ما شفافية الشهادات وماذا تكشف سجلاتها عن نطاق ما؟
شفافية الشهادات (RFC 6962 وRFC 9162) مجموعة من السجلات العامة التي تُلحق بها البيانات ولا تُعدَّل، تسجّل فيها جهات الإصدار شهادات TLS التي تصدرها للويب العام، ويشترط Chrome وSafari ذلك فيرفضان الشهادات غير المسجّلة. والبحث في فهرس لهذه السجلات عن نطاق ما يُظهر الشهادات المسجّلة له — الجهات المُصدرة والتواريخ والأسماء — فيكشف الشهادات الصادرة خطأً، ويجعل في الوقت نفسه كل نطاق فرعي مذكور في شهادة مسجّلة معلوماً للجميع. أما الشهادة التي لم تُسجَّل قط، أو لم يُفهرسها الفهرس بعد، فلا تظهر.
ملاحظة أمنية: لا يمكن إخفاء أسماء المضيفات الواردة في شهادة عامة: لا تعتمد على نطاق فرعي غير معلن لإخفاء لوحة إدارة أو موقع تجريبي.
كيفية استخدام البحث في سجلات شفافية الشهادات
- أدخل النطاق (example.com)؛ ويُختصر الرابط أو البادئة *. إلى النطاق.
- أبقِ «تضمين النطاقات الفرعية» مفعّلاً لترى كل اسم تحت النطاق، واختر عدد الشهادات المعروضة، ثم اضغط «ابحث في سجلات CT».
- اقرأ جدول الجهات المُصدرة أولاً: يجب أن تكون كل جهة منها جهة إصدار تتعامل معها أنت أو مزوّد الاستضافة لديك فعلاً.
- تفحّص الأسماء بحثاً عن مضيفات لا تعرفها، والشهادات بحثاً عن شهادات حديثة لم يطلبها أحد.
مزايا البحث في سجلات شفافية الشهادات
- يبحث في فهرس لسجلات شفافية الشهادات العامة عن الشهادات المسجّلة لنطاق ما — ولكل اسم تحته إن شئت — الأحدث أولاً
- يعرض لكل شهادة تواريخ صلاحيتها والجهة المُصدرة والأسماء التي تغطيها وبصمة SHA-256 حين يوفّرها المصدر
- يجمّع النتائج حسب الجهة المُصدرة، فتبرز أي جهة إصدار لا تتعامل معها
- يسرد كل اسم مضيف مميز تغطيه الشهادات — أي النطاقات الفرعية التي تكشفها السجلات — ومنها أسماء البدل (wildcard)
- يصنّف كل شهادة «سارية» أو «منتهية» أو «لم تبدأ بعد» أو «ملغاة» (الإلغاء فقط حين يبلّغ عنه Cert Spotter)، بحسب تواريخها لحظة البحث
- يستخدم Cert Spotter حين يكون مفتاحه مضبوطاً على خادم متقن، وcrt.sh في غير ذلك، ويذكر المصدر الذي أجاب وعمر القائمة
المدخلات والمخرجات
المدخلات
- النطاق — اسم نطاق مثل example.com، ويُختصر الرابط أو البادئة *. إلى النطاق. وتُرفض عناوين IP.
- تضمين النطاقات الفرعية — مفعّل افتراضياً؛ وعند إلغائه تُعرض الشهادات التي تذكر النطاق نفسه فقط.
- عدد الشهادات المعروضة — 25 أو 50 أو 100، الأحدث أولاً.
المخرجات
- الملخّص — عدد الشهادات المعروضة، وكم منها سارٍ وكم منتهٍ، والأسماء المميزة، والجهات المُصدرة، والمصدر الذي أجاب.
- الجهات المُصدرة — كل جهة إصدار مع عدد شهاداتها وتاريخ أحدث إصدار منها.
- الشهادات — تواريخ الصلاحية والحالة والجهة المُصدرة وأول الأسماء المشمولة وبصمة SHA-256 حين تتوفر.
- الأسماء الواردة في الشهادات، وتفاصيل القائمة، وما يستحق الانتباه — كل اسم مميز (حتى 300)، والمصدر، واكتمال القائمة وعمرها، وما يستحق نظرة أدق.
