الخلاصة

  • ألغى Geoff Huston شهادة اختبار من Let’s Encrypt في 21 أبريل 2026 وتحقق من ظهور رقمها التسلسلي في قائمة جهة الإصدار. وبعد 48 ساعة ظلت إصدارات المتصفحات الثلاثة التي اختبرها تقبل الاتصال.
  • في عرضه اللاحق خلال APNIC 62، رفض Firefox الشهادة نفسها بعد نحو أسبوعين، بينما ظل Chrome وSafari يقبلانها في اختباره. الفارق الزمني بين تسجيل الإلغاء وتنفيذه هو لب الحكاية.

كان اسم الشهادة في قائمة الملغى، لكنها وصلت إلى باب المتصفح ببطاقة تبدو صالحة. أنشأ Geoff Huston شهادة اختبار عبر Let’s Encrypt، وألغاها بعد أربع ساعات في 21 أبريل 2026. ثم عثر على رقمها التسلسلي في قائمة الإلغاء الصادرة عن الجهة المصدرة. الجزء الإداري نجح. بقي السؤال الذي يهم المستخدم: هل سيرفض البرنامج الاتصال عند استعمال الشهادة؟

في روايته الأصلية المنشورة لدى APNIC، قبلت إصدارات Firefox 148.0.2 وChrome 147.0.7727.117 وSafari 25.4 الاتصال بعد مرور 48 ساعة. هذه تجربة محددة التاريخ على شهادة واحدة، وليست حكماً دائماً على كل إصدار. لكنها تكشف انتقالاً ناقصاً بين سلطتين: الجهة المصدرة تعلن أن الشهادة فقدت صلاحيتها، والمتصفح يقرر قبول اتصال TLS الفعلي. السطر الصحيح في القائمة لا يغلق الباب وحده.

بعد انتظار أطول، ظهرت صورة أخرى. يذكر Huston في شرائح APNIC 62 أن Firefox رفض الشهادة نفسها بعد نحو أسبوعين، فيما قبلها Chrome وSafari في التجربة. نص أبريل والعرض اللاحق يصفان وقتين مختلفين؛ لا داعي لإخفاء أحدهما كي تبدو القصة مرتبة. طوال جزء من تلك المدة، كان سجل الجهة المصدرة يقول «ملغاة» وبرنامج المستخدم يتصرف على نحو مختلف. قيمة التجربة في قياس عمر هذه الفجوة.

لكل طريقة لإيصال الخبر فاتورتها. تنزيل قوائم الإلغاء يستهلك موارد. سؤال خدمة تحقق عبر الشبكة يضيف زمناً واعتماداً على توافرها، ويترك لدى الجهة المصدرة إشارة إلى المواقع التي يزورها المستخدم. إرفاق رد الحالة أثناء المصافحة يوفر السؤال المنفصل، لكن خادماً يعرف أن شهادته ملغاة لا يتطوع غالباً بتقديم الدليل ضده. أما قوائم الإلغاء المختارة التي توزعها المتصفحات فتخضع بدورها لموعد وصول التحديث.

يتناول Huston كذلك فكرة تقصير عمر الشهادة. النزول من 90 يوماً إلى 45 ثم ستة يقلص فترة التعرض، لكنه لا يحل حادثة تقع في اليوم الأول. ساعات قليلة ستضاعف عبء الإصدار والتجديد على البنية القائمة. وفي خاتمة عرضه يقترح وضع معلومات مفتاح الخدمة في DNS، وحمايتها بتوقيع DNSSEC، وتحديد عمر النسخة المخزنة بمهلة TTL قصيرة، وربما إرفاق سلسلة التحقق باتصال TLS. إنه تصور يطرحه باستخدام DANE، وليس وصفاً لما تطبقه الشبكة كلها الآن. السؤال الذي يدفع إليه أبسط من الاختصارات: كم يجوز أن يشيخ جواب «هذه هي الجهة التي قصدتها» قبل أن يفحصه المتصفح من جديد؟