SSL và HTTPS: hiểu đúng, cài đúng, và xử lý khi trình duyệt báo lỗi

Giải thích không dùng thuật ngữ: khi khách nhập số điện thoại vào form trên website của bạn, dữ liệu đó đi qua nhiều điểm trung gian trên đường tới máy chủ. Không có mã hoá, ai đứng ở các điểm trung gian đó về nguyên tắc đọc được. SSL làm cho dữ liệu trên đường đi thành vô nghĩa với người ngoài. HTTPS là tên gọi của kết nối đã được bảo vệ như vậy.

Ngoài việc bảo vệ dữ liệu, HTTPS còn ảnh hưởng ba thứ rất thực tế: trình duyệt không cảnh báo khách, Google coi đây là một tín hiệu tích cực, và nhiều tính năng hiện đại của trình duyệt chỉ hoạt động khi trang chạy https.

Các loại chứng chỉ và loại bạn thật sự cần

Chứng chỉ xác thực tên miền

Loại phổ biến nhất, chứng minh bạn kiểm soát tên miền. Cấp tự động trong vài phút, thường miễn phí và tự gia hạn. Đây là loại phù hợp với hầu hết website doanh nghiệp, kể cả website bán hàng có thanh toán, vì phần xử lý thẻ do cổng thanh toán đảm nhiệm.

Chứng chỉ xác thực doanh nghiệp

Nhà cấp kiểm tra giấy tờ pháp nhân trước khi cấp. Thông tin doanh nghiệp có trong chứng chỉ, người dùng có thể xem. Phù hợp khi khách hàng của bạn có bộ phận kỹ thuật kiểm tra kỹ, hoặc khi bạn muốn thể hiện pháp nhân rõ ràng.

Chứng chỉ mở rộng

Quy trình xác minh khắt khe nhất. Trước đây trình duyệt hiển thị tên công ty màu xanh trên thanh địa chỉ, nhưng các trình duyệt hiện nay đã bỏ cách hiển thị đó, nên lợi ích nhìn thấy giảm nhiều. Thường chỉ tổ chức tài chính và ngân hàng dùng.

Chứng chỉ cho nhiều tên miền phụ

Một chứng chỉ dùng cho mọi tên miền phụ. Tiện khi bạn có nhiều tên miền phụ như cửa hàng, tin tức, trang quản trị.

Cài đặt: các bước và nơi dễ sai

Bước 1 — Trỏ tên miền về hosting trước

Chứng chỉ chỉ cấp được khi tên miền đã trỏ đúng về máy chủ, vì hệ thống cần xác minh bạn kiểm soát tên miền đó. Nếu đang chuyển hosting, hãy hoàn tất phần DNS trước; cách làm ở bài trỏ tên miền về hosting.

Bước 2 — Cấp chứng chỉ trong bảng quản trị hosting

Phần lớn hosting hiện nay có mục cấp chứng chỉ miễn phí chỉ bằng vài lần bấm, và tự gia hạn trước khi hết hạn. Nhớ cấp cho cả tên miền gốc và dạng có tiền tố www.

Bước 3 — Buộc toàn bộ website dùng https

Đây là bước bị bỏ nhiều nhất. Cài chứng chỉ xong mà không buộc chuyển hướng thì website vẫn truy cập được bằng http, và khách vào bằng đường dẫn cũ vẫn thấy cảnh báo. Cần đặt chuyển hướng vĩnh viễn từ http sang https cho toàn bộ website.

Bước 4 — Sửa các tài nguyên còn gọi qua http

Nếu trang chạy https nhưng có một ảnh, một font hay một script còn tải qua http, trình duyệt vẫn coi trang không an toàn hoàn toàn. Nguồn gây lỗi phổ biến:

• Ảnh trong bài viết cũ được chèn với đường dẫn http đầy đủ
• Bản đồ, video hoặc mã bên thứ ba nhúng bằng http
• Đường dẫn website trong cấu hình vẫn lưu dạng http
• Tệp CSS gọi ảnh nền qua http

Cách xử lý gọn nhất là chạy một lượt thay thế trong cơ sở dữ liệu, đổi toàn bộ http của tên miền mình sang https. Việc này nên có người biết làm và phải sao lưu trước.

Sáu lỗi thường gặp sau khi cài

1. Trang chủ an toàn nhưng một số trang thì không

Các trang đó còn chứa tài nguyên http. Mở công cụ dành cho nhà phát triển của trình duyệt, xem cảnh báo về nội dung hỗn hợp để biết chính xác tệp nào.

2. Báo lỗi tên miền không khớp

Chứng chỉ chỉ cấp cho một dạng, ví dụ chỉ cho dạng có www. Cấp lại cho cả hai dạng.

3. Báo chứng chỉ đã hết hạn

Việc tự gia hạn thất bại, thường vì tên miền đã đổi hướng hoặc quy tắc chuyển hướng chặn bước xác minh. Cấp lại thủ công rồi kiểm tra tự gia hạn có hoạt động không.

4. Website bị lặp chuyển hướng, không mở được

Xảy ra khi có hai lớp cùng chuyển hướng http sang https, ví dụ cả máy chủ và cả plugin. Chỉ nên để một nơi làm việc đó.

5. Sau khi bật https, lượng truy cập trong báo cáo giảm mạnh

Thường không phải mất khách thật, mà do chưa cập nhật địa chỉ website trong công cụ đo và trong Search Console. Hãy thêm phiên bản https như một tài sản riêng và gửi lại sitemap.

6. Trang thanh toán báo lỗi sau khi bật https

Cổng thanh toán thường lưu địa chỉ trả kết quả. Sau khi đổi sang https, phải cập nhật lại địa chỉ đó trong cấu hình cổng thanh toán, nếu không đơn hàng sẽ không được xác nhận.

Vài điều nên biết thêm

HTTPS không làm website chậm hơn

Đây là quan niệm cũ. Với các giao thức hiện nay, trang https thường nhanh hơn http vì được dùng những cải tiến truyền tải chỉ hoạt động trên kết nối đã mã hoá.

HTTPS không có nghĩa website an toàn

Đây là điểm quan trọng và hay bị hiểu sai. HTTPS chỉ bảo vệ dữ liệu trên đường truyền. Nó không ngăn website bị chèn mã do plugin lỗi, không ngăn mật khẩu yếu bị dò. Bảo mật website là việc riêng, xem 10 việc bảo mật phải làm.

Chứng chỉ miễn phí có kém hơn chứng chỉ trả phí không

Về mức mã hoá thì không khác. Khác ở mức độ xác minh danh tính và ở chính sách bảo hiểm của nhà cấp. Với website doanh nghiệp thông thường, chứng chỉ miễn phí tự gia hạn là lựa chọn hợp lý — và đó là mặc định trong các gói hosting của chúng tôi.

Việc cần làm nếu website của bạn vẫn báo không an toàn

1. Kiểm tra chứng chỉ đã cấp cho cả tên miền gốc và dạng www
2. Bật buộc chuyển hướng http sang https ở một nơi duy nhất
3. Chạy thay thế đường dẫn http trong cơ sở dữ liệu, sau khi đã sao lưu
4. Kiểm tra sáu trang trong danh sách ở trên
5. Cập nhật địa chỉ https trong Search Console và trong công cụ đo
6. Cập nhật địa chỉ trả kết quả ở cổng thanh toán nếu có bán hàng

Nếu bạn không muốn tự làm, đây là việc chúng tôi xử lý trong ngày như một phần của chăm sóc website.