جرد أسماء المضيفين والتبعيات والملكية
سجّل كل اسم مضيف يستخدمه الزوار أو التكاملات: النطاق الجذر (apex)، وwww، والنطاقات الفرعية، وواجهات API، ومضيفي الأصول، والبوابات، والأسماء الإقليمية. ولكل اسم، دوّن موضع إنهاء TLS، ومن يملك صلاحية تغييره، وتغطية الشهادة وتاريخ انتهائها، وطريقة التجديد، والتبعيات التي تولّد عناوين URL. يجب أن تغطي الشهادة اسم المضيف المطلوب ضمن قائمة Subject Alternative Name. أدرج نظام إدارة المحتوى (CMS)، وشبكة توصيل المحتوى (CDN)، ومدير الوسوم، وتخزين الكائنات، ومزوّد الدفع، وقوالب البريد الإلكتروني، والدمجات الخارجية؛ إذ غالبًا ما تُدخل هذه عناصر عناوين HTTP بعد أول إصدار لـ HTTPS.
حدّد اسم مضيف أساسيًا واحدًا، مثل www أو النطاق الجذر، وأعِد توجيه البديل إليه مباشرةً عبر HTTPS.
نشر الشهادة وإصدارات TLS الحالية
هيّئ خادم الويب أو البروكسي العكسي أو CDN أو موازن التحميل الذي يجيب عن الطلبات العامة. ثبّت الشهادة وسلسلة الشهادات المطلوبة، واربطهما بالأسماء المقصودة، وتحقق منهما من خارج شبكة الاستضافة. يتحقق المتصفح من السلسلة واسم المضيف والتواريخ؛ وأي تحذير عام حاجزٌ أمام الإصدار. استخدم TLS 1.3 افتراضيًا، واحتفظ بـ TLS 1.2 فقط عند الحاجة إلى التوافق. عطّل SSL وTLS 1.0 و1.1. استخدم إرشادات المنصة المحدّثة بدلًا من نسخ قائمة شفرات قديمة، وأبقِ الخادم ومكتبة TLS محدّثين.
قيّد الوصول إلى المفاتيح الخاصة وسجّل كل نظام يشارك المفتاح حتى يصل استبداله إلى جميع الأنظمة.
أعِد توجيه HTTP مرة واحدة واجعل HTTPS هو العنوان الأساسي
أعِد توجيهًا دائمًا على جانب الخادم، عادةً برمز 301 أو 308، من كل عنوان HTTP إلى عنوان HTTPS المكافئ. تجنّب سلاسل إعادة التوجيه؛ فهي تضيف زمن انتظار ونقاط فشل إضافية. انشر عناوين HTTPS الأساسية في الروابط الداخلية، ووسوم canonical، وخرائط الموقع، والبيانات المنظمة، ووسوم الشبكات الاجتماعية، والرسائل الإلكترونية، والروابط المطلقة التي ينشئها التطبيق. اختبر الصفحة الرئيسية، وصفحة عميقة، وعنوانًا يتضمن استعلامًا، ومسارات الأخطاء، وأنواع أسماء المضيفين. عندما ينتهي TLS عند بروكسي، هيّئ التعامل مع رؤوس البروتوكول المُمرَّرة من مصادر موثوقة حتى لا يدخل التطبيق في حلقة بين HTTP وHTTPS.
يمكن أن يبقى HTTP متاحًا فقط لإعادة التوجيه أو لإكمال تحدي الشهادة، لا لخدمة موقع عام منفصل.
اكتشف المحتوى المختلط وأصلحه
المحتوى المختلط هو صفحة HTTPS تطلب موردًا عبر HTTP أو بروتوكول غير آمن آخر. قد تقوم المتصفحات بترقية بعض الوسائط، لكنها تحظر كثيرًا من الطلبات الخطرة، بما فيها السكربتات وأوراق الأنماط والإطارات وطلبات fetch وخطوط الويب. استبدل كل إشارة بعنوان HTTPS مُختبَر، أو بعنوان نسبي لمحتواك الخاص، أو ببديل معتمد. افحص قوالب ممثلة وأدوات المطور أثناء إتمام مسارات المستخدم الأساسية. تحقّق من CSS وJavaScript وكتل CMS وملفات بيان الأصول ومدخلات مدير الوسوم والتنزيلات ودمجات المورّدين. يجب ألا تعرض الصفحة الآمنة تنزيلًا عبر HTTP.
