في هذا الدرس 15تصفّح المواضيع
HTTPS Hypertext Transfer Protocol Secure
بروتوكول نقل النص الفائق الآمن HTTPS
HTTPS Hypertext Transfer Protocol Secure بروتوكول نقل النص الفائق الآمن HTTPS
بروتوكول نقل النص الفائق الآمن Hypertext Transfer Protocol Secure هو بروتوكول نقل النص الفائق المعزز بالأمان. يعمل HTTPS على حماية البيانات المرسلة بين متصفح المستخدم وموقع الويب عن طريق تشفيرها، مما يجعل من الصعب على الجهات الخارجية الوصول إلى هذه البيانات أو التلاعب بها، ويُستخدم HTTPS بشكل أساسي لضمان أمان وسرية المعلومات الشخصية، مثل كلمات المرور، والتفاصيل البنكية مثل بيانات البطاقات الائتمانية، وأي بيانات حساسة أخرى يتم تبادلها عبر الإنترنت. عند زيارة مواقع ويب تستخدم HTTPS، تُحمى البيانات أثناء النقل عند صحة إعداد TLS والتحقق من الشهادة؛ لا يحمي ذلك وحده البيانات بعد وصولها، أو جهازًا مخترقًا، أو المستخدم من موقع احتيالي له شهادة صحيحة.
على الرغم من أن استخدام HTTPS أصبح أكثر شيوعًا بين مواقع الويب المختلفة، إلا أن هناك بعض الحالات التي قد لا يزال فيها استخدام HTTP شائعًا. ومع ذلك، فإن الممارسات الأمنية الحديثة تدعو الشركات والمؤسسات إلى اعتماد HTTPS على نطاق واسع لضمان حماية المعلومات وتعزيز الثقة بين المستخدمين.
على الرغم من أن استخدام HTTPS أصبح أكثر شيوعًا بين مواقع الويب المختلفة، إلا أن هناك بعض الحالات التي قد لا يزال فيها استخدام HTTP شائعًا. ومع ذلك، فإن الممارسات الأمنية الحديثة تدعو الشركات والمؤسسات إلى اعتماد HTTPS على نطاق واسع لضمان حماية المعلومات وتعزيز الثقة بين المستخدمين.
Difference between HTTPS and HTTP
الفرق بين HTTPS و HTTP
Difference between HTTPS and HTTP الفرق بين HTTPS و HTTP
| أوجه الاختلاف Differences | HTTP | HTTPS |
| البروتوكول Protocol | بروتوكول HTTP هو أختصار لـ Hypertext Transfer Protocol بروتوكول نقل النص الفائق. | HTTPS اختصار لـ Hypertext Transfer Protocol Secure بروتوكول نقل النص الفائق الآمن. |
| الأمان Security | بروتوكول HTTP ليس بروتوكولًا آمنًا عند استخدامه عبر http دون TLS، فتكون بيانات الاتصال عرضة للقراءة والتعديل أثناء النقل. | يستخدم HTTPS بروتوكول TLS لحماية النقل. تساعد الشهادة في مصادقة اسم المضيف ومفتاحه، بينما تستخدم مفاتيح الاتصال المتفاوض عليها لتشفير البيانات؛ الشهادة نفسها لا تحول النص إلى تشفير. |
| أرقام المنافذ Port numbers | يستخدم المنفذ الافتراضي رقم Port 80. يتم استخدام هذا المنفذ للاتصالات غير المشفرة بين المتصفح والخادم. | يستخدم المنفذ الافتراضي رقم 443. يُستخدم هذا المنفذ للاتصالات المشفرة باستخدام شهادات SSL/TLS لضمان أمان البيانات المنقولة بين المتصفح والخادم. |
| الطبقات Layers | عمل بروتوكول HTTP على طبقة التطبيق. | البروتوكول HTTPS يعمل في طبقة التطبيق مثل HTTP، ولكنه يضيف طبقة أمان إضافية عبر تشفير البيانات لضمان حمايتها. على الرغم من أن عمليات المعالجة تبدأ من طبقة التطبيق، فإن بروتوكول HTTPS يوفر أماناً إضافياً عبر تأمين البيانات خلال نقلها بين العميل والخادم من خلال استخدام شهادات SSL/TLS، حيث يتم التشفير قبل الوصول إلى طبقة النقل، مما يضمن حماية وسلامة البيانات من التلاعب أو السرقة أثناء عملية النقل. |
| شهادات certificates SSL | اتصال http العادي لا يوفر تشفير TLS للبيانات. قد يكون المحتوى ثنائيًا أو مضغوطًا، لكن ذلك ليس حماية تشفيرية. | عندما تريد أن يكون موقعك الإلكتروني يستخدم بروتوكول HTTPS، يجب تثبيت شهادة SSL موقعة. وتتوفر شهادات SSL بخدمة مجانية ومدفوعة، ويمكن اختيار الخدمة بناءً على احتياجات العمل. |
| السرية وسلامة البيانات Confidentiality and data integrity | لا يضمن السرية أو سلامة البيانات المرسلة. | يضمن السرية عبر التشفير، ويحقق سلامة البيانات من خلال التأكد من أن البيانات لم تُغيَّر أو تُعدّل أثناء النقل. |
| الاداء Performance | غياب TLS يزيل بعض كلفة المصافحة والتشفير، لكن سرعة الصفحة الفعلية تعتمد على الشبكة والبروتوكول والخادم والمحتوى. | لـ TLS كلفة حسابية، وقد يعوضها استئناف الجلسات وإعادة استخدام الاتصالات وHTTP/2 أوHTTP/3. لا يصح الجزم بأن HTTPS أسرع أو أبطأ دائمًا دون قياس. |
