آموزش فعال‌سازی SSL رایگان در وردپرس؛ نصب در cPanel و رفع خطای Mixed Content

فعال‌سازی SSL یکی از اولین کارهایی است که باید بعد از راه‌اندازی یک سایت وردپرسی انجام دهید. با نصب گواهی SSL، آدرس سایت از HTTP به HTTPS تغییر می‌کند و اطلاعاتی که میان مرورگر کاربر و سرور ردوبدل می‌شوند به‌صورت رمزنگاری‌شده انتقال پیدا می‌کنند. این موضوع برای همه سایت‌ها مهم است، اما در فروشگاه‌های اینترنتی، سایت‌های عضویت‌محور و صفحاتی که فرم ورود، پرداخت یا دریافت اطلاعات کاربر دارند اهمیت بیشتری پیدا می‌کند.

خوشبختانه برای بیشتر سایت‌های وردپرسی لازم نیست از همان ابتدا گواهی پولی بخرید. بسیاری از شرکت‌های هاستینگ امکان صدور و تمدید خودکار SSL رایگان را فراهم می‌کنند و در کنترل‌پنل‌هایی مانند cPanel می‌توان آن را با چند مرحله فعال کرد. البته نصب گواهی فقط نیمی از کار است؛ بعد از آن باید وردپرس را روی HTTPS تنظیم کنید، ریدایرکت صحیح بسازید، خطاهای Mixed Content را برطرف کنید و مطمئن شوید همه نسخه‌های سایت به یک آدرس امن منتقل می‌شوند.

در این آموزش، مسیر کامل فعال‌سازی SSL رایگان روی وردپرس را بررسی می‌کنیم؛ از تهیه نسخه پشتیبان و صدور گواهی در cPanel گرفته تا تغییر آدرس سایت، ریدایرکت HTTP به HTTPS، رفع محتوای ترکیبی و بررسی نهایی نصب. مراحل طوری نوشته شده‌اند که حتی اگر تجربه فنی زیادی ندارید، بتوانید با دقت و بدون ایجاد اختلال جدی روی سایت آن‌ها را انجام دهید.

SSL رایگان چیست و چه کاری انجام می‌دهد؟

SSL نامی است که هنوز به‌صورت عمومی برای گواهی‌های امنیتی وب استفاده می‌شود، هرچند فناوری امروزی در عمل TLS است. این گواهی هویت دامنه را برای مرورگر تأیید می‌کند و یک ارتباط رمزنگاری‌شده میان کاربر و سرور می‌سازد. پس از فعال‌سازی صحیح، سایت با HTTPS باز می‌شود و مرورگر در کنار آدرس آن علامت اتصال امن را نمایش می‌دهد.

یکی از شناخته‌شده‌ترین صادرکنندگان گواهی رایگان، Let’s Encrypt است. این مرجع صدور گواهی، گواهی‌های رایگان و خودکار ارائه می‌کند و هاستینگ‌ها معمولاً فرایند صدور و تمدید آن را از طریق AutoSSL، ACME یا ابزار مشابه در اختیار کاربران قرار می‌دهند. کاربر برای دریافت گواهی باید مالکیت یا کنترل دامنه را اثبات کند؛ در هاست اشتراکی این بررسی معمولاً به‌صورت خودکار انجام می‌شود.

رایگان بودن گواهی به معنای ضعیف بودن رمزنگاری نیست. گواهی‌های رایگان DV برای بیشتر وب‌سایت‌های شخصی، شرکتی، آموزشی، خبری و فروشگاه‌های معمولی مناسب هستند. تفاوت اصلی آن‌ها با برخی گواهی‌های پولی بیشتر به نوع اعتبارسنجی سازمان، مدت پشتیبانی، ضمانت مالی، امکانات مدیریتی و نیازهای سازمانی مربوط می‌شود؛ نه اینکه اتصال HTTPS در نسخه رایگان بی‌ارزش باشد.

آیا SSL رایگان برای سایت وردپرسی کافی است؟

برای بیشتر سایت‌های وردپرسی، پاسخ مثبت است. اگر هدف شما فعال‌کردن HTTPS، رمزنگاری ارتباط، حذف هشدار Not Secure و ایجاد یک اتصال امن استاندارد است، SSL رایگان دامنه‌محور معمولاً نیاز سایت را برطرف می‌کند. سایت‌های محتوایی، وبلاگ‌ها، نمونه‌کارها، سایت‌های شرکتی و بسیاری از فروشگاه‌های ووکامرسی می‌توانند بدون مشکل از این نوع گواهی استفاده کنند.

