د نرخ محدودیت بلاکونه کوډ کړو¶

Emergency numbers differ by country. This page uses 911, the number for the United States and Canada. Many other countries use 112, 999, or another number. Find the number for your country.

کله چې تولید SSL/TLS (HTTPS) سند پای ته رسیږي - حتی د یوې ثانیې په تیریدو سره notAfter د UTC مهال ویش - هر عصري براوزر (Chrome, Safari, Firefox, Edgeد موبایل اپلیکیشن (iOS App Transport Security, Android Network Security Configد ویب هک اخیستونکی (Stripe, Shopify, Twilio, GitHub)، او د اپسټریم API پیرودونکي سمدلاسه اړیکه قطع کوي NET::ERR_CERT_DATE_INVALID یا SSL_ERROR_RX_RECORD_TOO_LONG. تر دې هم بدتر دی، که ستاسو ډومین واستوي Strict-Transport-Security ((HSTS) سرلیک یا په براوزر کې تالیف شوی HSTS پریلوډ لیست، کروم او سفاري د "پرمختللي -> سایټ ته لاړشئ (ناامنه)" د بای پاس تڼۍ په بشپړه توګه لیرې کوي، چې په پایله کې د نړۍ په کچه د هر کارونکي لپاره د 100 سلنې هارډ ناکام بلیک آوټ دی. ډیری وختونه، د اتوماتیک تجدید کرونجب (Certbot, acme.sh, Caddy, cert-manager، یا AWS ACM) د محدودیت لرونکي DNS له امله د 30 ورځو لپاره په خاموشۍ سره ناکام شوی CAA ریکارډ، مات شوی DNSSEC DS ریکارډ، د اور وژنې بندولو بندر 80 ((HTTP-01 ننګونه)، یا یو ویب سرور (nginx / haproxy) چې په ډیسک کې فایل نوي کړي (fullchain.pem) مګر هیڅکله یې په حافظه کې د کارګر پروسې بیا نه پورته کړې. که ستاسو بندښت د X.509 سند پر ځای د پای ته رسیدو ډومین ثبتولو یا تښتول شوي نوم سرورونو له امله رامینځته شوی وي ، سمدلاسه دې ته واړوئ د ډومین نوم تښتول، د DNS پای ته رسیدل، او د ویب پاڼې اخیستل; که ستاسو سرور په بشپړ ډول د لاسرسي وړ نه وي یا د ډیسک ځای څخه بهر وي نو certbot نشي لیکلی /etc/letsencrypt، وګوره د سرور ډیسک 100٪ بشپړ او د صفر ځای بیا رغونه یا د ویب کوربه توب بحران، مهاجرت، او د بیک اپ بیا رغونه. که چیرې دا TLS بلیک آوټ د روغتون ټیلی میټري، د بیړني لیږد APIs، یا د عامه خوندیتوب زیربنا غیر فعال کړي، خپل سیمه ایز بیړني شمیر ته زنګ ووهئ (911 په متحده ایالاتو او کاناډا کې، 112 په ټوله اروپایی اتحادیه کې 999 په انګلستان کې) یا زموږ د نړیوال لارښود سره مشوره وکړئ بیړنۍ شمیرې.

همدا اوس وکړئ¶

** په 10 ثانیو کې وګورئ چې ایا په ډیسک کې سند واقعیا دمخه نوي شوی ، او ستاسو ویب سرور یا د بار بیلنسر په ساده ډول په RAM کې د بیا پورته کولو کې پاتې راغلی **:

د ژوندی TLS ساکټ سره پرتله کړئ .pem اوس په ډیسک کې فایل:

# 1. What the live server is serving over the network:
echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null | openssl x509 -noout -dates -issuer -serial
# 2. What is actually sitting on disk in /etc/letsencrypt/live/:
sudo openssl x509 -in /etc/letsencrypt/live/example.com/fullchain.pem -noout -dates -issuer -serial

** که په ډیسک کې فایل یو باوري راتلونکی ښیي notAfter نیټه پداسې حال کې چې ژوندی بندر 443 د ختمیدو نیټه ښیي**: ستاسو د ACME پیرودونکی (certbot / acme.sh) اونۍ دمخه بریالی شو، مګر nginx, apache2, haproxy، یا postfix هیڅکله بیا نه پورته شوی، یا (haproxy / vault) ته اړتیا لري fullchain.pem + privkey.pem په یوه بنډل کې نښلول شوی. منډه کړه sudo nginx -t && sudo systemctl reload nginx (یا sudo systemctl reload apache2 haproxy) او ستاسو بندول به په 2 ثانیو کې پای ته ورسیږي.
** منډه مه کوئ certbot renew --force-renewal په مکرر ډول په لوپ کې که چیرې تجدید ناکام شي**: راځئ کوډ کړئ د سخت نرخ محدودیت پلي کوي ** په 7 ورځو کې 5 نقل سندونه** او ** په هر حساب ، هر کوربه نوم ، هر ساعت ** 5 ناکام تاییدونه **. چلول --force-renewal پنځه ځله په ویره کې پرته له دې چې لاندې فکس کړئ nginx ریلوډ یا DNS/فیروال بګ به ستاسو ډومین د لیټ انکریپټ جاري کولو څخه تر 7 ورځو پورې لاک کړي.
** که تاسو د لیټز کوډ کولو نرخ حد ته ورسیږئ (429 Too Many Requests)، خپل د ACME مراجع د دویم وړیا عامه سند ادارې ته واړوئ (ZeroSSL, Buypass Go SSL، یا Google Trust Services) یا سمدلاسه د شین فرعي ډومین اضافه کړئ**:
هر ACME پیرودونکي (certbot, acme.sh, caddy, cert-manager) کولی شي په 30 ثانیو کې د مختلف CA څخه د وړیا باوري سند غوښتنه وکړي (--server https://acme.zerossl.com/v2/DV90 یا https://api.buypass.com/acme/directory)، په بشپړه توګه د لیټ انکریپټ نرخ محدودیت له مینځه وړل.
په بدیل سره، راځئ چې د "په 7 ورځو کې د 5 نقل سندونه" کوډ کړو محدودیت یوازې د ** د موضوع بدیل نومونو دقیق ورته سیټ باندې پلي کیږي (SANs)**. یو اضافي معتبر فرعي ډومین اضافه کول (-d example.com -d www.example.com -d tlsfix1.example.com) دا یو غیر نقل سند جوړوي او سمدلاسه د نقل سند نرخ حد تیریږي.
** وګورئ که DNS وي CAA ریکارډ یا مات شوی DNSSEC ستاسو د سند اداره د جاري کولو څخه منع کوي (CAA record for example.com prevents issuance)**:
د خپل ډومین د تصدیق کولو واک اختیار پوښتنه وکړئ (CAAریکارډونه: dig +short CAA example.com. که ستاسو DNS لري 0 issue "sectigo.com" یا 0 issue "amazon.com" (یا په اصلي ډومین کې)، راځئ چې کوډ کړو (letsencrypt.org) او زیرو ایس ایس ایل (sectigo.com) د RFC 8659 لخوا د جاري کولو څخه منع دي تر هغه چې تاسو اضافه کړئ 0 issue "letsencrypt.org" ستاسو د DNS زون ته.
** که بندر 80 ((HTTP-01 ننګونه) د فایر وال، CDN، یا ISP لخوا بند شوی، یا که ستاسو ویب سرور د ورک شوي سند له امله له پیل کولو څخه انکار وکړي، وکاروئ --standalone یا --dns ((DNS-01) اعتبار **:
ودریږئ nginx/apache په لنډه توګه او چلول sudo certbot certonly --standalone -d example.com، یا کارول --manual --preferred-challenges dns a _acme-challenge.example.com TXT ستاسو د DNS کنسول کې د پورټ لمس کولو پرته ثبت کړئ 80.
** که ستاسو سایټ د Cloudflare، AWS CloudFront، یا په چټکۍ سره ناست وي، تصدیق کړئ چې ایا د ختم شوي سند په CDN څنډه کې دی یا ستاسو د اصلي سرور (Error 526 Invalid SSL Certificate)**:
په Cloudflare کې، که ستاسو د اصلي سرور سند پای ته رسیدلی وي او Cloudflare ټاکل شوی وي Full (Strict)، کاروونکي ** تېروتنه 526 ** ګوري. په داسې حال کې چې تاسو د اصلي سند اصلاح کوئ، تاسو کولی شئ په Cloudflare ډشبورډ کې د 15 کلن Cloudflare Origin CA سند په جوړولو سره په 5 ثانیو کې د ژوند سایټ ټرافیک بحال کړئ (یا په لنډمهاله توګه د SSL/TLS حالت بدل کړئ. Full (Strict) ته Full د 10 دقیقو لپاره دا د اصلي ځای بدلولو لپاره وخت نیسي .pem دوتنه).

