Cloudflare سال‌ها به 16 مرجع صدور گواهی عمومی شریک تکیه کرده، بی‌آنکه خودش حتی یک گواهی مورد اعتماد عمومی صادر کند. اکنون قصد دارد خودش یکی از آن‌ها شود، و بخش جالب ماجرا طراحی است: گواهی‌های کلاسیک و Merkle Tree Certificates زیر یک مرجع، با مهار خرابی از همان آغاز.
مصرف‌کنندهٔ گواهی، صادرکنندهٔ آن می‌شود #
بیشتر شرکت‌های زیرساختی در یک سوی رابطهٔ گواهی می‌مانند. گواهی درخواست می‌کنند، نصبش می‌کنند و وقتی مرجعی دچار حادثه می‌شود شکایت می‌کنند. Cloudflare محکم در سوی مصرف‌کننده بوده است. به روایت خودش، هرگز حتی یک گواهی مورد اعتماد عمومی صادر نکرده است.
این وضع در آستانهٔ تغییر است، یا دست‌کم Cloudflare می‌گوید چنین قصدی دارد. این شرکت قصد خود را برای تبدیل شدن به مرجع صدور گواهی عمومی اعلام می‌کند. این اعلامیه دربارهٔ وضعیت امروز محتاط است، و این مقاله هم باید چنین باشد. Cloudflare هنوز گواهی صادر نمی‌کند. همه‌چیز دربارهٔ رفتار این سرویس، از رابط ACME تا قواعد تمدید و پشتیبانی از Merkle Tree Certificates، بیان یک برنامه است و نه توصیف سامانه‌ای در حال کار.
آنچه این اعلامیه را باورپذیر می‌کند جاه‌طلبی نیست، بلکه زمینه‌سازی‌ای است که از هم‌اکنون دیده می‌شود. Cloudflare برای ورود به برنامه‌های ریشهٔ Chrome، Apple، Microsoft و Mozilla درخواست داده است. می‌گوید در حال طی فرایند درخواست و تأیید با هر یک از برنامه‌های اصلی کلید ریشهٔ وب است، و یادآور می‌شود که این فرایندها آشکارا انجام می‌شوند. هر کسی، در اصل، می‌تواند ببیند که درخواست موفق می‌شود یا نه.
چرا Cloudflare در جایگاه طرح این پرسش است #
استدلال Cloudflare برای ساخت یک مرجع گواهی از جایگاهش به‌عنوان مشتری آغاز می‌شود. این شرکت در برابر بیش از 20 درصد از ترافیک درخواست‌های جهانی اینترنت قرار دارد. TLS را برای میلیون‌ها دامنه خاتمه می‌دهد و سالانه به میلیون‌ها گواهی تکیه می‌کند. از راه Universal SSL بسته‌های گواهی در اختیار مشتریانش می‌گذارد، و برای اجرای سامانه‌ها و عملیات داخلی خود نیز از مراجع گوناگون گواهی می‌گیرد.
برای سرپا نگه داشتن خدمات مشتریان، Cloudflare این گواهی‌ها را از چند مرجع تأمین می‌کند، با مسیرهای اصلی و پشتیبان تا خدمات مشتریان از قطعی مراجع و رویدادهای ابطال جان سالم به در ببرند. شبکهٔ مراجع گواهی عمومی شریکی که سال‌ها به آن‌ها تکیه کرده 16 مرجع است.
سازوکار پشتیبان شایستهٔ نگاهی دقیق‌تر است، چون نشان می‌دهد Cloudflare چگونه دربارهٔ خرابی فکر می‌کند. هر گواهی Universal SSL از قبل با یک گواهی پشتیبان همراه است که با کلیدی جداگانه بسته‌بندی شده و مرجعی دیگر آن را صادر کرده است. اگر گواهی اصلی باطل یا به خطر بیفتد، پشتیبان آمادهٔ استقرار خودکار است. این پوششی در برابر خطای هر مرجع منفرد است که از سوی مشتری در این رابطه ساخته شده است.
اما این پوشش سقفی هم دارد. فقط می‌توان میان مراجعی که وجود دارند تنوع ایجاد کرد، و منبع استدلال می‌کند که عرضهٔ مراجع توانمند کم‌تر از آن است که به نظر می‌رسد.