بااین‌حال، گواهی SSL جایگزین امنیت کامل سایت نیست. نصب HTTPS مانع استفاده از رمزهای ضعیف، نصب افزونه آلوده، نفوذ از طریق آسیب‌پذیری قالب، سرقت حساب مدیر یا آلودگی فایل‌های هاست نمی‌شود. برای حفظ امنیت وردپرس همچنان باید هسته، افزونه‌ها و قالب را به‌روز نگه دارید، از رمز قوی و ورود دومرحله‌ای استفاده کنید، دسترسی‌ها را کنترل کنید و بکاپ منظم داشته باشید.

قبل از فعال‌سازی SSL چه کارهایی انجام دهیم؟

تغییر سایت از HTTP به HTTPS معمولاً فرایند ساده‌ای است، اما اگر بدون آماده‌سازی انجام شود ممکن است باعث حلقه ریدایرکت، از دسترس خارج‌شدن پنل وردپرس، نمایش ناقص تصاویر یا ایجاد نسخه‌های تکراری از صفحات شود. قبل از شروع، موارد زیر را انجام دهید:

• از فایل‌های سایت و دیتابیس یک نسخه پشتیبان قابل‌بازیابی تهیه کنید.
• مطمئن شوید دامنه و نسخه www یا بدون www به هاست فعلی اشاره می‌کنند.
• بررسی کنید سایت از طریق HTTP بدون خطای DNS یا خطای سرور باز می‌شود.
• کش افزونه، سرور و CDN را پاک کنید و دسترسی به پنل هاست را داشته باشید.
• آدرس فعلی WordPress Address و Site Address را یادداشت کنید.
• اگر از CDN یا پراکسی مانند Cloudflare استفاده می‌کنید، تنظیمات SSL آن را نیز بررسی کنید.

نکته مهم این است که ابتدا باید گواهی روی سرور نصب و معتبر شود و بعد آدرس وردپرس را به HTTPS تغییر دهید. اگر قبل از صدور گواهی، وردپرس را روی HTTPS قرار دهید، ممکن است مرورگر خطای گواهی نمایش دهد یا ورود به مدیریت سایت دشوار شود.

آموزش فعال‌سازی SSL رایگان در cPanel

نام و محل گزینه‌ها ممکن است براساس نسخه cPanel و تنظیمات شرکت هاستینگ کمی متفاوت باشد، اما در بیشتر سرویس‌ها فرایند کلی مشابه است. ابتدا وارد cPanel شوید و در بخش Security به‌دنبال گزینه‌ای مانند SSL/TLS Status، SSL/TLS یا Manage AutoSSL بگردید.

مرحله اول: ورود به بخش SSL/TLS Status

از صفحه اصلی cPanel وارد بخش SSL/TLS Status شوید. در این صفحه فهرست دامنه اصلی، زیردامنه‌ها و رکوردهایی مانند www را مشاهده می‌کنید. دامنه‌هایی که گواهی معتبر دارند معمولاً با وضعیت سبز مشخص می‌شوند و دامنه‌های بدون گواهی یا دارای مشکل، وضعیت متفاوتی دارند.

دامنه اصلی و نسخه www آن را انتخاب کنید. اگر زیردامنه‌هایی مانند mail، webmail یا موارد آزمایشی دارید، فقط گزینه‌هایی را فعال کنید که واقعاً به همین هاست اشاره می‌کنند. وجود زیردامنه‌ای که DNS آن به سرور دیگری متصل است می‌تواند باعث شکست فرایند اعتبارسنجی شود.

آموزش فعال‌سازی SSL رایگان در cPanel

مرحله دوم: اجرای AutoSSL

پس از انتخاب دامنه، روی گزینه‌ای مانند Run AutoSSL کلیک کنید. cPanel مالکیت دامنه را بررسی می‌کند و در صورت صحیح بودن DNS، گواهی را صادر و نصب می‌کند. این فرایند ممکن است چند دقیقه زمان ببرد. صفحه را پی‌درپی رفرش نکنید و اجازه دهید عملیات کامل شود.