Danger

** هیڅکله هڅه مه کوئ چې د ترتیب کولو له لارې د HSTS پریلوډ لاک آوټ "فکس" کړئ Strict-Transport-Security: max-age=0 پداسې حال کې چې ستاسو د SSL/TLS سند لاهم پای ته رسیدلی **: RFC 6797 په ښکاره ډول براوزرونه د پروسس کولو یا درناوی کولو څخه منع کوي Strict-Transport-Security سرلیک (په شمول max-age=0) په یو بې باوره، پخپله لاسلیک شوي، یا د TLS ختم شوي پیوستون، یا په ساده ډول HTTP. سربیره پردې، که ستاسو ډومین لري includeSubDomains; preload په کرومیم/فایرفوکس/سفاري جامد HSTS پریلوډ لیست کې ترتیب شوی، حتی max-age=0 د اعتبار وړ پیوستون به د لومړي ځل لیدونکو لپاره د پریلوډ بیرغ نه لرې کړي. د HSTS تړل شوي ډومین ته د لاسرسي د بیرته راګرځولو یوازینۍ لار په پورټ 443 کې د اعتبار وړ، په عامه توګه د باور وړ X.509 سند نصب کول دي.

د پریکړې ونې: د ختم شوي تولید SSL/TLS سند تشخیص او تنظیم کول¶

د دې پریکړې ونې تعقیب کړئ ترڅو دقیق ناکامي پرت په ګوته کړئ (CDN Edge vs. Origin Daemon Memory vs. ACME Challenge vs. CA Rate Limit) او په دقیقو کې د HTTPS ترافیک بحال کړئ:

flowchart TD
    Start["کارونکي / APIs راپور ورکول NET::ERR_CERT_DATE_INVALID یا Cloudflare تېروتنه 526"] --> CheckLive["چلول: openssl s_client -servername domain -connect domain:443 | openssl x509 -noout -dates -جاری کونکی"]

    CheckLive --> WhereExpired{"کوم سند په حقیقت کې پای ته رسیدلی؟"}

    WhereExpired -->|"ډیسک fullchain.pem د اعتبار وړ دی، مګر ژوندی پور 443 پای ته رسیدلی"| StaleDaemon["د سټیل ډیمون حافظه یا سپلیټ سرټ پلورنځی: د نګینکس / اپاچ 2 / هاپروکسي / پوسټ فکس بیا پورته کړئ ، یا د HAProxy PEM بنډل بیا جوړ کړئ"]
    WhereExpired -->|"د CDN ایج سند (Cloudflare / CloudFront / په چټکۍ سره) پای ته رسیدلی"| CDNFix["د CDN CA (letsencrypt.org / pki.goog / digicert.com / amazon.com) لپاره د DNS CAA ریکارډونه چیک کړئ او یونیورسل SSL یا د ACM بیا تایید کړئ"]
    WhereExpired -->|"په ډیسک کې د اصلي سرور fullchain.pem پای ته رسیدلی"| DryRun["چلول: sudo certbot تجدید --dry-run (یا acme.sh --renew -d ډومین --debug)"]

    DryRun --> WhyFailed{"ولې د ACME تجدید ناکام شو؟"}

    WhyFailed -->|"429 ډیرې غوښتنې (د نرخ حد ډیر شوی)"| RateLimit["سمدلاسه بای پاس وکړئ: د زیرو ایس ایس ایل / بای پاس / ګوګل ټرسټ خدماتو څخه مسله یا 1 اضافي فرعي ډومین SAN اضافه کړئ (-d fix1.example.com)"]
    WhyFailed -->|"د CAA ریکارډ د خپریدو یا SERVFAIL (DNSSEC) مخه نیسي"| CAADNS["چلول: dig CAA example.com -> 0 مسله 'letsencrypt.org' (او 'sectigo.com') اضافه کړئ یا په راجسټرار کې د مات شوي DNSSEC DS ریکارډ درست کړئ"]
    WhyFailed -->|"پیوستون رد شو / وخت پای / 404 په /.well-known/acme-challenge/"| HttpBlock["پورټ 80 بلاک شوی یا ریډیریټ لوپ: په فایر وال کې د TCP پورټ 80 خلاص کړئ ، /.well-known/ له Auth/Rewrite څخه خارج کړئ، یا د DNS-01 ننګونې وکاروئ"]
    WhyFailed -->|"د کوبرنیټس تصدیق مدیر امر په انتظار کې پاتې دی"| K8sFix["چلول: kubectl describe چیلنج -> د انګریس ټولګي تشریح چیک کړئ، د HTTP01 حل کونکي پوډ شبکې پالیسي، یا ویب هک TLS"]

    StaleDaemon --> VerifyAll["د زنځیر او OCSP سټیپلینګ تایید کړئ: openssl s_client -connect domain:443 -status"]
    CDNFix --> VerifyAll
    RateLimit --> VerifyAll
    CAADNS --> VerifyAll
    HttpBlock --> VerifyAll
    K8sFix --> VerifyAll

مرحله 1: پوهیدل چې ولې HSTS (`Strict-Transport-Security`) د بشپړ هارډ ناکام بلیک آوټ لامل کیږي¶

کله چې یوه ویب پاڼه نه HSTS نه کاروي، یو ختم شوی سند یو بین المللي خبرداری ښکاره کوي (Your connection is not private) د "پرمختللي -> مثال.com ته لاړ شئ (غیر محفوظ)" لینک سره چې نا امید کاروونکو ته اجازه ورکوي چې کلیک وکړي.