مسئلهٔ تمرکز #
اعداد پشت این استدلال چشمگیرند. Let's Encrypt روزانه حدود ده میلیون گواهی صادر می‌کند. به بیش از 500 میلیون وب‌سایت خدمت می‌دهد و در 2025 از چهار میلیارد گواهی فعال گذشت. این‌ها اعداد یک مرجع رایگان واحدند و وبی را توصیف می‌کنند که رمزگذاری‌اش به‌شدت به یک سازمان تکیه دارد.
منبع نتیجهٔ روشن را می‌گیرد، با احتیاطی بجا: اگر مرجع رایگانِ مسلط هفتهٔ بدی داشته باشد، بخش بزرگی از وب جایگزین رایگان و خودکار هم‌ترازی آماده برای تحمل بار نخواهد داشت. این گزاره‌ای دربارهٔ یک فرض است، و Cloudflare آن را همین‌گونه عرضه می‌کند. ادعا نمی‌کند چنین هفته‌ای رخ داده، یا در راه است.
با این همه، دنبال کردن منطق آسان است. یک مرجع رایگان و خودکار تنها وقتی گزینه‌ای برای تاب‌آوری است که پیش از وضعیت اضطراری وجود داشته باشد. پیشنهاد Cloudflare این است که می‌تواند مرجع دومی را در مقیاس بزرگ فراهم کند. به نظر من این قوی‌ترین دلیل تجاری و فنی در این اعلامیه است، و به هیچ‌یک از بخش‌های گمانه‌زنانه‌تر برنامه وابسته نیست. وبی که یک مرجع رایگانِ مسلط و اندکی دیگر دارد، وبی با یک نقطهٔ شکست واحد است، کیفیت عملیات آن مرجع هر چه باشد.
| بُعد | مرجع رایگان و خودکار سنتی (Let's Encrypt) | مرجع گواهی عمومی پیشنهادی Cloudflare |
|---|---|---|
| راهبرد لنگر اعتماد | ISRG Root X1 / X2 (ریشه‌های درون‌سازمانی از 2015 به بعد) | ریشهٔ خریداری‌شدهٔ GlobalSign (مورد اعتماد از 2012) + ریشهٔ تازه |
| پروتکل صدور | ACME استاندارد (RFC 8555) | ACME با اجرای الزامی ARI (RFC 9773) |
| الگوی ابطال | CRL / OCSP + جایگزینی گروهی اضطراری گواهی مشترکان | جلو انداختن هماهنگ تمدید از راه نقاط پایانی ARI |
| مسیر پساکوانتومی | امضاهای ترکیبی X.509 در دست ارزیابی | Merkle Tree Certificates (MTC) بومی در کنار X.509 کلاسیک |
| مقیاس و بار کاری نخستین | حدود 10 میلیون گواهی در روز در بیش از 500 میلیون سایت | اعتبارسنجی به‌عنوان Customer Zero روی بیش از 20% ترافیک جهانی وب |
خرید یک ریشه به‌جای انتظار برای ریشهٔ تازه #
عملی‌ترین تصمیم این اعلامیه به ریشه مربوط است. Cloudflare می‌گوید قراردادی قطعی برای خرید یک ریشهٔ جاافتاده و مورد اعتماد گسترده از GlobalSign امضا کرده است. منبع دلیلش را مستقیم می‌گوید: یک ریشهٔ کاملاً تازه تا سال‌ها کاربرد گسترده ندارد. در مقابل، ریشهٔ موجود GlobalSign از 2012 در مرورگرها، سیستم‌عامل‌ها و دستگاه‌ها مورد اعتماد بوده است.
اعتماد به ریشه کند پیش می‌رود چون در دستگاه‌ها نصب می‌شود، و دستگاه‌ها کند به‌روز می‌شوند. ممکن است همهٔ برنامه‌ها ریشهٔ تازه‌ای را بپذیرند و باز هم اعتبارسنجی آن روی یک گوشی قدیمی یا یک سامانهٔ تعبیه‌شده شکست بخورد. خرید ریشه‌ای که از 2012 در میدان بوده از این انتظار می‌گذرد، دست‌کم به همان صورتی که منبع آن را بیان می‌کند.
