TLS المقاوم للكم على Apache وCaddy وHAProxy وCloudflare

آخر تحديث: 2026-11-03

كل الخوادم التالية تتفق على المجموعة الهجينة نفسها X25519MLKEM768 (أي X25519 مع ML-KEM-768 من المعيار FIPS 203). الفرق هو مكتبة التشفير التي يستخدمها كل خادم وهل المجموعة مفعّلة افتراضياً. لـ nginx انظر دليل nginx.

Apache httpd

يحتاج mod_ssl مبنياً على OpenSSL 3.5 أو أحدث (تحقق بـ openssl version وapachectl -V). المجموعة مفعّلة افتراضياً هناك؛ اكتبها صراحة إذا كان في إعداداتك سطر Groups أو SSLOpenSSLConfCmd Curves:

SSLProtocol -all +TLSv1.2 +TLSv1.3
SSLOpenSSLConfCmd Groups X25519MLKEM768:X25519:prime256v1

Caddy

يستخدم Caddy مكتبة crypto/tls في Go، وهي تفعّل X25519MLKEM768 افتراضياً منذ Go 1.24. الإصدار Caddy 2.10 وما بعده مبني عليها، فالترقية تكفي غالباً. احذف خيار curves من كتلة tls أو أضف المجموعة الهجينة إليه.

caddy version   # 2.10 أو أحدث
example.com {
    reverse_proxy 127.0.0.1:8000
}

أي خادم آخر مكتوب بـ Go (مثل Traefik أو خدماتك الخاصة) يحصل على الإعداد نفسه عند بنائه بـ Go 1.24 أو أحدث.

HAProxy

يحتاج HAProxy مبنياً على OpenSSL 3.5 أو AWS-LC. حدد المجموعات في سطر bind:

bind :443 ssl crt /etc/haproxy/certs/ curves X25519MLKEM768:X25519:P-256

Cloudflare وشبكات CDN الأخرى

تتفق Cloudflare مع المتصفحات على X25519MLKEM768 افتراضياً في كل الخطط. مرّر النطاق عبرها (السحابة البرتقالية) فيصبح الاتصال بين الزائر وCloudflare مقاوماً للكم حتى لو لم يكن خادمك كذلك. الاتصال من Cloudflare إلى خادمك منفصل: رقِّ خادمك أيضاً إذا كان هذا الاتصال يمر عبر الإنترنت العام.

هذا أسرع حل لخادم قديم لا تستطيع ترقيته.

التحقق

شغّل الفحص المجاني. الدرجة A تعني TLS 1.3 مع تبادل مفاتيح هجين مقاوم للكم، والدرجة B تعني TLS 1.3 مع تبادل مفاتيح تقليدي فقط.