| المعاملات عبر الإنترنت Online transactions | إذا كنا ندير عملًا تجاريًا عبر الإنترنت، يصبح من الضروري استخدام HTTPS لأنه أكثر أماناً. | إذا لم نستخدم HTTPS في الأعمال التجارية عبر الإنترنت، تتعرض بيانات العملاء لمخاطر النقل غير المحمي؛ HTTPS لازم لحماية النقل لكنه لا يضمن وحده أمان الدفع أو قرار العميل بالشراء. |
| تحسين محركات البحث SEO Search Engine Optimization | HTTP لا يوفر مزايا حماية النقل الخاصة بـ HTTPS؛ ترتيب البحث يعتمد على عوامل كثيرة. | أعلنت Google استخدام HTTPS كإشارة ترتيب؛ لا يضمن وحده تفوق الموقع على كل موقع HTTP أو تحسن ترتيبه. |
| صيغة URL Format | تبدأ عناوين URL الخاصة بـHTTP بـ"http://"، يليها اسم نطاق الموقع مثل [http://www.closetag.com] | تبدأ عناوين URL الخاصة بـHTTPS بـ"https://"، يليها اسم نطاق الموقع مثل [https://www.closetag.com]. |
| البروتوكولات الأساسية Underlying Protocols | يستخدم HTTP/1 وHTTP/2 بروتوكول TCP/IP كأساس لنقل البيانات. أما HTTP/3 فيعتمد على بروتوكول QUIC. | يستخدم HTTPS مع HTTP/1.1 أوHTTP/2 حماية TLS فوق TCP، ويستخدم HTTP/3 بروتوكول QUIC الذي يدمج TLS 1.3 |
?How does HTTPS protocol work
كيف يعمل بروتوكول HTTPS؟
?How does HTTPS protocol work كيف يعمل بروتوكول HTTPS؟
يعمل HTTPS من خلال تشفير البيانات التي تتم مشاركتها بين المستخدم والخادم، مما يجعل المعلومات صعبة الوصول إليها من قِبَل المخترقين. يعتمد HTTPS على تقنية تُسمى [SSL/TLS] لتوفير الأمان، حيث تَقوم هذه التقنية بإنشاء قناة آمنة عبر الإنترنت. في المصافحة الحديثة تستخدم الشهادة والمفاتيح غير المتماثلة للمصادقة، وتتفق الأطراف على أسرار تُشتق منها مفاتيح متماثلة لحماية حركة البيانات. لا يشفّر المتصفح جميع بيانات HTTP بالمفتاح العام للشهادة.
عند زيارة موقع يستخدم HTTPS، يقوم متصفح الإنترنت بالتحقق من هوية الموقع من خلال شهادة رقمية صادرة عن مُزوّد موثوق. بعد التحقق تبدأ عملية التشفير، ويتحقق المتصفح من أن الشهادة صالحة لاسم المضيف الذي طلبته. قد يملك موقع احتيالي شهادة صحيحة لاسمه، لذلك لا تعد الشهادة حكمًا على أمان المحتوى أو نزاهة الجهة.
تظهر أهمية HTTPS في حماية جميع أنواع البيانات، مثل بيانات تسجيل الدخول، وأرقام بطاقات الائتمان، والمعلومات الشخصية. لذلك من المهم فحص اسم الموقع وحالة الاتصال والشهادة من أدوات المتصفح، مع الانتباه إلى اختلاف الرموز بين المتصفحات عند تصفح المواقع التي تتطلب إدخال معلومات حسّاسة.
عند زيارة موقع يستخدم HTTPS، يقوم متصفح الإنترنت بالتحقق من هوية الموقع من خلال شهادة رقمية صادرة عن مُزوّد موثوق. بعد التحقق تبدأ عملية التشفير، ويتحقق المتصفح من أن الشهادة صالحة لاسم المضيف الذي طلبته. قد يملك موقع احتيالي شهادة صحيحة لاسمه، لذلك لا تعد الشهادة حكمًا على أمان المحتوى أو نزاهة الجهة.
تظهر أهمية HTTPS في حماية جميع أنواع البيانات، مثل بيانات تسجيل الدخول، وأرقام بطاقات الائتمان، والمعلومات الشخصية. لذلك من المهم فحص اسم الموقع وحالة الاتصال والشهادة من أدوات المتصفح، مع الانتباه إلى اختلاف الرموز بين المتصفحات عند تصفح المواقع التي تتطلب إدخال معلومات حسّاسة.
SSL/TLS Encryption - and How It Works
تشفير SSL/TLS - وكيف يعمل
SSL/TLS Encryption - and How It Works تشفير SSL/TLS - وكيف يعمل
التشفير باستخدام SSL/TLS:
تُعَدّ تقنية SSL/TLS واحدة من أبرز الطرق المستخدمة لتأمين تبادل البيانات عبر الإنترنت. يتم استخدام هذه التقنية لضمان سرية المعلومات المتبادلة بين المستخدم والخادم، مثل كلمات المرور وبيانات بطاقات الائتمان. SSL هو اختصار لـ [Secure Sockets Layer]، وTLS لـ [Transport Layer Security]، TLS هو خلف SSL؛ إصدارات SSL قديمة وغير آمنة ولا تستخدم حاليًا. يفضل TLS 1.3، وقد يدعم الخادم TLS 1.2 للتوافق، أما TLS 1.0 و1.1 فمتقادمان. يعمل SSL/TLS من خلال إنشاء "نفق" آمن بين الطرفين المتصلين، مما يعني أنه حتى لو تمكّن شخص غير مصرح له من الوصول إلى هذه البيانات، فلن يتمكن من قراءتها بسبب تشفيرها.