قد تترك عملية الترقية التلقائية تبعية طرف ثالث غير متاحة أو غير مدعومة؛ صحّح عنوان URL المخزون.
أتمتة التجديد والتدرّب على استرداد الشهادة
عامل التجديد كعملية نشر آلية، لا كتذكير تقويمي. يجب أن يجدد، وينشر إلى كل طبقات الخدمة، ويعيد تحميل الخدمة بأمان. اختبر نفس مسار التحقق قبل انتهاء الصلاحية الإنتاجي. على سبيل المثال، توصي Let's Encrypt بتجديد شهاداتها التي مدتها 90 يومًا كل 60 يومًا؛ اتبع دورة العمر لمصدر الشهادة ومنصتك. احتفظ بأسماء الشهادات، حساب المُصدر، طريقة التحدي، الأتمتة، موقع المفتاح، الأهداف، وجهات الاتصال الطارئة في جرد. تحقق من التواريخ من نقطة النهاية العامة بعد النشر.
في حال فشل التجديد، افحص DNS، توجيه التحدي، الأذونات، وصول المُصدر، حدود المعدل، ونشر CDN إلى الأصل.
استخدم HSTS فقط بعد أن تكون بيئة HTTPS جاهزة
HTTP Strict Transport Security، أو HSTS، هو رأس استجابة HTTPS يخبر المتصفحات باستخدام HTTPS في الزيارات اللاحقة لاسم المضيف. وبعد تعلّم السياسة، لا تتيح المتصفحات للزوار تجاوز أخطاء الشهادات. أرسله عبر HTTPS فقط، واحتفظ بإعادة توجيه HTTP، لأن HSTS لا يتعلم إلا بعد استجابة آمنة ما لم تنطبق قائمة التحميل المسبق (preload). ابدأ بقيمة max-age محدودة، ثم زدها بعد إثبات التجديدات وسلامة المسارات المطلوبة. لا تضف includeSubDomains حتى يتمكن كل نطاق فرعي حالي ومستقبلي من تقديم HTTPS صالح. التحميل المسبق (preload) ليس جزءًا من مواصفة HSTS، ويستدعي مراجعة منفصلة لالتزام طويل الأجل.
max-age=0 يعمل فقط بعد أن يصل المتصفح إلى استجابة HTTPS صالحة؛ لا يمكنه إصلاح مستضيف آمن لا يمكن الوصول إليه.
أطلق، اختبر، وتراجع دون إضعاف النقل
التقط تكوين الشهادة المعروف بأنه جيد، والحافة، وإعدادات إعادة التوجيه قبل التغيير. عرّف من يوافق على التراجع، استخدم الطُّرق المرحلية حيثما أمكن، وغيّر فئة تحكم واحدة في كل مرة. تحقق فورًا من نقاط النهاية العامة من أكثر من شبكة واحدة، تابع إعادة التوجيهات، افحص الشهادة، وأتمم إجراءات الزائر المهمة. اختبر المتصفحات ومجموعات العملاء المهمة لجمهورك. لتدفقات الدفع أو المتطلبات المنظمة، اطلب من مزود الدفع ومن مختص أمني مؤهل مراجعة المتطلبات المعمول بها. إذا كسر تغيير ما HTTPS، أعد تكوينًا آمنًا موثوقًا؛ لا تحوّل صفحات العملاء إلى HTTP كحل مؤقت.
التقط اسم المضيف، الوقت، العميل، الخطأ، التغيير، والنتيجة حتى يصبح تجديد أو ترحيل لاحق أسهل في التشخيص.