Cloudflare مسیر ریشهٔ تازه را یکسره کنار نمی‌گذارد. یک ریشهٔ تازه هم برای ورود به برنامه‌های کلید ریشه ارائه خواهد کرد، که آن را ساخته‌شده برای مسیری توصیف می‌کند که این بوم‌سازگان به سویش می‌رود، از جمله برنامه‌هایی که شروع کرده‌اند برای سن یک ریشهٔ مورد اعتماد سقف بگذارند. این جزئیات آخر یادآوری سودمندی است که سن دو لبه دارد. سن یک ریشهٔ مورد اعتماد برای پوشش دستگاه‌ها دارایی است، و برخی برنامه‌ها به سوی محدودیت سن ریشهٔ مورد اعتماد می‌روند. اداره کردن هم‌زمان یک ریشهٔ خریداری‌شده و یک ارائهٔ تازه پاسخی به این کشاکش به نظر می‌رسد، هرچند منبع استدلال را با این واژه‌ها توضیح نمی‌دهد.
سرویسی با اولویت ACME، با چند شرط #
پذیرش همان جایی است که بسیاری از اعلامیه‌های مراجع گواهی مبهم می‌شوند. Cloudflare مشخص حرف می‌زند. مرجع عمومی‌اش ACME-first خواهد بود، یعنی به پروتکل Automated Certificate Management Environment سخن می‌گوید که خودکارسازی موجود از پیش از آن استفاده می‌کند. ادعا این است که هر کس اکنون به یک مرجع رایگان موجود اشاره می‌کند، با تغییر یک نشانی URL دایرکتوری می‌تواند به مرجع Cloudflare برود، بدون ابزار تازه و بدون بازطراحی چیزی. این یک برنامه است، نه مسیر مهاجرتی آزموده، و باید همین‌گونه خوانده شود. اما تغییر یک خط پیکربندی هدف درستی است، چون هزینهٔ مهاجرت است که مردم را روی گزینهٔ پیش‌فرض نگه می‌دارد.
گره کار الزامی است که بیشتر کاربران ACME تاکنون مجبور به برآوردنش نبوده‌اند. Cloudflare فقط به کلاینت‌هایی گواهی می‌دهد که از ACME Renewal Information، یا ARI، استانداردشده در RFC 9773، پشتیبانی کنند. مشترکان باید خودکارسازی‌ای را نگه دارند که از نقطهٔ پایانی تمدید Cloudflare پرس‌وجو کند، بر اساس پنجره‌های تمدیدی که Cloudflare منتشر می‌کند عمل کند و گواهی‌ای را که جایگزین می‌کند مشخص کند.
این موضعی قاطع است، و به نظرم درست است. همچنین پرسشی منصفانه دربارهٔ پذیرش پیش می‌کشد: مرجعی که فقط به کلاینت‌های توانا در ARI خدمت می‌دهد، از مرجعی که به هر کسی با یک کتابخانهٔ ACME خدمت می‌دهد محدودتر است. منبع نمی‌گوید امروز چند کلاینت بیرون می‌مانند، پس حدس نمی‌زنم. آنچه می‌گوید این است که چرا Cloudflare این قید را می‌خواهد.
ابطال بدون از کار انداختن سایت‌ها #
Cloudflare می‌گوید در 16 سال گذشته چیزهایی را دیده است، و یک مشاهده این طراحی را پیش می‌برد. مراجع گواهی‌ای را دیده که میان ابطال به‌موقع و آنلاین نگه داشتن سایت‌های مشترکانشان گیر افتاده‌اند.
این کشاکش برای هر مرجع گواهی واقعی است. ابطال سریع یک گواهی از عموم محافظت می‌کند، اما اگر مشترک نتواند به‌سرعت آن را جایگزین کند، ممکن است هر سایتی را که به آن گواهی وابسته است از کار بیندازد. مرجعی که در میانه گیر افتاده یا دیر ابطال می‌کند یا مشتریان را از کار می‌اندازد.
ARI پاسخ Cloudflare است. وقتی باید گواهی‌هایی را بازنشسته کرد، Cloudflare می‌گوید می‌تواند پنجره‌های تمدید گواهی‌های متأثر را جلو بیندازد. چون مشترکان موظف‌اند از نقطهٔ پایانی تمدید پرس‌وجو کنند و بر اساس پنجره‌های منتشرشده عمل کنند، مرجع می‌تواند آن‌ها را پیش از رسیدن یک ابطال سخت به سوی جایگزینی هدایت کند. این سازوکار به‌عنوان توانایی‌ای توصیف می‌شود که Cloudflare قصد دارد داشته باشد، نه توانایی‌ای که به‌عنوان مرجع گواهی نشان داده باشد. با این حال، منطق آن منسجم است: الزام پرس‌وجو برای آن وجود دارد که این اهرم کار کند.