كيف يعمل:
عند زيارة موقع ويب يستخدم SSL/TLS، يبدأ المتصفح بعملية يُطلق عليها المصافحة [Handshake]. تتمثل هذه العملية في تبادل مفاتيح التشفير بين المتصفح والخادم حتى يتفق كلا الطرفين على طريقة التشفير المستخدمة. بمجرد اكتمال المصافحة، يتم إنشاء اتصال آمن. وبالتالي، يمكن نقل البيانات بينهما بكل أمان.
بمعنى أبسط، يعمل SSL/TLS على تشفير البيانات لتحويلها من نص عادي إلى نص غير مفهوم [Cipher Text]، وهو نص يتعذر فهمه إلا بواسطة الأطراف المصرح لهم بمعرفة مفتاح فك التشفير. ولضمان مزيد من الأمان، يتم استخدام بروتوكولات تشفير معقدة، ولها كلفة حسابية تختلف بحسب الخوارزميات والعتاد؛ لا تتطلب كل عملية TLS قدرة مرتفعة مقارنة بالموارد المتاحة.
الشهادات ودورها:
شهادات SSL/TLS تُصدر من قبل هيئات إصدار الشهادات Certificate Authorities [CAs]. عند زيارة موقع إلكتروني، يتحقق المتصفح من صلاحية شهادة SSL/TLS، ويعرض المتصفح حالة الاتصال بأيقونة أو إعدادات تختلف حسب الإصدار؛ لا يشترط قفل أخضر، وقد استبدل Chrome رمز القفل بمدخل لإعدادات الموقع. هذه الشهادات ضرورية للمواقع التي تجمع أو تنقل معلومات حساسة كما في مواقع التجارة الإلكترونية ومواقع التواصل الاجتماعي. تُشدد أهمية إدخال معلومات حساسة فقط على المواقع التي تملك شهادات صالحة لتوفير حماية من القراصنة وسارقي الهوية.
تتوفر شهادات SSL بخدمة مجانية ومدفوعة، ويمكن اختيار الخدمة بناءً على احتياجات العمل.
الشهادات المجانية:
تُعَدّ تقنية SSL/TLS واحدة من أبرز الطرق المستخدمة لتأمين تبادل البيانات عبر الإنترنت. يتم استخدام هذه التقنية لضمان سرية المعلومات المتبادلة بين المستخدم والخادم، مثل كلمات المرور وبيانات بطاقات الائتمان. SSL هو اختصار لـ [Secure Sockets Layer]، وTLS لـ [Transport Layer Security]، TLS هو خلف SSL؛ إصدارات SSL قديمة وغير آمنة ولا تستخدم حاليًا. يفضل TLS 1.3، وقد يدعم الخادم TLS 1.2 للتوافق، أما TLS 1.0 و1.1 فمتقادمان. يعمل SSL/TLS من خلال إنشاء "نفق" آمن بين الطرفين المتصلين، مما يعني أنه حتى لو تمكّن شخص غير مصرح له من الوصول إلى هذه البيانات، فلن يتمكن من قراءتها بسبب تشفيرها.
كيف يعمل:
عند زيارة موقع ويب يستخدم SSL/TLS، يبدأ المتصفح بعملية يُطلق عليها المصافحة [Handshake]. تتمثل هذه العملية في تبادل مفاتيح التشفير بين المتصفح والخادم حتى يتفق كلا الطرفين على طريقة التشفير المستخدمة. بمجرد اكتمال المصافحة، يتم إنشاء اتصال آمن. وبالتالي، يمكن نقل البيانات بينهما بكل أمان.
بمعنى أبسط، يعمل SSL/TLS على تشفير البيانات لتحويلها من نص عادي إلى نص غير مفهوم [Cipher Text]، وهو نص يتعذر فهمه إلا بواسطة الأطراف المصرح لهم بمعرفة مفتاح فك التشفير. ولضمان مزيد من الأمان، يتم استخدام بروتوكولات تشفير معقدة، ولها كلفة حسابية تختلف بحسب الخوارزميات والعتاد؛ لا تتطلب كل عملية TLS قدرة مرتفعة مقارنة بالموارد المتاحة.
الشهادات ودورها:
شهادات SSL/TLS تُصدر من قبل هيئات إصدار الشهادات Certificate Authorities [CAs]. عند زيارة موقع إلكتروني، يتحقق المتصفح من صلاحية شهادة SSL/TLS، ويعرض المتصفح حالة الاتصال بأيقونة أو إعدادات تختلف حسب الإصدار؛ لا يشترط قفل أخضر، وقد استبدل Chrome رمز القفل بمدخل لإعدادات الموقع. هذه الشهادات ضرورية للمواقع التي تجمع أو تنقل معلومات حساسة كما في مواقع التجارة الإلكترونية ومواقع التواصل الاجتماعي. تُشدد أهمية إدخال معلومات حساسة فقط على المواقع التي تملك شهادات صالحة لتوفير حماية من القراصنة وسارقي الهوية.
تتوفر شهادات SSL بخدمة مجانية ومدفوعة، ويمكن اختيار الخدمة بناءً على احتياجات العمل.
الشهادات المجانية:
- Let's Encrypt: جهة غير ربحية معروفة تصدر شهادات TLS مجانية. هذه الشهادات تساعد في تأمين الاتصال بين المستخدم والموقع. تتميز بأنها سهلة التثبيت ولكن لديها بعض القيود تختلف بحسب نوع الشهادة والخدمة. للشهادة صلاحية محدودة، لذلك ينبغي ضبط تجديد آلي ومراقبة نجاحه والرجوع إلى سياسة المزود الحالية للمدة.
