محتوای آموزشی وبلاگ نت‌آرام
سایت را باز می‌کنید و مرورگر می‌گوید اتصال خصوصی نیست؛ در جزئیات خطایی مثل ERR_CERT_COMMON_NAME_INVALID دیده می‌شود. معنی معمول آن این است که نامی که مرورگر به آن وصل شده با نام‌های مورد قبول در گواهی ارائه‌شده تطبیق ندارد. گاهی دامنه اشتباه وارد شده، گاهی سایت به سرور اشتباهی می‌رود و گاهی گواهی همان نام نصب یا صادر نشده است.
این خطا را با زدن دکمه عبور از هشدار حل نکنید و تا روشن شدن علت، رمز یا اطلاعات بانکی وارد نکنید. مرورگر درست تلاش می‌کند هویت طرف مقابل را بررسی کند. در این راهنما ابتدا نشانی و گواهی واقعی را می‌بینیم، سپس متناسب با مسیر سایت راه اصلاح را انتخاب می‌کنیم.
اول نشانی دقیقی را که خطا می‌دهد بنویسید
در این صفحه نام example.com فقط نمونه است. در تمام آزمایش‌ها نام واقعی سایت خودتان را جایگزین کنید. این آدرس‌ها با هم یکسان نیستند:
- دامنه اصلی: example.com
- نسخه دارای www: www.example.com
- زیردامنه فروشگاه: shop.example.com
گواهی ممکن است بعضی از این نام‌ها را پوشش دهد و بعضی را نه. وجود گواهی برای دامنه اصلی به‌تنهایی به معنی پوشش خودکار همه زیردامنه‌ها نیست. گواهی wildcard هم مطابق قواعد خود برای نام‌های مشخصی اعتبار دارد و نباید پوشش هر تعداد سطح زیردامنه را بدیهی فرض کرد.
نشانی کامل در نوار مرورگر و زمان خطا را نگه دارید. اگر فقط یکی از نسخه‌ها مشکل دارد، احتمال نبودن همان نام در گواهی یا تفاوت مسیر DNS آن وجود دارد. اگر از یک پیوند قدیمی وارد شده‌اید، مطمئن شوید نام دامنه غلط املایی ندارد. صفحه‌ای که روی IP مستقیم باز می‌شود هم الزاماً گواهی معتبری برای همان IP ارائه نمی‌کند؛ به جای IP از نام رسمی سرویس استفاده کنید.
گواهی‌ای را ببینید که مرورگر واقعاً دریافت کرده است
در مرورگری که خطا می‌دهد، وارد جزئیات هشدار و اطلاعات گواهی شوید. محل دقیق دکمه در نسخه‌های مختلف Chrome، Edge یا Firefox فرق می‌کند. نام‌های پوشش‌داده‌شده در بخش Subject Alternative Name، نام صادرکننده و تاریخ اعتبار را یادداشت کنید. لازم نیست به هشدار بی‌توجهی کنید یا صفحه را با اطلاعات ورود باز کنید.
اگر در حال باز کردن shop.example.com هستید اما در نام‌های گواهی فقط دامنه دیگری دیده می‌شود، ممکن است سرور یا سرویس واسطه گواهی اشتباهی ارائه کرده باشد. اگر نام درست وجود دارد اما مرورگر خطای دیگری درباره انقضا، صادرکننده یا ساعت نشان می‌دهد، همان خطای دقیق را دنبال کنید؛ تغییر نام دامنه راه‌حل هر خطای SSL نیست.
در یک دستگاه و شبکه دیگر نیز همان نشانی را آزمایش کنید. اگر فقط یک دستگاه مشکل دارد، ساعت و تاریخ آن و نرم‌افزارهای واسطه شبکه را با مسئول دستگاه بررسی کنید. تاریخ اشتباه معمولاً باعث خطاهای اعتبار زمانی می‌شود؛ نباید آن را توضیح قطعی برای هر خطای عدم تطابق نام دانست.
قدم اول: ببینید نام مشکل‌دار به کجا اشاره می‌کند
در ویندوز، PowerShell را باز کنید و دو دستور زیر را با دامنه خودتان اجرا کنید:
کد / دستورResolve-DnsName -Name example.com -Type A
Resolve-DnsName -Name www.example.com -Type A
نتیجه نشان می‌دهد پاسخ فعلی DNS برای هر نام چه مقصد IPv4 یا زنجیره‌ای از نام‌ها دارد. آن را با اطلاعات سرویس سایت مقایسه کنید؛ دامنه اصلی و www ممکن است به دو مقصد متفاوت اشاره کنند. اگر سایت از IPv6 استفاده می‌کند، رکورد AAAA هر نام را هم با همین دستور و جایگزینی نوع بررسی کنید؛ یک مسیر IPv6 قدیمی ممکن است برخی کاربران را به مقصد دیگری ببرد.