په هرصورت، نږدې ټول عصري تولید ویب غوښتنلیکونه، بانکونه، SaaS پلیټ فارمونه، او .dev / .app / .page / .bank د لوړې کچې ډومینونه پلي کوي HTTP سخت ټرانسپورټ امنیت (HSTS, RFC 6797): 1. ** متحرک HSTS (max-age=31536000): هر هغه براوزر چې ستاسو سایټ په تیرو 365 ورځو کې لیدلی وي پالیسي خوندي کړې Strict-Transport-Security: max-age=31536000; includeSubDomains. تر هغه وخته پورې چې دا ټایمر پای ته ورسیږي، براوزر ** منع کوي ** کارونکي د هر سند غلطۍ له لارې کلیک کولو څخه منع کوي (ERR_CERT_DATE_INVALID, ERR_CERT_COMMON_NAME_INVALID، یا ERR_CERT_AUTHORITY_INVALID). 2. ** جامد HSTS پریلوډ (preload لیست یا .dev / .app gTLD): که ستاسو ډومین ته سپارل شوی وي hstspreload.org - یا که ستاسو ډومین د راجستر - پری لوډ شوي TLD کاروي لکه .dev, .app, .page, .new, .chrome، یا .bank - په ځمکه کې د کروم، ایج، فایرفوکس، سفاري، او انډرایډ ویب ویو هر کاپي ستاسو ډومین په خپل بائنری کې هارډ کوډ شوی د HSTS په توګه پلي شوی مخکې له دې چې کاروونکي ستاسو سایټ ته د لومړي ځل لپاره لیدنه وکړي. 3. ** ولې includeSubDomains داخلي وسیلې او سټیجینګ سرورونه ماتوي**: که ستاسو روټ ډومین (example.com) لیږي Strict-Transport-Security: max-age=31536000; includeSubDomainsهر فرعي ډومین (vpn.example.com, internal-jira.example.com, printer.example.com) هم په HSTS هارډ-فیل حالت کې تړل شوی. 4. ** ولې API او Webhook ادغام (Stripe, Twilio, Slack, iOS ATS) سمدستي ناکام شي**: له سرور څخه تر سرور TLS پیرودونکي (libcurl, Python requests/urllib3, Node.js undici، لاړ شه crypto/tls، جاوا SSLContext) سخت RFC 5280 ترسره کړئ notAfter د ډیفالټ لخوا تایید او د کارونکي "د کلیک له لارې" هیڅ مفهوم نلري. د TLS بندیدو په جریان کې ، سټریپ او شاپیف ویب هکس به تحویل کې پاتې راشي او د احتمالي بیک آف بیا هڅې کتارونو ته ننوځي.

مرحله 2: د 60 ثانیو تشخیص - ایا سند واقعیا دمخه په ډیسک کې نوي شوی؟¶

په نږدې 35 سلنه تولید کې راځئ چې د بندونو کوډ کړئ، سند په حقیقت کې څو اونۍ دمخه په ډیسک کې نوي شوی و certbot.timer یا acme.sh، مګر روان ډیمون لاهم د RAM څخه زوړ ختم شوي سند ته خدمت کوي.

1 ګام: د ژوندی شبکې ساکټ د ډیسک فایل سره پرتله کړئ¶

په خپل سرور کې دواړه حکمونه چل کړئ:

# Check what the live port 443 socket is presenting in RAM:
echo | openssl s_client -servername example.com -connect 127.0.0.1:443 2>/dev/null | openssl x509 -noout -subject -issuer -dates -serial

# Check what is actually sitting on the filesystem:
sudo openssl x509 -in /etc/letsencrypt/live/example.com/fullchain.pem -noout -subject -issuer -dates -serial

2 ګام: 4 عام "په ډیسک کې نوي شوي ، په رام کې پای ته رسیدلي" جالونه سم کړئ¶

خدمت / پراکسي	ولې دا د نوي کولو وروسته د زاړه ختم شوي سند خدمت ته دوام ورکوي	سمدستي او دایمي سمولو لپاره دقیق قومانده
`Nginx` / `Apache`	`certbot` کارول `--webroot` یا `--standalone` (یا `dns-*` پلگ ان) پرځای `--nginx`، نو د نوي کولو وروسته هیڅ ریلوډ هک هیڅکله د ماسټر پروسې نښه نه ده کړې.	منډه کړه `sudo nginx -t && sudo systemctl reload nginx`. د دایمي ځای پرځای کولو هک اضافه کړئ `/etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh`: `systemctl reload nginx` ((`sudo chmod +x` سکریپټ).
`HAProxy`	HAProxy ته اړتیا لري `fullchain.pem` او `privkey.pem` په یو واحد ګډ کې یوځای شوی `.pem` دوتنه(`combined.pem`). Certbot تازه شوی `fullchain.pem` او `privkey.pem`خو `combined.pem` اوس هم د 90 ورځو زوړ کاپي ده.	بنډل بیا جوړ کړئ او HAProxy بیا پورته کړئ: `sudo sh -c 'cat /etc/letsencrypt/live/example.com/fullchain.pem /etc/letsencrypt/live/example.com/privkey.pem > /etc/haproxy/certs/example.com.pem'` `sudo chmod 600 /etc/haproxy/certs/example.com.pem && sudo systemctl reload haproxy`
مات شوی سیملنک دننه `/etc/letsencrypt/live/`	یو چا په لاسي ډول کاپي کړي `/etc/letsencrypt/archive/example.com/fullchain3.pem` دننه `/etc/nginx/ssl/` د اشاره کولو پر ځای `nginx.conf` ته `/etc/letsencrypt/live/example.com/fullchain.pem` symlink، یا Certbot په نوم یو نقل نسب جوړ کړ `/etc/letsencrypt/live/example.com-0001/`.	منډه کړه `sudo certbot certificates` د لیدلو لپاره که `example.com-0001` جوړ شو. ټکی `ssl_certificate` په `/etc/nginx/` فعال ته `/etc/letsencrypt/live/<lineage>/fullchain.pem` symlink او Nginx بیا پورته کړئ.
د ډاکر کانټینر (`nginx` / `traefik` / `postfix`)	کوربه OS نوي شو `/etc/letsencrypt/archive/example.com/fullchain4.pem` او سیملنک یې تازه کړ، مګر د ډاکر کانټینر د واحد فایل انود سره تړلی و (کوم چې غیر تړل شوی/بدل شوی و) یا د نوم ځای دننه د کانټینر پروسه هیڅکله ترلاسه نه کړه `SIGHUP`.	ټول وتړئ `/etc/letsencrypt` لارښود (هیڅکله نه `.pem` فایل ځکه چې د سیملنک هدفونه په نوي کولو بدلیږي) او چلوي `docker kill -s HUP <nginx_container>`.

