الدومينات المخصصة: كيف تصدر آلاف الشهادات دون أن تلمسها
ما يحدث تقنياً حين يربط عميلك دومينه بمنصتك، ولماذا تفشل الشهادة عادةً في الخطوة التي لم تخطّط لها.
«اربط دومينك الخاص» سطر واحد في صفحة التسعير، وخلفه أكثر مما يبدو: التحقق من الملكية، وإصدار شهادة وتجديدها، وتوجيه الطلب إلى المستأجر الصحيح، والتعامل مع عميل عدّل سجلات DNS ثم نسي.
التحقق من الملكية أولاً
قبل إصدار أي شهادة عليك إثبات أن العميل يملك الدومين. الطريقتان العمليتان: سجل TXT بقيمة تولّدها أنت، أو سجل CNAME يشير إلى نطاقك. الثاني أفضل لأنه يخدم غرضين — يثبت الملكية ويوجّه الحركة في آن واحد.
لماذا CNAME لا A
- سجل A يثبّت عنوان IP في إعدادات العميل، فلا يمكنك تغيير بنيتك التحتية بعدها.
- CNAME يبقي التحكّم عندك: تغيّر الوجهة دون أن يلمس أحد إعداداته.
- الاستثناء هو الجذر (apex): معظم مزوّدي DNS لا يسمحون بـ CNAME عليه، فتحتاج ALIAS أو ANAME أو أن تطلب استخدام www.
الشهادات: أتمتها أو ستنساها
شهادة واحدة يدوية أمر بسيط. ألف شهادة تنتهي في أوقات مختلفة كارثة تنتظر. استخدم ACME مع تحدي DNS-01 أو HTTP-01، وأصدر الشهادة عند التفعيل، وجدّدها قبل الانتهاء بثلث المدة لا في اليوم الأخير. راقب الشهادات المقاربة على الانتهاء كمؤشر تشغيلي، لا كمهمة تتذكّرها.
التجديد الذي يعمل ٩٩٪ من الوقت يعني موقع عميل معطّل كل أسبوع تقريباً حين يكون لديك ألف دومين.
توجيه الطلب إلى المستأجر الصحيح
بعد وصول الطلب، تحتاج ترجمة الاسم إلى مستأجر. ابنِ جدول بحث من الدومين إلى المستأجر، وضعه في ذاكرة قريبة من الحافة لأنه يُستعلم في كل طلب. وتذكّر أن الاسم قد يكون الدومين المخصص أو النطاق الفرعي الافتراضي — كلاهما يجب أن يصل لنفس المكان.
الأخطاء التي تتكرر
- عدم التعامل مع سجل CAA يمنع مُصدر شهادتك — يفشل الإصدار برسالة غامضة.
- افتراض أن العميل أزال إعدادات مزوّده السابق، فتتقاسم الحركة وجهتين.
- تفعيل الدومين قبل انتشار DNS، فيرى العميل خطأ ويظن أن الميزة معطّلة.
- نسيان إبطال الشهادة وتنظيف التوجيه عند حذف الدومين.
البروتوكول الذي يقوم عليه كل هذا هو ACME في RFC 8555، وشرح Let's Encrypt لأنواع التحدّي أوضح مدخل عملي للفرق بين DNS-01 و HTTP-01. أما سجل CAA الذي يُسقط الإصدار بصمت فمعرّف في RFC 8659.
وإن كنت تبني منصة يحتاج عملاؤها هذه القدرة، فاحسب تكلفة التشغيل لا التطوير فقط: استشرنا في تصميمها قبل أن تكتشف كلفة التجديد على ألف دومين.
أسئلة شائعة
هل أحتاج شهادة لكل دومين أم شهادة واحدة؟
شهادة لكل دومين أبسط في الإدارة وأقل خطراً؛ الشهادة المجمّعة تعني أن مشكلة واحدة تُسقط عملاء كثيرين.
ماذا عن النطاقات الفرعية للعميل؟
غطِّها بشهادة بديلة (wildcard) على نطاقك الخاص، وأبقِ الدومينات المخصصة منفصلة.
كيف أتعامل مع عميل يلغي اشتراكه؟
أوقف التوجيه أولاً بمهلة سماح قصيرة، ثم أبطل الشهادة ونظّف السجل، حتى لا يبقى اسم يشير إلى بنيتك.