كيفية إنشاء CSR في DirectAdmin

يوضح لك هذا الدليل كيفية إنشاء CSR (طلب توقيع الشهادة) في DirectAdmin. الـ CSR هو كتلة النص المشفرة التي تقدمها إلى جهة إصدار الشهادات الخاصة بك. وهو يحمل تفاصيل نطاقك وهويتك، ويقوم DirectAdmin بمطابقته مع مفتاح خاص يخزنه على الخادم. ستقوم بإنشاء الـ CSR من مستوى User في لوحة التحكم وستحصل في النهاية على جزأين: نص CSR الذي تنسخه في طلبك، ومفتاح خاص مطابق يحتفظ به DirectAdmin على القرص لخطوة التثبيت.

تغطي الخطوات أدناه واجهة DirectAdmin Evolution الحالية (الافتراضية في التثبيتات الجديدة) وتذكر المسار المكافئ في واجهة Enhanced الأقدم. كما تغطي قيد SAN الخاص بالنموذج داخل اللوحة والبديل المجاني Let’s Encrypt المتوفر في نفس الشاشة.

إنشاء CSR في DirectAdmin

إذا كنت قد أنشأت بالفعل ملف CSR الخاص بك (على سبيل المثال باستخدام أداة إنشاء CSR لدينا)، تخطَّ إلى كيفية تثبيت شهادة SSL على DirectAdmin. وإلا، اتبع الخطوات السبع أدناه.

الخطوة 1: تسجيل الدخول على مستوى User

تُدار شهادات SSL في DirectAdmin لكل نطاق على مستوى User. إذا قمت بتسجيل الدخول كـ Admin أو Reseller، فقم بالتبديل إلى المستخدم الصحيح باستخدام محدد المستوى في القائمة العلوية أولاً. إذا كان الحساب يحتوي على أكثر من نطاق واحد، فاختر النطاق الذي تريد تأمينه قبل فتح شاشة SSL.

الخطوة 2: فتح صفحة SSL Certificates

• واجهة Evolution (الافتراضية الحالية): في القائمة اليسرى، افتح Account Manager وانقر على SSL Certificates.
• واجهة Enhanced (القديمة): افتح Advanced Features وانقر على SSL Certificates.

الخطوة 3: اختيار Create a Certificate Request

تعرض صفحة SSL Certificates قائمة من خيارات الاختيار (radio options). حدد Create A Certificate Request. هذا هو نموذج CSR داخل اللوحة، واسم الخيار هو نفسه في كل واجهة.

الخطوة 4: تعبئة حقول CSR

أدخل التفاصيل أدناه. استخدم أحرف ASCII العادية: الأحرف غير اللاتينية تُعطّل الطلب لدى معظم جهات إصدار الشهادات.

• Key Size: اختر 2048 بت. هذا هو الحد الأدنى الحالي الذي تقبله كل جهة إصدار شهادات عامة. اختر 3072 أو 4096 فقط إذا كانت سياسة الأمان لديك تتطلب ذلك. المقايضة هي عملية مصافحة TLS أبطأ قليلاً.
• Common Name (CN): اسم النطاق المؤهل بالكامل الذي تريد تأمينه، على سبيل المثال www.example.com. بالنسبة لشهادة النطاق الشامل (wildcard)، أضف علامة النجمة قبل النطاق الرئيسي، على سبيل المثال *.example.com. تغطي شهادة الـ wildcard مستوى واحد من النطاقات الفرعية (shop.example.com، mail.example.com)، وليس النطاق الرئيسي أو تسميات أعمق مثل a.b.example.com.
• Email: عنوان اتصال على النطاق أو صندوق الوارد الإداري الخاص بك. تتجاهل معظم جهات إصدار الشهادات هذا الحقل، لكن DirectAdmin يتطلب قيمة.
• Country: رمز البلد المكون من حرفين وفق ISO (على سبيل المثال US، GB، DE).
• State: الاسم الكامل للولاية أو المقاطعة (على سبيل المثال California، وليس CA).
• City: الاسم الكامل للمدينة (على سبيل المثال Los Angeles، وليس LA).
• Company: الاسم القانوني الكامل للمنظمة، تمامًا كما هو مسجل (على سبيل المثال Example Inc). مطلوب لشهادات التحقق من المنظمة (OV) والتحقق الموسع (EV). بالنسبة للتحقق من النطاق (DV)، تتجاهله جهة إصدار الشهادات، لذا يصلح أي عنصر نائب قصير.
• Division (الوحدة التنظيمية): تسمية قسم مثل IT. تم إيقاف هذه السمة من قبل منتدى CA/Browser للشهادات العامة، لذا اتركها بأدنى حد أو فارغة.
• Subject Alternative Names (SAN): إذا كان النموذج في إصدارك يعرض حقل SAN، أضف كل اسم مضيف إضافي هنا، واحدًا في كل سطر (على سبيل المثال example.com بالإضافة إلى www.example.com). إذا لم يكن الحقل موجودًا، راجع قيد SAN أدناه.

