اعمل HTTPS مجاني لموقعك بـ Let's Encrypt و Certbot في أقل من 10 دقائق

# 1) تحديث + التأكد إن firewall سامح للمنفذين
sudo apt update
sudo ufw allow 'Nginx Full'   # بيفتح 80 و443

# 2) تثبيت Certbot عبر snap (الطريقة الرسمية الموصى بها)
sudo snap install core && sudo snap refresh core
sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot

# 3) إصدار الشهادة وتركيبها في Nginx تلقائيًا
sudo certbot --nginx -d example.com -d www.example.com

# 4) اختبار أن التجديد التلقائي شغّال (بدون تجديد فعلي)
sudo certbot renew --dry-run

وقت ما تشغّل الأمر رقم 3، Certbot هيسألك عن إيميل (للتنبيهات) وهيعرض عليك تحويل HTTP إلى HTTPS. اختار التحويل. بعد أقل من دقيقة، هيعدّل ملف Nginx بنفسه، يضيف listen 443 ssl; وإعادة التوجيه من المنفذ 80، ويعمل reload.

إزّاي بتشتغل من ورا الستار

Certbot بيكلّم Let's Encrypt ويقول "عايز شهادة لـ example.com". السيرفر بيرد بتحدّي (challenge): "حطّ الملف ده على /.well-known/acme-challenge/ عشان أتأكد إن الدومين ده فعلاً بتاعك". Certbot بيحطّه، Let's Encrypt بيتحقق، وبعدين بيصدر الشهادة. البروتوكول ده اسمه ACME، والرحلة كلها بتحصل في ثواني ومن غير أي تدخّل منك.

التحقق إنه اشتغل

• افتح الموقع في المتصفح: المفروض تلاقي القفل وhttps://.
• من الطرفية: curl -I https://example.com لازم يرجّع HTTP/2 200.
• افحص جودة الإعداد على SSL Labs واستهدف تقدير A.

الأرقام والـ trade-offs

شهادة Let's Encrypt صالحة 90 يوم بس، مش سنة زي الشهادات المدفوعة. ده مقصود عشان يجبرك على الأتمتة. المكسب: مجانية بالكامل (0 دولار) والتجديد بيحصل لوحده. الثمن: لازم تعتمد على مؤقّت Certbot اللي بيشتغل مرتين يوميًا ويجدّد الشهادة تلقائيًا لمّا يفضلها أقل من 30 يوم؛ لو الأتمتة دي وقفت، موقعك هيقع بعد انتهاء الشهادة. علشان كده أمر certbot renew --dry-run مهم: بيتأكد إن التجديد شغّال قبل ما تحتاجه. خُد بالك كمان من حدود الإصدار: Let's Encrypt بيسمح بـ 50 شهادة لكل دومين في الأسبوع، فمتفضلش تعيد الإصدار في تجارب كتير.

متى لا تستخدم هذه الطريقة

• لو موقعك على منصة مُدارة زي Vercel أو Netlify أو cPanel، فالـ HTTPS بيتظبط تلقائيًا ومش محتاج Certbot خالص.
• لو محتاج شهادة wildcard (تغطّي *.example.com)، تحدّي HTTP-01 مش بيدعمها؛ هتحتاج تحدّي DNS-01 بدلها.
• لو الخادم داخلي أو على شبكة خاصة والإنترنت مش بيوصله، التحقق هيفشل؛ استخدم شهادة داخلية أو DNS-01.
• لو بتشتغل بنك أو جهة محتاجة تثبت هوية المؤسسة (OV/EV)، شهادات Let's Encrypt بتثبت ملكية الدومين بس، مش هوية الشركة.

الخطوة التالية

افتح الطرفية على خادمك دلوقتي وشغّل sudo certbot --nginx -d yourdomain.com بعد ما تبدّل الدومين باسمك، وبعدها على طول sudo certbot renew --dry-run. لو الأمر التاني رجّع "success" من غير أخطاء، انت خلّصت والموقع مأمّن ومتجدّد لوحده.

المصادر

• Let's Encrypt — كيف يعمل و ACME: letsencrypt.org/how-it-works
• Let's Encrypt — حدود الإصدار (Rate Limits): letsencrypt.org/docs/rate-limits
• Certbot (EFF) — دليل التثبيت الرسمي لـ Nginx: certbot.eff.org/instructions
• Google Chrome — إعلان تعليم مواقع HTTP كغير آمنة: blog.chromium.org
• Mozilla — مولّد إعدادات SSL الآمنة: ssl-config.mozilla.org