مثال على البحث في سجلات شفافية الشهادات
الشهادات المسجّلة لنطاق ونطاقاته الفرعية
الإدخال:
example.org · Include subdomains: on · Certificates to list: 50النتيجة:
الشهادات المعروضة 7 · سارية 2 · منتهية 5 · أسماء مميزة 5 · الجهات المُصدرة 2 · المصدر crt.sh
الجهات المُصدرة: R11 — 5 (الأحدث 2026-09-02) · Sectigo RSA Domain Validation Secure Server CA — 2 (الأحدث 2025-11-20)
2026-09-02 → 2026-12-01 · سارية · R11 · example.org, www.example.org
2026-08-20 → 2026-11-18 · سارية · R11 · staging.example.org
2026-06-04 → 2026-09-02 · منتهية · R11 · example.org, www.example.org
الأسماء الواردة في الشهادات: example.org, mail.example.org, staging.example.org, vpn.example.org, www.example.orgكيف تقرأ نتائج البحث في سجلات شفافية الشهادات
جهة إصدار غير مألوفة، أو شهادة حديثة لم يطلبها أحد في فريقك، هي بالضبط ما وُجدت سجلات CT لكشفه: اسأل مزوّديك أولاً، وإن لم يطلبها أحد فتواصل مع جهة الإصدار لإلغائها.
«سارية» تعني أن تاريخ اليوم بين تاريخ بدء الشهادة وانتهائها، ولا تقول شيئاً عن عرض خادمٍ ما لها، ولا عن الثقة بها أو إلغائها.
كثرة الشهادات للأسماء نفسها تعكس غالباً التجديد التلقائي (كل 60 إلى 90 يوماً مع ACME)؛ وتعدّد الجهات المُصدرة في وقت واحد يعني غالباً شبكة توزيع محتوى أو منصة استضافة أو عملية ترحيل.
«توجد شهادات أكثر من المعروضة» تعني أن القائمة توقفت عند الحد أو حيث انتهى البحث: ارفع الحد أو ابحث باسم أكثر تحديداً.
متى تستخدم البحث في سجلات شفافية الشهادات
- تدقيق جهات الإصدار التي تصدر شهادات لنطاقاتك قبل نشر سجلات CAA.
- اكتشاف نطاقات فرعية منسية ومضيفات كشفت شهاداتُها أسماءها.
- التحقيق في شهادة يُشتبه في إصدارها خطأً، أو في شهادة لنطاق يقلّد نطاق علامتك التجارية.
- التأكد من أن التجديد صدر وسُجّل قبل انتهاء الشهادة القديمة.
استكشاف الأخطاء وإصلاحها
- «لا يمكن البحث في سجلات شفافية الشهادات حالياً»: لم يُجب crt.sh (وكثيراً ما لا يُجيب تحت الضغط)، وCert Spotter غير مضبوط أو أخفق أيضاً. انتظر بضع دقائق وأعد المحاولة.
- «لهذا النطاق شهادات أكثر مما تحمله إجابة واحدة»: ألغِ «تضمين النطاقات الفرعية»، أو ابحث باسم مضيف محدد مثل www.example.com.
- شهادة صدرت قبل دقائق غير ظاهرة: تحتاج السجلات وفهارسها وقتاً لإظهار الإدخالات الجديدة، والقوائم محفوظة من 15 دقيقة إلى ساعة.
- لا شهادات إطلاقاً: ربما لم تكن للاسم قط شهادة موثوقة علناً، أو فيه خطأ إملائي، أو يستخدم جهة إصدار خاصة لا تُسجَّل شهاداتها.
الأسئلة الشائعة حول البحث في سجلات شفافية الشهادات
ما هي شفافية الشهادات (Certificate Transparency)؟
نظام من السجلات العامة التي تُضاف إليها البيانات ولا تُحذف منها، تسجّل فيه جهات الإصدار شهادات TLS التي تصدرها للويب العام، ويشترط Chrome وSafari ذلك فيرفضان الشهادة غير المسجّلة. ويعرض البحث هنا ما سجّله الفهرس من شهادات: فالشهادة التي لم تُسجَّل قط أو لم تُفهرَس بعد لا تظهر، والقائمة محدودة بـ 100 شهادة.
لماذا تظهر لنطاقي شهادات لا أعرفها؟
كثيراً ما تكون مشروعة: فشبكة توزيع المحتوى أو منصة الاستضافة أو مزوّد البريد قد يصدر شهادات لأسمائك، وكل تجديد يضيف سجلاً جديداً كل بضعة أشهر. قارن الجهة المُصدرة والتاريخ بمزوّديك، وإن تبيّن أن أحداً منكم لم يطلبها فتواصل مع جهة الإصدار لإلغائها.
هل الشهادة «السارية» هي التي يستخدمها موقعي؟
ليس بالضرورة. «سارية» تعني فقط أن تاريخ اليوم يقع بين تاريخ بدئها وانتهائها. قد تكون للموقع عدة شهادات سارية (تجديدات وخوادم أخرى وشبكة توزيع محتوى) ولا يعرض إلا واحدة منها؛ افحص الشهادة الحيّة بأداة فحص TLS.
