أخطاء SSL: ما هي وكيف يمكن إصلاحها

خطأ SSL هو ما يعرضه المتصفح عندما يتعذر عليه فتح اتصال مشفر موثوق مع موقع ويب. فبدلاً من الصفحة التي طلبتها، تحصل على شاشة تحذير ورمز قصير بأحرف كبيرة صغيرة، على غرار NET::ERR_CERT_AUTHORITY_INVALID أو SSL_ERROR_NO_CYPHER_OVERLAP.

هذا الرمز هو الجزء المفيد، ومعظم الأدلة تتجاهله. فـ “خطأ SSL” ليس مصطلحًا تقنيًا دقيقًا، ولا يوجد معيار يحدده. إنه الاسم الشائع لعائلة كاملة من الأعطال المختلفة، وهذا ما يفسر لماذا تنجح النصائح العامة مثل مسح ذاكرة التخزين المؤقت في حل بعضها ولا تُجدي نفعًا في الباقي.

ما هو خطأ SSL في الحقيقة

عندما تفتح عنوانًا يبدأ بـ https://، يقوم متصفحك والخادم بتنفيذ محادثة قصيرة تُسمى مصافحة TLS قبل انتقال أي محتوى للصفحة. تتفق هذه المصافحة على إصدار البروتوكول ومجموعة من خوارزميات التشفير، ويثبت الخادم هويته بواسطة شهادة. فإذا فشل أي جزء من هذه العملية، يرفض المتصفح الاستمرار ويعرض لك خطأً بدلاً من الصفحة.

يستحق الفصل بين SSL و TLS هنا وقفة، لأن التسمية تسبب الكثير من الالتباس. فـ SSL هو البروتوكول الأصلي، وقد تم إلغاء اعتماد كل إصدار منه منذ سنوات. أما ما يتحدث به متصفحك فعليًا فهو TLS. وكلمة “SSL” لا تزال موجودة في أسماء المنتجات، وفي إرشادات التهيئة، وفي رموز الأخطاء، وهذا ما يجعلها تظهر في كل مكان حتى الآن. فعندما تذكر صفحة ما أو متصفح ما كلمة SSL، فإنها تعني في الغالب TLS.

هذا الأمر مهم عند استكشاف الأعطال وإصلاحها لأن التعريف الشائع لخطأ SSL ضيق للغاية. فستجد كثيرًا أن الشرح يقول إن خطأ SSL يعني أن المتصفح لم يستطع التحقق من شهادة الموقع. وهذا صحيح لمجموعة واحدة من هذه الأخطاء وغير صحيح للباقي. فالخادم الذي يستجيب على منفذ HTTPS بنص عادي غير مشفر ينتج خطأ SSL دون أن يرسل شهادة على الإطلاق. وجهازان لا يستطيعان الاتفاق على مجموعة تشفير ينتجان خطأً قبل أن يُنظر في الشهادة أصلاً. والبدء من الشهادة عندما لا تكون هي المشكلة أصلاً هو السبب الأكثر شيوعًا لضياع ساعات من الوقت في حل يستغرق خمس دقائق.

في أي مرحلة من الاتصال حدث الفشل

يمر كل اتصال HTTPS بنفس التسلسل، وخطأ SSL هو ببساطة النقطة التي توقف عندها هذا التسلسل. تحديد المرحلة يضيّق السبب فورًا، لأن كل مرحلة لها مجموعة مختلفة تمامًا من التفسيرات.

1. الاتصال لم يتحول إلى TLS مطلقًا. فتح متصفحك اتصالًا وما وصل لم يكن TLS، أو أغلق الطرف الآخر الاتصال قبل انتهاء المصافحة. لا شهادة متورطة هنا، ولا حاجة لاستبدال أي شهادة.
2. فشلت المصافحة أثناء التفاوض. تحدث الطرفان بـ TLS ولكنهما لم يتفقا على إصدار بروتوكول، أو مجموعة تشفير، أو الموقع الذي يُطلب. تتوقف المصافحة قبل التحقق من الشهادة، وغالبًا قبل إرسالها أصلاً.
3. تم استلام الشهادة ورفضها. هذه هي المجموعة التي يقصدها الناس عندما يقولون “خطأ SSL”. انتهاء الصلاحية، وتغطية اسم المضيف، وسلسلة الثقة، والإلغاء، وقوة التوقيع، كل هذا يقع ضمن هذه المرحلة.
4. نجحت المصافحة ثم فشل شيء بعدها. تأسس الاتصال المشفر بنجاح، ثم تعطلت طبقة لاحقة. الشهادة مؤكدة الصلاحية عند هذه النقطة، لذا استبدالها لا يغير شيئًا.