دریمه مرحله: د DNS اصلاح کول `CAA` ریکارډ بلاکونه او `DNSSEC` د اعتبار ناکامۍ¶

که تاسو منډې وهئ sudo certbot renew --dry-run او وګورئ: - urn:ietf:params:acme:error:caa :: CAA record for example.com prevents issuance - urn:ietf:params:acme:error:dns :: DNS problem: SERVFAIL looking up A/CAA for example.com

1. څنګه DNS `CAA` (RFC 8659) د سند نوي کول بندوي¶

د هر عامه سند اداره په قانوني ډول د DNS پوښتنې لپاره د CA/براوزر فورم بیس لاین اړتیاو ته اړتیا لري CAA د هر سند صادرولو دمخه ریکارډونه. CA د DNS ونې ته ** پورته ځي sub.app.example.com → app.example.com → example.com: - که example.com صفر لري CAA ریکارډونه ، هر CA اجازه لري چې صادر کړي. - که example.com لري ** حتی یو واحد CAA ریکارډ (د مثال په توګه، 0 issue "amazon.com" په اوتومات ډول اضافه کیږي کله چې یو څوک د AWS CloudFront توزیع رامینځته کړي ، یا 0 issue "digicert.com")، ** په ځمکه کې د هر بل سند اداره په کلکه منع ده چې د سند صادرولو لپاره example.com یا د هغې کوم فرعي ډومین. - سربیره پردې ، که تاسو د ** وائلډ کارډ سند غوښتنه کوئ (*.example.com)** او ستاسو ډومین یو ځانګړی تعریفوي 0 issuewild "ca.example" ټګ، CA چک کوي issuewild ملکیت پر ځای issue.

د تشخیص او فوري حل لپاره `CAA` بلاکونه:¶

چک CAA په دواړو کوربه نوم او اپیکس ډومین کې ریکارډونه:
```
dig +short CAA sub.example.com
dig +short CAA example.com
```
دا هم وګورئ چې ایا sub.example.com یو دی CNAME بل ډومین ته اشاره کول (په RFC 8659 کې، CAs هم چک کوي CAA د CNAME هدفونو ریکارډونه).
ستاسو د DNS چمتو کونکي ډشبورډ کې (Cloudflare، Route 53، Cloud DNS، Namecheap)، ** موجود نه حذف کړئ CAA ستاسو د CDN یا AWS ACM لخوا کارول شوي ریکارډونه؛ پرځای یې، اضافه اضافي CAA ریکارډونه اجازه ورکوي اجازه راکړئ کوډ کړئ او ستاسو بیک اپ CAs:
```
example.com.  300  IN  CAA  0 issue "letsencrypt.org"
example.com.  300  IN  CAA  0 issue "sectigo.com"
example.com.  300  IN  CAA  0 issue "pki.goog"
example.com.  300  IN  CAA  0 issuewild "letsencrypt.org"
example.com.  300  IN  CAA  0 issuewild "sectigo.com"
```
(یادونه: ZeroSSL کاروي sectigo.com د دې اصلي CAA پیژندونکي په توګه، او د ګوګل باور خدمتونه کاروي pki.goog.)
ستاسو د مستند نوم سرورونو تازه کولو لپاره 60 ثانیې انتظار وکړئ (dig @ns1.yourdns.com CAA example.com) او سمدستي بیا وګرځئ sudo certbot renew. څرنګه چې CAs په بیا هڅه کولو کې د عامه کیچونو له لارې ژوندی تکراري لټون ترسره کوي، صادرول سمدلاسه بریالي کیږي.

2. اصلاح کول `DNS problem: SERVFAIL looking up CAA` ((`DNSSEC` بې مطابقت)¶

راځئ چې کوډ کړو، د ګوګل باور خدمتونه، او زیرو ایس ایس ایل په ټولو DNS لټونونو کې د DNSSEC تایید په کلکه پلي کړو (A, AAAA, TXT، او CAA). حتی که یو ډومین ** نه لري CAA ریکارډ**، CA باید د کریپټوګرافیک اعتبار ترلاسه کړي NOERROR (خالي ځواب) یا NXDOMAIN ((NSEC / NSEC3 د وجود څخه مستند انکار) ځواب. - که ستاسو د ډومین راجستر کونکي سټیل ولري DS (د پلاوي لاسلیک کوونکی) وروسته له دې چې تاسو د DNS چمتو کونکي مهاجرت ثبت کړئ (د مثال په توګه له GoDaddy څخه Cloudflare یا روټ 53 ته پرته له دې چې DNSSEC لومړی غیر فعال کړي) ، تکراري حل کونکي چې د DNSSEC بیرته راستنیدنه پلي کوي SERVFAIL. - ** په ۵ ثانیو کې تایید کړئ**: منډه کړئ delv @8.8.8.8 example.com CAA یا په ازموینه کې dnsviz.net. که dig @8.8.8.8 example.com بیرته راګرځي status: SERVFAIL پداسې حال کې dig +cd @8.8.8.8 example.com ((+cd = چک کول معیوب شوي، د DNSSEC له پامه غورځول) ستاسو IP پته بیرته راګرځوي، ** ستاسو د DNSSEC سلسله مات شوې**. سمدلاسه خپل د ډومین راجستر کونکي ته ننوځئ او یا هم سټیل لرې کړئ DS اوسنی ثبت یا کاپي کړئ DS ستاسو د فعال DNS کوربه څخه پیرامیټونه.

مرحله 4: د کوډ کولو نرخ محدودیتونو څخه تیریدل (`429 Too Many Requests`) د فعال بندیدو پرمهال¶

د یوې ګډوډي پیښې په جریان کې، انجنیران اکثرا کانټینرونه بیا پیلوي یا چلوي certbot په مکرر ډول تر هغه چې راځئ کوډ کړو ټولې غوښتنې د دې سره رد کړي: - urn:ietf:params:acme:error:rateLimited :: Error creating new order :: too many certificates (5) already issued for this exact set of domains in the last 168h0m0s - urn:ietf:params:acme:error:rateLimited :: Error creating new order :: too many failed authorizations (5) recently

د انتظار وختونه 1 ساعت (د ناکامو جوازونو لپاره) څخه تر **7 ورځو (168 ساعتونو) ** (د 5 نقل سندونو حد لپاره) پورې اړه لري. ** 1 ساعت یا 7 ورځې انتظار مه کوئ پداسې حال کې چې ستاسو د تولید سایټ ښکته وي. ** تاسو دوه بشپړ مشروع، سمدستي حلونه لرئ:

د حل A (غوره): په 30 ثانیو کې د ACME سند اداره زیرو ایس ایس ایل، بای پاس، یا د ګوګل باور خدماتو ته واړوئ¶

د ACME پروتوکول (RFC 8555) یو خلاص معیار دی. هر لوی براوزر او عملیاتي سیسټم باور لري ZeroSSL (Sectigo root)، Buypass Go SSL (نارویجین CA)، او ** د ګوګل باور خدمتونه (pki.goog)** په ورته ډول راځئ چې کوډ کړو (ISRG Root X1). له دوی څخه هیڅ یو د لیټ انکریپټ سره د نرخ محدودیتونه نه شریکوي.

