SSL là công nghệ mã hoá đường truyền giữa trình duyệt của khách và máy chủ website. Khi website có chứng chỉ SSL hợp lệ, địa chỉ bắt đầu bằng https, mọi thứ khách gõ vào (mật khẩu, số điện thoại, địa chỉ giao hàng) đi trên mạng dưới dạng đã mã hoá, người đứng giữa như chủ wifi quán cà phê hay ai đó cùng mạng không đọc được.
Ngày nay mọi website đều nên chạy HTTPS, kể cả trang giới thiệu đơn giản không có ô đăng nhập. Lý do rất thực tế: trình duyệt dán nhãn "Không bảo mật" lên trang HTTP, Google coi HTTPS là một tín hiệu xếp hạng, và chứng chỉ cơ bản giờ đã miễn phí, phần lớn hosting cài được bằng vài cú bấm.
Phần dưới giải thích ba chữ SSL, TLS, HTTPS cho khỏi lẫn, so sánh chứng chỉ miễn phí với các loại trả phí, rồi đi qua các bước cài, chuyển hướng toàn bộ trang sang HTTPS và dọn lỗi nội dung hỗn hợp, thứ làm nhiều website "đã cài SSL" mà vẫn bị cảnh báo.
SSL, TLS và HTTPS: ba chữ cho cùng một việc
SSL (Secure Sockets Layer) là tên giao thức mã hoá ra đời từ thập niên 1990. Các phiên bản SSL cũ đều đã bị phát hiện lỗ hổng và bị loại bỏ; thứ đang chạy thật trên các website hiện nay là TLS (Transport Layer Security), chủ yếu bản TLS 1.2 và TLS 1.3. Nhưng thói quen gọi đã thành nếp, nên nhà cung cấp, hosting và người làm web vẫn nói "chứng chỉ SSL" dù bên trong là TLS. Khi đọc tài liệu, bạn cứ hiểu SSL và TLS là một.
HTTPS là HTTP chạy bên trong lớp TLS. Muốn có HTTPS, máy chủ cần một chứng chỉ: một tệp nhỏ do tổ chức cấp chứng chỉ (gọi là CA) ký, xác nhận rằng khoá mã hoá này thuộc về tên miền này. Trình duyệt có sẵn danh sách các CA đáng tin; khi kết nối, nó kiểm tra chứng chỉ có đúng tên miền, còn hạn và do CA đáng tin ký hay không. Đủ ba điều kiện thì trang mở bình thường, thiếu một là hiện cảnh báo đỏ.
Chứng chỉ làm hai việc: mã hoá dữ liệu trên đường đi và xác thực rằng bạn đang nói chuyện với đúng máy chủ của tên miền đó, không phải một máy giả mạo chen vào giữa. Nó không bảo vệ dữ liệu khi đã nằm trên máy chủ, không chặn được mã độc trong website, cũng không chứng minh chủ website là người tử tế.
Biểu tượng ổ khoá nói gì và không nói gì
Ổ khoá chỉ nói rằng đường truyền được mã hoá. Một trang lừa đảo vẫn lấy được chứng chỉ miễn phí trong vài phút và vẫn có HTTPS. Vì vậy dạy nhân viên hay người nhà "thấy ổ khoá là an toàn" là sai; cần nhìn kỹ tên miền trên thanh địa chỉ, đặc biệt các tên na ná có thêm gạch nối hoặc đổi một chữ.
Chrome đã thay ổ khoá bằng biểu tượng cài đặt. Từ khoảng năm 2023, Chrome trên máy tính dùng một biểu tượng hai thanh trượt nhỏ ở đầu thanh địa chỉ thay cho ổ khoá, chính vì nhiều người hiểu nhầm ổ khoá là "trang đáng tin". Bấm vào đó vẫn xem được trạng thái kết nối và thông tin chứng chỉ. Các trình duyệt khác có thể vẫn hiện ổ khoá; giao diện thay đổi theo phiên bản.
Nhãn "Không bảo mật" xuất hiện trên mọi trang HTTP. Chrome dán nhãn này cho trang không mã hoá từ năm 2018, và khi khách bắt đầu gõ vào ô nhập liệu trên trang HTTP, cảnh báo còn đổi màu đỏ. Với website bán hàng, khách thấy chữ này ở ô điền số điện thoại là đủ lý do để thoát ra.
