HTTPS خودکار برای هر دامنه

وقتی پراکسی را روی یک رکورد روشن می‌کنید، برای آن hostname پیکربندی لبه ساخته می‌شود اما گواهی هنوز گرفته نشده است. اولین درخواست HTTPS که به آن hostname برسد، لبه را وادار می‌کند گواهی را از Let's Encrypt بگیرد. پیش از درخواست گواهی، لبه بررسی می‌کند که این hostname واقعاً یک رکورد پراکسی‌شده در سامانه باشد؛ به این ترتیب کسی نمی‌تواند با اشاره دادن یک دامنهٔ دلخواه به لبه، برای آن گواهی بگیرد.

پس از صدور، پنل هر پنج دقیقه گواهی‌های روی لبه را بررسی می‌کند، تاریخ انقضا را می‌خواند و وضعیت رکورد را فعال می‌کند. برای همین بلافاصله پس از روشن کردن پراکسی، یک بار سایت را با https باز کنید تا صدور شروع شود و وضعیت سریع‌تر به‌روز شود.

گواهی‌های صادرشده از نوع اعتبارسنجی دامنه یا DV هستند؛ یعنی صادرکننده فقط بررسی می‌کند که درخواست‌دهنده کنترل دامنه را در اختیار دارد و نام سازمان در گواهی درج نمی‌شود. اعتبار هر گواهی Let's Encrypt محدود است و به همین دلیل تمدید خودکار و پایش منظم انقضا اهمیت دارد؛ هر دو را لبه و پنل برای شما انجام می‌دهند.

هر دو نوع رایگان‌اند؛ تفاوت در روش اعتبارسنجی و شرایط صدور است:

صفحهٔ SSL پنل همهٔ رکوردهای پراکسی‌شدهٔ شما را با وضعیت گواهی و روزهای باقی‌مانده تا انقضا نشان می‌دهد. رکوردهای ناموفق بالای فهرست و بقیه به ترتیب نزدیک‌ترین انقضا مرتب می‌شوند:

گواهی روی لبه، مسیر مرورگر تا لبه را رمزنگاری می‌کند. لبه برای رسیدن به سرور مبدأ، درخواست را با HTTP به نشانی ثبت‌شده در رکورد می‌فرستد؛ پس سرور شما باید روی پورت ۸۰ پاسخ دهد و لازم نیست گواهی جداگانه‌ای برای بازدیدکنندگان داشته باشد. Host اصلی درخواست حفظ می‌شود و IP واقعی کاربر در سرآیند X-Real-IP می‌رسد.

دو نکته را رعایت کنید. اول، اگر سرور یا اپلیکیشن شما هر درخواست HTTP را به HTTPS هدایت می‌کند، این هدایت پشت لبه ممکن است حلقهٔ بی‌پایان بسازد؛ تشخیص HTTPS را در اپلیکیشن بر اساس سرآیندهای پراکسی تنظیم کنید یا هدایت را روی مبدأ خاموش کنید. دوم، پورت ۸۰ سرور را با فایروال ابری فقط برای لبه باز بگذارید تا کسی مستقیم و بدون رمزنگاری به سرور وصل نشود.

HSTS به مرورگر می‌گوید از این به بعد این دامنه را فقط با HTTPS باز کند، حتی اگر کاربر http تایپ کند. روی لبه، HSTS با اعتبار یک‌ساله و شامل زیردامنه‌ها ارسال می‌شود؛ پس پیش از روشن کردن آن مطمئن شوید همهٔ زیردامنه‌های شما گواهی معتبر دارند، چون مرورگر تا یک سال اتصال ناامن را نمی‌پذیرد.

گزینهٔ هدرهای امنیتی، X-Content-Type-Options‏، X-Frame-Options با مقدار SAMEORIGIN‏، Referrer-Policy و Permissions-Policy را اضافه می‌کند که جلوی clickjacking و برخی نشت‌های اطلاعات را می‌گیرد. CORS هم برای فونت‌ها یا API‌هایی که از دامنهٔ دیگر خوانده می‌شوند جداگانه قابل روشن کردن است. نتیجه را با ابزار بررسی هدرها ببینید.

گواهی روی لبه هزینه‌ای ندارد؛ تنها هزینهٔ مرتبط، ترافیک لبه طبق نرخ CDN است که ترافیک خروجی آن رایگان است و ۱۰ گیگابایت ترافیک ورودی و یک میلیارد درخواست اول هر ماه هم رایگان حساب می‌شود. برای بیشتر سایت‌های کوچک و متوسط، این یعنی HTTPS بدون هیچ هزینهٔ ماهانه.