لا حاجة للتخمين بشأن المرحلة التي أنت فيها. رمز الخطأ يخبرك بذلك، والقسم التالي يربط كل رمز بمرحلته.

حدد خطأك

اقرأ الرمز المطبوع تحت رسالة التحذير. في Chrome و Edge يوجد بأحرف كبيرة صغيرة تحت عبارة “اتصالك ليس خاصًا”. وفي Firefox قد تحتاج لفتح التفاصيل المتقدمة في صفحة التحذير. ثم ابحث عنه أدناه.

المرحلة الأولى: الاتصال لم يتحول إلى TLS مطلقًا

• SSL_ERROR_RX_RECORD_TOO_LONG في Firefox يعني أن الخادم استجاب لطلب HTTPS بشيء ليس TLS، وهو غالبًا HTTP عادي يُقدَّم عبر المنفذ 443. إنها مشكلة في تهيئة الخادم.
• PR_END_OF_FILE_ERROR في Firefox يعني أن الطرف الآخر أغلق الاتصال قبل اكتمال المصافحة. غالبًا يكون السبب بينك وبين الخادم وليس في أي من الطرفين.

المرحلة الثانية: فشلت المصافحة أثناء التفاوض

• ERR_SSL_PROTOCOL_ERROR هو رمز Chrome العام لمصافحة فشلت لسبب لم يتمكن من تحديده بدقة. إن كان هذا رمزك، فابدأ من هنا، لأن المهمة الأولى هي تضييق نطاق البحث.
• SSL_ERROR_NO_CYPHER_OVERLAP هو نظيره في Firefox، وهو عام بالمثل: يظهر لأي فشل قاتل في المصافحة يبلغ عنه الخادم، بصرف النظر عن السبب الحقيقي للخادم.
• ERR_SSL_VERSION_OR_CIPHER_MISMATCH هو رمز Chrome لنفس فئة الفشل، ويظهر لقائمة قصيرة ومحددة من ظروف التفاوض.
• ERR_SSL_UNRECOGNIZED_NAME_ALERT يعني أن الخادم أنهى المصافحة عمدًا لأن اسم المضيف المطلوب لا يطابق أي موقع مُهيَّأ عليه. لا يُرسل أي شهادة، لذا فالشهادة ليست السبب.
• ERR_BAD_SSL_CLIENT_AUTH_CERT يسير في الاتجاه المعاكس لكل خطأ آخر هنا: طلب الموقع شهادة من متصفحك ورفض ما حصل عليه، أو لم يحصل على شيء. هذا الخطأ يُحل فعليًا على جهازك.
• خطأ Cloudflare 525 هو فشل في مصافحة تحدث في جزء آخر من المسار: بين Cloudflare والخادم الأصلي وراءه، وليس بين متصفحك وCloudflare. لا يمكن للزائرين اتخاذ أي إجراء بشأنه.

المرحلة الثالثة: تم استلام الشهادة ورفضها

اتصالك ليس خاصًا هي شاشة تحذير Chrome لهذه المجموعة كاملة وليست سببًا بذاتها، فإن لم يكن لديك سوى هذا، اقرأ الرمز الموجود أسفلها أولاً.

لم يتمكن من بناء سلسلة الثقة. لم يستطع المتصفح ربط شهادة الموقع بجذر يثق به، وغالبًا لأن الخادم يرسل شهادته الخاصة ويحذف الشهادة الوسيطة الموجودة فوقها.

• NET::ERR_CERT_AUTHORITY_INVALID في Chrome و Edge.
• SEC_ERROR_UNKNOWN_ISSUER في Firefox، نفس الحالة باسم مختلف.
• شهادة وسيطة منتهية الصلاحية، حيث توجد السلسلة لكن حلقة واحدة فوقك انتهت صلاحيتها.
• MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT، حيث لا توجد سلسلة أصلاً لأن الشهادة وقّعت نفسها.

التواريخ أو الاسم غير متطابقين. الشهادة موثوقة لكنها لا تنطبق على هذه اللحظة أو هذا اسم المضيف.

• NET::ERR_CERT_DATE_INVALID، حيث انتهت صلاحية الشهادة أو لم تصبح سارية بعد. يجدر معرفة أن ساعة خاطئة على جهازك أنت يمكن أن تنتج هذا الخطأ أيضًا.
• NET::ERR_CERT_COMMON_NAME_INVALID، حيث اسم المضيف غير مذكور في الشهادة.
• DLG_FLAGS_SEC_CERT_CN_INVALID، نفس مشكلة اسم المضيف تظهر في برمجيات مبنية على مكدس ويب Windows الأقدم، وأساسًا في وضع Internet Explorer في Edge وتطبيقات الأعمال.

