نصب کد اینماد در سایت: شکل واقعی کدها و اینکه چرا نماد خطا می‌دهد

اینماد را گرفتی، کد را از پنل کپی کردی و در سایت چسباندی. مهر در فوتر پیداست، ولی وقتی رویش کلیک می‌کنی صفحه اینماد به‌جای شناسنامه کسب‌وکارت «خطا» نشان می‌دهد. یا عکس مهر اصلا نمی‌آید. یا در دسکتاپ هست و در موبایل نیست.

این راهنما درباره همین قدم آخر است: شکل واقعی کد اینماد و بقیه نمادها، قرار دادن اینماد در سایت و جای درست هر نماد، متاتگ تایید دامنه، نصب در وردپرس و ووکامرس، چرا نمادی که درست چسبانده‌ای خطا می‌دهد، و هر کدام را چطور امتحان کنی. اینکه خود اینماد را چطور بگیری در راهنمای گرفتن نماد اعتماد الکترونیکی آمده؛ این‌جا فقط درباره نصب کد و کار کردنش است.

شکل واقعی کدها: دو قالب، نه یکی

کد نمادها یک شکل ندارند. دو قالب اصلی هست و هر کدام جای متفاوتی خراب می‌شود.

قالب اول: لینک دور عکس. اینماد این شکل را می‌دهد: یک تگ a که به صفحه تایید می‌رود و داخلش یک img که عکس مهر را از سرور اینماد می‌آورد.

<a referrerpolicy='origin' target='_blank'
   href='https://trustseal.enamad.ir/?id=XXXXXX&Code=YYYYYYYY'>
  <img referrerpolicy='origin'
       src='https://trustseal.enamad.ir/logo.aspx?id=XXXXXX&Code=YYYYYYYY'
       alt='' style='cursor:pointer' code='YYYYYYYY'>
</a>

قالب دوم: عکس با کلیک. ساماندهی و اتحادیه کسب‌وکارهای مجازی لینک نمی‌دهند. یک عکس می‌دهند که کلیک روی آن با یک تکه جاوااسکریپت پنجره تایید را باز می‌کند.

<img style='cursor:pointer'
     onclick='window.open("https://logo.samandehi.ir/Verify.aspx?id=XXXXXX&p=ZZZZZZ", "Popup", "…")'
     src='https://logo.samandehi.ir/logo.aspx?id=XXXXXX&p=ZZZZZZ'>

شناسه‌های این نمونه‌ها عمدا ساختگی‌اند. کد واقعی را همیشه از پنل خود صادرکننده کپی کن، نه از یک مقاله؛ نمونه‌ها فقط نشان می‌دهند هر بخش کد چه کاری می‌کند.

فرق این دو قالب مهم است. قالب اول فقط HTML است و تقریبا همه‌جا کار می‌کند. قالب دوم به جاوااسکریپت درون‌خطی نیاز دارد، و هر جا اجرای آن بسته باشد — ویرایشگری که onclick را پاک می‌کند، یا سیاست امنیتی سایت — عکس دیده می‌شود ولی کلیک کاری نمی‌کند.

«عکس زنده» یعنی عکسی که هر بار از سرور صادرکننده می‌آید. اگر نماد تعلیق یا باطل شود، عکس هم از سایت تو می‌رود. این ویژگی است، نه ایراد، و دلیل اینکه این عکس‌ها را نباید روی سرور خودت کپی کنی. و این فرضی نیست: در شمارش ما از فروشگاه‌های آرایشی و بهداشتی ایران، از ۲٬۳۰۲ نماد ثبت‌شده هفت‌تا منقضی یا تعلیق‌شده بودند.

ترب، اتحادیه و درگاه‌ها

ضمانت ترب قالب اول را دارد، با یک لینک nofollow و هولوگرامی که ترب زنده می‌سازد:

<a href="https://torob.com/shop/XXXXXX" rel="nofollow">
  <img src="https://api.torob.com/third-party/guarantee/v1/hologram/?instance_id=XXXXXX">
</a>

ترب می‌تواند این نشان را پس بگیرد. اگر عکسش را دانلود کرده باشی و نشان سلب شود، روی سایتت ادعایی می‌ماند که دیگر درست نیست. شرایط گرفتن خود نشان را در ثبت فروشگاه در ترب ببین.

