. دامنه باید به همون سرور متصل باشه و فرایند اعتبارسنجی نباید با تنظیمات اشتباه DNS مسدود بشه. DNS همون تنظیماتیه که مشخص می‌کنه دامنه به کدوم سرور وصل بشه. برای گواهی Wildcard معمولاً باید با ساختن یک رکورد DNS ثابت کنید کنترل دامنه دست شماست.

نصب گواهی با کمک شرکت هاستینگ

اگه گزینه صدور رو پیدا نکردید یا با کلید خصوصی و زنجیره گواهی آشنا نیستید، از پشتیبانی هاست بخواید گواهی رو نصب کنه. کلید خصوصی گواهی رو توی پیام عمومی یا برای افراد ناشناس نفرستید.

بررسی اعتبار و تمدید خودکار گواهی

بعد از نصب، سایت رو با HTTPS باز کنید و تاریخ اعتبار گواهی رو ببینید. مطمئن بشید تمدید خودکار فعاله و شرکت هاست قبل از تموم‌شدن اعتبار، گواهی جدید رو صادر و نصب می‌کنه.

چطور وردپرس رو از HTTP به HTTPS منتقل کنید؟

قبل از شروع از سایت نسخه پشتیبان بگیرید

از فایل‌ها و پایگاه داده یک نسخه پشتیبان کامل بگیرید و مطمئن بشید راه برگردوندنش رو بلدید. اگه فروشگاه یا سایت پرترافیکی دارید، انتقال رو توی ساعت کم‌ترافیک انجام بدید.

گواهی رو روی هاست نصب و فعال کنید

قبل از تغییر تنظیمات وردپرس، آدرس HTTPS دامنه رو آزمایش کنید. اگه مرورگر خطای گواهی نشون می‌ده، اول همون خطا رو با کمک هاست برطرف کنید.

آدرس‌های وردپرس رو به HTTPS تغییر بدید

توی پیشخوان به «تنظیمات ← عمومی» برید. نشانی وردپرس و نشانی سایت رو از HTTP به HTTPS تغییر بدید و تنظیمات رو ذخیره کنید. بعد دوباره وارد پیشخوان بشید.

ریدایرکت دائمی ۳۰۱ رو تنظیم کنید

هر آدرس HTTP باید با ریدایرکت دائمی ۳۰۱ به نسخه دقیق HTTPS خودش بره. ۳۰۱ یعنی آدرس برای همیشه جابه‌جا شده. تنظیمش به نوع وب‌سرور و پنل هاست بستگی داره؛ پس اگه مطمئن نیستید، از پشتیبانی کمک بگیرید. راهنمای ریدایرکت چیست هم مفهومش رو ساده‌تر توضیح می‌ده.

لینک‌های داخلی و آدرس‌های canonical رو اصلاح کنید

لینک‌های داخلی، فایل‌های CSS و JavaScript، تصاویر و آدرس‌های canonical رو به HTTPS تغییر بدید. canonical آدرسیه که به موتور جست‌وجو می‌گه نسخه اصلی یک صفحه کدومه. بهتره لینک‌ها مستقیماً به مقصد HTTPS برن تا ریدایرکت اضافه ساخته نشه.

نقشه سایت رو با آدرس‌های HTTPS به‌روز کنید

نقشه سایت XML باید فقط آدرس‌های نهایی HTTPS رو نشون بده. نقشه سایت جدید رو باز کنید و چند لینک اون رو دستی آزمایش کنید.

تنظیمات Google Search Console رو بررسی کنید

Domain Property نوعی ثبت سایت توی Google Search Console هست که همه نسخه‌های HTTP، HTTPS و زیردامنه‌ها رو یکجا پوشش می‌ده. اگه از این روش استفاده می‌کنید، داده‌های HTTP و HTTPS زیر همون ویژگی دیده می‌شن. URL-prefix فقط آدرس‌هایی رو پوشش می‌ده که با پیشوند ثبت‌شده شروع می‌شن؛ پس اگه از این روش استفاده می‌کنید، نسخه HTTPS ویژگی جداگانه‌ای حساب می‌شه و بهتره اون رو اضافه و تأیید کنید. برای انتقال HTTP به HTTPS نیازی به ابزار Change of Address ندارید.

صفحه‌ها و ریدایرکت‌ها رو بعد از انتقال آزمایش کنید

صفحه اصلی، نوشته‌ها، محصولات، فرم‌ها، ورود، سبد خرید و پرداخت رو آزمایش کنید. چند آدرس HTTP رو هم باز کنید تا مطمئن بشید هرکدوم با یک ریدایرکت درست به نسخه HTTPS خودش می‌ره.

