ألغت شركة GoDaddy نحو 404,607 شهادات TLS إثر إصدارها بصورة تخالف وثيقة سياساتها المعتمدة، وفقاً لبلاغ الشركة المسجل في مشروع Mozilla. وأوضحت صفحة الدعم الفني الخاصة بالشركة أن إبطال الشهادات المعيبة تم في 21 أكتوبر 2026، مع توجيه العملاء بضرورة التحرك الفوري لتثبيت الشهادات البديلة والمعاد إصدارها.
انطلقت الحادثة عقب بلاغ من جهة خارجية رصدت تبايناً بين شهادات المشتركين وملفات التعريف المحددة في وثيقة سياسات الشهادات وبيان ممارسات التصديق التابعة لشركة Starfield. وتركزت الفروقات في معلومات سياسة الشهادة، وتحديداً في معرفات السياسة الخاصة بالجهة المصدرة ومحددات رابط بيان الممارسات. وأوقفت GoDaddy عمليات الإصدار فور تأكيد المشكلة، لتستأنفها لاحقاً بعد تصحيح الوثيقة المعنية، بينما لم يشهد مسار سلسلة G2 أي إيقاف لعدم وجود إصدار نشط حينها، واكتفت الشركة بتصحيح وثيقتها.
امتد الخلل ليتجاوز سلسلة واحدة، حيث شملت قائمة الشهادات المتأثرة 208,896 شهادة تابعة لـ Starfield R1 تعتمد على التحقق من النطاق، و187,159 شهادة من Starfield G2 بالآلية ذاتها. وانضمت إليها 8,552 شهادة تستند إلى التحقق من المنظمة والتحقق الموسع ضمن مسارات GoDaddy وStarfield.
تلزم متطلبات الأساس لشهادات TLS في بندها 4.9.1.1 بإبطال أي شهادة مخالفة للمتطلبات أو لوثيقة سياسات الجهة المصدرة خلال 5 أيام، مع توصية بتقليص المدة إلى 24 ساعة. وتجاوزت GoDaddy هذه المهلة، لتفتح بلاغاً ثانياً في 16 أكتوبر بشأن التأخير. وأظهرت تحديثات الإلغاء الجارية إبطال 170,566 شهادة مع انتهاء المهلة في 18 أكتوبر عند الساعة 23:45 بالتوقيت العالمي، ليرتفع الرقم إلى 227,422 شهادة، بنسبة 56%، بحلول الساعة 05:29 من يوم 19 أكتوبر.
فعلت GoDaddy خطة الإلغاء الجماعي للتعامل مع كافة الشهادات المتأثرة. وبدأت التنسيق المباشر لاستبدال وإلغاء الشهادات مع المشتركين، ومن ضمنهم جهات حكومية ومالية وصحية تمتلك أعداداً ضخمة منها. وانطلقت حملة التواصل في 14 أكتوبر عبر البريد الإلكتروني والرسائل النصية والاتصالات الصوتية، مدعومة بمسارات عمل مخصصة لإدارة العمليات والتواصل ومتابعة الإنجاز.
وطالبت الشركة عملاءها بالدخول إلى صفحة المنتج ومراجعة رسالة الشهادة، ثم تنزيل النسخة المعاد إصدارها وتثبيتها على الخوادم، مع ضرورة التحقق من نجاح العملية باستخدام أداة فحص حالة SSL المعتمدة.
ولم تصدر GoDaddy تقريرها النهائي للحادثة بعد، مؤكدة استمرار التحقيقات لتحديد الأسباب الجذرية للمشكلة والمدة الزمنية للخلل. وغابت الأرقام المحدثة لعمليات الإلغاء بعد 19 أكتوبر عن بلاغات الشركة، في حين تقرر طرح التحديث التالي في 22 أكتوبر.
