تغيير يمس أمن ملايين المواقع.. تقليص صلاحية شهادات التشفير من 90 إلى 64 يومًا

أعلنت خدمة Let's Encrypt تقليص مدة صلاحية شهادات التشفير SSL/TLS المجانية من 90 يومًا إلى 64 يومًا، ضمن خطة تستهدف تعزيز أمن الاتصالات بين المستخدمين والمواقع الإلكترونية، وتقليل الفترة التي يمكن خلالها استغلال الشهادات أو المفاتيح المرتبطة بها عند تعرضها للاختراق، وهو تغيير يتطلب من مسؤولي الخوادم مراجعة أنظمة تجديد الشهادات لتجنب توقف الخدمات نتيجة انتهاء صلاحيتها.

ووفقًا لتقرير نشره موقع Ars Technica، يبدأ تطبيق مدة الصلاحية الجديدة في 10 فبراير 2027، بينما تتيح الخدمة اختبار الشهادات ذات الصلاحية البالغة 64 يومًا بدءًا من 14 أكتوبر، تمهيدًا للانتقال إلى النظام الجديد، مع خطة لتقليص المدة إلى 45 يومًا خلال 2028.

لماذا تقلص صلاحية شهادات التشفير؟

تستخدم شهادات SSL/TLS للمساعدة في تأمين الاتصالات بين المتصفحات والخوادم، والتحقق من هوية المواقع التي يتصل بها المستخدمون، وهي من المكونات التي تعتمد عليها تقنية HTTPS.

ويساعد تقليل مدة صلاحية الشهادة على الحد من الفترة التي قد تستمر خلالها المخاطر المرتبطة بسرقة المفاتيح الخاصة أو إصدار الشهادات بصورة خاطئة.

وكانت الشهادات تصدر في السابق لفترات قد تمتد إلى سنوات، قبل أن تسهم Let's Encrypt في نشر شهادات ذات صلاحية تبلغ 90 يومًا، بهدف تشجيع المؤسسات على أتمتة عمليات التجديد بدلًا من الاعتماد على الإجراءات اليدوية.

  ما الذي يجب على مسؤولي المواقع تغييره؟
 

توصي Let's Encrypt باستخدام عملاء بروتوكول ACME الذين يدعمون خاصية ARI، التي تسمح لخدمة إصدار الشهادات بإبلاغ أنظمة التشغيل بالموعد المناسب للتجديد، وتحتاج المؤسسات التي تعتمد على مواعيد تجديد ثابتة إلى مراجعة إعداداتها، لأن بعض الأنظمة قد تكون مبرمجة على تجديد الشهادات بعد مدد لم تعد مناسبة للصلاحية الجديدة.

وتشمل الإجراءات المطلوبة مراجعة نصوص التشغيل الآلي، والتحقق من دعم أدوات التجديد للآليات الجديدة، وتفعيل التنبيهات عند فشل التجديد أو اقتراب انتهاء الصلاحية، وتوضح الخطوة أن تعزيز أمن المواقع لا يعتمد على قوة التشفير وحدها، بل يشمل إدارة الشهادات والمفاتيح ومواعيد التجديد، لأن انتهاء الشهادة دون تجديد قد يؤدي إلى ظهور تحذيرات أمنية للمستخدمين أو تعطيل الوصول إلى الخدمات.