افزونه Really Simple Security چه کمکی می‌کنه؟

این افزونه چه کارهایی رو انجام می‌ده؟

Really Simple Security می‌تونه تشخیص و پیکربندی HTTPS، اجبار اتصال امن و ساخت ریدایرکت ۳۰۱ رو ساده‌تر کنه. امکانات دقیق افزونه به نسخه و تنظیماتی که فعال می‌کنید بستگی دارن؛ پس قبل از استفاده، توضیحات نسخه فعلی و کاربرد هر قابلیت رو توی صفحه رسمی افزونه بررسی کنید.

چرا افزونه جای گواهی نصب‌شده روی هاست رو نمی‌گیره؟

رمزگذاری قبل از اجرای خود وردپرس و در سطح سرور شروع می‌شه. پس افزونه بدون گواهی معتبر روی سرور نمی‌تونه یک اتصال HTTPS سالم بسازه. اول گواهی رو روی هاست فعال کنید و بعد سراغ تنظیمات وردپرس برید.

قبل از فعال‌کردن افزونه چه نکاتی رو بررسی کنید؟

نسخه پشتیبان بگیرید، اعتبار گواهی رو بررسی کنید و مطمئن بشید راه دسترسی به فایل‌ها یا پنل هاست رو دارید. اگه قبلاً ریدایرکت HTTPS رو دستی تنظیم کردید، فعال‌کردن یک ریدایرکت دوم ممکنه حلقه یا زنجیره ریدایرکت بسازه.

خطاهای رایج SSL و HTTPS رو چطور برطرف کنید؟

خطای گواهی نامعتبر یا منقضی‌شده

تاریخ اعتبار، نام دامنه و زنجیره گواهی رو بررسی کنید. ساعت اشتباه دستگاه کاربر هم گاهی خطای اعتبار می‌سازه. اگه گواهی تموم شده یا دامنه رو پوشش نمی‌ده، باید از پنل هاست دوباره صادرش کنید یا با پشتیبانی تماس بگیرید. راهنمای رفع خطای Your connection is not private جزئیات بیشتری داره.

خطای محتوای ترکیبی یا Mixed Content

Mixed Content یعنی صفحه با HTTPS باز شده، ولی یکی از فایل‌ها هنوز از HTTP دریافت می‌شه. کد منبع یا ابزار توسعه‌دهنده مرورگر رو بررسی کنید و آدرس تصویر، فونت، اسکریپت یا فایل مشکل‌دار رو به HTTPS تغییر بدید.

حلقه ریدایرکت بعد از فعال‌کردن HTTPS

وقتی چند لایه مثل وردپرس، افزونه، سرور و شبکه توزیع محتوا هم‌زمان ریدایرکت می‌سازن، مرورگر ممکنه بین دو آدرس گیر کنه. شبکه توزیع محتوا سرویسیه که فایل‌های سایت رو از سرورهای نزدیک‌تر به کاربر تحویل می‌ده. ریدایرکت‌های تکراری رو حذف کنید و تنظیم تشخیص HTTPS پشت پراکسی، یعنی سروری که بین کاربر و هاست اصلی قرار می‌گیره، رو هم بررسی کنید. اگه از این سرویس استفاده می‌کنید، راهنمای Cloudflare چیست هم کمکتون می‌کنه.

بازنشدن سایت یا نمایش خطای اتصال امن

اول بررسی کنید دامنه به سرور درست وصل شده و گواهی همون دامنه روی سرور فعاله. بعد وضعیت DNS، فایروال، پورت ۴۴۳ و تنظیمات وب‌سرور رو بررسی کنید. تغییر اشتباه این بخش‌ها می‌تونه سایت رو از دسترس خارج کنه؛ پس اگه به تنظیمات سرور دسترسی یا تجربه کافی ندارید، متن کامل خطا رو برای پشتیبانی هاست بفرستید.

افت موقت بازدید بعد از مهاجرت

نوسان کوتاه‌مدت موقع پردازش آدرس‌های جدید ممکنه اتفاق بیفته، ولی افت شدید یا طولانی رو عادی فرض نکنید. ریدایرکت‌ها، canonical، نقشه سایت، خطاهای خزش و گزارش‌های سرچ کنسول رو بررسی کنید.

چطور مطمئن بشید SSL درست فعال شده؟

بررسی آدرس HTTPS و وضعیت گواهی در مرورگر

سایت رو با HTTPS باز کنید، اطلاعات اتصال مرورگر رو ببینید و نام دامنه و تاریخ اعتبار گواهی رو بررسی کنید. فقط صفحه اصلی رو نبینید؛ چند صفحه داخلی هم باز کنید.