اتحادیه کسب‌وکارهای مجازی قالب دوم را دارد ولی عکس زنده ندارد. تله‌اش این است که آدرس عکس در کدش ممکن است نسبی باشد، چیزی شبیه /themes/… که فقط روی سایت خود اتحادیه معنی دارد. همان را در سایت خودت بچسبانی، مرورگر آن مسیر را روی دامنه تو می‌گردد و عکس شکسته نشان می‌دهد. عکس نشان را از مسیر معمول آپلود سایتت بالا ببر و آدرس تازه را در کد بگذار. لینک تایید شکلی مثل https://ecunion.ir/verify/shop.example?token=TTTTTTTT دارد که جای shop.example دامنه خودت است. این مجوز چیست و از کجا می‌آید را در مجوز کسب‌وکار اینترنتی نوشته‌ایم.

درگاه‌های پرداخت و ایمالز یا یک اسکریپت می‌دهند که خودش نماد را می‌سازد، یا یک لینک به صفحه فروشگاهت روی سایت خودشان که روی لوگوی آن‌ها می‌نشیند. اگر سایتت اسکریپت بیرونی اجرا نمی‌کند — که از نظر امنیتی درست است — راه دوم را برو: لوگو را آپلود کن و لینک را رویش بگذار.

کجا بگذاری‌شان

• فوتر، در همه صفحه‌ها. جای استاندارد نماد فوتر است چون همه‌جا تکرار می‌شود. اینماد مخصوصا باید در صفحه اصلی دیده شود.
• هم فوتر دسکتاپ، هم فوتر موبایل. خیلی از قالب‌ها دو فوتر جدا دارند. خطای رایج این است که عکس اینماد در HTML صفحه فقط یک بار بیاید، در فوتر دسکتاپ، و مشتری موبایلی هیچ نمادی نبیند. سایت را با گوشی باز کن و تا ته صفحه برو.
• فقط نمادی که داری. بعضی قالب‌ها جای نماد را با کارت پیش‌فرض «نماد اعتماد» یا «ساماندهی» پر می‌کنند، حتی وقتی کدی وارد نکرده‌ای. شکل نماد بدون نماد، ادعای بی‌پشتوانه است. اگر نمادی نداری، جایش هیچ چیز نباید باشد.
• عکس زنده را کپی نکن. عکس اینماد، ساماندهی و ترب را از سرور خودشان بخوان، حتی اگر کپی محلی سریع‌تر لود شود.
• کد را در حالت HTML بچسبان. ویرایشگر دیداری کد را متن حساب می‌کند و یا خود متن را روی صفحه نشان می‌دهد یا تگ‌ها را به متن تبدیل می‌کند.

اگر فروشگاهت روی شاپیران است، کد را در تنظیمات، تب «نمادها و مجوزها» بچسبان؛ متاتگ تایید دامنه هم همان‌جا جا دارد. اگر روی وردپرس هستی، بخش «نصب اینماد در وردپرس و ووکامرس» را پایین‌تر ببین.

متاتگ تایید دامنه: کدی که دیده نمی‌شود

قبل از صدور نماد، صادرکننده باید مطمئن شود دامنه مال توست. اینماد چهار راه برای این دارد: ایمیلی روی همان دامنه، یک فایل روی سرور، یک متاتگ در صفحه اصلی، یا تغییر موقت عنوان صفحه. ساماندهی هم متاتگ خودش را دارد:

<meta name="enamad" content="KKKKKKKK">
<meta name="samandehi" content="KKKKKKKK">

متاتگ باید داخل head صفحه اصلی باشد، نه در بدنه و نه در فوتر. روی هاست خودت راه فایل هم ساده است: فایل را در ریشه سایت می‌گذاری و باید با آدرس مستقیمش باز شود. ولی روی بیشتر فروشگاه‌سازها به ریشه سایت دسترسی نداری، پس متاتگ تنها راه عملی است. اگر فروشگاه‌سازت جایی برای متاتگ دلخواه ندارد، برای گرفتن نماد به پشتیبانی‌اش وابسته‌ای؛ قبل از ثبت دامنه این را بپرس.

بعد از ذخیره، سورس صفحه اصلی را باز کن — در مرورگر دسکتاپ با گذاشتن view-source: قبل از آدرس — و دنبال name="enamad" بگرد. اگر نبود یا مقدارش خالی بود، ذخیره‌ات به صفحه نرسیده. رایج‌ترین دلیلش را پایین‌تر، در بخش «تله علامت &»، می‌گویم.

