Khi website hiện thông báo "Kết nối không an toàn" hoặc "Kết nối của bạn không phải là kết nối riêng tư", trình duyệt đang nói rằng nó không tin chứng chỉ bảo mật của trang. Năm nguyên nhân hay gặp nhất là: chứng chỉ hết hạn, chứng chỉ không khớp tên miền đang mở, trang còn nội dung hỗn hợp http, tên miền vừa trỏ sang máy chủ chưa có chứng chỉ, và đồng hồ trên máy người xem bị sai.
Ba nguyên nhân đầu và nguyên nhân thứ tư do chủ web sửa; nguyên nhân cuối, cùng vài trường hợp như phần mềm diệt virus hay wifi công cộng, nằm ở phía người xem. Phân biệt đúng giúp bạn khỏi mất nửa ngày sửa máy chủ trong khi lỗi chỉ nằm ở một chiếc điện thoại để sai giờ.
Bài này đi theo đúng thứ tự một người làm kỹ thuật sẽ kiểm: đọc mã lỗi, khoanh vùng phía nào, rồi xử lý từng nguyên nhân, cuối cùng là danh sách kiểm tra để lỗi không quay lại.
Bước 1: đọc mã lỗi, nó chỉ thẳng nguyên nhân
Trên trang cảnh báo của Chrome có dòng mã lỗi chữ in hoa nhỏ, thường phải bấm Nâng cao hoặc Chi tiết mới thấy. Firefox, Safari, Edge dùng mã khác nhưng ý tương tự. Ghi lại mã này trước khi làm gì khác.
| Mã lỗi thường gặp | Nghĩa là | Thường do ai |
|---|---|---|
| NET::ERR_CERT_DATE_INVALID | Chứng chỉ hết hạn hoặc chưa tới ngày hiệu lực | Chủ web; nếu chỉ một máy bị thì xem đồng hồ máy đó |
| NET::ERR_CERT_COMMON_NAME_INVALID | Chứng chỉ cấp cho tên khác với tên đang mở | Chủ web |
| NET::ERR_CERT_AUTHORITY_INVALID | Chứng chỉ tự ký, thiếu chứng chỉ trung gian, hoặc bị phần mềm chen giữa | Chủ web hoặc phần mềm trên máy người xem |
| ERR_SSL_PROTOCOL_ERROR, ERR_SSL_VERSION_OR_CIPHER_MISMATCH | Máy chủ cấu hình SSL sai hoặc chưa bật HTTPS cho tên miền | Chủ web, hosting |
| ERR_TOO_MANY_REDIRECTS | Vòng chuyển hướng http và https | Chủ web, thường do CDN và máy chủ cùng chuyển |
| Nhãn "Không bảo mật" cạnh địa chỉ, trang vẫn mở | Trang chạy HTTP hoặc còn nội dung hỗn hợp | Chủ web |
Mã lỗi quan trọng hơn câu chữ tiếng Việt phía trên, vì cùng một câu "không phải kết nối riêng tư" có thể ứng với năm mã khác nhau. Khi nhờ hosting hỗ trợ, gửi kèm mã lỗi và ảnh chụp sẽ được xử lý nhanh hơn nhiều so với tả "web bị lỗi bảo mật".
Bước 2: lỗi ở phía chủ web hay phía người xem?
Trước khi đụng vào máy chủ, khoanh vùng bằng vài phép thử mất chưa tới năm phút. Nếu mọi phép thử đều báo lỗi, vấn đề nằm ở website; nếu chỉ một máy, một mạng bị, vấn đề nằm ở phía đó.
- Mở website trên một thiết bị khác, tốt nhất là điện thoại dùng 4G hoặc 5G thay vì cùng wifi.
- Mở bằng trình duyệt khác và cửa sổ ẩn danh để loại trừ bộ nhớ đệm, tiện ích mở rộng.
- Dùng một công cụ kiểm tra SSL trực tuyến (gõ "ssl checker" để tìm): công cụ đứng ngoài mạng của bạn, báo hạn chứng chỉ, các tên miền được phủ và chuỗi chứng chỉ có đủ không.
- Hỏi một hai khách quen xem họ có bị không; nếu chỉ một khách phàn nàn, khả năng cao lỗi nằm ở máy họ.
- Kiểm tra xem lỗi xuất hiện từ lúc nào: ngay sau khi đổi hosting, đổi DNS, bật CDN hay tự nhiên một sáng thức dậy. Tự nhiên một sáng thường là chứng chỉ hết hạn; sau khi đổi thứ gì đó thường là cấu hình.
Ghi kết quả từng phép thử ra giấy. Thói quen này giúp tránh tình huống sửa ba chỗ cùng lúc rồi không biết chỗ nào mới là nguyên nhân thật.