همین تفکر در هدف طراحی گسترده‌تری هم دیده می‌شود. Cloudflare قصد دارد مرجعی بسازد که اتکاپذیری‌اش نه فقط به پرهیز از خطا، بلکه، مانند دیگر محصولات Cloudflare، به کوچک شکست خوردن و محدود کردن اثر هر مشکل منفرد وابسته باشد. پرهیز از خطا برای یک مرجع گواهی ضروری است، و هیچ مرجعی نمی‌تواند آن را بی‌نقص وعده دهد. طراحی به‌گونه‌ای که خطا مهار بماند، موضع مهندسی صادقانه‌تری است.
شفافیت فراتر از ممیزی #
مراجع گواهی عمومی معمولاً با ممیزی سنجیده می‌شوند. منبع دربارهٔ محدودیت‌های آن صریح است: ممیزی‌ها لحظه‌ای‌اند و به شما می‌گویند مرجعی قبول شده است. نمی‌گویند آن مرجع در یک سه‌شنبهٔ دلخواه پس از آن چه می‌کند.
پاسخ Cloudflare این است که بگوید بیلدهای بازتولیدپذیر (reproducible builds) نرم‌افزاری را که گواهی‌ها را امضا می‌کند منتشر خواهد کرد. این به‌عنوان یک تعهد بیان شده، نه یک دستاورد تمام‌شده. بیلدهای بازتولیدپذیر به بیرونی‌ها اجازه می‌دهند بررسی کنند که فایل اجرایی در مسیر امضا با کد منبع منتشرشده مطابقت دارد، که ویژگی‌ای پیوسته است به شکلی که گزارش ممیزی نیست. اینکه این کافی باشد یا نه، به آنچه Cloudflare واقعاً منتشر می‌کند و به اینکه دیگران آن را بررسی کنند یا نه بستگی دارد.
نیمهٔ دوم اعلامیه: Merkle Tree Certificates #
بخش پساکوانتومی جایی است که اعلامیه دورترین نگاه را به آینده دارد. Cloudflare برنامه‌هایی را اعلام می‌کند تا یکی از نخستین مراجعی باشد که گواهی پساکوانتومی ارائه می‌دهند، و قصد دارد نخستین Merkle Tree Certificates خود را در سه‌ماههٔ اول 2027 صادر کند. بخش دیگری از منبع می‌گوید نخستین MTCها در اوایل 2027 انتظار می‌روند. هر دو برنامه‌اند.
منبع MTCها را راهی تازه و بسیار فشرده‌تر برای تحویل گواهی‌های مورد اعتماد عمومی توصیف می‌کند. این عبارت یک توصیف است، و منبع در بخش‌هایی که من بر آن‌ها تکیه دارم اندازه‌گیری ارائه نمی‌کند، پس نمی‌توانم بگویم چقدر فشرده‌تر. Cloudflare می‌گوید از پیشنهاد مبتنی بر استاندارد برای MTCها در IETF حمایت کرده است. همچنین گزارش می‌دهد که Chrome اوایل امسال MTCها را مسیر ترجیحی برای احراز هویت پساکوانتومی نامید. این رویدادی اثبات‌شده است، و اهمیت دارد، چون ترجیح اعلام‌شدهٔ یک سازندهٔ مرورگر است که یک پیشنهاد را به چیزی تبدیل می‌کند که یک مرجع گواهی بتواند پیرامونش برنامه‌ریزی کند.
Cloudflare انتظار ندارد گذار ناگهانی باشد. انتظار دارد بخش بزرگی از اینترنت تا سال‌های بسیار دیگر به گواهی‌های کلاسیک و WebPKI موجود تکیه کند. در این بازه، انتظار دارد سهم MTCها از صدور به‌تدریج بیشتر شود. این‌ها انتظارند، و منبع هم آن‌ها را همین می‌نامد.
