SSL לא עובד בקלאודוויז (Cloudways)? שרשרת תעודה חסרה ו-Let's Encrypt שלא מתחדש – פתרון

עודכן לאחרונה: 07.11.2026 · מאת עשהאל דרייר

בקצרה: כש-SSL לא עובד בקלאודוויז (Cloudways), שתי התקלות הנפוצות הן שרשרת תעודה חסרה ותעודת Let's Encrypt שלא מתחדשת. שרשרת חסרה (Incomplete Certificate Chain) קורית בתעודה מותאמת שהותקנה בלי תעודת הביניים. הפתרון הוא להתקין אותה מחדש ב-SSL Certificate של האפליקציה, עם ה-CA Chain. Let's Encrypt שלא מתחדש נגרם בדרך כלל מכלל ב-.htaccess שחוסם את בדיקת האימות, או מ-Cloudflare. בתעודת Wildcard הסיבה היא לרוב רשומת CNAME של _acme-challenge שנמחקה.

⏱ זמן ביצוע: 10–30 דקות · רמת קושי: בינוני (חלק מהפתרונות דורשים SSH) · נבדק לאחרונה מול התיעוד הרשמי: 06.11.2026

איך מזהים איזו תקלת SSL יש לכם

אם הדפדפן מציג ERR_SSL_PROTOCOL_ERROR או ERR_SSL_VERSION_OR_CIPHER_MISMATCH, לחיצת היד נכשלה עוד לפני שהתעודה נבדקה. במקרה כזה עברו למדריך לשגיאות ERR_SSL_PROTOCOL_ERROR ו-CIPHER_MISMATCH.

מה רואים	הסיבה הסבירה	לאן לקפוץ
האתר נפתח במחשב אחד, אבל בכלי בדיקה או בנייד מופיעה אזהרת "Incomplete chain" או "Broken chain"	תעודה מותאמת בלי תעודת ביניים	שרשרת תעודה חסרה
התעודה פגה למרות שהחידוש האוטומטי מופעל	כלל ב-.htaccess חוסם את האימות, או Cloudflare בדרך	Let's Encrypt לא מתחדש
תעודת Wildcard (‎*.example.com) לא מתחדשת	רשומת CNAME של _acme-challenge חסרה	Wildcard לא מתחדש
שגיאה שהגעתם למגבלה בהתקנה או בחידוש	מגבלות של Let's Encrypt	מגבלות Let's Encrypt

לבדיקה אובייקטיבית, הריצו את הדומיין בכלי חיצוני: Qualys SSL Labs, SSL Shopper או Why No Padlock. כולם מסמנים במפורש שרשרת שבורה ומראים את תאריך התפוגה של התעודה.

איך מתקנים שרשרת תעודה חסרה (Incomplete Certificate Chain)

מה זו שרשרת אמון, ולמה היא נשברת

דפדפנים לא מכירים כל תעודת SSL בעולם. הם מכירים רשימה קצרה של רשויות שורש (Root CA). כשאתם קונים תעודה, היא חתומה על ידי תעודת ביניים (Intermediate), שחתומה בעצמה על ידי השורש. הדפדפן מאמת את הקשר הזה, שרשרת אחרי שרשרת, עד לשורש שהוא סומך עליו.

אם השרת מגיש רק את תעודת האתר בלי תעודת הביניים, לדפדפן חסרה חוליה. חלק מהדפדפנים משלימים אותה מזיכרון ולכן האתר "עובד אצלכם", אבל אצל גולשים אחרים, בנייד או בכלי בדיקה תופיע אזהרה. זה קורה כמעט תמיד בתעודה מותאמת (Custom SSL) שהתקנתם בעצמכם, או כשתעודת הביניים פגה או בוטלה. ב-Let's Encrypt שמותקן מהפאנל אין צורך להדביק שרשרת ידנית.

שלב 1: אוספים את הקבצים

קובץ	סיומת נפוצה	מה הוא	איפה מדביקים
תעודת האתר	‎.crt או ‎.cer	התעודה של הדומיין שלכם	Certificate Code / CRT
תעודת ביניים	‎.ca או ‎.ca-bundle	החוליה בין התעודה לשורש	CA Chain
מפתח פרטי	‎.key	נוצר אצלכם עם בקשת התעודה (CSR)	Key (באפשרות Re-Install)

ספקי תעודות (גם ישראליים שמוכרים תעודות של רשויות בינלאומיות) שולחים בדרך כלל את תעודת הביניים בקובץ נפרד, לפעמים בשם כמו "bundle". אין לכם אותה? אפשר ליצור אותה בכלי חיצוני כמו What's My Chain Cert: מדביקים את תוכן קובץ ה-.crt, לוחצים Generate Chain ומורידים את הקובץ.

כשמעתיקים תוכן של תעודה, פתחו את הקובץ בעורך טקסט פשוט (Notepad או TextEdit) והעתיקו הכול, כולל השורות -----BEGIN CERTIFICATE----- ו------END CERTIFICATE-----.