نصب اینماد در وردپرس و ووکامرس

روی وردپرس، کد نماد معمولا یا در یک ابزارک فوتر می‌نشیند یا در تنظیمات فوتر خود قالب، و متاتگ تایید جای دیگری می‌خواهد. هر راهی را انتخاب کنی، این چهار چیز را رعایت کن.

کد فوتر: بلوک یا ابزارک «HTML سفارشی»

• قالب کلاسیک: از «نمایش ← ابزارک‌ها» یک ابزارک «HTML سفارشی» به ناحیه فوتر اضافه کن و کد را داخلش بچسبان. ابزارک متن یا بلوک پاراگراف جای کد نیست؛ ممکن است تگ‌ها را متن حساب کند یا بخشی از کد را بردارد.
• قالب بلوکی: در «نمایش ← ویرایشگر» بخش فوتر را باز کن و یک بلوک «HTML سفارشی» در آن بگذار. فوتر یک بخش مشترک است، پس تغییر روی همه صفحه‌ها می‌نشیند.
• جای کد در تنظیمات قالب: اگر قالبت جایی برای کد دلخواه فوتر دارد، آن هم کار می‌کند. فقط بعد از ذخیره، فوتر موبایل را جدا ببین؛ قالب‌هایی که فوتر موبایل را جدا می‌سازند، کد را گاهی فقط در یکی می‌گذارند.

نقش کاربری هم مهم است. وردپرس متنی را که کاربر بدون اجازه «HTML بدون فیلتر» ذخیره می‌کند پاک‌سازی می‌کند و صفت‌هایی مثل onclick را برمی‌دارد. مدیر یک سایت معمولی این اجازه را دارد، ولی در وردپرس چندسایته، برای نقش‌های پایین‌تر از مدیر، یا وقتی افزونه امنیتی این اجازه را بسته باشد، کد ساماندهی و اتحادیه بعد از ذخیره به عکسی بی‌کلیک تبدیل می‌شود. اگر کلیک کار نکرد، کد ذخیره‌شده را دوباره باز کن و ببین onclick هنوز هست یا نه؛ راه تمیزترش همان لینک ساده‌ای است که در بخش CSP آمده.

علامت & در ویرایشگر

وردپرس علامت & داخل لینک را در سورس صفحه گاهی به & یا کد عددی همان علامت تبدیل می‌کند، و این طبیعی است. خرابی وقتی است که یک قالب، افزونه یا ویرایشگر همان را یک بار دیگر تبدیل کند؛ آن‌وقت پارامتر Code از لینک می‌افتد. برای همین بعد از ذخیره، آزمون کپی آدرس لینک را از بخش «تله علامت &» انجام بده، نه خواندن سورس. و کد را همیشه از پنل صادرکننده کپی کن؛ واژه‌پردازها نقل‌قول‌ها را به نقل‌قول خمیده تبدیل می‌کنند و کد را می‌شکنند. اگر کد را سال‌ها پیش گذاشته‌ای، دنبال noreferrer در آن هم بگرد؛ نسخه‌های قدیمی‌تر ویرایشگر وردپرس آن را خودکار به لینک‌هایی که در تب تازه باز می‌شوند اضافه می‌کردند.

متاتگ تایید در head

ابزارک‌ها و بلوک‌ها در بدنه صفحه می‌نشینند، پس متاتگ را نمی‌شود با آن‌ها گذاشت. سه راه داری:

1. جای «کد هدر» در تنظیمات قالب، اگر قالبت دارد.
2. افزونه درج کد در هدر. افزونه‌ای را از مخزن رسمی وردپرس بگیر که به‌روز مانده، و کد را در بخش head آن بگذار، نه بدنه یا فوتر.
3. قالب فرزند. اگر با کد راحتی، این چند خط را در functions.php قالب فرزند بگذار. قالب اصلی را ویرایش نکن؛ اولین به‌روزرسانی قالب کدت را پاک می‌کند.

add_action('wp_head', function () {
  echo '<meta name="enamad" content="KKKKKKKK">';
});

کش: دلیل اینکه تغییرت دیده نمی‌شود

اگر افزونه کش، کش میزبان یا شبکه توزیع محتوا داری، صفحه اصلی‌ای که صادرکننده و مرورگر تو می‌بینند ممکن است نسخه پیش از تغییر باشد. بعد از گذاشتن کد یا متاتگ، کش افزونه و کش لبه را پاک کن، بعد سورس صفحه اصلی را در پنجره ناشناس ببین. اگر بعد از پاک کردن کش هنوز متاتگ نیست، ذخیره‌ات به صفحه نرسیده؛ اگر هست، درخواست تایید را بفرست. کش صفحه چطور کار می‌کند و کجا کمکی نمی‌کند را افزایش سرعت سایت ووکامرس توضیح داده. اگر تازه داری فروشگاه ووکامرسی راه می‌اندازی، جای نماد در ترتیب کارها را در نقشه کامل ووکامرس ببین.