یک مرجع، یک چرخهٔ عمر #
گزینهٔ معماری‌ای که از این نتیجه می‌شود قانع‌کننده‌ترین بخش برای من است. مرجع تازه طوری طراحی شده که گواهی‌های کلاسیک و Merkle Tree Certificates را زیر یک مرجع، با یک چرخهٔ عمر و یک مجموعه تضمین حمل کند. در این صورت مشتریان می‌توانند با سرعتی که برایشان مناسب است بپذیرند و به وب کمک کنند بدون قطع ناگهانی عبور کند.
گزینهٔ دیگر دو مرجع موازی، دو مجموعه رویه و یک مهاجرت اجباری در نقطه‌ای است. قطع ناگهانی پرخطرترین راه تغییر بوم‌سازگان گواهی است، و هدف اعلام‌شدهٔ منبع پرهیز از آن است. واژه‌ها محتاطانه‌اند، و به‌درستی: این نیت طراحی برای مرجعی است که هنوز صادر نمی‌کند.
این با تصویر انگیزه‌ها هم جور است. Cloudflare می‌گوید انتظار دارد شمار گواهی‌هایی که سالانه به آن‌ها تکیه می‌کند همچنان رشد کند، با کوتاه‌تر شدن بیشینهٔ دورهٔ اعتبار، افزایش فعالیت عامل‌محور و فراگیر شدن گواهی‌های پساکوانتومی. گواهی‌های بیشتر، با صدور پرتکرارتر، خودکارسازی و مرجعی را می‌طلبند که تمدید را عملیاتی درجه‌یک بداند. سامانه‌ای ساخته‌شده پیرامون ARI و یک چرخهٔ عمر، پاسخی معقول به این انتظار است، هرچند خود این انتظار پیش‌بینی است و نه اندازه‌گیری.
Customer Zero #
چگونه یک مرجع گواهی را پیش از آنکه عموم به آن تکیه کنند می‌آزمایید؟ پاسخ Cloudflare این است که خودش نخستین مشتری خود باشد. Customer Zero مرجع تازه و گواهی‌هایش خواهد بود، چه WebPKI و چه MTC. هدف اعلام‌شده اطمینان از این است که همهٔ جنبه‌های سامانه‌ها و فرایندهای تازه با استانداردهای داخلی بالای Cloudflare جور باشند، و زیرساخت مرجع در مقیاس Cloudflare به کار گرفته شود.
با توجه به اعداد پیشین، این بار داخلی سنگینی است: میلیون‌ها گواهی در سال، در شرکتی که در برابر بیش از 20 درصد از ترافیک درخواست‌های جهانی قرار دارد. اینکه سال‌های نخست کار به‌خوبی بگذرد یا نه، چیزی است که این ادعاها نمی‌توانند به ما بگویند. آنچه نشان می‌دهند ترتیب معقولی از کارهاست. شرکت به‌عنوان کاربر سنگین همان چیزی که می‌سازد آغاز می‌کند، با سابقهٔ تأمین از چند مرجع، مسیرهای پشتیبان و 16 مرجع شریک پشت سرش.
بهتر است صریح بگوییم چه چیزی کم است. هیچ‌چیز در منبع حجم صدور، نرخ خطا، تأخیر اعتبارسنجی یا سابقهٔ حادثه برای مرجع خود Cloudflare گزارش نمی‌کند، چون هنوز چنین سابقه‌ای وجود ندارد. این اعلامیه بیان نیتی است که با درخواست‌ها، یک قرارداد خرید و یک طراحی پشتیبانی می‌شود. کارنامه نیست.
چه چیزی را باید زیر نظر داشت #
سه چیز تعیین می‌کند که این افزوده‌ای معنادار به WebPKI است یا صرفاً اعلامیه‌ای جالب.
نخست، برنامه‌های ریشه. Cloudflare به Chrome، Apple، Microsoft و Mozilla درخواست داده و فرایندها آشکارند. زیر نظر داشتن آن‌ها مستقیم‌ترین راه دیدن پیشرفت برنامه است، و نتیجه چیزی نیست که هیچ‌یک از ادعاها به من اجازهٔ پیش‌بینی‌اش را بدهد.
دوم، الزام ARI. مرجعی که بر پشتیبانی از RFC 9773 پافشاری می‌کند شرط می‌بندد که خودکارسازی تمدید را می‌توان در سراسر پایگاه مشترکانش پیش برد. اگر این شرط درست باشد، به Cloudflare توان جلو انداختن پنجره‌های تمدید را هنگام لزوم بازنشستگی گواهی‌ها می‌دهد، که پاسخ اعلام‌شده به دوراهی ابطالی است که دیده است. اگر نادرست باشد، پذیرش کندتر از آن خواهد بود که داستان مهاجرت یک‌خطی القا می‌کند.