الشهادة موثوقة وسارية لكنها مرفوضة لسبب آخر.

• NET::ERR_CERT_REVOKED، حيث ألغتها جهة إصدار الشهادات قبل تاريخ انتهاء صلاحيتها.
• NET::ERR_CERTIFICATE_TRANSPARENCY_REQUIRED، حيث لم تصل الشهادة بإثبات إصدار علني كافٍ.
• NET::ERR_CERT_WEAK_SIGNATURE_ALGORITHM، حيث شيء في السلسلة موقّع بخوارزمية SHA-1. قد يعرض Chrome الحالي نفس الشهادة برمز مختلف، لكن الحالة والحل لم يتغيرا.
• SEC_ERROR_REUSED_ISSUER_AND_SERIAL، تعارض داخل مخزن الشهادات الخاص بـ Firefox وليس خللاً في الاتصال.
• NET::ERR_SSL_PINNED_KEY_NOT_IN_CERT_CHAIN، ينطبق على مجموعة صغيرة جدًا من النطاقات المدمجة في المتصفح، لذا لا يمكن لموقع عادي أن ينتجه.

ملف الشهادة نفسه خاطئ. هذان يظهران على الخادم بدلاً من المتصفح، وغالبًا يوقفان تقديم HTTPS تمامًا.

• ERR_SSL_SERVER_CERT_BAD_FORMAT، حيث لم يتمكن المتصفح من فك تشفير الشهادة التي أرسلها الخادم.
• تعارض في المُعامِل (modulus mismatch)، حيث الشهادة المثبتة لا تنتمي إلى المفتاح الخاص المثبت.

المرحلة الرابعة: نجحت المصافحة وفشل شيء بعدها

يتم تصنيف هذه الأخطاء تحت أخطاء SSL بحكم العادة. في كل حالة كان الاتصال المشفر يعمل بالفعل، لذا فالشهادة تم التحقق منها بنجاح وإعادة إصدارها لن تساعد.

• ERR_SSL_BAD_RECORD_MAC_ALERT يعني أن الخادم استلم بيانات مشفرة لم يتمكن من التحقق منها، وهذا يحدث بعد المصافحة تحت مفاتيح الجلسة. شيء في المسار يعبث بحركة البيانات أو يعيد كتابتها.
• ERR_QUIC_PROTOCOL_ERROR هو فشل في QUIC، وهي طبقة النقل التي يقوم عليها HTTP/3. ليست مشكلة شهادة، والسبب المعتاد هو جدار حماية أو VPN يقوم بتصفية UDP.
• ERR_SPDY_PROTOCOL_ERROR هو فشل في طبقة HTTP/2، التي تقع فوق مصافحة TLS مكتملة.
• المحتوى المختلط هو الحالة الشاذة: تحمّلت الصفحة عبر HTTPS بشكل صحيح تمامًا، ثم طلبت موردًا عبر HTTP العادي. لا تنتج صفحة خطأ على الإطلاق، فقط قفلًا مخفَّضًا وسكريبتات أو صورًا مفقودة.

أخطاء مسمّاة باسم جهاز بدلاً من مرحلة

تنتج منصتان خصوصياتهما الكافية بحيث تستحق المعاملة على انفراد، لأن نفس الحالة الأساسية تتصرف بشكل مختلف عليهما.

• أخطاء SSL على iPhone و iPad، بما في ذلك الرسالة “حدث خطأ SSL ولا يمكن إنشاء اتصال آمن بالخادم”. إعداد التاريخ والوقت هو أول ما يجب فحصه.
• أخطاء اتصال SSL على Android، حيث يستشير Chrome والتطبيقات الأخرى مخازن ثقة مختلفة، وشهادة وسيطة مفقودة تسبب مشاكل أكبر مما تسببه على سطح المكتب.

رموز لم تعد تظهر

لا تزال ثلاثة رموز مذكورة على نطاق واسع لكن تمت إزالتها من المتصفحات التي كانت تنتجها، لذا إن كنت تقرأ نصيحة عن أحدها، تحقق من تاريخها. الحالات الكامنة خلف اثنين منها لا تزال موجودة تحت أسماء أخرى.