الخطوة 5: الحفظ ونسخ CSR

تحقق مرة أخرى من كل حقل، ثم انقر على Save. يقوم DirectAdmin بإنشاء المفتاح الخاص وملف CSR المطابق ويعرض CSR في منطقة نصية على نفس الصفحة (تفتح إصدارات Evolution الحديثة CSR في نافذة حوار Certificate Request مع زر Copy to Clipboard).

الـ CSR هو كتلة base64 تبدو كالتالي:

-----BEGIN CERTIFICATE REQUEST-----
MIICvDCCAaQCAQAwdzELMAkGA1UEBhMCVVMxEzARBgNVBAgMCkNhbGlmb3JuaWEx
... (many lines of base64) ...
-----END CERTIFICATE REQUEST-----

حدد الكتلة كاملة، بما في ذلك سطري BEGIN CERTIFICATE REQUEST وEND CERTIFICATE REQUEST، والصقها في حقل CSR في نموذج طلب جهة إصدار الشهادات الخاصة بك. يجب أن تستخدم أسطر الشرطات الأولى والأخيرة خمس شرطات ASCII بالضبط على كل جانب.

الخطوة 6: التحقق من مكان تخزين DirectAdmin للمفتاح الخاص

لست بحاجة إلى استخراج المفتاح الخاص يدويًا: يحفظه DirectAdmin على القرص ويملؤه مسبقًا في نموذج تثبيت SSL لنفس النطاق. إذا أردت نسخة للنسخ الاحتياطي أو الاستخدام خارج الخادم، يمكنك تنزيله من نفس الصفحة (يحتفظ به النموذج في مربع النص السفلي) أو قراءته من القرص عبر SSH:

/usr/local/directadmin/data/users/<user>/domains/<domain>.key

حيث <user> هو اسم مستخدم DirectAdmin و<domain> هو النطاق (على سبيل المثال example.com.key). الملفات المطابقة هي <domain>.cert (الشهادة الصادرة، والتي تُكتب أثناء التثبيت) و<domain>.cacert (السلسلة التي يشير إليها SSLCACertificateFile في Apache؛ تعرض بعض إصدارات DirectAdmin نفس المحتوى أيضًا باسم <domain>.ca). تعامل مع ملف المفتاح على أنه سري: حافظ على أذوناته صارمة ولا تلصقه أبدًا في حقل CSR، أو في تذكرة دعم، أو في أي مكان عام. إذا قمت بحفظ نسخة خارج الخادم، فخزّنها كملاحظة آمنة في مدير كلمات مرور أو في خزنة أسرار، وليس كملف منفصل على محطة عمل.

الخطوة 7: التحقق من CSR قبل تقديمه

يستحق الأمر التحقق من أن الاسم الشائع، وإدخالات SAN، وحجم المفتاح هي كما تتوقع قبل أن تنفق دورة تحقق كاملة. الصق CSR في أداة فك تشفير CSR الخاصة بـ SSL Dragon وتأكد من أن CN يطابق اسم المضيف الذي يستخدمه زوارك، وأن أي أسماء إضافية تظهر تحت Subject Alternative Name، وأن حجم المفتاح لا يقل عن 2048 بت.

