مولّد الشهادات ذاتية التوقيع لـ localhost والخوادم الداخلية

لأن الشهادة المنفردة يجب الوثوق بها على كل جهاز وفي كل متصفح وواحدةً واحدة — وقد أزال كروم خيار الوثوق بها دائمًا لـ localhost. أما سلطة الجذر فتُثبَّت مرة واحدة، وبعدها تُقبل فورًا أي شهادة تصدرها عنها، بما فيها شهادات مشاريع لم تنشئها بعد. وهو المنطق نفسه وراء mkcert.

إنه خطر حقيقي يستحق جوابًا صريحًا: من يملك مفتاح السلطة الخاص يستطيع إصدار شهادة لأي موقع، وأي جهاز يثق بتلك السلطة سيقبلها. وبما أن المفتاح يُولَّد في متصفحك وأنت وحدك تملكه فالخطر هو تسرّبه. أبقِه على جهازك، ولا تضعه في مستودع مشترك، ولا تثبّت السلطة على أجهزة لا تتحكم بها. وإن تسرّب المفتاح فاحذف السلطة من مخزن الثقة وأنشئ غيرها.

ثلاثة أسباب معتادة. لفايرفوكس مخزن شهادات خاص يتجاهل مخزن النظام، فاستورد السلطة إليه على حدة. ويحتفظ كروم وسفاري بقرارات الشهادات مؤقتًا، فأعد تشغيل المتصفح كليًا. وأخيرًا يجب أن تحمل الشهادة الاسم الذي تزوره بالضبط: localhost و127.0.0.1 مدخلان مختلفان.

للتطوير المحلي، المدة الافتراضية 825 يومًا مريحة. لاحظ أن macOS وiOS يرفضان أي شهادة تتجاوز 825 يومًا حتى لو كانت ذاتية التوقيع، فتجاوز ذلك سيعطّل سفاري على أجهزة أبل. أما السلطة نفسها فتُصدر لعشر سنوات، لأن إعادة تثبيت الجذر في كل المتصفحات هي الجزء المُتعب.

لا، ولا شيء يغيّر ذلك. زوّارك لم يثبّتوا سلطتك، فستعرض متصفحاتهم تحذيرًا يملأ الشاشة. الموقع العام يحتاج شهادة من سلطة موثوقة عمومًا — وLet's Encrypt تصدرها دون مقابل وتجدّدها تلقائيًا.