سوم، سه‌ماههٔ اول 2027. در آن زمان Cloudflare نخستین Merkle Tree Certificates خود را برنامه‌ریزی کرده است. پرسش باز این است که سهمی که انتظار دارد به‌تدریج بیشتر شود، در عمل با چه سرعتی رشد می‌کند، با توجه به دیدگاه خودش که بخش بزرگی از اینترنت تا سال‌های بسیار دیگر روی گواهی‌های کلاسیک می‌ماند. شرکت گفته است که این عبور نباید به قطع ناگهانی نیاز داشته باشد. سه‌ماههٔ اول 2027 نخستین فرصت برای دیدن این خواهد بود که آیا یک مرجع با هر دو نوع گواهی می‌تواند این را محقق کند.
این برای هر بخش چه معنایی دارد #
پدید آمدن یک مرجع گواهی عمومی خودکار و پرحجم از سوی یک ارائه‌دهندهٔ زیرساخت لبه (edge)، ریسک عملیاتی و برنامه‌ریزی PKI را در چند حوزهٔ فنی تغییر می‌دهد.
زیرساخت ابری و شبکه‌های لبه #
اداره کردن یک مرجع عمومی در مقیاس لبه، وابستگی بیرونی به APIهای اعتبارسنجی و فهرست‌های ابطال (CRL) شخص ثالث را کاهش می‌دهد. با پیوند دادن خاتمهٔ اتصال در لبه از راه reverse proxy با تمدیدهای خودکار ACME ARI، ارائه‌دهندگان زیرساخت می‌توانند مشتریانشان را در برابر قطعی مراجع گواهی بالادستی محافظت کنند.
PKI سازمانی و تیم‌های DevOps #
سازمان‌هایی که برای نقاط پایانی عمومی به Let's Encrypt تکیه می‌کنند، جایگزینی خودکار و باورپذیر به دست می‌آورند. با این حال، اجرای الزامی RFC 9773 (ARI) یعنی تیم‌ها باید کلاینت‌های ACME خود (Certbot، Lego، Caddy، Traefik) را ممیزی کنند تا پیش از تغییر نقاط پایانی دایرکتوری از فعال بودن پشتیبانی ARI مطمئن شوند.
سازندگان مرورگر و حکمرانی ریشه #
برنامه‌های ریشه (Chrome، Mozilla، Apple، Microsoft) با بوم‌سازگانی رو‌به‌گسترش از مراجع خودکار پرحجم روبه‌رو هستند. رویکرد دومسیرهٔ ریشه (خرید یک ریشهٔ قدیمی از 2012 در کنار ارائهٔ یک ریشهٔ مدرن) از میان سیاست‌های مرورگرها می‌گذرد که عمر گواهی‌های ریشه را روزبه‌روز محدودتر می‌کنند، و در همان حال سازگاری با دستگاه‌های قدیمی را حفظ می‌کند.
نتیجه‌گیری #
حرکت Cloudflare برای تبدیل شدن به مرجع گواهی عمومی به یک آسیب‌پذیری ساختاری واقعی در WebPKI امروز می‌پردازد: تمرکز شدید در صدور رایگان و خودکار گواهی. طراحی، با ترکیب یک ریشهٔ جاافتادهٔ GlobalSign، خودکارسازی سخت‌گیرانهٔ تمدید با ARI و پلی رو به جلو به سوی Merkle Tree Certificates پساکوانتومی، به تاب‌آوری عملیاتی می‌پردازد و نه صرفاً تأمین گواهی. موفقیت با تأییدهای برنامه‌های ریشه و سرعت پذیرش استانداردهای ARI از سوی ابزارهای کلاینت پیش از عرضه در 2027 تعیین خواهد شد.
پرسش‌های پرتکرار #
آیا امروز می‌توانم کلاینت ACME خود را به مرجع Cloudflare منتقل کنم؟
هنوز نه. Cloudflare نیت خود را اعلام کرده، قرارداد خرید ریشه را امضا کرده و برای برنامه‌های ریشهٔ اصلی درخواست داده است. صدور عمومی برای پس از تأیید برنامه‌های ریشه برنامه‌ریزی شده است.
