الملخص

  • أعلنت Let’s Encrypt في 15 أكتوبر إضافة وجهتين بعيدتين إلى الأربع الموجودات، ليصبح طلب التحقق واحداً من المركز الرئيسي وستة من الخارج. وفي 27 أكتوبر أكدت أن الست تعمل في بيئة الاختبار.
  • يسمح جدول النصاب في متطلبات CA/Browser Forum بعدم تأييد واحد مع وجهتين إلى خمس وجهات بعيدتين، وبعدم تأييد اثنين عند ست أو أكثر. ويجب أن تشمل النتائج المؤيدة منطقتي خدمة لسجلين إقليميين. الموعد المخطط للإنتاج هو 10 نوفمبر، بعد نجاح الاختبار.

الإجابة التي يراها صاحب الموقع

يضع مشغل الموقع رمز التحقق في المكان المطلوب، يفتح الصفحة من مكتبه، ثم ينتظر الشهادة. لكن الطريق من مكتبه ليس الطريق الذي تسلكه كل آلة تحقق. يستطيع تحويل مسار BGP أن يقود آلة واحدة إلى جواب مصطنع، بينما ترى شبكات أخرى جواباً مختلفاً. والشهادة التي ستصدر نتيجة ذلك ستثق بها المتصفحات. لهذا لا يكفي أن يقول خادم واحد «رأيت الإجابة».

تبدأ آلية التأييد من وجهات نظر متعددة بحكم تتخذه نقطة رئيسية بشأن السيطرة على النطاق أو سجل CAA، ثم تسأل نقاطاً بعيدة عما رأته. يوضح إعلان Let’s Encrypt الأصلي بتاريخ 15 أكتوبر أنها تنتقل من أربع وجهات بعيدة إلى ست. وأكد تحديث 27 أكتوبر في الخيط نفسه تشغيل الست في الاختبار. حددت المؤسسة 10 نوفمبر موعداً مستهدفاً للإنتاج إذا نجحت التجربة. لا يتضمن الخيط الذي راجعناه إيصالاً بإتمام ذلك الانتقال إلى الإنتاج.

تضع المتطلبات الأساسية السارية لدى CA/Browser Forum شرطين منفصلين. منذ 15 يونيو 2026 يلزم استخدام أربع وجهات بعيدة على الأقل في عمليات التحقق المعنية، ويرتفع الحد الأدنى إلى خمس في 15 ديسمبر. ويجب أن تقع الوجهات البعيدة التي تؤيد قرار النقطة الرئيسية في منطقتي خدمة مختلفتين لسجلات الإنترنت الإقليمية. لا يحقق رسم ست نقاط على خريطة هذا الشرط وحده؛ مواضع النقاط التي أعطت التأييد هي التي تُحسب.

ما الذي اشترته الوجهة السادسة؟

يقول جدول النصاب إن استعمال وجهتين إلى خمس وجهات بعيدة يسمح بنتيجة واحدة لا تؤيد الحكم الرئيسي. وعند استعمال ست وجهات أو أكثر يسمح بنتيجتين. في مجموعة من ست يمكن أن تكفي أربع نتائج مؤيدة رغم نتيجتين مخالفتين أو غائبتين، إذا استوفت المجموعة بقية القواعد. وفي مجموعة من خمس تحتاج المؤسسة إلى أربع نتائج مؤيدة أيضاً، لكن لا يبقى مكان إلا لنتيجة مخالفة واحدة. أضافت المؤسسة عيناً مستقلة لتتحمل اختلافاً ثانياً؛ لم تخفض في هذا المثال عدد العيون التي عليها أن توافق.

والاستقلال ليس كلمة في عرض تقديمي. تعتبر القواعد وجهتي النظر مختلفتين إذا فصل بينهما 500 كيلومتر على الأقل بخط مستقيم، وتلزم كل وجهة بعيدة بالتميز عن الرئيسية وعن بقية وجهات النصاب. إذا استُخدمت مجموعتان منفصلتان للتحقق من السيطرة على النطاق وفحص CAA، فعلى كل مجموعة استيفاء نصابها. ولا يجوز مشاركة ذاكرة DNS المخبأة بين الوجهات ثم حساب الإجابة الواحدة عدة مرات. يمكن إعادة المحاولة فوراً، حتى بطريقة تحقق أخرى، لكن تأييدات المحاولة القديمة لا تنتقل إلى الجديدة. آلة الإصدار لا تجمع الأصوات المريحة من عدة محاولات فاشلة.

يسجل إعلان المؤسسة في 2024 أن أربع وجهات بعيدة وصلت إلى الإنتاج في 27 مارس من ذلك العام. تحديث أكتوبر الحالي يثبت مرحلة اختبار بست وجهات. تقول Let’s Encrypt إن زيادة الانتشار تصعب خداع التحقق بهجوم على التوجيه BGP. تختبر القاعدة هذا الادعاء عملياً: خداع طريق واحد لا يحسم النتيجة حين يجب أن تؤيد طرق أخرى من منطقتين.

من يتحمل قرار المنع؟

تنص المتطلبات على أن جهة الإصدار تمتنع عن إصدار الشهادة إذا فشل النصاب أو شرط المنطقتين. بالنسبة إلى موقع يعتمد تجديداً آلياً، قد تظهر هذه الجملة على هيئة تجديد مرفوض. قد تكون إجابة التحدي صحيحة أمام مدير الخادم، لكن نقطة تحقق بعيدة لا تصل إليها. هل المشكلة في الإجابة، أم في الاتصال، أم في منع مصدره CAA، أم في توزيع التأييد بين المناطق؟ لكل سبب إصلاح مختلف.

تسمح القواعد بإعادة المحاولة، لكنها تطلب أدلة جديدة. هنا تقع مسؤولية التشخيص على جهة الإصدار: نجاح المحاولة الثانية بعد عطب عابر واقعة، وإعادة تدوير أصوات المحاولة الأولى واقعة أخرى. رسالة مبهمة تقول «فشل التحقق» لا تساعد المشغل على إصلاح مساره ولا تفسر قرار حجب الشهادة.

لا يعرض خيط أكتوبر الذي فُحص نسبة نجاح الاختبار أو زمن التأخير أو عدد عمليات التجديد المرفوضة. الإعلان المؤرخ بتشغيل الست في الإنتاج سيحسم المرحلة التالية؛ ثم تأتي البيانات المجمعة عن أسباب الرفض لتبين أثر الشاهد الجديد. الحقيقة المنشورة الآن هي عمله في الاختبار وخطة إنتاج مشروطة.

المنتدى يكتب قاعدة العد، وLet’s Encrypt تختار الشهود وتشغلهم، وطالب الشهادة يدفع ثمن الرفض. الشهادة هي الورقة النهائية؛ القرار الحقيقي يسبقها عند صندوق الأصوات الشبكي.