שלב 2: מתקינים מחדש עם השרשרת

1. היכנסו לפאנל, פתחו את השרת ובחרו את האפליקציה.
2. בתפריט האפליקציה בחרו SSL Certificate. בתפריט הנפתח בראש המסך (שבו מופיע Let's Encrypt) בחרו את אפשרות התעודה המותאמת, Custom SSL.
3. אם מופיע Install Certificate: לחצו עליו, הדביקו את תעודת האתר ב-Certificate Code ואת תעודת הביניים ב-CA Chain, ולחצו Submit.
4. אם מופיע Re-Install Certificate: לחצו עליו. בשדה CRT הדביקו את תעודת האתר ומיד אחריה את תעודת הביניים (שרשור של שני הקבצים), ובשדה Key את המפתח הפרטי. לחצו Submit.
5. אם יופיע חלון שמציע להפעיל הפניה ל-HTTPS: בחרו Enable HTTPS, או Not Now אם כבר יש לכם הפניה (ראו בהמשך).
6. חכו כמה דקות והריצו שוב את בדיקת ה-SSL בכלי החיצוני.

אזהרה לגבי הפניית HTTPS: אם האתר מאחורי Cloudflare או Sucuri, או שכבר יש לכם הפניה ל-HTTPS בתוסף או ב-.htaccess, אל תפעילו הפניה נוספת מהפאנל. שתי הפניות במקביל עלולות ליצור לולאת הפניות (Too Many Redirects).

מה עושים כשתעודת Let's Encrypt לא מתחדשת אוטומטית

תעודות Let's Encrypt תקפות ל-90 יום. כשהחידוש האוטומטי מופעל, קלאודוויז מחדשת אותן 30 יום לפני התפוגה. כדי לחדש, Let's Encrypt צריך לגשת לקובץ אימות זמני באתר, בנתיב /.well-known/acme-challenge/. אם משהו חוסם את הנתיב הזה, החידוש נכשל בשקט, ואתם מגלים את זה רק כשהתעודה פגה.

שני חוסמים נפוצים: כללי .htaccess (הפניות, הגבלות גישה, כללי תוספי אבטחה) ו-Cloudflare כספק DNS עם פרוקסי פעיל.

לפני שמתחילים

• קחו גיבוי של האפליקציה (On-demand). כל הפתרונות כאן נוגעים ב-.htaccess.
• אם הדומיין עובר דרך Cloudflare, קלאודוויז ממליצה לנטרל אותו זמנית בזמן הפתרון. שימו לב שזה חושף את כתובת ה-IP של השרת, אז היזהרו אם האתר נוטה להתקפות. ראו חיבור דומיין מקלאודפלייר לקלאודוויז.
• התחברו לשרת ב-SSH (מלקוח SSH או מהטרמינל המובנה בפאנל) ועברו לתיקיית האתר:

cd applications/<your_application_name>/public_html/

שם האפליקציה בנתיב הוא אותו שם כמו שם מסד הנתונים שלה, שמופיע בפרטי הגישה של האפליקציה. הסירו את הסוגריים המשולשים (< >).

פתרון 1: נטרול זמני של .htaccess

1. שנו את שם הקובץ: mv .htaccess .htaccess_temp
2. ודאו שהשינוי עבר: ls .htaccess_temp
3. בפאנל, ב-SSL Certificate של האפליקציה, הריצו חידוש ידני (On-demand renewal).
4. אם החידוש הצליח, החזירו את השם: mv .htaccess_temp .htaccess, ובדקו עם ls .htaccess.

חשוב: בזמן שהקובץ מנוטרל, האתר עלול להתנהג אחרת (קישורים קבועים בוורדפרס, הפניות). עבדו מהר, ואל תשכחו להחזיר את השם.

פתרון 2: כלל שמחריג את נתיב האימות

הפתרון הזה עדיף לטווח ארוך, כי הוא מונע את הבעיה גם בחידושים הבאים.

1. פתחו את הקובץ לעריכה: vim .htaccess, ולחצו i למצב עריכה.
2. הדביקו בראש הקובץ את שתי השורות שבהמשך (ההדבקה בטרמינל: Ctrl+Shift+V).
3. לחצו Esc, הקלידו :wq! ולחצו Enter כדי לשמור.
4. הריצו חידוש ידני מהפאנל.

RewriteEngine On
RewriteRule ^.well-known/acme-challenge - [L]

לא מסתדרים עם vim? אפשר לערוך את הקובץ גם דרך SFTP או מנהל הקבצים, ולהדביק את אותן שורות בראשו.

פתרון 3: ביטול התעודה והתקנה מחדש

1. בפאנל, בטלו (Revoke) את תעודת ה-Let's Encrypt הקיימת.
2. ב-SSH, נטרלו זמנית את .htaccess: mv .htaccess .htaccess_temp
3. התקינו תעודת Let's Encrypt חדשה מהפאנל. ראו איך להתקין תעודת SSL לאתר.
4. החזירו את שם הקובץ: mv .htaccess_temp .htaccess

אם שלושת הפתרונות לא עזרו, פתחו פנייה לתמיכה או צ'אט, וציינו מה כבר ניסיתם.

