⁨Let's Encrypt⁩ تضيف منظورَي تحقق جديدين: من قد يلاحظ

في 15 أكتوبر 2026 أعلنت ⁨Let's Encrypt⁩ أنها تضيف منظورين بعيدين جديدين للتحقق من النطاقات. عمليًا، قبل أن تصدر شهادة، ستفحص نطاقك بسبعة طلبات بدل خمسة. يتوقع المشروع أثرًا ضئيلًا أو معدومًا، وهذا صحيح لمعظم المواقع. المواقع التي قد تلاحظ الفرق هي التي تقرر من يصل إليها حسب الدولة أو عنوان ⁨IP⁩.

ما الذي يتغيّر، بالأرقام

حين تطلب شهادة، على ⁨Let's Encrypt⁩ أن تتأكد أنك تملك النطاق. تفعل ذلك بجلب رد على تحدٍّ، ولا تثق بنقطة مراقبة واحدة لهذا. بحسب الإعلان، سيُرسل التحقق الآن سبعة طلبات إجمالًا: واحدًا من مركز البيانات الرئيسي وستة من منظورات بعيدة، بعد أن كانت أربعة. ولكي ينجح التحقق، يجب أن يتلقى الخادم الرئيسي ونصاب من المنظورات البعيدة الرد الصحيح على التحدي.

السبب أمني. يقول الإعلان إن زيادة المنظورات تجعل اختطاف طلبات التحقق أصعب وتحسّن الحماية من هجمات ⁨BGP⁩، حيث يعيد أحدهم توجيه حركة المرور الخاصة بعناوينك فيصل إليه فحص واحد بدلًا منك. الفحص من شبكات أكثر في الوقت نفسه يجعل ذلك أصعب بكثير.

لماذا الآن: قاعدة لها موعد

الأمر ليس اختيارًا فقط. تنص المتطلبات الأساسية لـ ⁨CA/Browser Forum⁩، في القسم ⁨3.2.2.9⁩، على أنه ابتداءً من ⁨2026-12-15⁩ يجب على جهة الإصدار أن تستخدم خمسة منظورات شبكية بعيدة على الأقل، وأن تقع المنظورات المؤيدة للرئيسي ضمن مناطق خدمة سجلّين إقليميين مختلفين على الأقل من سجلات الإنترنت، وأنه إن لم تتحقق الشروط فلا يجوز إصدار الشهادة. و⁨Let's Encrypt⁩ تنتقل إلى ستة منظورات بعيدة قبل هذا الموعد.

المواعيد كما أُعلنت: تبدأ المناطق الجديدة في بيئة الاختبار ⁨(staging)⁩ يوم الثلاثاء 27 أكتوبر 2026، ثم في الإنتاج، إن سار كل شيء جيدًا، يوم الثلاثاء 10 نوفمبر 2026. وستُنشر التحديثات في موضوع الإعلان.

من قد يلاحظ

الإعلان لا يذكر إعدادات متأثرة، فما يلي نصيحة عامة. التحقق متعدد المنظورات لا ينجح إلا إذا استطاع كل منظور الوصول إلى التحدي. إن كنت تحجب الحركة حسب الدولة، أو لا تسمح إلا لنطاقات ⁨IP⁩ معينة بالوصول إلى خادم الويب، فقد يفشل منظور جديد في منطقة محجوبة في جلب التحدي. وإن تكرر الفشل بما يكفي، لا يتحقق النصاب، فلا تُصدر الشهادة. أما الموقع الذي لا يقف شيء أمام مسار التحدي فيه، فليس من هذه الفئة أصلًا.

الأماكن المعتادة للبحث: قاعدة حجب جغرافي في ⁨CDN⁩ أو ⁨WAF⁩، وجدار ناري لا يسمح إلا بعناوين معروفة، ووكيل عكسي يرشّح الطلبات قبل تقديم ⁨/.well-known/acme-challenge/⁩. تحدي ⁨DNS-01⁩ يتجنب مسار ⁨HTTP⁩، لكن الاستعلامات تأتي أيضًا من عدة شبكات، فإعداد ⁨DNS⁩ المقيّد يستحق النظرة نفسها.

الخطر الهادئ أن التجديد يفشل بعد أسابيع، لا يوم التغيير. إن كانت شهاداتك تتجدد تلقائيًا، فتأكد أن فشل التجديد يصل إلى شخص ما.

الخطوة التالية: إن كان عميل ⁨ACME⁩ لديك يدعم بيئة الاختبار في ⁨Let's Encrypt⁩، فاطلب شهادة تجريبية منها بعد 27 أكتوبر وتأكد أنها تنجح عبر قواعد الترشيح الحقيقية لديك. المصدر: منتدى ⁨Let's Encrypt⁩، إعلان إضافة منظورين بعيدين للتحقق من النطاقات.