- Cloudflare: هي شركة معروفة بتحسين أداء وحماية المواقع، تقدم خدمة SSL مجانية كأحد الخيارات في خططها المتنوعة لتعزيز أمان المواقع.
- ZeroSSL: يقدم شهادات مجانية مشابهة لتلك التي تقدمها "Let's Encrypt"، مع أدوات إضافية لإدارة عمليات التشفير، مما يوفر مزيدًا من التحكم للمستخدمين.
- SSL For Free: تعرض هذه الخدمة حاليًا شهادات من منصة ZeroSSL لتقديم شهادات TLS بأسلوب سهل الاستخدام، مما يجعلها مناسبة للمبتدئين.
الشهادات المدفوعة:
هذه الشهادات تُصدر من قبل جهات تجارية مثل Comodo، التي أصبحت تُعرف الآن بـ Sectigo، وDigiCert، أما نشاط Symantec لشهادات أمان المواقع وحلول PKI المرتبطة به فقد انتقل إلى DigiCert في2017؛ لا يخلط ذلك بمنتجات Norton وLifeLock. هذه الشهادات المدفوعة توفر مستويات إضافية من الدعم الفني، وقد تختلف في مستوى التحقق من هوية المؤسسة وأدوات الإدارة والدعم. السعر لا يجعل تشفير TLS أقوى تلقائيًا ولا يضمن صلاحية أطول؛ تتبع الصلاحية سياسة الجهة ومعايير الثقة. كما أنها قد تشمل ضمانات تعاقدية بشروط واستثناءات محددة، وليست تأمينًا عامًا ضد أي اختراق.
The Importance of Data Encryption During Transmission
أهمية تشفير البيانات أثناء نقلها
The Importance of Data Encryption During Transmission أهمية تشفير البيانات أثناء نقلها
- التشفير Encryption: تشفير البيانات يعني تحويل المعلومات إلى رموز خاصة، بحيث لا يفهمها إلا الأشخاص المصرح لهم فقط. وهذا ضروري لحماية البيانات عند إرسالها عبر الإنترنت، مما يمنع أي شخص غير مصرح له من الوصول إليها ويحافظ على سريتها.
- سلامة البيانات Data Integrity: يساعد التشفير في التأكد من أن البيانات تصل سليمة دون تغيير، فإذا حاول شخص ما تعديل البيانات أثناء نقلها، يمكن اكتشاف ذلك بسهولة، وبهذا يطمئن المستلم أن المعلومات التي وصلته هي نفسها التي أُرسلت من البداية.
- المصادقة Authentication: يُستخدم التشفير أيضًا لتأكيد هوية المرسل عبر ما يُعرف بالتوقيع الرقمي أو الشهادات الرقمية، مما يضيف طبقة أمان إضافية تُسمى المصادقة. التوقيع الرقمي يشبه إمضاء الشخص على الوثائق، مما يؤكد أن الرسالة أو البيانات صادرة بالفعل من المرسل ويُثبت أن البيانات لم يتم تغييرها أثناء نقلها.
- بروتوكولات الأمان Security Protocols: عُزز الأمان على الإنترنت باستخدام بروتوكولات مثل TLS، وهو خليفة بروتوكول SSL، حيث تُستخدم هذه البروتوكولات لتشفير الاتصالات وتأمين نقل البيانات بين المستخدم والخادم، وهذا يضمن حماية المعلومات من الاستماع أو التلاعب بها من جهات غير موثوقة.
- خطر سرقة البيانات Risk of Data Theft: باستخدام التشفير تقلل الشركات من خطر سرقة البيانات، لأن المعلومات تكون غير مفهومة بدون مفاتيح فك التشفير المناسبة، وبهذه الطريقة تصبح البيانات المسروقة بلا فائدة.
- الأداء والكفاءة Performance and Efficiency: يُعزز التشفير أمن المعلومات المخزنة، لكنه لا يزيد قدرة المعالج أو يمنع التعطل؛ للتشفير كلفة تتأثر بالخوارزميات والعتاد، وتُقاس كجزء من أداء النظام.
?Why choose HTTPS instead of HTTP
لماذا نختار HTTPS بدلاً من HTTP؟
?Why choose HTTPS instead of HTTP لماذا نختار HTTPS بدلاً من HTTP؟
أولاً: الأمان Security: HTTP دون TLS لا يشفّر النقل؛ قد يكون جسم الرسالة نصيًا أو ثنائيًا، مما يجعل من السهل على الأطراف غير المصرح لها الاطلاع على هذه البيانات عند نقلها عبر الإنترنت، بينما يتم تشفير جميع البيانات المرسلة عبر HTTPS، مما يمنح المستخدمين الثقة في أن محتوى الاتصال محمي من القراءة والتعديل غير المكتشف أثناء النقل عند التحقق الصحيح من TLS؛ قد تظل معلومات مثل عنوان الخادم وحجم الحركة ظاهرة. يُفضل استخدام بروتوكول HTTPS لحماية المعلومات الحساسة، مثل تفاصيل البطاقات الائتمانية أو المعلومات الشخصية للعملاء.
ثانياً: الثقة Trust: HTTPS إشارة ترتيب ضمن عوامل كثيرة لدى Google؛ جودة المحتوى وملاءمته وسهولة استخدام الصفحة تبقى عوامل أساسية، ولا تعني الإشارة عقوبة موحدة على كل صفحة HTTP. يُفضل العملاء زيارة مواقع HTTPS لأن الاتصال محمي، لكن شكل مؤشر الاتصال يختلف ولا يثبت موثوقية صاحب الموقع.