مهم: اگر از CDN یا پراکسی مانند Cloudflare استفاده می‌کنید، پاسخ عمومی ممکن است IP همان واسطه باشد، نه IP اصلی هاست. آن را بدون شناخت معماری با IP سرور جایگزین نکنید. همچنین پاسخ DNS تنها نشان می‌دهد اتصال احتمالاً به کجا می‌رود؛ ثابت نمی‌کند گواهی ارائه‌شده برای آن نام درست است.
اگر به‌تازگی آدرس یا نیم‌سرور را عوض کرده‌اید، پاسخ‌های مختلف ممکن است برای مدتی متفاوت باشند. اما رکورد اشتباه، نامی که اصلاً ساخته نشده یا مقصد قدیمی با صبر کردن خودبه‌خود اصلاح نمی‌شود. از پنلی که واقعاً DNS فعال را مدیریت می‌کند و اطلاعات ارائه‌دهنده کمک بگیرید.
قدم دوم: وضعیت نام دامنه را در سی‌پنل ببینید
اگر سایت روی هاست cPanel است، وارد حساب مربوط شوید و به Security ← SSL/TLS Status بروید. دامنه اصلی، www یا زیردامنه‌ای را که خطا می‌دهد پیدا کنید. ستون وضعیت نشان می‌دهد آیا برای آن نام گواهی فعال، منقضی یا مشکل AutoSSL ثبت شده است. نام گزینه‌ها ممکن است با نسخه پنل فرق کند؛ راهنمای رسمی SSL/TLS Status جزئیات را توضیح می‌دهد.
اگر نام موردنظر در حساب هاست تعریف نشده، ابتدا از مدیر سرویس بپرسید آیا باید به همان حساب متصل شود. افزودن دامنه اشتباه یا تغییر ریشه سایت بدون برنامه می‌تواند سایت دیگری را تحت تأثیر قرار دهد. اگر نام در حساب وجود دارد ولی از AutoSSL مستثنا شده، علت استثنا را پیش از تغییر بررسی کنید؛ ممکن است سایت از گواهی مدیریت‌شده دیگری استفاده کند.
در سرویس‌هایی که AutoSSL برای آن‌ها فعال است، پس از اطمینان از اتصال درست نام به سرویس و شرایط صدور، می‌توانید طبق راهنمای میزبان Run AutoSSL را اجرا کنید. پایان اجرای آن را ببینید و وضعیت همان نام و خطای احتمالی را بخوانید. فشار دادن دکمه به‌تنهایی به معنی صدور یا نصب موفق نیست. اگر اعتبارسنجی دامنه ناموفق بود، راهنمای خطای Unauthorized در صدور گواهی مسیر بررسی آن را توضیح می‌دهد.
اگر گواهی سفارشی دارید، فایل گواهی و کلید خصوصی باید با همان نام‌ها و نصب صحیح هماهنگ باشند. کلید خصوصی را در تیکت عمومی یا ابزار ناشناس بارگذاری نکنید. حذف گواهی فعلی یا کلید بدون داشتن نسخه معتبر و برنامه بازگشت می‌تواند اختلال را بیشتر کند.
قدم سوم: اگر CDN دارید، گواهی لبه و مبدأ را جدا کنید
وقتی بازدیدکننده از CDN عبور می‌کند، معمولاً ابتدا گواهی ارائه‌شده در لبه CDN را می‌بیند؛ پنل هاست ممکن است وضعیت گواهی مبدأ پشت CDN را نشان دهد. سالم بودن یکی، به‌تنهایی سالم بودن دیگری را ثابت نمی‌کند. نامی را که مرورگر باز می‌کند در پنل CDN از نظر پوشش گواهی و وضعیت فعال بودن دامنه بررسی کنید. سپس ارتباط CDN تا سرور اصلی را طبق راهنمای همان سرویس کنترل کنید.
