سرور شما باید از کدام گواهی استفاده کند؟
هر کسی که به سرور شما وصل شود گواهی آن را می‌بیند، پس حتی یک کاوشگر هم می‌تواند سرور را لو بدهد. اگر می‌توانید، از گواهی معتبر استفاده کنید. اگر نمی‌توانید، یک گواهی خودامضای بی‌ادعا باز هم می‌تواند بهتر از یک گواهی جعلی باشد.
هر گواهی به شبکه چه می‌گوید؟
-
معتبر
گواهی معتبری برای دامنه شما که یک مرجع صدور گواهی آن را امضا کرده است.
شبیه یک وب‌سایت یا سرویس معمولی به نظر می‌رسد.
-
خودامضا
گواهی‌ای که هیچ مرجعی آن را امضا نکرده و نامی ساختگی دارد، مثل گواهی یک سرور تازه‌نصب.
شبیه یک سرور خصوصی به نظر می‌رسد، مثلاً یک روتر یا یک سیستم آزمایشی.
-
نامعتبر
گواهی خودامضایی که نام یک سایت واقعی را دارد، روی آدرسی که متعلق به آن سایت نیست.
شبیه سروری به نظر می‌رسد که وانمود می‌کند چیزی است که نیست.
چرا گواهی خودامضا می‌تواند بهتر از گواهی نامعتبر باشد؟
مرورگر هر دو را رد می‌کند. تفاوت در این است که هر کدام چه ادعایی دارد.
نام ساختگی هیچ ادعایی ندارد، پس چیزی نیست که بتوان خلافش را ثابت کرد. روترها، سیستم‌های آزمایشی و ابزارهای خصوصی هر روز همین نوع گواهی را نشان می‌دهند، و شبکه‌ای که همه این گواهی‌ها را مسدود کند، دسترسی به آن‌ها را هم قطع می‌کند.
نام یک سایت واقعی ادعایی است که هر کسی می‌تواند آن را بررسی کند: آن سایت گواهی‌ای از یک مرجع و آدرس‌های خودش را دارد، و سرور شما هیچ‌کدام را ندارد. هیچ سرور معمولی چنین کاری نمی‌کند، پس شبکه با مسدود کردنش چیزی از دست نمی‌دهد.
با این حال، نام یک سایت واقعی می‌تواند در شبکه‌ای کمک کند که تنها از روی نام قضاوت می‌کند؛ آنجا چنین نامی می‌تواند عبور کند و نام ساختگی نه. برای امتحان کردن این روش، گواهی‌ای با چنین نامی روی سرور مدیریت‌شده یا روی سرور مستقل اضافه کنید.
پر کردن فیلدهای گواهی خودامضا برای واقعی جلوه دادن آن فایده‌ای ندارد. سازمان، مدت اعتبار و افزونه‌های آن چیزی را تغییر نمی‌دهند، چون کاوشگر فوراً می‌بیند که هیچ مرجعی آن را امضا نکرده است.
اگر می‌توانید، یک دامنه تهیه کنید
گواهی معتبر راه‌حل واقعی در برابر کاوشگر است و هزینه کمی هم دارد: دامنه ارزان است و گواهی‌های Let's Encrypt رایگان‌اند.
از یکی از نام‌های میزبان دامنه، مانند api.example.com، استفاده کنید. بسیاری از سایت‌ها API یا فایل‌هایشان را روی یک نام میزبان جداگانه نگه می‌دارند که غریبه‌ها را نمی‌پذیرد، درست مثل سرور شما، پس معمولی به نظر می‌رسد. www.example.com هم برای هر سایتی که دوست دارید، روی هر هاستینگی، در اختیار خودتان می‌ماند.
با این حال، دامنه کاربران شما را از یک آدرس مسدودشده عبور نمی‌دهد، چون به همان سرور می‌رسد. فقط یک پروکسی معکوس این کار را می‌کند.
