چک‌لیست SSL و HSTS: امن‌سازی HTTPS سایت

۱. گواهی معتبر و مرتبط با دامنه

• گواهی باید نام دقیق دامنه (و در صورت استفاده، www) را پوشش دهد.
• تاریخ انقضا نگذشته باشد.
• گواهی خودامضا برای سایت عمومی مناسب نیست؛ مرورگر هشدار می‌دهد.
• اگر چند زیر‌دامنه دارید، گواهی wildcard یا گواهی جداگانه برای هر کدام لازم است.

۲. تمدید خودکار

رایج‌ترین دلیل هشدار «اتصال امن نیست» فراموشی تمدید است. گواهی‌های رایگان (مثل Let's Encrypt) عمر کوتاه دارند و باید خودکار تمدید شوند؛ تمدید را فرض نکنید و بررسی کنید. پایش آپتایم ۱۴، ۷، ۳ و ۱ روز مانده به انقضا پیامک می‌فرستد.

۳. زنجیره‌ی کامل

علاوه بر گواهی سایت، گواهی(های) میانی هم باید روی سرور نصب باشد. اگر نباشد، بعضی دستگاه‌ها (به‌ویژه گوشی‌ها و نرم‌افزارهای قدیمی) سایت را نامعتبر می‌دانند در حالی که روی مرورگر شما درست باز می‌شود. معمولاً نصب فایل «fullchain» مشکل را حل می‌کند.

۴. ریدایرکت http به https

• نسخه‌ی http:// باید با ریدایرکت دائمی به https:// برود.
• یک ریدایرکت مستقیم بهتر از زنجیره‌ی چندمرحله‌ای است.
• همه‌ی نسخه‌ها (با و بدون www) به یک نسخه‌ی نهایی برسند.
• لینک‌های داخلی، تصاویر و اسکریپت‌ها هم https باشند تا هشدار «محتوای ترکیبی» نبینید.

۵. نسخه‌ی TLS

نسخه‌های TLS 1.0 و 1.1 منسوخ‌اند. سرور باید حداقل TLS 1.2 و ترجیحاً 1.3 را پشتیبانی کند. این معمولاً در تنظیمات وب‌سرور یا پنل هاست تغییر می‌کند.

۶. HSTS، با احتیاط

HSTS هدری است که به مرورگر می‌گوید تا مدتی فقط با https سراغ سایت بیاید. امنیت را بالا می‌برد، ولی خطرش این است که اگر گواهی خراب شود، کاربر نمی‌تواند از هشدار عبور کند.

Strict-Transport-Security: max-age=604800

بررسی نهایی

1. دامنه را در ابزار بررسی SSL وارد کنید.
2. مورد «هشدار» و «مشکل» را مرور کنید.
3. پس از هر تغییر دوباره بررسی کنید.
4. پایش آپتایم را برای هشدار انقضا فعال بگذارید.