ACME Renewal Information (ARI) چیست و چرا اهمیت دارد؟
ARI (RFC 9773) افزونه‌ای بر پروتکل ACME است که به مراجع گواهی اجازه می‌دهد به مشترکان بگویند چه زمانی باید گواهی را تمدید کنند. این کار به مراجع امکان می‌دهد تمدیدهای زودهنگام را پیش از ابطال‌های برنامه‌ریزی‌شده به‌آرامی هماهنگ کنند و از قطعی سایت‌ها جلوگیری کنند.
Merkle Tree Certificates (MTC) چه تفاوتی با گواهی‌های استاندارد X.509 دارند؟
MTCها امضاهای رمزنگاری انفرادی سنتی را با اثبات‌های گنجاندن Merkle جایگزین می‌کنند که در یک دفتر ثبت قابل‌راستی‌آزمایی عمومی لنگر انداخته‌اند. این کار اندازهٔ گواهی و سربار انتقال را به‌طور چشمگیری کاهش می‌دهد و آن‌ها را به گزینهٔ ترجیحی برای احراز هویت TLS پساکوانتومی تبدیل می‌کند.
منابع #
- Cloudflare, (2026). ساختن یک مرجع گواهی برای کل اینترنت ⧉. Cloudflare Blog.
- IETF, (2024). RFC 9773: Automated Certificate Management Environment (ACME) Renewal Information (ARI) ⧉. IETF.
- IETF, (2025). Merkle Tree Certificates برای TLS ⧉. IETF.
- Chrome Root Program, (2026). سیاست و ملاحظات احراز هویت پساکوانتومی ⧉. Chromium Projects.
آخرین بازبینی .
آخرین بازبینی .
بازنشر متقابل این مقاله
کپی قالب‌بندی‌شده برای Medium
# Cloudflare می‌خواهد خودش گواهی صادر کند، در برابر تمرکز مراجع رایگان — Sebastien Rousseau > Originally published at [https://sebastienrousseau.com/fa/2026-09-20-cloudflare-mykhwahd-khwdsh-gwahy-sadr-knd/](https://sebastienrousseau.com/fa/2026-09-20-cloudflare-mykhwahd-khwdsh-gwahy-sadr-knd/) Cloudflare قصد دارد مرجع صدور گواهی عمومی شود. برای برنامه‌های ریشهٔ Chrome، Apple، Microsoft و Mozilla درخواست داده و قرارداد خرید ریشه‌ای از GlobalSign را امضا کرده. Read the full article on sebastienrousseau.com: https://sebastienrousseau.com/fa/2026-09-20-cloudflare-mykhwahd-khwdsh-gwahy-sadr-knd/
کپی قالب‌بندی‌شده برای Mastodon
Cloudflare می‌خواهد خودش گواهی صادر کند، در برابر تمرکز مراجع رایگان — Sebastien Rousseau Cloudflare قصد دارد مرجع صدور گواهی عمومی شود. برای برنامه‌های ریشهٔ Chrome، Apple، Microsoft و Mozilla درخواست داده و قرارداد خرید ریشه‌ای از GlobalSign را امضا کرده. https://sebastienrousseau.com/fa/2026-09-20-cloudflare-mykhwahd-khwdsh-gwahy-sadr-knd/
کپی قالب‌بندی‌شده برای LinkedIn
Cloudflare می‌خواهد خودش گواهی صادر کند، در برابر تمرکز مراجع رایگان — Sebastien Rousseau Cloudflare قصد دارد مرجع صدور گواهی عمومی شود. برای برنامه‌های ریشهٔ Chrome، Apple، Microsoft و Mozilla درخواست داده و قرارداد خرید ریشه‌ای از GlobalSign را امضا کرده. مهم‌ترین نکات راهبردی به این شرح است: - مصرف‌کنندهٔ گواهی، صادرکنندهٔ آن می‌شود. بیشتر شرکت‌های زیرساختی در یک سوی رابطهٔ گواهی می‌مانند. - چرا Cloudflare در جایگاه طرح این پرسش است. استدلال Cloudflare برای ساخت یک مرجع گواهی از جایگاهش به‌عنوان مشتری آغاز می‌شود. - مسئلهٔ تمرکز. اعداد پشت این استدلال چشمگیرند. - خرید یک ریشه به‌جای انتظار برای ریشهٔ تازه. عملی‌ترین تصمیم این اعلامیه به ریشه مربوط است. رویکرد سازمان شما به چالش‌های مطرح‌شده در این نوشته چیست؟ → https://sebastienrousseau.com/fa/2026-09-20-cloudflare-mykhwahd-khwdsh-gwahy-sadr-knd/ #Cloudflare،مرجعصدورگواهی،مرجعگواهیعمومی،Webpki،گواهی‌هایTls،Let'sEncrypt،Globalsign،Acme،Ari،Rfc9773،MerkleTreeCertificates،پساکوانتومی،برنامه‌هایریشه،تمرکزمراجعگواهی Sebastien Rousseau | CC-BY-4.0
استناد به این مقاله
Cloudflare می‌خواهد خودش گواهی صادر کند، در برابر تمرکز مراجع رایگان — Sebastien Rousseau
Cloudflare قصد دارد مرجع صدور گواهی عمومی شود. برای برنامه‌های ریشهٔ Chrome، Apple، Microsoft و Mozilla درخواست داده و قرارداد خرید ریشه‌ای از GlobalSign را امضا کرده.