بمجرد أن تتحقق جهة إصدار الشهادات من طلبك وترسل ملفات الشهادة عبر البريد الإلكتروني، تابع مع كيفية تثبيت شهادة SSL على DirectAdmin.

قيد SAN للنموذج داخل اللوحة

تتحقق المتصفحات ومكتبات TLS الحديثة (Chromium وFirefox وSafari وJava وGo و.NET) من اسم المضيف مقابل امتداد Subject Alternative Name، وليس الاسم الشائع (Common Name). تتجاوز جهات إصدار الشهادات العامة هذا الأمر بنسخ CN إلى إدخال SAN تلقائيًا للطلبات ذات الاسم الواحد، لذا لا يزال طلب CN فقط يُصدر لاسم مضيف واحد. لكن:

• إذا كنت بحاجة إلى شهادة تغطي example.com وwww.example.com معًا، أو أي شهادة متعددة النطاقات، فإن النموذج الذي يحتوي على CN فقط لا يمكنه تشفيرها.
• تعرض بعض إصدارات DirectAdmin حقلًا مخصصًا لـ Subject Alternative Names في النموذج. إذا كان إصدارك يحتوي عليه، استخدمه.

إذا كان نموذج اللوحة لا يسمح لك بإضافة SAN وكان طلبك يحتاج إلى أكثر من اسم مضيف واحد، فقم بإنشاء CSR خارج الخادم باستخدام أداة إنشاء CSR لدينا، واحفظ المفتاح الخاص الذي تنتجه، والصق كليهما في صفحة التثبيت في DirectAdmin عند وصول الشهادة. يشرح درس تثبيت DirectAdmin ذلك المسار بالتفصيل.

بدلاً من ذلك، يمكنك إنشاء CSR عبر SSH باستخدام OpenSSL وملف تكوين صغير يسرد كل SAN:

openssl req -new -newkey rsa:2048 -nodes 
  -keyout example.com.key 
  -out example.com.csr 
  -subj "/C=US/ST=California/L=Los Angeles/O=Example Inc/CN=www.example.com" 
  -addext "subjectAltName = DNS:www.example.com, DNS:example.com"

ثم الصق ملف .key والشهادة الصادرة في خيار Paste a pre-generated certificate and key في DirectAdmin على نفس صفحة SSL Certificates.

خيار مجاني: Let’s Encrypt وACME في DirectAdmin

إذا لم تكن بحاجة إلى شهادة تجارية، يمكن لـ DirectAdmin إصدار شهادة مجانية دون الحاجة إلى CSR على الإطلاق. في نفس صفحة SSL Certificates، حدد Free & automatic certificate from Let’s Encrypt (في إصدارات Evolution الأحدث، يُسمى الخيار Get automatic certificate from ACME Provider ويوفر كلًا من Let’s Encrypt وZeroSSL كمزودين). اختر النطاق وأي نطاقات فرعية تريد تغطيتها، وحدد خانة Wildcard إذا كنت بحاجة إلى تغطية كل نطاق فرعي، ثم انقر على Save.

تكون شهادات Let’s Encrypt وZeroSSL صالحة لنحو 90 يومًا، ويقوم DirectAdmin بتجديدها تلقائيًا بمجرد أن يصبح عمر الشهادة أكبر من عدد الأيام المحدد في letsencrypt_renewal_days، والذي يكون افتراضيًا 60. أي ما يقارب 30 يومًا قبل انتهاء الصلاحية، بحيث لا يزال التجديد الفاشل يملك شهرًا كاملاً من المحاولات. كانت إصدارات DirectAdmin الأقدم تستخدم القيمة الافتراضية 85، مما لم يترك هامشًا يُذكر. وفي كلتا الحالتين، لا يوجد CSR لنسخه ولا شهادة لإعادة تثبيتها. تستخدم هذه الشهادات نفس التشفير الذي تستخدمه الشهادة المدفوعة. لا تزال الشهادة التجارية منطقية عندما تحتاج إلى التحقق من المنظمة أو التحقق الموسع، أو مدة ثابتة أطول، أو ضمان، أو دعم من المورد مرتبط بهوية نطاقك.