ثالثاً: الأداء والتحليلات Performance and Analytics: قد يستفيد HTTPS من بروتوكولات وميزات حديثة، لكن السرعة تحتاج قياسًا. يتأثر إرسال Referer بسياسة Referrer-Policy والمتصفح واتجاه الانتقال؛ HTTPS وحده لا يضمن معرفة المصدر الدقيق لكل زيارة.
ثانياً: الثقة Trust: HTTPS إشارة ترتيب ضمن عوامل كثيرة لدى Google؛ جودة المحتوى وملاءمته وسهولة استخدام الصفحة تبقى عوامل أساسية، ولا تعني الإشارة عقوبة موحدة على كل صفحة HTTP. يُفضل العملاء زيارة مواقع HTTPS لأن الاتصال محمي، لكن شكل مؤشر الاتصال يختلف ولا يثبت موثوقية صاحب الموقع.
ثالثاً: الأداء والتحليلات Performance and Analytics: قد يستفيد HTTPS من بروتوكولات وميزات حديثة، لكن السرعة تحتاج قياسًا. يتأثر إرسال Referer بسياسة Referrer-Policy والمتصفح واتجاه الانتقال؛ HTTPS وحده لا يضمن معرفة المصدر الدقيق لكل زيارة.
HTTPS Features
مميزات HTTPS
HTTPS Features مميزات HTTPS
- حماية البيانات المؤمّنة Secure Data Protection:
يحمي HTTPS محتوى المعلومات أو البيانات الهامة من القراءة والتعديل غير المكتشف مثل كلمات المرور أو تفاصيل البطاقات الائتمانية أثناء نقلها عبر الإنترنت. - ثقة المستخدم وتحسين تجربة المستخدم User Trust and User Experience Improvement:
عندما يرى المستخدمون رمز القفل في شريط العناوين، يشعرون بالثقة في أن بياناتهم ومعلوماتهم الشخصية محمية. - تحسين ترتيب الموقع في محركات البحث [SEO] Improved Search Engine Ranking:
تستخدم Google HTTPS كإشارة ترتيب، لكنه لا يضمن نتيجة أو أولوية مطلقة على محتوى أفضل. - مواكبة المعايير القانونية والتنظيمية Keeping up with legal and regulatory standards:
بعض اللوائح تتطلب استخدام HTTPS لحماية بيانات المستخدمين، وامتثالك لهذه المتطلبات سيساعدك في تجنب الغرامات أو المشاكل القانونية. - التوافق Compatibility:
المتصفحات الحديثة قد بدأت في تقديم ميزات يمكن استخدامها لحجب المواقع التي لا تستخدم بروتوكول HTTPS، كما تتطلب بعض واجهات الويب سياقًا آمنًا. استخدام HTTPS لا يغني عن اختبار توافق وظائف الموقع. لذا، يجب على أصحاب المواقع اعتماد بروتوكول HTTPS لضمان توافق المواقع مع المتصفحات الحديثة، ولتعزيز أمان وتكامل البيانات المتبادلة.
- دعم الخصوصية ضد التتبع غير المرغوب Privacy Support against Unwanted Tracking:
يُعقّد HTTPS قدرة الجهات الخارجية على تتبع نشاط المستخدم عبر الإنترنت. - تمكين المعاملات المالية الآمنة Enable Secure Financial Transactions:
يعد HTTPS أساسًا آمنًا لأي موقع يقدم خدمات مالية أو يتعامل في المعاملات الإلكترونية. - تشجيع التبني الشامل لأمان الإنترنت Encouraging universal adoption of Internet security:
باستخدام HTTPS، تكون شركة أو موقع واحد من ملايين المساهمين في تعزيز أمان الإنترنت بشكل كلي. - حماية الموقع من هجمات رجل في الوسط [MITM] Protecting the Site from Man-in-the-Middle Attacks:
يوفر HTTPS حماية من اعتراض البيانات وتلاعب القراصنة بها أثناء نقلها. - احتواء التحذيرات الأمنية Containing Security Warnings:
بعض المتصفحات الآن تعرض تحذيرات لمواقع HTTP غير الآمنة، وقد يحسن استخدام HTTPS من عدم ظهور هذه التحذيرات على موقعك.
Disadvantages of HTTPS
عيوب HTTPS
Disadvantages of HTTPS عيوب HTTPS
- الأداء Performance: التشفير وفك التشفير يستهلك موارد إضافية من المعالج ويزيد من زمن الاستجابة، مما قد يؤثر سلبًا على سرعة تحميل المواقع.
- التكلفة Cost: الحصول على شهادات SSL/TLS اللازمة لتفعيل HTTPS قد يكون مكلفًا، وخصوصًا للشركات الصغيرة وأصحاب المواقع الفردية.
- التعقيد الفني Technical Complexity: يتطلب إعداد وإدارة HTTPS مستوى معين من المعرفة التقنية لضمان الإعداد بشكل صحيح وإدارة الشهادات وتجديدها.
- الوصول إلى المحتوى المشفر Access to Encrypted Content: في حال وجود مشاكل أو الحاجة إلى تحليل المحتوى، قد يكون من الصعب فحص البيانات المشفرة لمشكلات الأمان أو الأداء.
- تصديق الشهادات Certificate Validation: يعتمد الأمان على قوة وثقة سلطة إصدار الشهادات؛ وهجمات على هذه السلطات يمكن أن تؤثر على سلامة النظام.
Convert between HTTP and HTTPS
التحويل بين HTTP و HTTPS
Convert between HTTP and HTTPS التحويل بين HTTP و HTTPS
التحويل بين HTTP و HTTPS
- بالنسبة للزوار: يمكن كتابة https:// مباشرةً إذا كان الموقع يدعمه. وقد ترقي المتصفحات الاتصال أو يتولى الخادم إعادة التوجيه، لكن كتابة HTTPS لا تضيف شهادة أو دعم TLS إلى خادم غير مهيأ.