چرا نماد درست‌چسبانده خطا می‌دهد

صادرکننده نمی‌داند از کدام سایت آمده‌ای

صفحه تایید اینماد از روی هدر Referer — آدرس سایتی که کاربر از آن آمده — می‌فهمد شناسنامه کدام کسب‌وکار را نشان بدهد. برای همین در کد رسمی referrerpolicy='origin' هست. اگر این هدر نرسد، صفحه مقصد به‌جای «شناسنامه کسب و کار» عنوان «خطا» دارد.

رایج‌ترین دلیل نرسیدنش rel="noreferrer" است. بعضی قالب‌ها، ویرایشگرها و افزونه‌های امنیتی آن را خودکار به همه لینک‌هایی که در تب تازه باز می‌شوند اضافه می‌کنند. و noreferrer بر referrerpolicy کنارش غلبه می‌کند، پس کد ظاهرا درست است و کار نمی‌کند. خودت هم می‌توانی امتحانش کنی: با noreferrer عنوان صفحه مقصد «خطا» است و بدون آن «شناسنامه کسب و کار». noopener را نگه دار؛ آن است که جلوی سوءاستفاده تب تازه از صفحه تو را می‌گیرد.

دو چیز دیگر هم همین اثر را دارند. یکی سیاست Referrer کل سایت روی no-referrer؛ لینک اینماد با صفت خودش از آن رد می‌شود، ولی window.open در قالب دوم صفتی برای این ندارد و تابع سیاست کل صفحه است. دیگری کد قدیمی که لینکش با http شروع می‌شود؛ مرورگر از صفحه https به آدرس http معمولا Referer نمی‌فرستد.

دامنه با دامنه ثبت‌شده نمی‌خواند

نماد به دامنه گره خورده، نه به تو. اینماد Referer را با دامنه ثبت‌شده همان نماد مقایسه می‌کند، پس همان کد روی هر دامنه دیگری خطا می‌دهد: دامنه قدیمی که هنوز باز است، نسخه آزمایشی سایت، یا آدرس موقتی که فروشگاه‌ساز اول کار داده. عکس مهر هم همین بررسی را دارد و روی دامنه دیگر نمی‌آید؛ برای همین referrerpolicy روی خود img هم هست و نباید حذفش کنی. اگر دامنه را عوض کرده‌ای، اول نماد را در پنل صادرکننده منتقل کن، بعد کد تازه را بگذار.

عکس از سرور صادرکننده نمی‌رسد

• نماد تازه صادر شده. روز صدور ممکن است عکس نماد حتی روی دامنه خودش نیاید و سرور عکس اتصال را ببندد. اگر یکی دو روز بعد هم ماند، از پشتیبانی صادرکننده بپرس.
• مرورگر یا شبکه تو جلویش را می‌گیرد. افزونه‌های مسدودکننده تبلیغ گاهی عکس‌های بیرونی کوچک را می‌بندند، و با فیلترشکن ممکن است بعضی سرورهای داخلی جواب ندهند. اول در پنجره ناشناس، بدون افزونه و با اینترنت معمولی امتحان کن.
• سیاست امنیتی خود سایت، که بخش جدای خودش را دارد.

تله علامت &: وقتی پاک‌کننده HTML لینک را بی‌صدا می‌شکند

لینک اینماد دو پارامتر دارد، id و Code، که با & از هم جدا شده‌اند. ساماندهی هم همین‌طور. خیلی از سیستم‌ها هر متنی را که در پنل وارد می‌کنی برای امنیت قبل از ذخیره «پاک» می‌کنند، و یکی از کارهای پاک‌کننده تبدیل & به & است.