מה עושים כשתעודת Wildcard לא מתחדשת

תעודת Wildcard מכסה את כל תתי-הדומיינים (‎*.example.com). היא לא מאומתת דרך קובץ באתר, אלא דרך רשומת DNS: רשומת CNAME בשם _acme-challenge שהוספתם כשהתקנתם את התעודה. אם הרשומה נמחקה, למשל בהעברת ניהול ה-DNS לספק אחר או בניקוי רשומות "מיותרות", החידוש נכשל.

1. היכנסו לניהול ה-DNS של הדומיין (אצל הרשם, Cloudflare או DNS Made Easy).
2. בדקו אם קיימת רשומת CNAME בשם _acme-challenge.
3. אם לא, הוסיפו אותה עם הערך שמוצג בפאנל של קלאודוויז בהתקנת ה-Wildcard.
4. חכו שהרשומה תתעדכן, וחדשו את התעודה מהפאנל.

אצל רשמים ישראליים, שימו לב שחלק מממשקי ה-DNS מוסיפים את שם הדומיין אוטומטית לשם הרשומה. אם תכתבו _acme-challenge.example.co.il בשדה השם, ייתכן שתקבלו בפועל _acme-challenge.example.co.il.example.co.il. בדרך כלל מספיק לכתוב _acme-challenge.

מה המגבלות של Let's Encrypt שכדאי להכיר

אם ניסיתם הרבה פעמים ופתאום מקבלים שגיאת מגבלה, זה לא באג. אלה מגבלות של Let's Encrypt עצמו, וקלאודוויז לא יכולה לעקוף אותן. גם ביטול תעודה לא מאפס אותן.

מגבלה	ערך
התקנות לאותו דומיין	עד 5 תעודות בשבוע
חידוש ידני	עד 5 פעמים ביום
תעודות לאפליקציה	תעודת Let's Encrypt אחת בכל פעם
דומיינים בתעודה אחת	עד 100 דומיינים ותתי-דומיינים
תוקף	90 יום, חידוש אוטומטי 30 יום לפני התפוגה

לכן, אל תנסו שוב ושוב באותו יום. מצאו קודם את הסיבה עם הפתרונות למעלה, ורק אז חדשו.

עוד טעויות נפוצות

התעודה תקינה אבל הדפדפן עדיין מזהיר: בדקו בכלי חיצוני, לא רק בדפדפן שלכם, שיכול לזכור אזהרה ישנה. נקו קאש ונסו בחלון פרטי.

אחרי הפעלת HTTPS יש "Too Many Redirects": יש שתי הפניות ל-HTTPS במקביל (פאנל וגם Cloudflare, תוסף או .htaccess). השאירו אחת בלבד.

Cloudflare מציג שגיאה 525 (SSL handshake failed): Cloudflare לא הצליח ליצור חיבור מאובטח לשרת, בדרך כלל כי ב-Cloudflare מוגדר SSL במצב Full או Full (strict) בזמן שהשרת עוד לא מגיש תעודה, למשל לפני שהותקנה Let's Encrypt. האבחון והפתרון המלאים, וגם 520, 521 ו-522: שגיאות 5xx של Cloudflare.

Let's Encrypt לא מצליח להיות מותקן בכלל: בדרך כלל הדומיין עדיין לא מצביע לשרת. ודאו שרשומת ה-A מעודכנת לכתובת ה-IP של השרת. ראו חיבור דומיין לקלאודוויז.

העברתם דומיין לאפליקציה אחרת: בטלו את התעודה באפליקציה הישנה, והתקינו חדשה באפליקציה החדשה.

מקורות

העמוד מבוסס על התיעוד והעמודים הרשמיים הבאים:

• How to fix incomplete certificate chain warning (Cloudways Knowledge Base)
• Fix issue of Let's Encrypt SSL not renewing automatically (Cloudways Knowledge Base)
• Let's Encrypt SSL certificates limitations (Cloudways Knowledge Base)

שאלות נפוצות

מדריכים קשורים

• איך להתקין תעודת SSL לאתר בקלאודוויז
• איך לחבר דומיין לאחסון קלאודוויז
• חיבור דומיין מקלאודפלייר לקלאודוויז
• תוסף DNS Made Easy
• אחסון אתרים בקלאודוויז
• כל המדריכים בתחום: מדריכי דומיינים ו-SSL

מקור רשמי: How to Fix Incomplete Certificate Chain Warning?, Fix Issue of Let's Encrypt SSL Not Renewing Automatically, Let's Encrypt SSL Certificates Limitations (Cloudways Knowledge Base). המדריך נכתב ונבדק על ידי עשהאל דרייר · עודכן: 06.11.2026

גילוי נאות: זהו אתר עצמאי ואינו האתר הרשמי של Cloudways. חלק מהקישורים באתר הם קישורי שותפים – אם תירשמו דרכם נקבל עמלה, בלי עלות נוספת לכם. לפרטים המלאים