SSL và TLS khác nhau thế nào? Phiên bản nào còn an toàn năm 2026

Nhà cung cấp hosting bán “chứng chỉ SSL”, công cụ kiểm tra lại báo “TLS 1.2, TLS 1.3”, còn cảnh báo bảo mật thì nhắc “SSL/TLS”. Ba cách gọi này không mâu thuẫn, nhưng hiểu sai dễ dẫn tới mua thứ không cần hoặc bỏ sót cấu hình đang lỗi thời trên máy chủ.

SSL và TLS: cùng một dòng giao thức, khác thế hệ

Cả SSL và TLS đều làm một việc: tạo kênh mã hóa giữa hai máy (trình duyệt và máy chủ web, ứng dụng email và máy chủ thư), đồng thời xác thực máy chủ bằng chứng chỉ. TLS được xây dựng từ SSL 3.0 rồi đổi tên khi chuyển sang IETF chuẩn hóa. Vì vậy có thể hiểu TLS là “SSL thế hệ mới”, với cơ chế bắt tay, thuật toán và cách chống tấn công đã được làm lại nhiều lần.

RFC 8996 ghi rõ TLS 1.0 và 1.1 “không được sử dụng” và máy chủ phải từ chối kết nối dùng hai phiên bản này. Lý do chính là chúng dựa vào SHA-1 cho tính toàn vẹn của bước bắt tay và không hỗ trợ các bộ mã hóa xác thực (AEAD) có từ TLS 1.2. Các trình duyệt lớn đã tắt TLS 1.0, 1.1 từ khoảng năm 2020.

“Chứng chỉ SSL” và “giao thức TLS” không phải một thứ

Đây là chỗ hay nhầm nhất. Chứng chỉ là giấy tờ định danh: nó ghi tên miền, khóa công khai, tổ chức cấp (CA) và thời hạn. Giao thức là cách hai bên dùng giấy tờ đó để bắt tay và mã hóa dữ liệu. Một chứng chỉ được cấp hôm nay dùng được cho cả TLS 1.2 lẫn TLS 1.3; phiên bản nào được dùng do cấu hình máy chủ và trình duyệt quyết định, không do loại chứng chỉ.

Vì vậy:

• Không có “chứng chỉ TLS” mạnh hơn “chứng chỉ SSL” khi mua. Hai cách gọi chỉ cùng một sản phẩm.
• Không cần mua chứng chỉ mới để chuyển sang TLS 1.3; chỉ cần máy chủ hỗ trợ và bật.
• Khác biệt giữa các loại chứng chỉ (DV, OV, EV) nằm ở mức xác minh danh tính, không ở mức mã hóa. Xem bài chứng chỉ SSL là gì để chọn loại phù hợp.

TLS 1.3 khác TLS 1.2 những gì?

Với người dùng, khác biệt thấy được nhất là tốc độ mở kết nối đầu tiên, đặc biệt trên mạng di động có độ trễ cao: bớt một vòng khứ hồi nghĩa là bớt một lần chờ trước khi trang bắt đầu tải. Với người quản trị, TLS 1.3 ít “nút vặn” hơn nên khó cấu hình sai hơn. Chế độ 0-RTT có rủi ro phát lại yêu cầu, nên thường chỉ bật cho yêu cầu đọc, không cho thao tác như gửi form, thanh toán.

Kiểm tra website của bạn đang dùng phiên bản nào

1. Trên Chrome: mở trang, nhấn F12, chọn tab Security (Bảo mật). Mục Connection hiển thị dạng “TLS 1.3, X25519MLKEM768, AES_128_GCM”: lần lượt là phiên bản, cách trao đổi khóa và bộ mã hóa.
2. Kiểm tra cả máy chủ: công cụ SSL Server Test của Qualys SSL Labs liệt kê các phiên bản máy chủ còn chấp nhận, bộ mã hóa yếu, chuỗi chứng chỉ thiếu. Mục tiêu: chỉ còn TLS 1.2 và 1.3, không có cảnh báo về bộ mã hóa yếu.
3. Không quên các dịch vụ khác: máy chủ email (IMAP, SMTP), API, trang quản trị chạy trên cổng riêng thường bị bỏ quên và còn bật TLS 1.0.