گواهی پولی زمانی معنا دارد که قرارداد یا مقررات صنعت شما گواهی OV یا EV را الزامی کرده باشد، یا کلید خصوصی باید در اختیار خودتان بماند. در غیر این صورت، گواهی خودکار لبه همان رمزنگاری را با زحمت کمتر فراهم می‌کند. مقایسهٔ سه روش رایج:

اگر سایت روی سرور ابری یا هر سرور دیگری با IP عمومی است، این مراحل کافی است:

بیشتر شکست‌ها به DNS برمی‌گردد. با ابزار جست‌وجوی DNS بررسی کنید که نام‌سرورهای دامنه واقعاً به ایران‌کلاد اشاره کنند و رکورد پراکسی‌شده آدرس لبه را برگرداند. اگر هنوز نام‌سرورهای قدیمی در cache برخی resolver‌ها مانده باشد، چند ساعت صبر و سپس دوباره تلاش کنید.

اگر روی دامنه رکورد CAA تعریف کرده‌اید، باید صدور توسط Let's Encrypt را مجاز کند؛ در غیر این صورت هیچ صادرکننده‌ای جز موارد فهرست‌شده حق صدور ندارد. برای wildcard هم مطمئن شوید زون در پنل تأیید شده است. اگر پس از این بررسی‌ها وضعیت همچنان ناموفق است، شناسهٔ رکورد را برای پشتیبانی بفرستید. خطای رایج دیگر، رکورد AAAA قدیمی است که هنوز به سرور دیگری اشاره می‌کند؛ اگر IPv6 ندارید، آن رکورد را حذف کنید یا آن را هم پراکسی کنید تا هر دو مسیر به لبه برسند.

اگر سایت شما الان روی سرور خودش گواهی دارد، آن را تا پایان انتقال نگه دارید. ابتدا زون را در پنل بسازید و رکوردها را بدون پراکسی وارد کنید، سپس نام‌سرورها را تغییر دهید. تا وقتی پراکسی خاموش است، کاربران مستقیم به سرور شما و همان گواهی قبلی وصل می‌شوند و هیچ قطعی رخ نمی‌دهد.

پس از انتشار نام‌سرورها، پراکسی را روی رکورد روشن کنید و بلافاصله سایت را با https باز کنید تا گواهی لبه صادر شود. وقتی وضعیت فعال شد، می‌توانید گواهی سرور را برای ارتباط مستقیم نگه دارید یا حذف کنید؛ برای بازدیدکنندگان فقط گواهی لبه دیده می‌شود. برای وردپرس، نشانی سایت در تنظیمات باید با https باشد.

لبه فقط ترافیک وب را روی پورت HTTPS پاسخ می‌دهد؛ بنابراین گواهی‌های آن به درد سرویس‌هایی که پروتکل دیگری دارند نمی‌خورد. سرور ایمیل برای SMTP و IMAP، پایگاه داده‌ای که اتصال رمزنگاری‌شده می‌خواهد، یا یک سرویس MQTT، باید گواهی خودش را روی همان سرور داشته باشد و رکورد DNS آن‌ها باید بدون پراکسی بماند.

برای چنین سرویس‌هایی، گواهی Let's Encrypt را با یک کلاینت ACME روی خود سرور بگیرید و تمدید خودکار را در cron تنظیم کنید. اگر به‌جای نگه‌داری سرور ایمیل، میل‌سرور مدیریت‌شده را انتخاب کنید، مدیریت گواهی آن هم بر عهدهٔ شما نخواهد بود. قاعدهٔ ساده: هر رکوردی که مرورگر بازش می‌کند پراکسی شود، بقیه مستقیم بمانند.

گواهی‌ها فقط از نوع DV و از Let's Encrypt‌اند؛ گواهی OV و EV، بارگذاری گواهی سفارشی و دانلود کلید خصوصی ارائه نمی‌شود. اتصال لبه به سرور مبدأ رمزنگاری‌شده نیست، پس برای داده‌های بسیار حساس بین سرورهای خودتان از شبکهٔ خصوصی یا VPN استفاده کنید.

گواهی wildcard فقط برای زون تأییدشده صادر می‌شود و تنظیم نسخه و رمزهای TLS برای هر رکورد در پنل وجود ندارد. اگر به هر کدام از این موارد نیاز دارید، پراکسی را برای آن رکورد خاموش کنید و گواهی را مستقیم روی سرور مدیریت کنید.