Cảnh báo đỏ toàn trang khác hẳn nhãn "Không bảo mật". Trang chặn với dòng "Kết nối của bạn không phải là kết nối riêng tư" nghĩa là website có HTTPS nhưng chứng chỉ có vấn đề: hết hạn, sai tên miền hoặc không đáng tin. Đây là lỗi nặng hơn, làm rơi gần như toàn bộ khách, cần xử lý ngay.
HTTPS ảnh hưởng tới SEO và lòng tin của khách thế nào
Google công bố từ năm 2014 rằng HTTPS là một tín hiệu xếp hạng. Tín hiệu này nhẹ: một trang HTTPS nội dung kém sẽ không vượt được trang HTTP nội dung tốt chỉ nhờ ổ khoá. Nhưng ở các từ khoá cạnh tranh, khi nội dung ngang nhau, nó là phần cộng thêm. Quan trọng hơn là tác động gián tiếp: khách thấy nhãn "Không bảo mật" sẽ rời trang nhanh, tỷ lệ thoát cao, đơn hàng ít, và những tín hiệu hành vi đó mới làm trang tụt.
Một số tính năng hiện đại của trình duyệt chỉ chạy trên HTTPS: định vị, thông báo đẩy, cài web thành ứng dụng (PWA), truy cập camera, micro. Nhiều cổng thanh toán, mạng xã hội khi lấy ảnh xem trước và các công cụ quảng cáo cũng yêu cầu trang đích dùng HTTPS. Nói cách khác, không có HTTPS thì website bị khoá một loạt tính năng chứ không chỉ mất điểm SEO.
Về lòng tin, khách Việt mua online ngày càng tinh: họ để ý thanh địa chỉ, để ý trang có bị trình duyệt cảnh báo không trước khi chuyển khoản. Một website nhỏ có HTTPS chuẩn, không cảnh báo, không lỗi hiển thị là điều kiện tối thiểu để được cân nhắc, chưa phải lợi thế.
Chứng chỉ miễn phí và trả phí: DV, OV, EV khác nhau ở đâu
Mọi chứng chỉ đều mã hoá mạnh như nhau. Khác biệt nằm ở mức độ CA kiểm tra danh tính người xin cấp, kèm bảo hiểm và hỗ trợ. Bảng dưới là mức chung, giá thay đổi theo hãng và nhà bán lại.
| Loại | CA kiểm tra gì | Thời gian cấp | Chi phí khoảng mỗi năm | Hợp với |
|---|---|---|---|---|
| Miễn phí (thường là DV) | Chỉ kiểm bạn kiểm soát tên miền | Vài phút, tự động | 0 đồng | Blog, website giới thiệu, cửa hàng nhỏ |
| DV trả phí | Như trên | Vài phút tới vài giờ | Vài trăm nghìn đồng | Ai cần hỗ trợ kỹ thuật, bảo hiểm của hãng |
| OV | Kiểm thêm doanh nghiệp có thật, tên trong chứng chỉ | 1–3 ngày làm việc | Khoảng 1–3 triệu đồng | Công ty muốn tên pháp lý nằm trong chứng chỉ |
| EV | Kiểm kỹ pháp nhân, địa chỉ, người đại diện | Vài ngày tới vài tuần | Khoảng vài triệu đồng trở lên | Ngân hàng, tổ chức tài chính, hợp đồng bắt buộc |
| Wildcard (DV hoặc OV) | Dùng cho mọi tên miền phụ cấp một | Tuỳ loại | Từ miễn phí tới vài triệu | Website có nhiều tên miền phụ |
Trước đây EV làm thanh địa chỉ hiện tên công ty màu xanh, nhưng các trình duyệt lớn đã bỏ hiển thị đó từ khoảng năm 2019, nên khách thường không thấy khác biệt. Với cửa hàng nhỏ và blog, chứng chỉ miễn phí là đủ; chỉ trả tiền khi hợp đồng, đối tác hoặc quy định ngành yêu cầu.
Cần biết thêm: thời hạn tối đa của chứng chỉ đang được ngành rút ngắn dần, từ giữa tháng 3/2026 còn khoảng 200 ngày và sẽ tiếp tục giảm trong những năm tới. Chứng chỉ miễn phí phổ biến có hạn 90 ngày. Mua chứng chỉ "nhiều năm" vẫn được, nhưng phải cấp lại định kỳ. Vì thế cơ chế tự động gia hạn mới là thứ quyết định, không phải loại chứng chỉ.