• NET::ERR_CERT_SYMANTEC_LEGACY حُذف في Chrome 136، الذي صدر في أبريل 2025.
• ERR_SSL_VERSION_INTERFERENCE تمت إزالته في Chrome 76 عام 2019، مع أن التداخل الذي كان يصفه لا يزال يحدث ويظهر الآن بشكل مختلف.
• ERR_SPDY_PROTOCOL_ERROR أُعيدت تسميته إلى ERR_HTTP2_PROTOCOL_ERROR في Chrome 77، أيضًا عام 2019. الفشل الذي يصفه لا يزال قائمًا، وهذا سبب إدراجه تحت المرحلة الرابعة أعلاه.

إذا كنت تزور الموقع

معظم أخطاء SSL هي مسؤولية الموقع لإصلاحها، ولا كمية من العمل على جهازك الخاص ستغيرها. توجد قائمة قصيرة من الاستثناءات الحقيقية، ويجدر مراجعتها قبل الاستنتاج بأن الموقع معطل.

• تحقق من ساعتك. يقارن التحقق من الشهادة تواريخها بتوقيت جهازك الخاص. ساعة خاطئة بأشهر أو سنوات تجعل كل شهادة تبدو غير صالحة، وهذا السبب الأكثر شيوعًا على جانب الزائر.
• جرّب شبكة ثانية. التبديل من Wi-Fi إلى بيانات الجوال، أو العكس، يخبرك في ثوانٍ عما إذا كان شيء ما على الشبكة يعترض حركة البيانات. شبكات Wi-Fi العامة والفندقية من المتهمين المتكررين.
• عطّل فحص HTTPS مؤقتًا. تفحص برامج مكافحة الفيروسات والوكلاء (proxies) المؤسسية حركة البيانات المشفرة عن طريق استبدال شهاداتها الخاصة. وعندما تنفذ ذلك بشكل رديء، تحصل على خطأ SSL في مواقع تعمل بشكل جيد في أي مكان آخر.
• جرّب نافذة خاصة ومتصفحًا آخر. إن ظهر الخطأ في متصفح واحد وليس في آخر، فالسبب غالبًا محلي، في إضافة أو في بيانات محفوظة. وإن ظهر في جميعها، فهو الموقع.

إن لم يساعد أي من ذلك، فالمشكلة على الخادم والإجابة الصريحة هي أنك لا تستطيع إصلاحها. ينطبق هذا تمامًا على خطأ Cloudflare 525، حيث يحدث الفشل على اتصال ليس متصفحك جزءًا منه.

تقدم المتصفحات طريقة للمتابعة بعد تجاوز معظم تحذيرات الشهادات، ويجدر توضيح ما يكلفك ذلك. فالمتابعة تخبر المتصفح بقبول اتصال لم يستطع التحقق من هويته، وهذا يعني أنك لا تملك ضمانًا بأنك تتحدث مع الموقع الذي كتبته وليس مع شيء يتوسط بينكما. هذا خيار مقبول على خادم اختبار تديره أنت. لكنه غير مقبول على أي شيء ستدخل فيه كلمة مرور أو تفاصيل دفع. وبعض الأخطاء لا تقدم طريقة للتجاوز على الإطلاق، وهذا مقصود وليس خللاً.

إذا كنت تدير الموقع

شخّص قبل أن تغيّر أي شيء. إعادة تثبيت شهادة لم تكن المشكلة أصلاً هي الطريقة المعتادة لتحويل ساعة واحدة إلى عصر كامل من العمل.

ابدأ بفحص خارجي

شغّل النطاق من خلال SSL Checker الخاص بنا. فهو يبلّغ عما يرسله الخادم فعليًا إلى العالم الخارجي، وهو ما يختلف كثيرًا عما هو موجود في ملف التهيئة. سلسلة تبدو مكتملة على القرص الصلب لكنها تصل غير مكتملة إلى المتصفح هي الاكتشاف الأكثر شيوعًا، وهي السبب الكامن خلف كل من NET::ERR_CERT_AUTHORITY_INVALID و SEC_ERROR_UNKNOWN_ISSUER.

يمكنك رؤية نفس الشيء من سطر الأوامر. هذا يعرض كل شهادة يقدمها الخادم، بالترتيب الذي يقدمها به:

openssl s_client -connect example.com:443 -servername example.com -showcerts

اقرأ قائمة الشهادات في هذا الناتج، لا سطر Verify return code في الأسفل. هذا السطر أقل إفادة بكثير مما يبدو عليه: فهو يبلغ فقط حكم OpenSSL على السلسلة، ويتجاهل اسم المضيف إلا إذا طلبت الفحص صريحًا، ويطبع 0 (ok) حتى عندما لا يرسل الخادم أي شهادة على الإطلاق لأن المصافحة أُلغيت. فإن قال الناتج no peer certificate available بدلاً من إظهار سطر subject=، فلم يتم التحقق من شيء وحدث الفشل في وقت أسبق.