آزمایش ریدایرکت نسخه HTTP

آدرس سایت رو با http:// وارد کنید. باید خودکار به نسخه دقیق HTTPS بره. همین آزمایش رو برای نسخه www و بدون www هم انجام بدید.

بررسی صفحه‌ها، فرم‌ها، ورود و پرداخت

یک فرم آزمایشی بفرستید، وارد حساب کاربری بشید و اگه فروشگاه دارید مسیر خرید آزمایشی رو طی کنید. کنسول مرورگر رو هم برای خطاهای Mixed Content و فایل‌های بارگذاری‌نشده ببینید.

کنترل خطاها در Google Search Console

گزارش ایندکس صفحه‌ها، نقشه سایت و URL Inspection رو بررسی کنید. URL Inspection ابزاریه که وضعیت یک آدرس مشخص رو در گوگل نشون می‌ده. آدرس‌های مهم باید نسخه HTTPS رو به‌عنوان آدرس اصلی نشون بدن و خطای ریدایرکت یا دسترسی نداشته باشن.

نکات امنیتی مهم بعد از فعال‌کردن SSL

تمدید خودکار گواهی رو فعال نگه دارید

گواهی تاریخ انقضا داره. تمدید خودکار و اعلان خطا رو فعال نگه دارید تا سایت ناگهان با هشدار امنیتی روبه‌رو نشه.

پروتکل‌ها و تنظیمات قدیمی TLS رو غیرفعال کنید

نسخه‌های قدیمی SSL و TLS امن نیستن. تنظیمات دقیق به وب‌سرور و کاربران سایتتون بستگی داره و تغییر اشتباه اون‌ها ممکنه اتصال بعضی کاربران یا سرویس‌ها رو قطع کنه؛ پس برای غیرفعال‌کردن نسخه‌های قدیمی از تنظیمات پیشنهادی شرکت هاست یا مدیر سرور استفاده کنید.

HSTS رو فقط بعد از آزمایش کامل فعال کنید

HSTS به مرورگر می‌گه دامنه رو فقط با HTTPS باز کنه. این قابلیت مفیده، ولی تنظیم اشتباهش می‌تونه دسترسی به سایت یا زیردامنه‌ها رو سخت کنه و برگشت از اون هم همیشه فوری نیست. اول HTTPS و تمدید خودکار رو کامل آزمایش کنید و بعد از راهنمای تنظیم امن HSTS کمک بگیرید.

یادتون نره SSL به‌تنهایی امنیت کامل سایت رو تضمین نمی‌کنه

SSL فقط ارتباط در حال انتقال رو امن می‌کنه. برای امنیت سایت هنوز باید وردپرس و افزونه‌ها رو به‌روز نگه دارید، رمز قوی و ورود دومرحله‌ای داشته باشید، دسترسی‌ها رو محدود کنید و نسخه پشتیبان منظم بگیرید.

سؤال‌های پرتکرار درباره SSL

جمع‌بندی: کدوم گواهی SSL برای سایت شما مناسبه؟

برای سایت‌های وردپرسی‌ای که به اعتبارسنجی سازمانی، پشتیبانی قراردادی یا سیاست امنیتی خاصی نیاز ندارن، یک گواهی رایگان DV از Let’s Encrypt همراه با تمدید خودکار معمولاً مناسبه. اگه چند دامنه یا زیردامنه دارید، گواهی چنددامنه‌ای یا Wildcard رو بررسی کنید. گواهی پولی هم وقتی ارزش داره که واقعاً به اعتبارسنجی سازمانی، قرارداد پشتیبانی یا امکانات مدیریتی ویژه نیاز داشته باشید.

بعد از انتخاب گواهی، کار اصلی نصب درست، ساخت ریدایرکت ۳۰۱، اصلاح لینک‌ها، برطرف‌کردن محتوای ترکیبی و کنترل تمدید خودکار هست. HTTPS پایه مهمی برای امنیت سایته، ولی یادتون نره نگهداری وردپرس، نسخه پشتیبان و کنترل دسترسی‌ها هم باید جدی گرفته بشن.

تیم تولید محتوا

ما در تیم تولید محتوای میهن وردپرس در تلاش هستیم تا بهترین مقالات آموزشی در زمینه وردپرس و کسب‌و‌کارهای اینترنتی را تهیه کنیم. صحت محتوای این صفحه توسط رضا راد بررسی خواهد شد.