BibTeX
@online{rousseau2026cloudflare,
author = {Rousseau, Sebastien},
title = {{Cloudflare می‌خواهد خودش گواهی صادر کند، در برابر تمرکز مراجع رایگان — Sebastien Rousseau}},
year = {2026},
url = {https://sebastienrousseau.com/fa/2026-09-20-cloudflare-mykhwahd-khwdsh-gwahy-sadr-knd/},
urldate = {2026}
}RIS
TY - GEN AU - Rousseau, Sebastien TI - Cloudflare می‌خواهد خودش گواهی صادر کند، در برابر تمرکز مراجع رایگان — Sebastien Rousseau PY - 2026 UR - https://sebastienrousseau.com/fa/2026-09-20-cloudflare-mykhwahd-khwdsh-gwahy-sadr-knd/ ER -
Vancouver
Rousseau S. Cloudflare می‌خواهد خودش گواهی صادر کند، در برابر تمرکز مراجع رایگان — Sebastien Rousseau. sebastienrousseau.com. 2026 Sep 20. Available from: https://sebastienrousseau.com/fa/2026-09-20-cloudflare-mykhwahd-khwdsh-gwahy-sadr-knd/
Chicago
Rousseau, Sebastien. "Cloudflare می‌خواهد خودش گواهی صادر کند، در برابر تمرکز مراجع رایگان — Sebastien Rousseau." sebastienrousseau.com. September 20, 2026. https://sebastienrousseau.com/fa/2026-09-20-cloudflare-mykhwahd-khwdsh-gwahy-sadr-knd/.
APA
Rousseau, S. (2026, September 20). Cloudflare می‌خواهد خودش گواهی صادر کند، در برابر تمرکز مراجع رایگان — Sebastien Rousseau. sebastienrousseau.com. https://sebastienrousseau.com/fa/2026-09-20-cloudflare-mykhwahd-khwdsh-gwahy-sadr-knd/
بازنشر این مقاله
Cloudflare می‌خواهد خودش گواهی صادر کند، در برابر تمرکز مراجع رایگان — Sebastien Rousseau
Cloudflare قصد دارد مرجع صدور گواهی عمومی شود. برای برنامه‌های ریشهٔ Chrome، Apple، Microsoft و Mozilla درخواست داده و قرارداد خرید ریشه‌ای از GlobalSign را امضا کرده.
این مقاله تحت مجوز زیر منتشر شده است Creative Commons Attribution 4.0 International. بازنشر مستلزم ذکر منبع با ارجاع به نشانی اصلی (canonical) است.
Cloudflare می‌خواهد خودش گواهی صادر کند، در برابر تمرکز مراجع رایگان — Sebastien Rousseau Cloudflare قصد دارد مرجع صدور گواهی عمومی شود. برای برنامه‌های ریشهٔ Chrome، Apple، Microsoft و Mozilla درخواست داده و قرارداد خرید ریشه‌ای از GlobalSign را امضا کرده. Originally published at https://sebastienrousseau.com/fa/2026-09-20-cloudflare-mykhwahd-khwdsh-gwahy-sadr-knd/ by Sebastien Rousseau. Licensed under CC-BY-4.0.