لماذا يستطيع أي شخص رؤية نطاقاتي الفرعية هنا؟
لأن كل اسم في شهادة مسجّلة يصبح علنياً في السجلات، وشهادات الويب العام تُسجَّل كي يقبلها Chrome وSafari. وشهادة البدل (*.example.com) تخفي أسماء المضيفات المفردة، لكن على حساب مفتاح واحد يغطيها جميعاً.
ما مصدر البيانات الذي تعتمد عليه الأداة؟
خدمة Cert Spotter من SSLMate حين يكون مفتاحها مضبوطاً على خادم متقن، وإلا فخدمة crt.sh. وتذكر النتائج أيهما أجاب ومتى جُلبت القائمة.
ملاحظات تقنية
شفافية الشهادات (RFC 6962، والإصدار الثاني RFC 9162) مجموعة من السجلات العامة التي تُلحق بها البيانات ولا تُعدَّل. تسجّل جهات الإصدار الشهادات التي تصدرها للويب العام، أو شهادة أولية (precertificate) قبل إصدارها؛ ويشترط Chrome وSafari ذلك فيرفضان الشهادة التي لا تحمل إثبات تسجيل، وإن كان بعض عملاء TLS لا يتحقق منه. ويعرض البحث الشهادات التي سجّلها الفهرس — فالشهادة التي لم تُسجَّل قط، أو لم تُفهرَس بعد، لن تظهر.
يُستخدم مصدران. يُسأل Cert Spotter (SSLMate) حين يكون مفتاح واجهته مضبوطاً على خادم متقن، صفحةً بعد صفحة حتى الحد المطلوب، وتُحفظ إجابته 15 دقيقة؛ وإلا — أو عند إخفاقه — يُسأل crt.sh (تشغّله Sectigo) وتُحفظ إجابته ساعة. وcrt.sh خدمة عامة بلا ضمانات وكثيراً ما تكون بطيئة؛ وإن لم يُجب أيٌّ منهما قالت الأداة ذلك.
تُحسب الحالة في متصفحك من تاريخَي notBefore وnotAfter لكل شهادة وقت البحث. ولا تظهر «ملغاة» إلا حين يبلّغ عنها Cert Spotter — فقوائم crt.sh لا تحمل هنا بيانات إلغاء — ولا يُتحقق من توقيع أي شهادة أو من الثقة بها.
مع «تضمين النطاقات الفرعية» يشمل البحث النطاق وكل اسم تحته ومنها أسماء البدل. وقد تتجاوز شهادات نطاق كثير الشهادات ما يعيده المصدر في إجابة واحدة (crt.sh لا يدعم التقسيم إلى صفحات)، فتطلب الأداة عندها بحثاً أضيق بدلاً من عرض قائمة ناقصة على أنها كاملة.
الحدود ومنهجية القياس
المصدر فهرس لجهة خارجية للسجلات لا السجلات نفسها؛ وcrt.sh بالذات خدمة بلا ضمانات قد تكون بطيئة أو ناقصة أو متوقفة. وتُحفظ القوائم على خادم متقن 15 دقيقة (Cert Spotter) أو ساعة (crt.sh).
لا يظهر إلا ما سجّلته جهة الإصدار من شهادات. أما شهادات جهات الإصدار الخاصة أو الداخلية، والشهادات الموقَّعة ذاتياً، وغيرها مما هو خارج البنية العامة لمفاتيح الويب، فلا تُسجَّل ولذلك لا تظهر هنا.
تُعرض 100 شهادة على الأكثر في كل بحث، الأحدث أولاً؛ والتاريخ الأقدم يحتاج بحثاً أضيق أو موقع المصدر نفسه.
الأمان والخصوصية
يُرسل النطاق إلى خادم متقن فيمرّره إلى Cert Spotter أو crt.sh، ولا يُخزَّن شيء سوى الحفظ المؤقت القصير للقائمة. وكل ما يُعرض بيانات عامة يستطيع أي شخص البحث عنها.
المراجع
- RFC 6962: Certificate Transparencyبروتوكول شفافية الشهادات الأصلي: سجلات عامة تُلحق بها البيانات مبنية على شجرة Merkle، وطوابع زمنية موقّعة للشهادات، وشهادات أولية — وهو الإصدار الذي تفرضه المتصفحات اليوم.
- RFC 9162: Certificate Transparency Version 2.0الإصدار الثاني من البروتوكول، ويحسّن بنى بيانات السجلات وطريقة تحقّق العملاء من تسجيل الشهادة.
- How Certificate Transparency Worksكيف تتكامل جهات الإصدار والسجلات وأدوات المراقبة والمتصفحات، وكيف يستخدم أصحاب النطاقات أدوات المراقبة لاكتشاف الشهادات الصادرة خطأً.