تحقق من التواريخ واسم المضيف

يمثل هذان جزءًا كبيرًا من رفض الشهادات. لقراءة نافذة صلاحية الشهادة التي يقدمها الخادم:

openssl s_client -connect example.com:443 -servername example.com </dev/null | openssl x509 -noout -dates -subject

تطابق المتصفحات اسم المضيف مع امتداد subjectAltName وتتجاهل الاسم الشائع (Common Name) تمامًا، لذا هذا هو الحقل الذي يجب فحصه في ملف شهادة محلي:

openssl x509 -noout -text -in certificate.crt | grep -A1 "Subject Alternative Name"

لجعل OpenSSL يطبق فحص اسم المضيف الذي يطبقه المتصفح، أضف العلامة (flag) بدلاً من افتراض أن نتيجة نظيفة تغطيه:

openssl s_client -connect example.com:443 -servername example.com -verify_hostname example.com

على macOS تحتاج هذه الأوامر إلى انتباه. فأداة openssl المزوّدة مع macOS هي LibreSSL، وهي ترفض -verify_hostname تمامًا وتبلّغ نتيجة سليمة على بعض السلاسل المعطوبة فعليًا. ثبّت OpenSSL عبر Homebrew، ثم شغّل openssl version مجددًا للتأكد من الملف الثنائي الذي تستدعيه فعليًا. فإن كان لا يزال يبلّغ LibreSSL، فمتغير PATH يجد النسخة النظامية أولاً، فاستدع /opt/homebrew/bin/openssl بمساره الكامل.

ثم أصلح وتحقق

ما يجب تغييره يتبع المرحلة، والأدلة الفردية المرتبطة أعلاه تحمل الخطوات الخاصة بكل منصة. ثلاثة إصلاحات تغطي معظم الحالات:

• قدّم السلسلة الكاملة. اجمع شهادتك والشهادات الوسيطة التي زوّدتك بها جهة إصدار الشهادات في الملف الذي يشير إليه خادمك. لا تضع المفتاح الخاص في هذا الملف.
• جدّد قبل انتهاء الصلاحية، وأتمِت العملية. عمر الشهادات يتقلص، فأي تجديد يدوي سينتهي في وقتٍ متأخر عاجلاً أم آجلاً. أتمتة ACME تزيل هذا الموعد النهائي.
• غطِّ كل اسم مضيف تقدمه فعليًا. شهادة نطاق ما لا تغطي نطاقاته الفرعية إلا إذا كانت شهادة wildcard أو تدرجها صريحًا.

اختبر التهيئة دائمًا قبل إعادة تحميل الخدمة، وأعد تشغيل أداة الفحص بعد ذلك من خارج شبكتك الخاصة. إصلاح تم تأكيده فقط في المتصفح الذي كنت تختبر فيه غير مؤكّد، لأن هذا المتصفح قد يحتفظ بنتيجة مخزّنة مؤقتًا.

كيفية منع أخطاء SSL

يأتي معظم أخطاء SSL على موقع يعمل من واحد من ثلاثة أمور: شهادة انتهت صلاحيتها، أو سلسلة لم تكن مكتملة أصلاً، أو تهيئة انحرفت عن مسارها. الثلاثة قابلة للمنع.

• أتمِت التجديد. يتم تقليص الحد الأقصى لعمر الشهادات على مراحل خلال السنوات القليلة القادمة، ويتوقف التجديد اليدوي عن كونه عمليًا قبل نهاية تلك الفترة بكثير. أتمِت الآن بدلاً من الانتظار حتى يتعطل الأمر.
• راقب انتهاء الصلاحية بشكل مستقل. تذكير في التقويم يفشل عندما يترك الشخص المسؤول عمله. لكن فحص خارجي ينبهك أسابيع مسبقًا لا يفشل.
• أعد الفحص بعد كل تغيير. تعيد عمليات ترحيل الخادم وتغييرات CDN وتحديثات لوحة التحكم كتابة تهيئة الشهادة بصمت. تحقق من خارج النظام بعد ذلك.
• اختبر على هاتف، لا على سطح المكتب فقط. المنصات المحمولة أكثر تشددًا مع السلاسل غير المكتملة، فمشكلة السلسلة تظهر غالبًا على الهاتف بينما يبدو سطح المكتب سليمًا.
• ثبّت بشكل صحيح من المرة الأولى. تغطي دروسنا التعليمية للتثبيت خطوات السلسلة والربط لكل منصة، ومعظم أخطاء السلسلة تنشأ في وقت التثبيت.

الأسئلة الشائعة