اگر هاست شما گزینه AutoSSL را نمایش نمی‌دهد، ممکن است صدور گواهی از بخش دیگری انجام شود یا شرکت میزبان آن را به‌صورت خودکار فعال کرده باشد. در این شرایط نام دامنه را با HTTPS باز کنید و وضعیت گواهی را بررسی کنید. اگر هنوز خطا وجود دارد، از پشتیبانی هاست بخواهید وضعیت SSL رایگان و تمدید خودکار آن را بررسی کند.

مرحله سوم: بررسی نصب گواهی

بعد از پایان AutoSSL، آدرس سایت را با HTTPS در یک پنجره ناشناس مرورگر باز کنید. اگر سایت بدون هشدار گواهی نمایش داده شد، مرحله صدور موفق بوده است. با کلیک روی اطلاعات امنیتی کنار آدرس مرورگر می‌توانید دامنه تحت پوشش، صادرکننده و تاریخ اعتبار گواهی را مشاهده کنید.

در این مرحله ممکن است سایت با HTTPS باز شود ولی برخی تصاویر، فایل‌های CSS یا اسکریپت‌ها هنوز از HTTP بارگذاری شوند. این وضعیت همان Mixed Content است که در ادامه آن را رفع می‌کنیم.

اگر AutoSSL خطا داد چه مواردی را بررسی کنیم؟

رایج‌ترین دلیل شکست صدور SSL، تنظیم نبودن DNS است. مرجع صادرکننده باید بتواند مطمئن شود دامنه واقعاً به همین سرور متصل است. اگر رکورد A دامنه به IP دیگری اشاره کند، رکورد www اشتباه باشد یا CDN درخواست اعتبارسنجی را مسدود کند، صدور گواهی انجام نمی‌شود.

• DNS دامنه: رکورد A دامنه و www باید به IP صحیح هاست اشاره کنند.
• تغییر تازه نیم‌سرورها: انتشار DNS ممکن است چند ساعت زمان ببرد.
• دامنه منقضی: دامنه منقضی یا غیرفعال امکان اعتبارسنجی ندارد.
• زیردامنه نامعتبر: زیردامنه‌ای که به سرور دیگری اشاره می‌کند از لیست AutoSSL خارج شود.
• CDN و پراکسی: تنظیمات پراکسی بررسی یا در صورت نیاز موقتاً غیرفعال شود.
• محدودیت هاست: ممکن است سرویس میزبان AutoSSL را غیرفعال کرده باشد.

متن دقیق خطا را یادداشت کنید؛ عبارت‌هایی مانند DNS DCV، HTTP DCV، Domain Control Validation یا Certificate Authority Failed معمولاً سرنخ اصلی مشکل را نشان می‌دهند. اگر مشکل از سمت سرور باشد، ارسال همین متن برای پشتیبانی باعث می‌شود سریع‌تر علت را پیدا کنند.

تنظیم HTTPS در وردپرس پس از نصب SSL

وقتی گواهی روی سرور فعال شد، وارد پیشخوان وردپرس شوید و از مسیر تنظیمات ← عمومی دو فیلد «نشانی وردپرس» و «نشانی سایت» را بررسی کنید. ابتدای هر دو آدرس را از http:// به https:// تغییر دهید و تنظیمات را ذخیره کنید.

تنظیم HTTPS در وردپرس پس از نصب SSL

پس از ذخیره، وردپرس شما را از حساب خارج می‌کند و باید دوباره با آدرس HTTPS وارد شوید. اگر بعد از تغییر آدرس به پنل دسترسی نداشتید، ابتدا کش مرورگر و افزونه کش را پاک کنید. اگر مشکل ادامه داشت، می‌توان آدرس‌های سایت را از طریق فایل wp-config.php یا دیتابیس به حالت قبل برگرداند؛ به همین دلیل تهیه بکاپ قبل از شروع مهم است.

حتی اگر وردپرس تغییر به HTTPS را پیشنهاد داد، تصاویر و فایل‌های داخلی را بررسی کنید؛ چون تغییر دو آدرس اصلی الزاماً همه URLهای قدیمی دیتابیس را اصلاح نمی‌کند.