Các bước cài chứng chỉ SSL miễn phí cho website
Hầu hết hosting dùng bảng điều khiển như cPanel, DirectAdmin, Plesk đều có sẵn mục cấp chứng chỉ miễn phí, thường dựa trên Let's Encrypt. Tên mục khác nhau theo nhà cung cấp và phiên bản (SSL/TLS, Let's Encrypt, AutoSSL, SSL Certificates). Thứ tự làm như sau:
- Trỏ tên miền xong trước. Bản ghi A của tên miền chính và của www phải trỏ đúng địa chỉ IP hosting và đã có hiệu lực. CA kiểm tra bằng cách truy cập tên miền; trỏ chưa xong là cấp thất bại.
- Mở mục SSL trong bảng điều khiển, chọn tên miền, đánh dấu cả bản có www lẫn bản không có www phía trước. Quên www là lỗi rất hay gặp: khách gõ có www sẽ bị cảnh báo sai tên.
- Bấm cấp chứng chỉ và chờ một tới vài phút. Nếu báo lỗi xác minh, kiểm tra lại DNS, tường lửa, hoặc tệp .htaccess đang chặn thư mục xác minh tên là .well-known.
- Bật tự động gia hạn nếu có tuỳ chọn riêng. Với VPS tự quản, công cụ phổ biến là certbot; sau khi cài, chạy lệnh thử gia hạn ở chế độ thử (dry-run) để chắc lịch tự động đã hoạt động.
- Nếu dùng CDN như Cloudflare, đặt chế độ SSL là Full (strict) và vẫn cài chứng chỉ trên máy chủ gốc. Chế độ Flexible nghĩa là chặng từ CDN về máy chủ vẫn không mã hoá, lại hay gây vòng chuyển hướng vô tận.
- Mở website bằng địa chỉ https trên máy tính và điện thoại, bấm vào biểu tượng cạnh địa chỉ để xem chứng chỉ: đúng tên miền, ngày hết hạn hợp lý, không cảnh báo.
Một hosting chung có thể chứa nhiều website; mỗi tên miền cần chứng chỉ riêng hoặc nằm chung một chứng chỉ có nhiều tên. Nếu bảng điều khiển không có mục SSL miễn phí, hỏi bộ phận hỗ trợ của hosting, đa số sẽ cài giúp không tính phí.
Chuyển hướng toàn bộ HTTP sang HTTPS
Cài chứng chỉ xong mới là nửa việc. Lúc này website tồn tại ở hai địa chỉ: bản http và bản https. Nếu không chuyển hướng, khách cũ, liên kết cũ và Google vẫn vào bản http. Cần đặt chuyển hướng 301 (chuyển vĩnh viễn) từ mọi địa chỉ http sang đúng địa chỉ https tương ứng, giữ nguyên đường dẫn phía sau. Chuyển hướng 302 (tạm thời) không truyền tín hiệu xếp hạng tốt bằng.
Trên hosting Apache, việc này thường làm bằng vài dòng trong tệp .htaccess; nhiều bảng điều khiển có sẵn công tắc "Force HTTPS". WordPress cần đổi thêm hai ô Địa chỉ WordPress và Địa chỉ trang web trong Cài đặt, Tổng quan sang https. Đồng thời chọn một bản duy nhất, có www hoặc không www, rồi chuyển bản còn lại về đó. Mục tiêu: dù khách gõ kiểu gì cũng chỉ qua một lần chuyển hướng để tới địa chỉ chuẩn, không qua hai ba bước.
Sau đó cập nhật những chỗ ngoài website: thêm thuộc tính https trong Google Search Console (hoặc dùng thuộc tính miền bao trùm cả hai), gửi lại sitemap có địa chỉ https, sửa liên kết trên trang mạng xã hội, Google Business Profile, quảng cáo. HSTS là tiêu đề bắt trình duyệt luôn dùng HTTPS cho tên miền của bạn; nó tăng an toàn nhưng khó quay đầu, chỉ nên bật khi HTTPS đã chạy ổn vài tuần và mọi tên miền phụ đều có chứng chỉ.