- أما بالنسبة لأصحاب المواقع: يمكن تحويل موقع الويب الخاص بك من HTTP إلى HTTPS مجانًا باستخدام خدمات مثل Cloudflare. يمكن ذلك عن طريق إعداد شهادة SSL من خلال لوحة تحكم Cloudflare، وتفعيل الخيارات اللازمة لضمان تحويل جميع البيانات بشكل آمن عبر HTTPS. سيساعدك هذا في تحسين أمان الموقع وثقة الزوار.
عند استخدام Cloudflare توجد وصلتان: المتصفح إلى Cloudflare، وCloudflare إلى الخادم الأصلي. يلزم حماية الوصلتين والتحقق من شهادة الأصل؛ وضع Full (strict) يتحقق من صلاحيتها ومطابقة اسم المضيف. ظهور HTTPS للزائر وحده لا يثبت تشفير الوصلة الخلفية.
?How Does HTTPS Help Authenticate Web Servers
كيف يساعد HTTPS في التحقق من صحة خوادم الويب؟
?How Does HTTPS Help Authenticate Web Servers كيف يساعد HTTPS في التحقق من صحة خوادم الويب؟
يستخدم بروتوكول HTTPS طبقة في تقنية التشفير تُسمى SSL/TLS، التي تُستخدم لتشفير البيانات المُرسلة بين الأطراف المشتركة في الاتصال، وتعمل هذه الشهادة كوثيقة هوية للموقع، حيث تربط المفتاح باسم المضيف وتساعد على التحقق من الاتصال بهذا الاسم؛ لا تضمن نزاهة الجهة أو سلامة تطبيقها.
تُتيح SSL/TLS عملية المصادقة والتي تساعد في منع ما يُعرف باسم هجوم الوسيط، تقوم تقنية التشفير بتأمين البيانات المُرسلة، مما يعني أن أي شخص يحاول اعتراض الاتصال لن يتمكن من فهم المحتوى دون القدرة على فك التشفير. ويكون هذا مفيدًا خاصة في المواقع التي تتطلب معلومات حساسة مثل كلمات المرور وبيانات الدفع.
تُتيح SSL/TLS عملية المصادقة والتي تساعد في منع ما يُعرف باسم هجوم الوسيط، تقوم تقنية التشفير بتأمين البيانات المُرسلة، مما يعني أن أي شخص يحاول اعتراض الاتصال لن يتمكن من فهم المحتوى دون القدرة على فك التشفير. ويكون هذا مفيدًا خاصة في المواقع التي تتطلب معلومات حساسة مثل كلمات المرور وبيانات الدفع.
Example of how HTTPS works
مثال لكيفية عمل HTTPS
Example of how HTTPS works مثال لكيفية عمل HTTPS
عندما يدخل الزائر إلى موقع للتجارة الإلكترونية لشراء منتج، يكون الرابط إلى صفحة طلب المنتج عادةً يبدأ بـ [https://] وليس [http://]. هذا يعني أن الاتصال يستخدم بروتوكول [HTTPS] لتأمين نقل البيانات.
لإتمام الطلب، يُطلب من الزائر إدخال تفاصيله الشخصية، مثل: اسمه وعنوان الشحن، بالإضافة إلى المعلومات المالية مثل رقم بطاقة الائتمان. تستخدم قناة TLS مفاتيح الاتصال المتفاوض عليها لحماية هذه البيانات أثناء النقل، وتدعم الشهادة مصادقة المضيف. تبقى حماية البيانات داخل المتصفح والخادم ونظام الدفع مسؤوليات أخرى.
بعد أن تصل الطلبات إلى الخادم، يعالج الطلب. عند إتمام العملية بنجاح، يتلقى المستخدم تأكيدًا من الخادم. هذه التأكيدات تُرسل بشكل مشفر ويُعرض في المتصفح بشكل آمن. يتمكن المتصفح من فك تشفير الرسائل باستخدام طبقة [HTTPS] لضمان الاتصالات الآمنة والموثوقة.
لإتمام الطلب، يُطلب من الزائر إدخال تفاصيله الشخصية، مثل: اسمه وعنوان الشحن، بالإضافة إلى المعلومات المالية مثل رقم بطاقة الائتمان. تستخدم قناة TLS مفاتيح الاتصال المتفاوض عليها لحماية هذه البيانات أثناء النقل، وتدعم الشهادة مصادقة المضيف. تبقى حماية البيانات داخل المتصفح والخادم ونظام الدفع مسؤوليات أخرى.
بعد أن تصل الطلبات إلى الخادم، يعالج الطلب. عند إتمام العملية بنجاح، يتلقى المستخدم تأكيدًا من الخادم. هذه التأكيدات تُرسل بشكل مشفر ويُعرض في المتصفح بشكل آمن. يتمكن المتصفح من فك تشفير الرسائل باستخدام طبقة [HTTPS] لضمان الاتصالات الآمنة والموثوقة.
?How do I switch from HTTP to HTTPS for my website
كيف أقوم بالتبديل من HTTP إلى HTTPS لموقع الويب الخاص بي؟
?How do I switch from HTTP to HTTPS for my website كيف أقوم بالتبديل من HTTP إلى HTTPS لموقع الويب الخاص بي؟
أولًا: الحصول على شهادة SSL:
لخادم Apache:
لخادم Nginx:
ضبط إعدادات الخادم لتوجيه جميع حركة المرور من HTTP إلى HTTPS تلقائيًّا.
- ابحث عن سلطة إصدار الشهادات [CA] الموثوقة، مثل: Let's Encrypt، وComodo، وDigiCert، واحصل على شهادة TLS مجانية أو مدفوعة بحسب الخدمة؛ Let's Encrypt يصدر شهادات مجانية.