ریدایرکت HTTP به HTTPS چگونه انجام می‌شود؟

بعد از فعال‌سازی SSL باید هر درخواست HTTP با ریدایرکت دائمی 301 به نسخه HTTPS منتقل شود. بدون این ریدایرکت، ممکن است هر دو نسخه سایت در دسترس باشند و کاربران یا موتورهای جست‌وجو وارد نسخه ناامن شوند. همچنین وجود نسخه‌های هم‌زمان می‌تواند باعث پراکندگی سیگنال صفحات شود.

بعضی شرکت‌های هاستینگ یا افزونه‌های وردپرس این ریدایرکت را خودکار انجام می‌دهند. ابتدا آدرس یکی از صفحات را با HTTP باز کنید؛ اگر بلافاصله به همان صفحه روی HTTPS منتقل شد، نیاز نیست قانون دیگری اضافه کنید. اضافه‌کردن چند ریدایرکت مشابه در افزونه، cPanel و فایل htaccess می‌تواند حلقه ریدایرکت ایجاد کند.

اگر ریدایرکت فعال نبود و وب‌سرور شما Apache یا LiteSpeed است، می‌توان قانون زیر را در ابتدای فایل .htaccess و قبل از قوانین اصلی وردپرس قرار داد:

پیش از ویرایش فایل، یک نسخه از آن ذخیره کنید. اگر سایت پشت CDN یا پراکسی معکوس قرار دارد، تشخیص HTTPS ممکن است متفاوت باشد و این قانون برای همه زیرساخت‌ها مناسب نیست. در صورت ایجاد خطای Too Many Redirects، قانون را حذف کنید و تنظیمات SSL در CDN، وردپرس و سرور را هم‌زمان بررسی کنید.

خطای Mixed Content چیست؟

Mixed Content زمانی رخ می‌دهد که صفحه اصلی با HTTPS باز شده، اما یک یا چند منبع داخل آن هنوز با HTTP فراخوانی می‌شوند. این منبع می‌تواند تصویر، فایل CSS، فونت، JavaScript، ویدئو، iframe یا حتی آدرس یک API باشد. مرورگر بعضی منابع ناامن را مسدود می‌کند و در نتیجه ممکن است ظاهر سایت به‌هم بریزد یا علامت اتصال کاملاً امن نمایش داده نشود.

خطای Mixed Content چیست؟

برای پیدا کردن منبع مشکل، صفحه را در مرورگر باز کنید، کلید F12 را بزنید و از بخش Console به‌دنبال پیام‌های Mixed Content بگردید. آدرس فایل ناامن معمولاً در همان پیام نمایش داده می‌شود. همچنین در تب Network می‌توانید درخواست‌هایی را که با HTTP ارسال می‌شوند فیلتر کنید.

چطور Mixed Content وردپرس را برطرف کنیم؟

۱. آدرس‌های داخلی دیتابیس را اصلاح کنید

اگر تصاویر و لینک‌های قدیمی با آدرس کامل HTTP داخل نوشته‌ها، برگه‌ها یا تنظیمات قالب ذخیره شده‌اند، باید آن‌ها را به HTTPS تغییر دهید. این کار را می‌توان با ابزار Search and Replace مطمئن یا WP-CLI انجام داد. جایگزینی مستقیم و غیرحرفه‌ای در فایل SQL ممکن است داده‌های سریال‌شده وردپرس را خراب کند.

قبل از جایگزینی، بکاپ دیتابیس تهیه کنید و ابتدا حالت آزمایشی یا Dry Run را اجرا کنید. عبارت مبدأ باید دقیقاً دامنه قدیمی با HTTP باشد و مقصد همان دامنه با HTTPS؛ به ساختار www یا بدون www نیز توجه کنید.

۲. تنظیمات قالب و صفحه‌ساز را بررسی کنید

لوگو، تصویر پس‌زمینه، آیکون‌ها و فونت‌های سفارشی گاهی در تنظیمات قالب یا صفحه‌ساز ذخیره شده‌اند. اگر با اصلاح دیتابیس هنوز خطا وجود دارد، سربرگ، پابرگ، CSS سفارشی و تنظیمات عمومی قالب را بازبینی کنید و فایل را دوباره از کتابخانه رسانه انتخاب کنید.

