Biểu tượng ổ khóa trên thanh địa chỉ cho biết website đang dùng HTTPS. Ngày nay đây là yêu cầu tối thiểu: trình duyệt gắn nhãn "Không bảo mật" cho các trang chỉ dùng HTTP, và người dùng ngày càng dè chừng với những trang như vậy.
HTTPS và SSL là gì?
HTTPS là giao thức HTTP chạy trên một lớp mã hóa. Lớp mã hóa đó ban đầu có tên SSL, phiên bản hiện nay là TLS; tên gọi "chứng chỉ SSL" vẫn được dùng theo thói quen.
Chứng chỉ SSL do một tổ chức cấp chứng chỉ (CA) phát hành, xác nhận tên miền thuộc về bạn và cho phép trình duyệt thiết lập kết nối mã hóa với máy chủ.
Vì sao website cần HTTPS
- Mã hóa dữ liệu: mật khẩu, thông tin thanh toán, nội dung form không bị đọc trộm trên đường truyền.
- Xác thực: người dùng biết mình đang kết nối đúng website, không phải trang giả mạo.
- Toàn vẹn: nội dung không bị chèn quảng cáo hay mã độc trong lúc truyền.
- SEO: Google dùng HTTPS làm một tín hiệu xếp hạng.
- Tính năng trình duyệt: định vị, thông báo đẩy, service worker chỉ hoạt động trên HTTPS.
Các loại chứng chỉ
- DV (Domain Validation): chỉ xác minh quyền sở hữu tên miền, cấp nhanh, đủ cho phần lớn website.
- OV (Organization Validation): xác minh thêm thông tin tổ chức.
- EV (Extended Validation): mức xác minh doanh nghiệp kỹ nhất.
Ngoài ra có chứng chỉ wildcard dùng cho mọi tên miền con, ví dụ *.tenmien.com. Mức độ mã hóa của ba loại là như nhau; khác biệt nằm ở mức xác minh danh tính.
Các bước triển khai
- Lấy chứng chỉ: Let's Encrypt cấp miễn phí, có hiệu lực 90 ngày và tự gia hạn bằng công cụ như Certbot. Nhiều nhà cung cấp hosting đã tích hợp sẵn.
- Cài đặt trên máy chủ: cấu hình Nginx, Apache hoặc bật trong trang quản lý hosting.
- Chuyển hướng HTTP sang HTTPS bằng mã 301 để mọi truy cập cũ đều về bản bảo mật.
- Sửa liên kết nội bộ: ảnh, script, CSS phải tải qua HTTPS để tránh lỗi mixed content.
- Cập nhật công cụ: khai báo lại địa chỉ HTTPS trong Google Search Console và sitemap.
- Bật HSTS sau khi mọi thứ ổn định để trình duyệt luôn dùng HTTPS.
Lỗi thường gặp
- Mixed content: trang HTTPS nhưng còn tải ảnh hoặc script qua HTTP, khiến ổ khóa biến mất.
- Chứng chỉ hết hạn: xảy ra khi việc gia hạn tự động bị lỗi mà không ai theo dõi.
- Chuyển hướng thiếu: bản có www và không có www không cùng trỏ về một địa chỉ.
Kiểm tra sau khi cài
Dùng SSL Server Test của Qualys SSL Labs để chấm điểm cấu hình, và mở website trên trình duyệt để chắc chắn không còn cảnh báo. Nên đặt lời nhắc kiểm tra ngày hết hạn chứng chỉ định kỳ.
HTTPS không làm website an toàn tuyệt đối, vì nó chỉ bảo vệ dữ liệu trên đường truyền. Bạn vẫn cần cập nhật phần mềm, dùng mật khẩu mạnh và sao lưu thường xuyên.
Không có nhân sự kỹ thuật để theo dõi chứng chỉ, cập nhật và sao lưu? AloWeb nhận bảo trì website theo tháng.
Giải pháp Bảo trì & Hỗ trợ →