- أنشئ طلب توقيع الشهادة [CSR] على الخادم الخاص بك.
- اتبع تعليمات مزود الشهادات لتثبيت الشهادة على خادم الويب الخاص بك، ويمكنك طلب المساعدة من شركة الاستضافة إذا لزم الأمر.
لخادم Apache:
- قم بتعديل ملف الإعدادات الخاص بك مثل [httpd.conf] أو الملفات الخاصة بالموقع في [sites-available].
- تأكد من وجود كتلة [VirtualHost *:443] وعيّن مسارات ملفات شهادة SSL الخاصة بك.
لخادم Nginx:
- قم بتعديل ملف الإعدادات مثل [nginx.conf] أو الملفات الخاصة بالموقع في [sites-enabled].
ضبط إعدادات الخادم لتوجيه جميع حركة المرور من HTTP إلى HTTPS تلقائيًّا.
- لخادم Apache: استخدم توجيهات 301 لتوجيه الزوار إلى النسخة الآمنة.
- لخادم Nginx: قم بتعديل إعدادات الخادم لتفعيل التوجيه التلقائي إلى HTTPS.
- قم بتحديث جميع الروابط داخل موقعك لتستخدم HTTPS بدلًا من HTTP، ويشمل ذلك الروابط في الأكواد، والمحتوى، وملفات CSS و JavaScript.
- تأكد من تحميل جميع الموارد مثل الصور، والسكربتات، وأوراق الأنماط عبر HTTPS لتجنّب تحذيرات المحتوى المختلط.
خامسًا: تحديث نظام إدارة المحتوى والإضافات:
سادسًا: التحقق من إعدادات شبكة توصيل المحتوى [CDN]:
- إذا كنت تستخدم نظام إدارة محتوى مثل ووردبريس، قم بتحديث عنوان الموقع في الإعدادات لاستخدام HTTPS.
- تأكد من توافق جميع الإضافات والقوالب مع HTTPS وتعمل بشكل سليم بعد التحويل.
سادسًا: التحقق من إعدادات شبكة توصيل المحتوى [CDN]:
- إذا كنت تستخدم شبكة توصيل المحتوى [CDN]، تأكد من ضبطها لدعم HTTPS.
- قم بتحديث خريطة الموقع [sitemap.xml] وملفات الروبوت [robots.txt] لتعكس التحويل إلى HTTPS.
- راجع خاصية الموقع في Google Search Console: خاصية Domain تغطي HTTP وHTTPS والنطاقات الفرعية، بينما خاصية URL-prefix تقتصر على بادئتها وقد تحتاج خاصية HTTPS موثقة. إضافة الخاصية أداة قياس ولا تنشر الصفحات أو تفهرسها تلقائيًا.
- تواصل مع المواقع التي ترتبط بموقعك باستخدام HTTP واطلب منها تحديث الروابط إلى HTTPS.
- استخدم أدوات مثل اختبار SSL المقدّم من SSL Labs للتحقق من المشاكل في الإعدادات.
Common Mistakes to Avoid When Adapting HTTPS Connections
الأخطاء الشائعة التي يجب تجنبها عند تكييف اتصال HTTPS
Common Mistakes to Avoid When Adapting HTTPS Connections الأخطاء الشائعة التي يجب تجنبها عند تكييف اتصال HTTPS
أفضل الممارسات لتأمين مواقع الويب باستخدام HTTPS وتجنب الأخطاء الشائعة.
| المشكلة | الحل |
| الشهادات المنتهية الصلاحية. | تأكد دائمًا من أن شهادة الموقع مُحدثة. |
| الشهادة مفقودة لجميع أسماء السيرفرات. | احصل على شهادة لجميع أسماء النطاقات التي يخدمها الموقع لتجنب أخطاء عدم تطابق أسماء الشهادات. |
| الدعم لتحديد اسم الخادم. | تأكد من أن خادم الويب يدعم تقنية SNI وأن الجمهور يستخدم متصفحات تدعم SNI. |
| المشاكل التي تواجه محركات البحث. | تأكد من أن موقع HTTPS غير محظور من الزحف باستخدام ملف robots.txt. وأيضًا، قم .بتمكين الفهرسة الصحيحة لجميع الصفحات بواسطة محركات البحث |
| المحتوى. | التأكد من تطابق المحتوى بين صفحات HTTP وصفحات HTTPS. |
HTTPS and the CIA triad
HTTPS وثلاثية الأمن السيراني
HTTPS and the CIA triad HTTPS وثلاثية الأمن السيراني
ثلاثية الأمن السبراني: السرية Confidentiality والسلامة Integrity والتوافر Availability، والتي تُختصر إلى [CIA]، وتمثل الأهداف الرئيسية في أمان المعلومات والتي تسعى المنظمات لتحقيقها لحماية بياناتها وأنظمة معلوماتها وهي مفهوم أساسي في أمان المعلومات. إليك شرح لكل مكون:
السرية Confidentiality: يشير هذا العنصر إلى ضمان وصول المعلومات فقط لأولئك الذين لديهم الأذونات اللازمة. يتضمن ذلك تنفيذ ضوابط الوصول والتشفير لحماية المعلومات الحساسة من الوصول والكشف غير المصرح بهما. تقنيات مثل حماية كلمات المرور، والمصادقة ذات العاملين، وتشفير البيانات تُستخدم عادةً للحفاظ على السرية.
