كيف يعمل HTTPS: معنى الرمز الأخضر بجانب عنوان الموقع

تخيل أنك تتصفح بنك أو متجر إلكتروني عبر شبكة واي فاي عامة في مقهى. تكتب اسم المستخدم وكلمة السر. بعض الناس يقولون: لا تقلق، طالما ترى الرمز الأخضر والقفل بجانب عنوان الموقع، فأنت آمن تماماً. لكن هل هذا صحيح فعلاً؟ الجواب: جزئياً فقط. الرمز الأخضر يعني شيئاً واحداً محدداً جداً، وليس كل ما يعتقده معظم الناس. هذا ما سنشرحه هنا بشكل واضح.

ماذا يحدث قبل أن يظهر القفل الأخضر؟

قبل أن ترى أي شيء على شاشتك، يحدث تبادل معقد بين حاسوبك والموقع الإلكتروني. هذا التبادل يسمى TLS handshake (مصافحة TLS)، وهو يحدث في أقل من ثانية. تخيل الأمر كما لو أن شخصين غريبين عن بعضهما يلتقيان لأول مرة ويريدان التحدث عن معلومات سرية. كيف يثبتان الثقة ببعضهما البعض؟

أولاً، حاسوبك يقول للموقع: "مرحباً، أنا أريد اتصالاً آمناً. ما أنواع التشفير التي تدعمها؟" الموقع يرد بقائمة الطرق التي يستطيع استخدامها. بعد ذلك، يتفق الطرفان على طريقة تشفير معينة. هذا يشبه اتفاق شخصين على استخدام نفس القفل والمفتاح للتحدث بسرية.

لكن هناك خطوة حاسمة أخرى: الموقع يقدم شهادة رقمية. هذه الشهادة تقول: "أنا فعلاً google.com" أو "أنا فعلاً المتجر الفلاني". لكن كيف تعرف أن هذه الشهادة حقيقية؟ هنا يأتي دور ما يسمى بـ Certificate Authority (جهة إصدار الشهادات).

جهات إصدار الشهادات وسلسلة الثقة

فكر في جهة إصدار الشهادات كما تفكر في سلطة الهوية التي تصدر جوازات السفر أو بطاقات الهوية. عندما تسافر إلى بلد آخر، يثق الحرس الحدودي بجواز سفرك لأنهم يثقون بالجهة التي أصدرته. وبنفس الطريقة، حاسوبك يحتوي على قائمة بجهات إصدار الشهادات الموثوقة. عندما يتلقى حاسوبك شهادة من موقع ما، يفحص ما إذا كانت موقعة من جهة موثوقة في تلك القائمة.

العملية أعمق قليلاً من ذلك. الموقع قد تكون شهادته موقعة من جهة وسيطة، وتلك الجهة الوسيطة موقعة من جهة أم، وهكذا حتى نصل إلى جهة مشهورة موجودة في قائمة جهازك الموثوقة. هذا يسمى سلسلة الشهادات (certificate chain). كل حلقة في السلسلة تقول: "أنا أثق بمن وقع على هذه الشهادة."

بعد كل هذا، يتفق الطرفان على مفتاح جلسة (session key) — مفتاح فريد يستخدم فقط لهذه المحادثة الواحدة بينك وبين الموقع. لا أحد آخر يملك هذا المفتاح، حتى جهات إصدار الشهادات نفسها. جميع البيانات التي ترسلها بعد هذه النقطة تشفر بهذا المفتاح.

ماذا يعني الرمز الأخضر فعلاً؟

القفل الأخضر يعني شيئين محددين فقط: أولاً، الاتصال مشفر (encryption)، بمعنى أن أي شخص على نفس شبكة الواي فاي لا يستطيع قراءة ما تكتبه. ثانياً، الموقع قدم شهادة موقعة من جهة موثوقة، وتلك الشهادة تطابق اسم الموقع الذي تزوره.

لكن — وهذا مهم جداً — الرمز الأخضر لا يعني أن الموقع نفسه آمن أو جدير بالثقة. موقع احتيالي يمكنه الحصول على شهادة HTTPS صحيحة تماماً. المتصيدون (scammers) يفعلون هذا كل يوم. يمكنهم إنشاء موقع يبدو مشابهاً تماماً لموقع بنكك ويحصلون على شهادة HTTPS صحيحة لاسم نطاق يمتلكونه. الرمز الأخضر سيظهر هناك أيضاً. الفرق هو أن الشهادة ستكون لاسم مختلف (ربما google-security.com بدلاً من google.com).

هذا هو السبب في أن عليك أن تقرأ عنوان الموقع بعناية قبل إدخال كلمة سرك. الرمز الأخضر يضمن أن الاتصال آمن، لا أن الموقع جدير بالثقة.

ماذا عن إلغاء الشهادات والسجلات العامة؟

أحياناً، تكتشف جهة إصدار شهادات أنها أصدرت شهادة لشخص خاطئ، أو تُسرق الشهادة. في هذه الحالة، يمكن إلغاء (revoke) الشهادة. لكن هذا ليس نظاماً مثالياً — بعض المتصفحات والأجهزة لا تتحقق دائماً من إلغاء الشهادات بسرعة.

هناك محاولة لجعل النظام أكثر شفافية: سجلات الشفافية (Certificate Transparency logs). هذه قواعد بيانات عامة تسجل كل شهادة جديدة تُصدر. إذا اكتشفت شهادة مزيفة باسمك، يمكنك أن ترى من أصدرها. لكن هذا يتطلب من الناس أن يراقبوا نشاطاً هائلاً من السجلات كل يوم.

لماذا HTTPS مهم على شبكات عامة

على شبكة واي فاي عامة، كل شخص قريب منك يستطيع رؤية بيانات غير مشفرة. بدون HTTPS، يستطيع شخص جالس بجانبك في المقهى أن يرى كل ما تكتبه. مع HTTPS، يرى فقط أنك متصل بموقع ما، لا كلماتك أو بيانات حسابك.

الخلاصة

الرمز الأخضر والقفل يعنيان أن اتصالك مشفر وأن الموقع قدم شهادة موثوقة. هذا مهم جداً، خاصة على شبكات عامة. لكنه لا يعني أن الموقع نفسه آمن أو أنك تثق به. عليك أن تثق بعينيك وتقرأ عنوان الموقع بعناية. HTTPS حماية لرسالتك، ليس حماية من الموقع نفسه. إذا أردت فهماً أعمق، ابحث عن: كيفية عمل التشفير بالمفاتيح العامة (asymmetric encryption)، وكيف تختار حاسوبك جهات الشهادات الموثوقة، والفرق بين تشفير الاتصال وأمان الموقع.