كروم سيحذر من كل موقع http بدءًا من أكتوبر ٢٠٢٦

ماذا يفعل كروم بالضبط

عند الانتقال إلى عنوان http يعرض المتصفح صفحة اعتراضية بدل صفحة الموقع، يقول فيها إن الموقع لا يدعم اتصالًا آمنًا، ويسأل المستخدم: أتتابع أم تعود؟ والقرار يُحفظ لكل نطاق، لا لكل صفحة.

وأرقام جوجل نفسها تضع نسبة التنقلات عبر HTTPS بين ٩٥ و٩٩ بالمئة اليوم، وفوق ٩٩ بالمئة على أندرويد وماك إذا حسبنا المواقع العامة وحدها. أي أن هذا التغيير لا يمس الأغلبية الساحقة من المواقع في شيء. أما البقية فيمس عندها الزيارة الأولى كلها.

ما الذي يبقى خارج القاعدة

ثلاثة أصناف خارج التغيير، والإعلان الأصلي ينص عليها صراحة: عناوين الشبكات الخاصة مثل ١٩٢.١٦٨.٠.١، والأسماء أحادية المقطع التي لا نقطة فيها، والشبكات الداخلية للمؤسسات.

السبب عملي لا كرم فيه: الحصول على شهادة موثوقة عالميًا لاسم غير عام ما زال أمرًا معقدًا. فإن كانت لوحة إدارتك الداخلية على http فلن يزعجك أحد. وإن كان موقعك العام يستجيب على http فسيزعجك.

اختبرنا ٣٨ موقعًا وخمسة منها غير جاهزة

في ١٥ أغسطس ٢٠٢٦ طلبنا عنوان http لثمانية وثلاثين موقعًا إيرانيًا وسجلنا أيها ينقلك إلى https. واحد وثلاثون موقعًا يرد بتحويل دائم ٣٠١ وهو السلوك الصحيح، وواحد يرد بتحويل مؤقت ٣٠٢، وواحد لم يستجب أصلًا.

وخمسة ترد بالرمز ٢٠٠ ومحتوى حقيقي عبر http الصريح دون أي تحويل: hostiran.net وparsvds.com وmizfa.tools وyektanet.com وtriboon.net. أعدنا الاختبار بطلب GET إلى جانب HEAD، لأن بعض الخوادم تتصرف مع الاثنين تصرفًا مختلفًا ولم نشأ أن نسمي أحدًا بناءً على شذوذ تقني.

والمعنى العملي ضيق لكنه حقيقي: أي رابط وارد مكتوب بصيغة http يبقى http، ومن كروم ١٥٤ فصاعدًا تبدأ تلك الزيارة بشاشة تحذير بدل الموقع. الروابط القديمة على مواقع الآخرين، والمفضلات المحفوظة منذ سنين، والعناوين المطبوعة على العبوات أو الملصقة في تطبيقات المراسلة، كلها في هذه الخانة.

النصيحة التي يكررها الجميع ولم تعد مشكلتك

تكاد كل مقالة عن HTTPS تطلب منك مطاردة المحتوى المختلط، أي الصور والسكربتات التي ما زالت تُحمَّل عبر http داخل صفحة https. قسنا هذا على العينة نفسها وجاءت النتيجة عكس النصيحة.

ظهر في العينة كلها مورد واحد غير آمن فعلًا: صورة واحدة على parsvds.com ما زالت تُطلب عبر http. وكل ما بدا للوهلة الأولى محتوى مختلطًا كان سطر rel="profile" المتجه إلى gmpg.org، وهو سطر تحمله قوالب ووردبريس منذ سنوات ولا يُنزَّل إطلاقًا.

فإن كان وقتك محدودًا فلا تنفقه في تدقيق المحتوى المختلط. أنفقه في التأكد من أن http على نطاقك يُحوَّل. المشكلة انتقلت والقوائم المرجعية لم تنتقل معها.

الأمر الوحيد الذي يستحق التشغيل

curl -sI http://example.com/ | head -n 1

الرمز 301 يعني أنك انتهيت. والرمز 200 يعني أن خادمك ما زال يقدّم الخدمة عبر http وعليك إضافة تحويل دائم إلى https. ثم فعّل ترويسة HSTS ليكف المتصفح عن تجربة http من الأساس؛ هذا ما يمنع المستخدم من رؤية الصفحة الاعتراضية بدل أن يكتفي بتجاوزها.

موقعنا يرد على http بالرمز ٣٠١ ويرسل Strict-Transport-Security: max-age=31536000. نقول ذلك لأن أي أحد يستطيع التحقق منه بالسطر أعلاه، ولأن نصيحة لم يطبقها كاتبها على نطاقه لا تستحق القراءة.

حين لا يكون التحذير عن شهادتك أصلًا

إن كان زوارك يرون اليوم رسالة «اتصالك ليس خاصًا» فمشكلتك ليست هذا الإعلان. تلك الرسالة تأتي من شهادة منتهية أو اسم غير مطابق أو سلسلة ناقصة، وهي تكلفك زوارًا الآن لا في أكتوبر. وأنواع الشهادات ومعنى الأخطاء الشائعة نقطة بداية أفضل لتلك الحالة.

وحدّ آخر نقوله بوضوح: هذه التواريخ تخص كروم. سلكت متصفحات أخرى الطريق نفسه، لكن أرقام الإصدارات والأشهر أعلاه كرومية ولا ينبغي تعميمها على الجميع.

أسئلة تتكرر

هل خطأ SSL يعني أنني اختُرقت؟ غالبًا لا. في معظم الحالات انتهت صلاحية الشهادة أو صدرت لاسم خاطئ. لكن إن تغيّرت أشياء أخرى في الوقت نفسه فراجع على حدة العلامات التي تشير فعلًا إلى اختراق.

هل يضر التحويل إلى https بترتيبي؟ لا، بشرط أن يكون ٣٠١ لا ٣٠٢، وأن تنتهي كل صيغ العنوان إلى عنوان نهائي واحد. سلاسل التحويل الطويلة هي المكلفة، لا التحويل ذاته.

هل تكفي الشهادة المجانية لهذا؟ نعم. كروم لا يفرّق بين المجانية والمدفوعة، والتحذير معنيّ بوجود اتصال آمن لا بثمنه.

وإن فضّلت أن يفحص أحد هذا من الخارج، فإن مراجعة الوضع الأمني لموقعك جزء مما نقوم به، والتحويل وHSTS والشهادة تُغطى جميعًا في الجولة نفسها. ويمكن طلب إصدار شهادة SSL وتركيبها على حدة. أما المواقع الجديدة فتُضبط هكذا من اليوم الأول، وهو أرخص وقت ممكن لضبطها، وأحد أسباب أن موقعًا يُبنى بإعداد صحيح من البداية يكلف أقل على مدى عمره.

مصدر التواريخ والنسب: الإعلان الرسمي من فريق أمن كروم عن HTTPS الافتراضي. وقياس المواقع الـ٣٨ جرى في ١٥ أغسطس ٢٠٢٦، وقد تكون المواقع المذكورة أضافت التحويل قبل أن تقرأ هذا.