۳. لینک‌های خارجی ناامن را جایگزین کنید

ممکن است منبع HTTP متعلق به دامنه دیگری باشد. ابتدا بررسی کنید همان فایل روی HTTPS در دسترس است یا نه. اگر نسخه امن دارد، آدرس را اصلاح کنید؛ در غیر این صورت فایل را با رعایت حق نشر روی هاست خود قرار دهید یا منبع دیگری انتخاب کنید. نباید صرفاً عبارت HTTP را از آدرس خارجی حذف کرد، زیرا ممکن است سرویس مقصد HTTPS را پشتیبانی نکند.

۴. کش سایت، CDN و مرورگر را پاک کنید

پس از اصلاح آدرس‌ها، کش افزونه وردپرس، کش سرور، CDN و مرورگر را پاک کنید. گاهی فایل اصلاح شده است ولی نسخه قدیمی همچنان از کش نمایش داده می‌شود. سپس صفحه را در حالت ناشناس دوباره آزمایش کنید.

آیا برای فعال‌سازی HTTPS به افزونه نیاز داریم؟

برای صدور و نصب گواهی معمولاً به افزونه وردپرس نیاز ندارید؛ این مرحله در سطح هاست انجام می‌شود. افزونه‌های SSL می‌توانند تشخیص HTTPS، ریدایرکت و بعضی اصلاحات Mixed Content را ساده‌تر کنند، اما استفاده از آن‌ها همیشه ضروری نیست.

اگر هاست و وردپرس به‌درستی تنظیم شده‌اند، ریدایرکت سرور فعال است و آدرس‌های قدیمی دیتابیس اصلاح شده‌اند، می‌توان بدون افزونه اضافی از HTTPS استفاده کرد. افزونه زمانی مفید است که کاربر فنی نیست یا قالب و افزونه‌ها مشکلات خاصی ایجاد کرده‌اند. بااین‌حال، نصب افزونه نباید جای پیدا کردن علت اصلی خطا را بگیرد.

SSL رایگان بهتر است یا SSL پولی؟

انتخاب میان گواهی رایگان و پولی باید براساس نوع سایت و نیاز واقعی انجام شود. برای مقایسه گزینه‌ها، صادرکنندگان، محدودیت‌ها و کاربرد هرکدام می‌توانید راهنمای بهترین SSL رایگان برای سایت را به‌عنوان منبع تکمیلی بررسی کنید.

تمدید خودکار SSL رایگان را چگونه بررسی کنیم؟

گواهی‌های رایگان معمولاً دوره اعتبار کوتاه‌تری دارند، اما هاستینگ باید آن‌ها را پیش از انقضا تمدید کند. در cPanel وضعیت AutoSSL را بررسی کنید و مطمئن شوید دامنه از فرایند تمدید خارج نشده است. همچنین ایمیل حساب هاست را به‌روز نگه دارید تا هشدارهای احتمالی صدور یا تمدید را دریافت کنید.

لازم نیست هر چند ماه به‌صورت دستی گواهی جدید نصب کنید، مگر اینکه سرویس میزبان تمدید خودکار ارائه ندهد. اگر تاریخ اعتبار رو به پایان است و AutoSSL گواهی تازه صادر نکرده، DNS، دامنه‌های تحت پوشش و لاگ AutoSSL را بررسی کنید و پیش از منقضی شدن با پشتیبانی تماس بگیرید.

انتخاب هاست مناسب چه نقشی در SSL دارد؟

بخش مهمی از تجربه فعال‌سازی SSL به کیفیت هاست برمی‌گردد. شرکت میزبان باید امکان صدور گواهی رایگان، تمدید خودکار، پشتیبانی از HTTPS، تنظیم درست وب‌سرور و پاسخ‌گویی مناسب در زمان خطا را فراهم کند. اگر هر بار برای تمدید گواهی نیاز به نصب دستی یا پیگیری طولانی داشته باشید، حتی یک گواهی رایگان نیز می‌تواند دردسرساز شود.

بعضی سرویس‌های میزبانی، SSL رایگان را همراه پلن ارائه می‌کنند. اگر قصد بررسی یا خرید سرویس از نت‌افراز را دارید، بهتر است ابتدا امکانات پلن، نوع بکاپ، منابع و شرایط تمدید را بررسی کنید و سپس از صفحه کد تخفیف نت افراز پیشنهادهای فعال را ببینید. وجود تخفیف باید مرحله بعد از انتخاب فنی سرویس باشد، نه تنها دلیل خرید هاست.