اگر گواهی مبدأ برای روش اتصال موردنظر مناسب نیست، گواهی معتبر و سازگار را طبق مستندات ارائه‌دهنده نصب کنید. برای پنهان کردن خطا، اعتبارسنجی TLS را در CDN خاموش نکنید و سایت را به HTTP برنگردانید. اگر DNS را موقتاً از حالت پراکسی خارج می‌کنید، ممکن است IP مبدأ و مسیر امنیتی سایت تغییر کند؛ این کار را فقط با شناخت اثر و برنامه بازگشت انجام دهید.
برای مدیر فنی: گواهی ارائه‌شده برای همان نام را آزمایش کنید
روی یک سیستم لینوکسی که OpenSSL و مخزن گواهی معتبر دارد، می‌توانید دستور زیر را اجرا کنید. هر سه مورد example.com باید با نام واقعی مورد آزمایش جایگزین شوند؛ اگر می‌خواهید www را بررسی کنید، همان نام کامل www را هر سه جا بنویسید:
کد / دستورopenssl s_client -connect example.com:443 -servername example.com -verify_hostname example.com -verify_return_error -brief </dev/null
بخش connect مقصد اتصال و پورت HTTPS را مشخص می‌کند. گزینه servername نامی را برای انتخاب گواهی به سرور معرفی می‌کند و verify_hostname بررسی می‌کند گواهی با همان نام سازگار است یا نه. گزینه verify_return_error باعث می‌شود خطای اعتبارسنجی نادیده گرفته نشود. نسخه OpenSSL و خروجی دقیق ممکن است متفاوت باشند؛ اگر گزینه‌ای پشتیبانی نشد، مستندات همان نسخه را ببینید.
در حالت موفق، خروجی بسته به نسخه می‌تواند عبارت Verification: OK یا نشانه تأیید موفق نشان دهد. پیام hostname mismatch یعنی نام بررسی‌شده با گواهی دریافتی هماهنگ نیست. خطای مربوط به صادرکننده، شبکه یا پایان زمان انتظار علت متفاوتی دارد. این آزمایش مسیر DNS و شبکه همان دستگاه را می‌سنجد؛ اگر CDN جلوی سایت باشد معمولاً گواهی سمت CDN دیده می‌شود. مستندات OpenSSL برای s_client گزینه‌ها را توضیح می‌دهد.
اگر نام درست است ولی گواهی اشتباه برمی‌گردد
دامنه ممکن است به IP قدیمی یا سایت دیگری روی همان سرور وصل شده باشد. در این حالت تنظیم DNS، اتصال دامنه به حساب درست و پیکربندی میزبان مجازی باید با هم تطبیق داده شوند. در هاست اشتراکی، نام دامنه و پاسخ دریافتی را به پشتیبانی بدهید تا حساب و گواهی متناظر را مشخص کند؛ تغییر تصادفی IP یا کپی گواهی سایت دیگری نتیجه قابل اعتمادی نمی‌دهد.
در سرور مدیریتی خودتان، نگاشت نام میزبان به سایت و گواهی نصب‌شده برای همان نام را در تنظیمات وب‌سرور بررسی کنید. از فایل تنظیمات نسخه پشتیبان بگیرید، آزمون اعتبار تنظیمات نسخه خود را انجام دهید و با برنامه بازگشت تغییر را اعمال کنید. گواهی باید زنجیره معتبر و نام مناسب داشته باشد؛ این دو شرط جداگانه‌اند.
رفع مشکل را چگونه تأیید کنیم؟
پس از اصلاح، نسخه دامنه اصلی، www و زیردامنه‌هایی را که واقعاً استفاده می‌کنید به‌صورت جداگانه با HTTPS باز کنید. نام نهایی پس از هر ریدایرکت هم باید گواهی معتبر داشته باشد؛ مرورگر پیش از انجام ریدایرکت HTTPS، اعتبار گواهی نام اولیه را بررسی می‌کند. در یک شبکه دیگر نیز امتحان کنید و اگر از CDN استفاده می‌کنید وضعیت هر دو سمت را ببینید.
تا وقتی مرورگر بدون هشدار به نام درست متصل نشده، مشکل را تمام‌شده ندانید. برای مدیریت نام و بررسی خدمات مربوط، صفحه ثبت دامنه نت‌آرام در دسترس است. صدور گواهی و محل تنظیم DNS به سرویس مورد استفاده شما بستگی دارد.
برچسب‌ها:
اشتراک‌گذاری:
لینکدینتلگرامایکس
مقاله قبلی
مقاله قبلی وجود ندارد.
مقاله بعدی
دیدگاه‌ها (۰)
دیدگاه‌های تاییدشده و پاسخ‌های تیم نت‌آرام