السلامة Integrity: تتعلق السلامة بالحفاظ على دقة وموثوقية البيانات طوال دورة حياتها. وهذا يعني ضمان أن المعلومات لا تتغير أو تُعبث بها من قبل أشخاص غير مصرح لهم. وتشمل الطرق المستخدمة لضمان السلامة استخدام رموز التحقق، وخوارزميات التجزئة، والتوقيعات الرقمية، وسجلات التدقيق. تعمل هذه الأدوات على اكتشاف ومنع التعديلات غير المصرح بها على البيانات.
التوافر Availability: يشير التوافر إلى ضمان أن المعلومات والموارد يمكن الوصول إليها من قبل المستخدمين المصرح لهم عند الحاجة. يتضمن ذلك تنفيذ تدابير لحماية ضد الانقطاعات مثل فشل الأجهزة، الكوارث الطبيعية، أو الهجمات الإلكترونية [مثل هجمات الحرمان من الخدمة]. تقنيات لضمان التوافر تشمل التكرار، وحلول التبديل التلقائي، والنسخ الاحتياطي المنتظم، وإجراءات أمان الشبكات القوية.
السرية Confidentiality: يشير هذا العنصر إلى ضمان وصول المعلومات فقط لأولئك الذين لديهم الأذونات اللازمة. يتضمن ذلك تنفيذ ضوابط الوصول والتشفير لحماية المعلومات الحساسة من الوصول والكشف غير المصرح بهما. تقنيات مثل حماية كلمات المرور، والمصادقة ذات العاملين، وتشفير البيانات تُستخدم عادةً للحفاظ على السرية.
السلامة Integrity: تتعلق السلامة بالحفاظ على دقة وموثوقية البيانات طوال دورة حياتها. وهذا يعني ضمان أن المعلومات لا تتغير أو تُعبث بها من قبل أشخاص غير مصرح لهم. وتشمل الطرق المستخدمة لضمان السلامة استخدام رموز التحقق، وخوارزميات التجزئة، والتوقيعات الرقمية، وسجلات التدقيق. تعمل هذه الأدوات على اكتشاف ومنع التعديلات غير المصرح بها على البيانات.
التوافر Availability: يشير التوافر إلى ضمان أن المعلومات والموارد يمكن الوصول إليها من قبل المستخدمين المصرح لهم عند الحاجة. يتضمن ذلك تنفيذ تدابير لحماية ضد الانقطاعات مثل فشل الأجهزة، الكوارث الطبيعية، أو الهجمات الإلكترونية [مثل هجمات الحرمان من الخدمة]. تقنيات لضمان التوافر تشمل التكرار، وحلول التبديل التلقائي، والنسخ الاحتياطي المنتظم، وإجراءات أمان الشبكات القوية.
يدعم HTTPS سرية النقل وسلامته ومصادقة الخادم، لكنه لا يضمن التوافر وحده؛ تبقى معالجة الأعطال والسعة والنسخ الاحتياطي والدفاع عن الخدمة مهام منفصلة.
?Are HTTPS connections vulnerable to attacks
هل اتصالات HTTPS معرضة للهجمات؟
?Are HTTPS connections vulnerable to attacks هل اتصالات HTTPS معرضة للهجمات؟
يُعتبر الاتصال عن طريق بروتوكول HTTPS أكثر أمانًا من HTTP، إلا أن أيًا منهما ليس محصنًا تمامًا من الهجمات الإلكترونية. قد تكون اتصالات HTTPS عُرضة للأنشطة الخبيثة التالية:
أولًا:
يُمكن أن يستغل المهاجمون نقاط الضعف في التشفير أو البروتوكول لاختراق الاتصال. يتمثل التشفير في تقنية تحوّل المعلومات إلى رموز بحيث يصعب قراءتها من قبل غير المصرح لهم.
ثانيًا:
يمكن أن يُهدد المهاجمون أجهزة الحاسوب الشخصية للعملاء، حيث قد يقومون بتثبيت شهادة جذر ضارة في مخزن الثقة للمتصفح أو الجهاز، مما يُعرّض الاتصال عبر HTTPS للخطر.
ثالثًا:
يستطيع المهاجمون التلاعب بسلطة إصدار الشهادات، وهي الجهة التي تتحقق من أهلية إصدار شهادة للأسماء أو الهوية المشمولة بحسب نوع التحقق، ولا تحكم على سلامة كل محتوى الموقع، للحصول على شهادة مزيفة يثق بها المستخدمون بشكل خاطئ. تُعد سلطة إصدار الشهادات مثل الدوائر الحكومية المسؤولة عن إصدار بطاقات الهوية.
أولًا:
يُمكن أن يستغل المهاجمون نقاط الضعف في التشفير أو البروتوكول لاختراق الاتصال. يتمثل التشفير في تقنية تحوّل المعلومات إلى رموز بحيث يصعب قراءتها من قبل غير المصرح لهم.
ثانيًا:
يمكن أن يُهدد المهاجمون أجهزة الحاسوب الشخصية للعملاء، حيث قد يقومون بتثبيت شهادة جذر ضارة في مخزن الثقة للمتصفح أو الجهاز، مما يُعرّض الاتصال عبر HTTPS للخطر.
ثالثًا:
يستطيع المهاجمون التلاعب بسلطة إصدار الشهادات، وهي الجهة التي تتحقق من أهلية إصدار شهادة للأسماء أو الهوية المشمولة بحسب نوع التحقق، ولا تحكم على سلامة كل محتوى الموقع، للحصول على شهادة مزيفة يثق بها المستخدمون بشكل خاطئ. تُعد سلطة إصدار الشهادات مثل الدوائر الحكومية المسؤولة عن إصدار بطاقات الهوية.
رحلتك في الدرس
—سجّل الدخول لحفظ تقدمك
تابع إنجاز المواضيع والمصطلحات والمهام، وكمّل من آخر خطوة على أي جهاز.