** 1 اختیار: سمدلاسه له لارې مسله Certbot د Buypass Go SSL کارول (هیڅ حساب / EAB کیلي ته اړتیا نشته، د 180 ورځو اعتبار)**: (یادونه: بای پاس تر 5 SANs پورې د څو ډومین سندونو ملاتړ کوي ، که څه هم وائلډ کارډ نه وي *.example.com سندونه)
```
sudo certbot certonly --webroot -w /var/www/html \
  --server "https://api.buypass.com/acme/directory" \
  -d example.com -d www.example.com \
  --email admin@example.com --agree-tos
```

** 2 اختیار: سمدلاسه له لارې مسله acme.sh (کوم چې زیرو ایس ایس ایل ته ډیفالټ کوي یا CAs ورسره بدلوي --server)**:

# Using ZeroSSL:
acme.sh --register-account -m admin@example.com --server zerossl
acme.sh --issue -d example.com -d www.example.com -w /var/www/html --server zerossl

** دریم اختیار: د ګوګل ټرسټ خدماتو له لارې مسله (pki.googعامه ACME**: په ګوګل کلاوډ کنسول کې (یا له لارې gcloud publicca external-account-keys create)، د وړیا بهرني حساب پابندۍ تولید کړئ (EABپه 10 ثانیو کې کیلي او چلول:
```
sudo certbot certonly --webroot -w /var/www/html \
  --server "https://dv.acme-v02.api.pki.goog/directory" \
  --eab-kid "YOUR_EAB_KEY_ID" \
  --eab-hmac-key "YOUR_EAB_HMAC_KEY" \
  -d example.com -d www.example.com
```

د کار حل B: د یو اضافي SAN کوربه نوم په اضافه کولو سره د "5 نقل سندونو" حد کوډ کړئ اجازه راکړئ¶

راځئ چې د 168 ساعتونو نقل حد کوډ کړو (too many certificates (5) already issued for this exact set of domains) په سند کې د د SAN کوربه نومونو دقیق الفبایی سیټ تعقیبوي، پداسې حال کې چې د راجستر شوي ډومین ټولیز حد په هره اونۍ کې 50 سندونه دي. 1. بې ضرر DNS جوړ کړئ A ریکارډ ورته سرور ته اشاره کوي: tls-recovery-01.example.com -> <your_server_ip>. 2. د خپل اصلي ډومینونو سره د سند غوښتنه وکړئ پلس د نوي کوربه نوم:

sudo certbot certonly --nginx --cert-name example.com \
  -d example.com -d www.example.com -d tls-recovery-01.example.com

( تېرېدل --cert-name example.com ستاسو موجوده تازه کوي /etc/letsencrypt/live/example.com/ لارښود په ځای کې دی نو تاسو حتی د ترمیم کولو اړتیا نلرئ nginx.conf.) ځکه {example.com, tls-recovery-01.example.com, www.example.com} د ډومینونو یو نوی سیټ دی، راځئ چې سمدلاسه سند کوډ کړو.

پنځمه مرحله: د مات شوي اصلاح کول `HTTP-01` ننګونې (`Port 80`) یا کارول `DNS-01` بیړني اعتبار¶

کله چې certbot renew سره ناکامیږي Timeout during connect (likely firewall problem) یا Invalid response from http://example.com/.well-known/acme-challenge/...: 404 (یا 403)، د CA تایید سرورونه نشي کولی ستاسو د HTTP ننګونې نښه ته په TCP پورټ 80 کې ورسیږي.

ولې `HTTP-01` ناڅاپه په سرورونو کې مات شو چې 60 ورځې دمخه یې کار کاوه¶

** د بادل امنیت ګروپ / UFW / iptables تړل شوی پورټ 80**: یو چا د فایر وال سخت کړی ترڅو یوازې بندر ته اجازه ورکړي 443 ((HTTPSد RFC 8555 هیرول HTTP-01 تایید تل په ساده HTTP پورټ 80 کې پیل کیږي (که څه هم دا به تعقیب کړي 301 ته لیږل https:// په بندر کې 443).
** مات شوی IPv6 (AAAA) ریکارډ**: ستاسو ډومین دواړه IPv4 لري (A) ریکارډ او یو IPv6 (AAAA) ریکارډ. راځئ چې کوډ کړو تل IPv6 غوره کوي (AAAA) لومړی. که ستاسو IPv6 پته غلطه شوې وي، د دې لخوا بلاک شوی ip6tables، یا په نګینکس کې نه تړل کیږي (listen [::]:80;)، د اعتبار وخت پای ته رسیدلی حتی که IPv4 ښه کار کوي.
** نینګکس / د غوښتنلیک روټر (React / Next.js / Django / Rails) مخنیوی کوي /.well-known/acme-challenge/**: ستاسو server په پورټ 80 پراکسي ټول ټرافیک بلاک کړئ (location / { proxy_pass http://localhost:3000; }) د خدمت کولو پر ځای بیک انډ ایپ ته .well-known له ډیسک څخه.

د مات شوي لپاره دوه فوري اصلاحات `HTTP-01` تایید¶

فکس 1: یو وقف شوی لوړ لومړیتوب اضافه کړئ `/.well-known/acme-challenge/` په نګینکس کې بلاک (پورټ 80)¶

ډاډ ترلاسه کړئ چې خپل پورټ 80 بلاک دننه کړئ /etc/nginx/sites-enabled/ په مستقیم ډول له ACME ټوکنونو څخه خدمت کوي /var/www/letsencrypt ** مخکې له دې ** return 301 https://... یا proxy_pass لارښود:

server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;

    location ^~ /.well-known/acme-challenge/ {
        default_type "text/plain";
        root /var/www/letsencrypt;
        allow all;
    }

    location / {
        return 301 https://$host$request_uri;
    }
}

بیا فولډر او مسله رامینځته کړئ:

sudo mkdir -p /var/www/letsencrypt/.well-known/acme-challenge
sudo nginx -t && sudo systemctl reload nginx
sudo certbot certonly --webroot -w /var/www/letsencrypt -d example.com -d www.example.com

فکس 2: بای پاس پورټ 80 او ویب سرورونه په بشپړ ډول د لارښود سره `DNS-01` ((`TXT`) ننګونه¶

که پورټ 80 د اپ سټریم ISP/فیر وال لخوا بند شوی وي یا ستاسو د بار بیلانسر نشي کولی لاره ومومي .well-known ډیری بیکینډ نوډونو ته، په 2 دقیقو کې د DNS له لارې تایید کړئ:

sudo certbot certonly --manual --preferred-challenges dns -d example.com -d "*.example.com"

Certbot به ودروي او ښکاره کړي: Please deploy a DNS TXT record under the name: _acme-challenge.example.com with the following value: XyZ123... 1. خپل DNS کنسول خلاص کړئ او جوړ کړئ TXT ریکارډ _acme-challenge سره a 60 دوهم TTL. 2. انتظار وکړئ او په دوهم ټرمینل کړکۍ کې د انټر فشارولو دمخه تایید کړئ:

dig +short TXT _acme-challenge.example.com @8.8.8.8

3. یو ځل dig ستاسو دقیق ټکن تار چاپ کوي، په Certbot کې Enter کېکاږئ. ستاسو سند او شخصي کیلي به لیکل کیږي /etc/letsencrypt/live/example.com/ سمدستي (وروسته له دې چې بندش حل شي، د اتوماتیک DNS پلگ ان نصب کړئ لکه python3-certbot-dns-cloudflare یا python3-certbot-dns-route53 نو راتلونکي نوي کول لارښود ته اړتیا نلري TXT داخله.)