بعد از فعال‌سازی SSL چه بخش‌هایی را کنترل کنیم؟

• صفحه اصلی و صفحات داخلی فقط با HTTPS باز شوند.
• نسخه HTTP با ریدایرکت 301 به HTTPS منتقل شود.
• نسخه www و بدون www به آدرس اصلی واحد هدایت شوند.
• در Console مرورگر هیچ خطای Mixed Content وجود نداشته باشد.
• تصاویر، CSS، JavaScript، فونت و iframeها از آدرس امن بارگذاری شوند.
• فرم ورود، ثبت‌نام، سبد خرید و پرداخت بدون خطا کار کنند.
• آدرس سایت در نقشه سایت و تگ canonical به‌صورت HTTPS باشد.
• نسخه HTTPS در ابزارهای تحلیلی و سرچ کنسول بررسی شود.
• تاریخ اعتبار و تمدید خودکار گواهی کنترل شود.

بعد از فعال‌سازی SSL چه بخش‌هایی را کنترل کنیم؟

تست را به صفحه اصلی محدود نکنید؛ برگه تماس، نوشته قدیمی، صفحه محصول و تسویه‌حساب نیز باید بدون هشدار و با ریدایرکت صحیح باز شوند.

خطاهای رایج بعد از فعال‌سازی SSL در وردپرس

خطای Too Many Redirects

این خطا زمانی ایجاد می‌شود که چند سیستم مختلف هم‌زمان ریدایرکت HTTPS را اجرا کنند یا CDN نوع اتصال را اشتباه تشخیص دهد. ریدایرکت افزونه، htaccess، کنترل‌پنل و CDN را بررسی کنید و فقط یک مسیر مطمئن برای انتقال HTTP به HTTPS نگه دارید.

باز نشدن پنل مدیریت

اگر پس از تغییر آدرس وردپرس امکان ورود ندارید، کش و کوکی را پاک کنید و آدرس دقیق wp-admin را با HTTPS باز کنید. در صورت ادامه مشکل، مقادیر siteurl و home را از دیتابیس یا wp-config.php بررسی کنید.

نمایش ناقص قالب

این مشکل معمولاً به Mixed Content، فایل CSS قدیمی یا کش مربوط است. Console مرورگر را بررسی کنید، آدرس فایل مسدودشده را اصلاح کنید و کش‌های مختلف را پاک کنید.

منقضی شدن ناگهانی گواهی

تمدید ناموفق می‌تواند به تغییر DNS، غیرفعال شدن AutoSSL، حذف رکورد دامنه یا خطای اعتبارسنجی مرتبط باشد. منتظر هشدار مرورگر نمانید و تاریخ اعتبار را دوره‌ای کنترل کنید.

جمع‌بندی؛ SSL رایگان وردپرس را چطور فعال کنیم؟

برای فعال‌سازی SSL رایگان در وردپرس، ابتدا از سایت بکاپ بگیرید و مطمئن شوید DNS دامنه به هاست صحیح اشاره می‌کند. سپس از بخش SSL/TLS Status در cPanel، AutoSSL را برای دامنه و نسخه www اجرا کنید. بعد از نصب موفق گواهی، آدرس‌های وردپرس را به HTTPS تغییر دهید و انتقال دائمی HTTP به HTTPS را فقط از یک مسیر مطمئن فعال کنید.

در مرحله بعد، خطاهای Mixed Content را با بررسی Console مرورگر، اصلاح آدرس‌های دیتابیس، تنظیمات قالب و لینک‌های خارجی برطرف کنید. در پایان، صفحات اصلی، فرم‌ها، فروشگاه، ریدایرکت‌ها، canonical، نقشه سایت و تمدید خودکار گواهی را کنترل کنید.

برای بیشتر سایت‌های وردپرسی، SSL رایگان کافی است؛ به شرطی که درست نصب و خودکار تمدید شود. HTTPS را در کنار به‌روزرسانی وردپرس، بکاپ منظم، رمز قوی و میزبانی قابل‌اعتماد استفاده کنید.