این به‌تنهایی ایرادی ندارد. خطا وقتی پیش می‌آید که همان متن پاک‌شده موقع نمایش یک بار دیگر هم تبدیل شود. آن‌وقت آدرسی که مرورگر واقعا باز می‌کند این است:

https://trustseal.enamad.ir/?id=XXXXXX&Code=YYYYYYYY

از دید سرور اینماد، این آدرس پارامتر Code ندارد؛ پارامتری به اسم amp;Code دارد. نتیجه صفحه خطاست، و چون عکس هم همین پارامترها را دارد، ممکن است آن هم نیاید. هیچ‌جای پنل هم خطایی نمی‌بینی، چون از دید سیستم ذخیره موفق بود. پاک‌کننده‌ای که با کد نماد این کار را می‌کند، ممکن است متاتگ چسبانده‌شده را هم کامل خالی کند؛ برای همین بعد از هر ذخیره، هم لینک و هم متاتگ را چک کن.

چک کردنش ساده است:

1. روی نماد راست‌کلیک کن و «کپی آدرس لینک» را بزن.
2. آدرس را در یک جای متنی بچسبان.
3. اگر & دیدی، لینک شکسته است. اگر فقط & دیدی، سالم است.

یک تله دارد: سورس صفحه را ملاک نگیر. در سورس، & داخل href طبیعی است — شکل درست نوشتن & در HTML همین است و مرورگر خودش آن را برمی‌گرداند. کد عددی همین علامت هم که وردپرس گاهی می‌نویسد همین‌طور است. ملاک آدرسی است که مرورگر باز می‌کند، نه چیزی که در سورس نوشته شده.

وقتی سیاست امنیتی سایت (CSP) نماد را می‌بندد

اگر سایتت سیاست امنیتی محتوا دارد — هدری که می‌گوید صفحه از کدام دامنه‌ها حق دارد عکس و اسکریپت بیاورد — نماد ممکن است قربانی آن شود:

کنسول مرورگر صریح می‌گوید چه چیزی بسته شده. ابزار توسعه‌دهنده را باز کن (F12 در دسکتاپ) و دنبال پیام‌هایی بگرد که با Refused to شروع می‌شوند، مثل Refused to load the image یا Refused to execute inline event handler.

راه غلط این است که برای یک نماد، جاوااسکریپت درون‌خطی را برای کل سایت باز کنی. یک لینک ساده همان کار window.open را می‌کند و چیزی را باز نمی‌گذارد. در تبدیل دو چیز را حفظ کن: target="_blank" و referrerpolicy="origin"، بدون noreferrer. بعد ببین صفحه تایید همان نتیجه قبل را نشان بدهد.

آزمون نهایی: هر نماد را این‌طور امتحان کن

1. سایت را در پنجره ناشناس، بدون افزونه و روی دامنه اصلی باز کن.
2. عکس هر نماد را ببین. اگر نیامد، در زبانه Network ابزار توسعه‌دهنده دنبال اسم صادرکننده بگرد و وضعیت درخواست را ببین.
3. روی هر نماد کلیک کن. اینماد باید شناسنامه کسب‌وکار تو را نشان بدهد، نه «خطا»؛ ترب باید صفحه فروشگاه خودت را باز کند.
4. در زبانه‌ای که باز شد کنسول را باز کن و document.referrer را بنویس. باید آدرس سایت تو را برگرداند؛ اگر خالی بود، دلیل خطا همین است.
5. آدرس لینک هر نماد را کپی کن و دنبال & بگرد.
6. همین‌ها را با گوشی تکرار کن، تا ته فوتر موبایل.
7. سورس صفحه اصلی را ببین: متاتگ‌های تایید داخل head هستند و مقدارشان خالی نیست.
8. در کنسول صفحه اصلی، هیچ پیام Refused to مربوط به نمادها نباشد.
9. هر بار که قالب، افزونه امنیتی یا دامنه را عوض کردی، این فهرست را دوباره برو.

جمع‌بندی

نصب کد اینماد کار چند دقیقه است، ولی کار نکردنش ممکن است ماه‌ها دیده نشود. تنها کسی که روی مهر کلیک می‌کند مشتری مردد است، دقیقا همان کسی که نماد برای او بود. و مشتری‌ای که نماد را نمی‌بیند یا با کلیک رویش «خطا» می‌گیرد، معمولا چیزی نمی‌پرسد؛ فقط نمی‌خرد.

پس بعد از نصب یک بار کامل امتحان کن، و بعد از هر تغییر قالب یا دامنه دوباره. بقیه کارهای قانونی را در چک‌لیست قانونی و جای نماد در کل مسیر راه‌اندازی را در راه‌اندازی فروشگاه اینترنتی ببین.