شپږم پړاو: د بیا رغولو وروسته تایید (منځنۍ لړۍ، د OCSP سټیپلینګ، او CDN پاکول)¶

د بیړني سند بدلولو وروسته یوه عامه غلطي نصب کول دي cert.pem (یوازې د پاڼی سند) پرځای fullchain.pem (د پاڼي سند + منځمهاله CA سند). ډیسټاپ براوزر (Chrome, Firefox) ډیری وختونه د AIA له لارې ورک شوي منځګړیتوب سند ماسک کوي (Authority Information Access) تعقیب یا کیش شوی منځګړیتوب، پداسې حال کې چې curl, Python, OpenSSL, Android اطلاقات، او Stripe/Twilio ویب هکس سمدلاسه ناکامیږي unable to verify the first certificate ((SSL certificate problem: unable to get local issuer certificate).

** تایید کړئ چې ستاسو سرور بشپړ منځنی سلسله لیږي (fullchain.pem)**: چلول:
```
echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null | grep -E "Verify return code|depth="
```
تاسو باید لږترلږه ** دوه کچې ** وګورئ (depth=0 ستاسو ډومین او depth=1 منځمهاله CA لکه Let's Encrypt E5/R11 یا ZeroSSL RSA Domain Secure Site CA) او Verify return code: 0 (ok). که تاسو وګورئ Verify return code: 21 (unable to verify the first certificate)، د خپل ویب سرور ترتیب له دې څخه بدل کړئ cert.pem ته fullchain.pem.
** په Nginx / Apache کې د OCSP سټاپلینګ کیچ پاک کړئ**: که ssl_stapling on; فعال شوی، ویب سرور بیا پورته کړئ او وګورئ openssl s_client -servername example.com -connect example.com:443 -status 2>/dev/null | grep -A 15 "OCSP response".
** د څو پرت SSL ختمیدو نظارت تنظیم کړئ (بهرني TCP چیک + پرومیتیس blackbox_exporter)**: هیڅکله یوازې په بریښنالیک یادداشتونو تکیه مه کوئ (راځئ چې په 2025 کې د پای ته رسیدو یادداشت بریښنالیکونه کوډ کړئ). د ژوندی بندر 443 ساکټ په بهر کې وڅارئ (probe_ssl_earliest_cert_expiry - time() < 86400 * 14) او هره ورځ د کرون چک تنظیم کړئ sudo certbot renew --dry-run.

سیمه ایز بیړني شمیرې او د ادارې پروتوکولونه¶

پداسې حال کې چې د پای ته رسیدو TLS سند معمولا د انجینرۍ ټیمونو لخوا حل کیږي ، د سند بندول چې د روغتیا پاملرنې پورټلونه ماتوي ، د بیړني لیږلو ویب هکسونه ، بانکداري تصدیق کول ، یا د دولت عامه زیربنا ممکن د تنظیمي پیښو کاري جریان رامینځته کړي:

متحده ایالات او کاناډا:
** د ژوند خوندیتوب / کلینیکي / د لیږلو بندښت**: ډایل کړئ 911 که د TLS سند ناکامي د ناروغ ټیلی میټري، بریښنالیک نسخه، یا د بیړني لیږلو مخابراتو قطع کړي.
** د سایبر امنیت او زیربنا امنیت اداره (CISA) (US): فدرالي ملکي ادارې د CISA پابند عملیاتي لارښود (BOD) 18-01 لاندې او د زیربناوو مهم چلونکي چې د غیر مجاز سند صادرولو تجربه کوي (CA جوړجاړی یا BGP/DNS هجیک) باید ** ته راپور ورکړي1-844-Say-CISA ((1-844-729-2472) یا cisa.gov/report.
د سایبر امنیت لپاره د کاناډا مرکز: اړیکه 1-833-CYBER-88 ((1-833-292-3788).
برطانیه:
بیړني خدمتونه: ډایل کړئ999 که د TLS بندیدل د NHS کلینیکي سیسټمونو یا د ژوند خوندیتوب اغیزه وکړي.
** د ملي سایبر امنیت مرکز (NCSC)**: که تاسو د سند شفافیت کې ستاسو د ډومین لپاره صادر شوی غیر مجاز سند ومومئ (crt.sh) لاګونه چې د DNS تښتونې په ګوته کوي، له لارې راپور ncsc.gov.uk.
اروپايي اتحاديه:
بیړني خدمتونه: ډایل کړئ112 د اروپايي اتحادیې په ټولو غړو هیوادونو کې.
** د NIS2 لارښود او د eIDAS وړ ویب سایټ تصدیق سندونه (QWACs)**: د NIS2 لارښود لاندې لازمي او مهمې ادارې چې د اوږدمهاله شتون بندیدو یا جوړ شوي PKI کیلي سره مخ دي باید په 24 ساعتونو کې خپل ملي CSIRT ته خبر ورکړي.
استرالیا او نیوزیلینډ:
بیړني خدمتونه: ډایل کړئ000 په استرالیا کې یا 111 په نیوزیلینډ کې؛ د ACSC سره اړیکه ونیسئ (1300 CYBER1) د زیربناوو پیښو لپاره.
هند او آسيا پاسفيک:
هند(CERT-In / د تصدیق کونکو چارواکو کنټرولر CCA): ډایل کړئ 112 د بیړني غبرګون لپاره؛ د PKI جوړجاړی یا د پام وړ زیربنا بندیدو راپور ورکړئ incident@cert-in.org.in په 6 ساعتونو کې.

په مکرر ډول پوښتل شوي پوښتنې¶

ولې زه یا زما کاروونکي د دې بندیدو پرمهال په کروم یا سفاري کې "پرمختللي -> سایټ ته لاړشئ (ناامنه)" کلیک نشم کولی؟¶

کله چې ستاسو ډومین لیږل کیږي سخت - ترانسپورت - امنیت ((HSTS) HTTP سرلیک - یا د لوړې کچې ډومین کاروي لکه .dev, .app, پاڼه، یا بانک کوم چې په براوزر کې هارډ کوډ شوی HSTS پریلوډ لیست - RFC 6797 براوزر ته اړتیا لري چې هر ډول ختم شوی ، پخپله لاسلیک شوی ، یا بې مطابقت شوي سند د نه رغیدو وړ وژونکي خطا په توګه چلند وکړي. براوزر په قصدي ډول د "په هر حال کې پرمخ لاړ شه" د بای پاس تڼۍ لرې کوي ترڅو د مینځني مینځني فعال (MitM) برید کونکو مخه ونیسي ترڅو کاروونکو ته د جعلي سند له لارې کلیک کولو ته وهڅوي. پداسې حال کې چې په ډیسټاپ کروم کې پراختیا کونکی کولی شي د پټ کیبورډ ترتیب ټایپ کړي دا ناامنه ده په مستقیم ډول د خطا سکرین کې د ازموینې لپاره دا په محلي توګه بای پاس کولو لپاره، اصلي کاروونکي نشي کولی؛ تاسو باید په پورټ 443 کې یو باوري سند نصب کړئ.