Cấu hình TLS nên có cho website doanh nghiệp

• Bật TLS 1.2 và TLS 1.3; tắt SSL 3.0, TLS 1.0, TLS 1.1.
• Với TLS 1.2, chỉ giữ bộ mã hóa có bảo mật chuyển tiếp (ECDHE) và AEAD; tắt RC4, 3DES và các bộ dùng SHA-1.
• Toàn bộ HTTP chuyển hướng 301 về HTTPS. Khi đã chắc mọi tên miền phụ đều có HTTPS, bật HSTS để trình duyệt không thử HTTP nữa.
• Nếu dùng Cloudflare: đặt phiên bản TLS tối thiểu 1.2 ở phía Cloudflare, và chế độ SSL “Full (strict)” để đoạn từ Cloudflare về máy chủ gốc cũng được mã hóa và xác thực.
• Chứng chỉ gia hạn tự động, vì thời hạn tối đa của chứng chỉ công khai đang giảm dần theo lộ trình của CA/Browser Forum.

Trên hosting dùng chung, phiên bản TLS và bộ mã hóa do nhà cung cấp cấu hình cho cả máy chủ; bạn chỉ kiểm tra và yêu cầu họ tắt phiên bản cũ. Đây là một tiêu chí nên hỏi khi chọn hosting, xem trang tên miền và hosting. Đánh đổi cần biết: thiết bị rất cũ (máy tính chạy Windows XP, điện thoại Android đời đầu) có thể không mở được website khi chỉ còn TLS 1.2 trở lên. Với website doanh nghiệp năm 2026, lượng truy cập này thường không đáng kể so với rủi ro giữ giao thức cũ.

TLS không chỉ có ở website

Cùng giao thức này bảo vệ nhiều kết nối khác mà chủ doanh nghiệp ít để ý:

• Email: ứng dụng đọc thư qua IMAP cổng 993, gửi thư qua SMTP cổng 465 hoặc 587 đều dùng TLS. Máy chủ thư với nhau cũng trao đổi bằng TLS khi cả hai hỗ trợ. Chi tiết trong bài IMAP và POP3 là gì.
• Thanh toán: tiêu chuẩn bảo mật thẻ PCI DSS đã yêu cầu bỏ SSL và TLS đời đầu từ giữa năm 2018, nên cổng thanh toán và ngân hàng chỉ chấp nhận kết nối TLS 1.2 trở lên.
• Plugin và API: website WordPress gọi tới máy chủ cập nhật, cổng thanh toán, dịch vụ vận chuyển qua TLS. Máy chủ quá cũ (PHP, OpenSSL lỗi thời) có thể làm các kết nối này thất bại dù website vẫn mở bình thường.

Trường hợp cuối thường gặp ở website lâu không bảo trì: lỗi không nằm ở chứng chỉ mà ở phần mềm máy chủ. Gói bảo trì WordPress bao gồm theo dõi chứng chỉ, cập nhật và kiểm tra các kết nối này định kỳ.

Những hiểu lầm hay gặp về SSL và TLS

• “Có HTTPS là website an toàn.” TLS chỉ bảo vệ đường truyền. Website nhiễm mã độc hay trang lừa đảo vẫn có HTTPS hợp lệ.
• “TLS 1.3 mã hóa mạnh hơn nên chậm hơn.” Ngược lại, bắt tay ít bước hơn nên kết nối nhanh hơn.
• “Chứng chỉ trả phí dùng TLS tốt hơn chứng chỉ miễn phí.” Phiên bản và thuật toán phụ thuộc máy chủ, không phụ thuộc giá chứng chỉ.
• “Đã cài SSL thì không phải làm gì thêm.” Chứng chỉ phải gia hạn, cấu hình máy chủ phải cập nhật khi phiên bản cũ bị loại bỏ.

Nếu trình duyệt đang hiện cảnh báo về kết nối, xem cách đọc mã lỗi trong bài lỗi SSL không bảo mật.

Nguồn tra cứu tháng 10/2026: RFC 8996 “Deprecating TLS 1.0 and TLS 1.1” (rfc-editor.org/rfc/rfc8996), RFC 8446 (TLS 1.3), RFC 7568, RFC 6176; thông báo chuyển sang ML-KEM của Chrome 131 (tổng hợp từ The Hacker News, 9/2024).

Câu hỏi thường gặp