📘 תיעוד 64

האצלת חתימה ללא מפתח

עודכן לאחרונה: 5 במאי 2026

האצלת חתימה ללא מפתח (Keyless Delegation) היא המימוש של Cloudflare לתקן המתגבש של אישורים מואצלים (RFC 9345). כשמעלים אישור לשימוש עם Keyless שיש בו את ההרחבה המיוחדת שמתירה שימוש באישורים מואצלים, Cloudflare מייצרת אוטומטית אישור מואצל ומשתמשת בו בקצה מול לקוחות שתומכים בתכונה הזאת. לחיצות היד יושלמו בלי ההשהיה הנוספת שנגרמת מפנייה חזרה אל שרת Keyless, ויש יתרונות נוספים לגמישות בבחירת האלגוריתם.

מאחורי הקלעים אנחנו יוצרים מדי פעם אישורים מואצלים וחותמים עליהם דרך Keyless, באותו מנגנון שמשמש לחתימה על הודעות Certificate Verify שהשרתים שלנו שולחים כשמשתמשים ב-Keyless. לאישורים האלה יש אורך חיים קצר, כך שאם משביתים את Keyless האישורים שנוצרו יהפכו ללא תקפים בתוך 24 שעות. לקוחות תומכים מאמתים את האישור, והשרת יכול להשתמש במפתח שהוא יצר כדי לחתום על התשובה ללחיצת היד של TLS בלי הלוך וחזור.

מטעמי אבטחה האישורים חייבים להכיל מזהה מיוחד לשימוש באישורים מואצלים. זה בא בצורה של הרחבת X509 אופציונלית עם תוכן NULL וה-OID 1.3.6.1.4.1.44363.44. ייתכן שרשות האישורים שלכם תצטרך לבצע שינויי קוד כדי לתמוך באישורים מואצלים.

כרגע מעט מאוד לקוחות תומכים באישורים מואצלים, ורק קומץ רשויות אישורים ינפיקו אישורים עם ההרחבה. הצלחנו עם DigiCert. Firefox 77 ואילך תומכים באישורים מואצלים.