راځئ چې کوډ کړئ د ختمیدو خبرتیا بریښنالیکونو لیږل بند کړو او زما سند پرته له خبرتیا پای ته ورسید - ولې داسې پیښ شوي؟¶

راځئ چې په رسمي ډول د 2025 په نیمایي کې د پای ته رسیدو خبرتیا بریښنالیک خدمت تقاعد کړو ترڅو د ډیټا ساتلو سر سر کم کړي او ځکه چې د ACME اتومات تنظیمونه باید د نوي کولو روغتیا مستقیم نظارت وکړي. د راتلونکي حیرانتیاو مخنیوي لپاره ، تاسو باید د بهرني اپټایم مانیټر په کارولو سره په شبکه کې د TLS لاسي صندق پای ته رسیدو ریښتیني مهال ویش وڅارئ (لکه پرومیتیس blackbox_exporter, Uptime Kuma, Better Stack, or Datadog Synthetic TLS چکونه) په 21 ورځو، 14 ورځو، او 7 ورځو مخکې خبرتیا نه وروسته.

ولې زما سایټ زما په لپ ټاپ کې په کروم او فایرفوکس کې ښه کار کوي، مګر په Android تلیفونونو کې ناکام کیږي، `curl`، او پټې ویب هکس وروسته له دې چې ما سند تازه کړ؟¶

تاسو خپل ویب سرور تنظیم کړی (ssl_certificate په Nginx یا د SSLC سند فایل په اپاچي کې) ته اشاره کول cert.pem (یوازې د پاڼی سند) پرځای fullchain.pem (د پاڼی سند د منځنی CA سند سره بنډل شوی). د ډیسټاپ براوزرونه لکه کروم او فایرفوکس په اوتومات ډول په شالید کې د ورک شوي منځمهاله سندونو په کارولو سره ډاونلوډ کوي د چارواکو معلوماتو ته لاسرسی (AIA) ستاسو د پاڼي سند دننه URL، ستاسو د سرور غلط ترتیب پټوي. په هرصورت، curl، OpenSSL، د Android سیسټم باور تصدیق کونکی، Python، او ویب هک سرورونه د AIA تعقیب نه کوي او سمدلاسه د دې سره اړیکه ردوي. د محلي جاري کونکي سند ترلاسه کولو توان نلري. خپل تشکیل ته اشاره وکړئ fullchain.pem او خپل سرور بیا پورته کړئ.

زه څنګه وګورم چې ایا یو هیکر یا غله مدیر زما د ډومین لپاره غیر مجاز SSL سند صادر کړی؟¶

د هر عامه باور لرونکي سند اداره اړینه ده چې هر صادر شوی سند خلکو ته ننوځي د سند شفافیت (CT) لاګونه (RFC 6962) مخکې له دې چې براوزر به پدې باور وکړي. خلاص https://crt.sh/?q=%25.yourdomain.com یا د Cloudflare د سند شفافیت مانیټر هر هغه سند وګورئ چې ستاسو د ډومین او فرعي ډومینونو لپاره خپور شوی. که تاسو د یو ناپیژندل شوي CA لخوا صادر شوی سند وګورئ چې تاسو یې اجازه نه درلوده، سمدلاسه خپل د DNS راجستر کونکي او مستند DNS زون د غیر مجاز تعدیلاتو لپاره معاینه کړئ، د جاري کونکي CA سره د غلا سند لغوه کړئ، او خپل DNS بند کړئ. CAA ریکارډونه (`0 issue "letsencrypt.org"`).

څه که زما Kubernetes کلستر دی `cert-manager` زموږ د ننوتلو سند نوي کولو کې پاتې راغلی او امر په کې پاتې دی `Pending`؟¶

منډه کړه kubectl امر ترلاسه کړئ، ننګونه -A او بیا kubectl د ننګونې تشریح کوي <ننګونې-نوم> -n <نوم ځای>. په 90 سلنې کې Kubernetes د سند مدیر بندونه، د cm-acme-http-solver-* لنډمهاله پوډ روان دی، مګر یا (1) د انګریس سرچینه د ننوتلو ټولګي پخوانی تشریح لري نو د حل لاره هیڅکله ستاسو د بار بیلنسر سره نه وصل کیږي، (2) یو کوبرنیټس د شبکې پالیسي په پورټ 8089 کې د سولور پوډ ته د ننوتلو ترافیک مخه نیسي ، یا (3) د ویښتو پن NAT / سپلیټ-افق DNS مسله مخنیوی کوي د سند مدیرستاسو د عامه بار بیلانس IP ته رسیدو څخه د داخلي ځان چک کول (په تیریدو سره د حل وړ --dns01-recursive-nameservers=8.8.8.8:53,1.1.1.1:53 ته د سند مدیر د ګمارنې ارګان).

کولی شم زما کاپي کړم `/etc/letsencrypt/` د بیا جاري کولو پرځای د بیړني مهاجرت پرمهال نوي سرور ته فولډر؟¶

هو. که ستاسو لومړنی سرور مړ شوی وي او تاسو نوي سرور ته مهاجرت کوئ پداسې حال کې چې د لیټس انکریپټ لخوا نرخ محدود دی ، د کاپي کولو پرمهال سم لینکونه وساتئ /etc/letsencrypt/ کارول tar -czpf letsencrypt_backup.tar.gz /etc/letsencrypt (هیڅکله ساده استعمال مه کوئ scp -r, کوم چې سم لینکونه په کې بدلوي /etc/letsencrypt/live/ په نقل جامد فایلونو کې او راتلونکي نوي کول ماتوي). هغه آرشیف په نوي سرور کې استخراج کړئ (`sudo tar -xzpf letsencrypt_backup.tar.gz -C /`)، Nginx/Apache ته اشاره وکړئ `/etc/letsencrypt/live/domain/fullchain.pem`، او ستاسو موجوده سند به سمدلاسه په نوي IP پته کار وکړي.