Chứng chỉ hết hạn hoặc sai tên miền: hai lỗi phổ biến nhất
Hết hạn vì tự động gia hạn đã ngừng chạy. Chứng chỉ miễn phí có hạn 90 ngày và được gia hạn tự động khoảng một tháng trước hạn. Việc gia hạn thất bại âm thầm khi tên miền bị trỏ đi chỗ khác, tường lửa chặn thư mục xác minh .well-known, tài khoản hosting hết hạn hoặc ai đó sửa cấu hình. Cách sửa: vào mục SSL của bảng điều khiển, cấp lại thủ công, đọc kỹ thông báo lỗi nếu có rồi xử lý đúng nguyên nhân đó.
Chứng chỉ trả phí hết hạn vì quên gia hạn. Chứng chỉ mua theo năm không tự cài lại. Sau khi thanh toán gia hạn, bạn phải tạo yêu cầu cấp mới (CSR), xác minh lại và cài tệp chứng chỉ mới lên máy chủ. Nhiều chủ web trả tiền xong tưởng xong, trong khi máy chủ vẫn đang dùng tệp cũ đã hết hạn.
Sai tên vì thiếu bản www hoặc tên miền phụ. Chứng chỉ chỉ có congty.vn mà khách mở bản có www phía trước là báo lỗi sai tên. Tương tự với shop.congty.vn hay tên miền mới mua thêm. Cấp lại chứng chỉ bao gồm đủ các tên, hoặc chuyển hướng các tên còn lại về tên chính nhưng việc chuyển hướng cũng cần chứng chỉ hợp lệ trên tên phụ.
Sai tên vì hosting dùng chung trả chứng chỉ của website khác. Trên máy chủ dùng chung nhiều website, nếu tên miền của bạn chưa có chứng chỉ riêng, máy chủ có thể trả chứng chỉ mặc định của máy (mang tên máy chủ hoặc tên website khác). Bấm xem chứng chỉ thấy tên lạ là dấu hiệu này; cách sửa là cấp chứng chỉ cho đúng tên miền của bạn.
Nội dung hỗn hợp và DNS chưa trỏ xong
Nếu trang vẫn mở được nhưng thanh địa chỉ báo "Không bảo mật" hoặc có hình tam giác cảnh báo, nguyên nhân thường là nội dung hỗn hợp: trang chạy https nhưng còn tải ảnh, CSS, JavaScript hay khung nhúng qua http. Mở công cụ nhà phát triển bằng phím F12, xem thẻ Console, mỗi dòng cảnh báo chỉ thẳng đường dẫn tài nguyên bị lỗi. Sửa bằng cách đổi các đường dẫn đó sang https, với WordPress thường phải thay trong cơ sở dữ liệu vì ảnh chèn trong bài lưu đường dẫn đầy đủ.
Trường hợp thứ hai là DNS đang trong giai đoạn chuyển. Bạn vừa đổi hosting hoặc vừa trỏ tên miền mới; một số mạng đã thấy địa chỉ IP mới, số khác vẫn thấy IP cũ. Nếu máy chủ mới chưa cấp chứng chỉ, hoặc máy chủ cũ đã xoá website, khách ở mạng này mở được còn khách ở mạng kia báo lỗi. Đây là lý do triệu chứng "lúc được lúc không, máy này được máy kia không" rất đặc trưng.
Cách xử lý: kiểm tra bản ghi A và AAAA bằng một công cụ tra DNS trực tuyến từ nhiều nơi trên thế giới. Một lỗi rất hay bị bỏ sót là bản ghi AAAA (IPv6) vẫn trỏ máy chủ cũ trong khi bản ghi A đã đổi; khách dùng mạng có IPv6 sẽ vào máy cũ. Khi mọi bản ghi đã trỏ đúng, cấp chứng chỉ trên máy chủ mới rồi chờ thời gian lưu đệm (TTL) hết hạn, thường vài phút tới vài giờ.
Lỗi nằm ở phía người xem: đồng hồ, phần mềm, mạng
Đồng hồ máy chạy sai ngày. Trình duyệt so ngày hiện tại trên máy với thời hạn của chứng chỉ. Máy tính để lâu hết pin CMOS, điện thoại tắt chế độ đặt giờ tự động, hoặc ai đó chỉnh lùi ngày để dùng thử phần mềm sẽ thấy hàng loạt website báo lỗi cùng lúc, không riêng website của bạn. Hướng dẫn khách bật lại mục ngày và giờ tự động trong cài đặt; tên mục khác nhau theo hệ điều hành và phiên bản.
Phần mềm diệt virus quét HTTPS. Một số phần mềm bảo mật chen vào giữa để soi lưu lượng mã hoá, thay chứng chỉ của website bằng chứng chỉ của chính nó. Nếu cài đặt hỏng, trình duyệt báo lỗi ERR_CERT_AUTHORITY_INVALID. Thử tắt tính năng quét web hoặc quét HTTPS trong phần mềm đó rồi mở lại trang.
Wifi công cộng có trang đăng nhập. Wifi khách sạn, sân bay, quán cà phê thường bắt người dùng qua một trang đăng nhập trước. Trong lúc chưa đăng nhập, mọi trang HTTPS đều có thể báo lỗi vì mạng đang chặn và chuyển hướng. Mở một trang HTTP bất kỳ để trang đăng nhập hiện ra, hoặc chuyển sang 4G.