Lỗi nội dung hỗn hợp và cách dò từng chỗ
Nội dung hỗn hợp (mixed content) là khi trang chạy HTTPS nhưng còn gọi ảnh, tệp CSS, JavaScript, phông chữ hay khung nhúng qua http. Trình duyệt sẽ chặn script và CSS kiểu này (trang vỡ bố cục, nút bấm không chạy) hoặc tự nâng cấp ảnh, kèm cảnh báo cạnh địa chỉ. Cách dò và sửa:
- Mở trang, bấm F12 trên máy tính, chọn thẻ Console: mỗi tài nguyên http bị chặn hiện một dòng cảnh báo kèm đường dẫn cụ thể.
- Với WordPress, nội dung hỗn hợp thường nằm trong cơ sở dữ liệu: ảnh chèn trong bài từ thời còn http. Dùng công cụ tìm và thay thế có hỗ trợ dữ liệu tuần tự hoá để đổi mọi đường dẫn bắt đầu bằng http kèm tên miền của bạn sang bản https; sao lưu trước khi chạy.
- Kiểm tra theme, tệp header, footer, widget có đoạn mã chèn tay (mã theo dõi, khung chat, bản đồ nhúng) còn dùng http.
- Tài nguyên từ website khác không hỗ trợ HTTPS thì thay nguồn khác hoặc tải về đặt trên chính hosting của bạn.
- Plugin "ép HTTPS" sửa được phần hiển thị nhưng chỉ nên là giải pháp tạm; sửa tận gốc trong dữ liệu giúp trang nhẹ và ít phụ thuộc hơn.
- Sau khi sửa, xoá bộ nhớ đệm của plugin cache và CDN rồi kiểm tra lại ở cửa sổ ẩn danh, vì trình duyệt và CDN hay giữ bản cũ.
Câu hỏi thường gặp
Website không có đăng nhập, không bán hàng thì có cần SSL không?
Vẫn nên có. Trình duyệt dán nhãn Không bảo mật cho mọi trang HTTP bất kể nội dung, một số tính năng chỉ chạy trên HTTPS, và nhà mạng hay wifi công cộng có thể chèn quảng cáo vào trang không mã hoá. Chứng chỉ miễn phí nên chi phí gần như bằng không.
Chứng chỉ Let's Encrypt miễn phí có kém an toàn hơn chứng chỉ trả phí không?
Không. Mức mã hoá như nhau, trình duyệt tin cậy như nhau. Khác biệt ở chỗ không có bảo hiểm, không có hỗ trợ trực tiếp và hạn 90 ngày nên phải tự động gia hạn. Với đa số website nhỏ, điều đó không thành vấn đề nếu hosting lo phần gia hạn.
Chuyển sang HTTPS có làm tụt thứ hạng Google không?
Có thể dao động nhẹ vài tuần trong lúc Google thu thập lại địa chỉ mới, rồi ổn định. Để giảm dao động, dùng chuyển hướng 301 từng trang, cập nhật sitemap, liên kết nội bộ và khai báo trong Search Console. Tránh để cả hai bản http và https cùng trả nội dung.
Làm sao biết chứng chỉ của website còn bao nhiêu ngày?
Bấm vào biểu tượng ngay cạnh địa chỉ trang, chọn mục thông tin kết nối hoặc chứng chỉ để xem ngày hết hạn. Các công cụ kiểm tra SSL trực tuyến cũng cho biết hạn, chuỗi chứng chỉ và lỗi cấu hình. Nên đặt lời nhắc trước hạn khoảng hai tuần nếu không chắc việc tự động gia hạn đang chạy.
Một chứng chỉ dùng cho nhiều tên miền được không?
Được. Chứng chỉ có thể chứa nhiều tên, gọi là SAN hoặc đa tên miền, ví dụ tên miền chính, www và tên miền phụ shop. Chứng chỉ wildcard phủ mọi tên miền phụ một cấp. Nhưng tên miền hoàn toàn khác nhau thì nhiều hosting vẫn cấp mỗi tên một chứng chỉ cho dễ quản lý.
Bật HTTPS rồi mà website hiện vòng chuyển hướng không vào được thì làm gì?
Thường do hai nơi cùng chuyển hướng ngược nhau, ví dụ CDN để chế độ Flexible trong khi máy chủ ép HTTPS, hoặc plugin và tệp .htaccess cùng chuyển. Tắt bớt một nơi, đặt CDN về Full (strict), xoá cache trình duyệt rồi thử lại trong cửa sổ ẩn danh.