اړونده لارښوونې¶

سرچینې او رسمي لارښوونې¶

د انټرنیټ انجینرۍ کاري ځواک (IETF): RFC 8555 (د اتوماتیک سند مدیریت چاپیریال / ACME)، RFC 8659 (DNS تصدیق کولو واک اختیار / CAA)، او RFC 6797 (HTTP سخت ټرانسپورټ امنیت / HSTS).
د معیارونو او ټیکنالوژۍ ملي انسټیټیوټ (NIST) (متحده ایالات): ځانګړي خپرونه 800-52 Rev. 2: د ټرانسپورټ پرت امنیت (TLS) پلي کولو او SP 1800-16 د انتخاب، ترتیب او کارولو لپاره لارښوونې: د ویب لیږد خوندي کول: د TLS سرور سند مدیریت.
د انټرنیټ امنیت څیړنیز ګروپISRG / راځئ چې رسمي اسناد کوډ کړو: د نرخ محدودیت حواله، د نقل سند قواعد، او د ACME ننګونې ستونزې حل کول.
د سایبر امنیت او زیربنا امنیت اداره (CISA) (متحده ایالات): د عملیاتي لارښود 18-01 پابند کول: د بریښنالیک او ویب امنیت ته وده ورکول (HTTPS او HSTS پلي کولو لارښود).
د ملي سایبر امنیت مرکز (NCSC) (برطانیه): د TLS کارول د ډیټا په بشپړ ډول په لیږد کې خوندي کول او د سند د شفافیت نظارت لارښود.

د تولید SSL/TLS سند پای ته رسیدلی: د HSTS هارډ - ناکام بندیدو حل کول او راځئ چې CAA/د نرخ محدودیت بلاکونه کوډ کړو¶

همدا اوس وکړئ¶

د پریکړې ونې: د ختم شوي تولید SSL/TLS سند تشخیص او تنظیم کول¶

مرحله 1: پوهیدل چې ولې HSTS (Strict-Transport-Security) د بشپړ هارډ ناکام بلیک آوټ لامل کیږي¶

مرحله 2: د 60 ثانیو تشخیص - ایا سند واقعیا دمخه په ډیسک کې نوي شوی؟¶

1 ګام: د ژوندی شبکې ساکټ د ډیسک فایل سره پرتله کړئ¶

2 ګام: 4 عام "په ډیسک کې نوي شوي ، په رام کې پای ته رسیدلي" جالونه سم کړئ¶

دریمه مرحله: د DNS اصلاح کول CAA ریکارډ بلاکونه او DNSSEC د اعتبار ناکامۍ¶

1. څنګه DNS CAA (RFC 8659) د سند نوي کول بندوي¶

د تشخیص او فوري حل لپاره CAA بلاکونه:¶

2. اصلاح کول DNS problem: SERVFAIL looking up CAA ((DNSSEC بې مطابقت)¶

مرحله 4: د کوډ کولو نرخ محدودیتونو څخه تیریدل (429 Too Many Requests) د فعال بندیدو پرمهال¶

د حل A (غوره): په 30 ثانیو کې د ACME سند اداره زیرو ایس ایس ایل، بای پاس، یا د ګوګل باور خدماتو ته واړوئ¶

د کار حل B: د یو اضافي SAN کوربه نوم په اضافه کولو سره د "5 نقل سندونو" حد کوډ کړئ اجازه راکړئ¶

پنځمه مرحله: د مات شوي اصلاح کول HTTP-01 ننګونې (Port 80) یا کارول DNS-01 بیړني اعتبار¶

ولې HTTP-01 ناڅاپه په سرورونو کې مات شو چې 60 ورځې دمخه یې کار کاوه¶

د مات شوي لپاره دوه فوري اصلاحات HTTP-01 تایید¶

فکس 1: یو وقف شوی لوړ لومړیتوب اضافه کړئ /.well-known/acme-challenge/ په نګینکس کې بلاک (پورټ 80)¶

فکس 2: بای پاس پورټ 80 او ویب سرورونه په بشپړ ډول د لارښود سره DNS-01 ((TXT) ننګونه¶

شپږم پړاو: د بیا رغولو وروسته تایید (منځنۍ لړۍ، د OCSP سټیپلینګ، او CDN پاکول)¶

سیمه ایز بیړني شمیرې او د ادارې پروتوکولونه¶

په مکرر ډول پوښتل شوي پوښتنې¶

ولې زه یا زما کاروونکي د دې بندیدو پرمهال په کروم یا سفاري کې "پرمختللي -> سایټ ته لاړشئ (ناامنه)" کلیک نشم کولی؟¶

راځئ چې کوډ کړئ د ختمیدو خبرتیا بریښنالیکونو لیږل بند کړو او زما سند پرته له خبرتیا پای ته ورسید - ولې داسې پیښ شوي؟¶

ولې زما سایټ زما په لپ ټاپ کې په کروم او فایرفوکس کې ښه کار کوي، مګر په Android تلیفونونو کې ناکام کیږي، curl، او پټې ویب هکس وروسته له دې چې ما سند تازه کړ؟¶

زه څنګه وګورم چې ایا یو هیکر یا غله مدیر زما د ډومین لپاره غیر مجاز SSL سند صادر کړی؟¶

څه که زما Kubernetes کلستر دی cert-manager زموږ د ننوتلو سند نوي کولو کې پاتې راغلی او امر په کې پاتې دی Pending؟¶

کولی شم زما کاپي کړم /etc/letsencrypt/ د بیا جاري کولو پرځای د بیړني مهاجرت پرمهال نوي سرور ته فولډر؟¶

اړونده لارښوونې¶

سرچینې او رسمي لارښوونې¶

مرحله 1: پوهیدل چې ولې HSTS (`Strict-Transport-Security`) د بشپړ هارډ ناکام بلیک آوټ لامل کیږي¶

دریمه مرحله: د DNS اصلاح کول `CAA` ریکارډ بلاکونه او `DNSSEC` د اعتبار ناکامۍ¶

1. څنګه DNS `CAA` (RFC 8659) د سند نوي کول بندوي¶

د تشخیص او فوري حل لپاره `CAA` بلاکونه:¶

2. اصلاح کول `DNS problem: SERVFAIL looking up CAA` ((`DNSSEC` بې مطابقت)¶

مرحله 4: د کوډ کولو نرخ محدودیتونو څخه تیریدل (`429 Too Many Requests`) د فعال بندیدو پرمهال¶

پنځمه مرحله: د مات شوي اصلاح کول `HTTP-01` ننګونې (`Port 80`) یا کارول `DNS-01` بیړني اعتبار¶

ولې `HTTP-01` ناڅاپه په سرورونو کې مات شو چې 60 ورځې دمخه یې کار کاوه¶

د مات شوي لپاره دوه فوري اصلاحات `HTTP-01` تایید¶

فکس 1: یو وقف شوی لوړ لومړیتوب اضافه کړئ `/.well-known/acme-challenge/` په نګینکس کې بلاک (پورټ 80)¶

فکس 2: بای پاس پورټ 80 او ویب سرورونه په بشپړ ډول د لارښود سره `DNS-01` ((`TXT`) ننګونه¶

ولې زما سایټ زما په لپ ټاپ کې په کروم او فایرفوکس کې ښه کار کوي، مګر په Android تلیفونونو کې ناکام کیږي، `curl`، او پټې ویب هکس وروسته له دې چې ما سند تازه کړ؟¶

څه که زما Kubernetes کلستر دی `cert-manager` زموږ د ننوتلو سند نوي کولو کې پاتې راغلی او امر په کې پاتې دی `Pending`؟¶

کولی شم زما کاپي کړم `/etc/letsencrypt/` د بیا جاري کولو پرځای د بیړني مهاجرت پرمهال نوي سرور ته فولډر؟¶