Thiết bị quá cũ. Điện thoại, máy tính chạy hệ điều hành ngừng cập nhật nhiều năm có thể thiếu chứng chỉ gốc mới hoặc không hỗ trợ TLS 1.2 trở lên. Chủ web không nên hạ cấu hình bảo mật để chiều các máy này; cách đúng là khuyên khách cập nhật hệ điều hành hoặc dùng trình duyệt còn được hỗ trợ.
Danh sách kiểm tra sau khi sửa để lỗi không quay lại
Sửa xong một lần chưa đủ; phần lớn website bị lặp lại đúng lỗi cũ sau ba tháng vì không ai theo dõi. Một lịch kiểm tra đơn giản như sau:
- Mở website ở cửa sổ ẩn danh, trên cả máy tính và điện thoại dùng 4G, với cả bốn biến thể: http và https, có www và không có www phía trước. Tất cả phải về một địa chỉ chuẩn, không cảnh báo.
- Bấm xem chứng chỉ, ghi lại ngày hết hạn và tên miền được phủ.
- Chạy lại công cụ kiểm tra SSL trực tuyến, xác nhận chuỗi chứng chỉ đầy đủ, không còn phiên bản giao thức lỗi thời.
- Mở F12, xem thẻ Console ở trang chủ, trang sản phẩm, trang giỏ hàng: không còn cảnh báo nội dung hỗn hợp.
- Đặt lời nhắc trong lịch điện thoại trước ngày hết hạn khoảng hai tuần, hoặc dùng một dịch vụ giám sát gửi email khi chứng chỉ sắp hết hạn.
- Ghi lại vào một tệp ghi chú: chứng chỉ do đâu cấp, gia hạn tự động hay thủ công, ai giữ tài khoản hosting. Người tiếp quản sau này sẽ cảm ơn bạn.
Nếu website quan trọng với doanh thu, nên có ít nhất hai người biết đăng nhập hosting và quản lý DNS. Rất nhiều sự cố kéo dài cả tuần chỉ vì người duy nhất nắm mật khẩu đã nghỉ việc.
Câu hỏi thường gặp
Khách bấm Nâng cao rồi Tiếp tục truy cập thì có sao không?
Với website của bạn khi lỗi do hết hạn, khách vào được nhưng đường truyền không được xác thực, và phần lớn khách sẽ không làm vậy. Đừng hướng dẫn khách bỏ qua cảnh báo; việc đó tập cho họ thói quen nguy hiểm với các trang giả mạo. Sửa chứng chỉ mới là cách đúng.
Vì sao máy tính báo lỗi mà điện thoại vẫn vào bình thường?
Thường do khác mạng hoặc khác trạng thái lưu đệm DNS: điện thoại dùng 4G đã thấy IP mới, máy tính dùng wifi còn thấy IP cũ. Cũng có thể máy tính có phần mềm diệt virus quét HTTPS hoặc đồng hồ sai. Thử máy tính với mạng khác và trình duyệt khác để khoanh vùng.
Chứng chỉ vừa gia hạn mà trình duyệt vẫn báo hết hạn là sao?
Có thể máy chủ chưa nạp lại cấu hình nên vẫn dùng tệp cũ, hoặc CDN phía trước đang giữ chứng chỉ riêng chưa gia hạn, hoặc chứng chỉ mới cài lên sai tên miền. Bấm xem ngày hết hạn trong chi tiết chứng chỉ để biết trình duyệt đang nhận tệp nào.
Website bị cảnh báo trang lừa đảo màu đỏ có phải lỗi SSL không?
Không. Màn hình cảnh báo lừa đảo hoặc phần mềm độc hại đến từ danh sách duyệt web an toàn, thường vì website bị chèn mã độc hoặc bị báo cáo. Cần quét và làm sạch website, rồi gửi yêu cầu xem xét lại qua Google Search Console. Cài lại chứng chỉ không giải quyết được lỗi này.
Hosting nói chứng chỉ vẫn ổn nhưng khách vẫn báo lỗi thì làm gì?
Nhờ khách chụp màn hình có mã lỗi và cho biết thiết bị, trình duyệt, mạng đang dùng. Đối chiếu với kết quả của công cụ kiểm tra SSL trực tuyến. Nếu công cụ báo ổn, lỗi thường nằm ở thiết bị hoặc mạng của khách, như đồng hồ sai hay wifi có trang đăng nhập.
Mất bao lâu để lỗi kết nối không an toàn biến mất sau khi sửa?
Chứng chỉ có hiệu lực ngay khi cài xong. Nếu lỗi do DNS, cần chờ thời gian lưu đệm hết, thường vài phút đến vài giờ, hiếm khi tới một ngày. Trình duyệt có thể nhớ lỗi cũ, nên kiểm tra lại bằng cửa sổ ẩn danh hoặc sau khi xoá dữ liệu duyệt web.
