DV SSL là gì? Cách xác minh tên miền và khi nào chứng chỉ DV là đủ

Gần như mọi website doanh nghiệp nhỏ đang dùng chứng chỉ DV, thường là bản miễn phí do hosting tự cấp. Nó hoạt động âm thầm cho tới ngày gia hạn thất bại và trình duyệt chặn toàn màn hình. Hiểu cách DV được xác minh là cách nhanh nhất để biết vì sao nó hỏng.

DV SSL xác minh điều gì, và không xác minh điều gì?

Khi cấp chứng chỉ DV, tổ chức chứng thực (CA) chỉ trả lời một câu hỏi: người yêu cầu có đang điều khiển tên miền này không. Họ không kiểm tra tên công ty, mã số thuế, địa chỉ hay người đứng sau website.

• DV đảm bảo: kết nối được mã hóa; trình duyệt đang nói chuyện với máy chủ được chủ tên miền cho phép; dữ liệu không bị đọc hay sửa trên đường truyền.
• DV không đảm bảo: doanh nghiệp có thật, website đáng tin, website không chứa mã độc.

Đó là lý do trang lừa đảo cũng có HTTPS hợp lệ: kẻ gian đăng ký một tên miền gần giống, và vì họ kiểm soát tên miền đó, họ nhận được chứng chỉ DV như mọi người. Biểu tượng HTTPS chỉ nói về đường truyền, không nói về chủ website.

Bốn cách CA xác minh quyền kiểm soát tên miền

Ba cách đầu là các “thử thách” của giao thức ACME mà Let’s Encrypt và nhiều CA dùng để cấp tự động. Một thay đổi đáng biết: theo nghị quyết SC-080 của CA/Browser Forum, từ ngày 15/7/2025 CA không được dùng thông tin liên hệ trong WHOIS (email, điện thoại của chủ tên miền) để xác minh nữa. Hướng dẫn cũ bảo “chờ email xác minh gửi về email đăng ký tên miền” không còn áp dụng.

Wildcard và nhiều tên miền: những giới hạn của DV

• Chứng chỉ wildcard *.congty.vn dùng cho mọi tên miền phụ một cấp như shop.congty.vn, blog.congty.vn. Nó không bao gồm a.b.congty.vn, và bản thân congty.vn phải được thêm riêng vào chứng chỉ. Với Let’s Encrypt, wildcard chỉ cấp qua xác minh DNS.
• Chứng chỉ nhiều tên miền (SAN) gộp nhiều tên vào một chứng chỉ, ví dụ congty.vn, www.congty.vn, congty.com.vn. Mỗi tên đều phải được xác minh.
• Không có DV kèm tên công ty: nếu hợp đồng, hồ sơ thầu hay đối tác yêu cầu chứng chỉ ghi tên tổ chức, bạn cần OV hoặc EV. Khác biệt giữa các loại được tổng hợp trong bài chứng chỉ SSL là gì.

Vì sao chứng chỉ DV gia hạn tự động vẫn hỏng?

DV miễn phí phải xác minh lại thường xuyên, nên mọi thay đổi ở DNS hay máy chủ đều có thể làm gia hạn thất bại. Các nguyên nhân chúng tôi hay gặp khi xử lý website báo lỗi chứng chỉ hết hạn:

• Bản ghi AAAA (IPv6) cũ vẫn trỏ về máy chủ cũ. CA có thể xác minh qua IPv6 trước, tìm không thấy tệp và từ chối, dù website vẫn mở bình thường qua IPv4.
• Bản ghi CAA trong DNS chỉ cho phép một CA khác cấp chứng chỉ, ví dụ còn sót từ lần mua chứng chỉ trả phí trước đó.
• Bật proxy Cloudflare hoặc tường lửa chặn đường dẫn /.well-known/, khiến xác minh qua tệp không tới được máy chủ gốc.
• Chuyển DNS sang nhà cung cấp khác mà không cấu hình lại API cho chứng chỉ wildcard xác minh qua DNS.
• Chuyển hướng cổng 80 sang một tên miền khác hoặc một trang đích bên ngoài.
• Không ai nhận cảnh báo: Let’s Encrypt đã ngừng gửi email nhắc hết hạn từ tháng 6/2025, nên lỗi gia hạn chỉ lộ ra khi khách báo không vào được website.

Áp lực sẽ tăng dần. Theo nghị quyết SC-081 của CA/Browser Forum, thời hạn tối đa của chứng chỉ công khai giảm còn 200 ngày từ 15/3/2026, 100 ngày từ 15/3/2027 và 47 ngày từ 15/3/2029; thời gian CA được dùng lại kết quả xác minh tên miền cũng giảm từ 398 ngày xuống 200, 100 rồi 10 ngày theo cùng lộ trình. Hiểu đơn giản: tới năm 2029, gần như mỗi lần cấp chứng chỉ là một lần xác minh lại tên miền, nên cấu hình DNS phải luôn “sạch”.

Khi nào DV là đủ, khi nào cân nhắc OV hoặc EV?

Hosting mà Marketing SEO Top cài cho khách đều bật SSL miễn phí và chuyển hướng HTTPS từ đầu; tiêu chí chọn hosting có hỗ trợ SSL tự động nằm trong trang tên miền và hosting.

Cách xem một website đang dùng chứng chỉ DV hay OV, EV

1. Bấm biểu tượng bên trái thanh địa chỉ, chọn mục kết nối an toàn rồi mở chi tiết chứng chỉ.
2. Xem phần “Cấp cho” (Subject). Chứng chỉ DV chỉ có tên miền (CN), không có dòng tên tổ chức (O). OV, EV có tên tổ chức, EV có thêm số đăng ký kinh doanh và quốc gia đăng ký.
3. Với người kỹ thuật: trường chính sách chứng chỉ ghi mã 2.23.140.1.2.1 là DV, 2.23.140.1.2.2 là OV, 2.23.140.1.1 là EV theo quy ước của CA/Browser Forum.

Checklist cho chủ website đang dùng DV

• Chứng chỉ gồm cả tên miền chính và www (hoặc tên miền phụ đang dùng).
• Không còn bản ghi A, AAAA trỏ về máy chủ cũ; bản ghi CAA (nếu có) cho phép CA đang dùng.
• Đường dẫn /.well-known/ không bị tường lửa, plugin bảo mật hay chuyển hướng chặn.
• Có công cụ theo dõi uptime kiểm tra ngày hết hạn chứng chỉ và báo về email hoặc Zalo người phụ trách.
• Ghi lại nơi cấp chứng chỉ (hosting, Cloudflare, Certbot trên VPS) để khi lỗi biết cần sửa ở đâu.

Website đang chạy mà không có người theo dõi những mục trên có thể giao cho gói bảo trì WordPress, trong đó có kiểm tra chứng chỉ, cập nhật và sao lưu định kỳ.

Nguồn tra cứu tháng 10/2026: Let’s Encrypt, Challenge Types (letsencrypt.org/docs/challenge-types); CA/Browser Forum Ballot SC-080v3 (cabforum.org, 11/2024) và SC-081v3 (4/2025, tổng hợp lộ trình của DigiCert); thông báo ngừng email nhắc hết hạn của Let’s Encrypt (2025).

Câu hỏi thường gặp