Thiết Kế Website
Chứng chỉ SSL là gì? DV, OV, EV, Let’s Encrypt và lỗi thường gặp
Theo kế hoạch Google công bố, từ Chrome 154 (tháng 10/2026) trình duyệt bật mặc định chế độ hỏi người dùng trước khi mở trang không có HTTPS, nên website thiếu hoặc lỗi chứng chỉ SSL sẽ bị cảnh báo rõ hơn trước. Đồng thời, thời hạn tối đa của chứng chỉ đang bị rút ngắn dần, khiến việc gia hạn thủ công không còn khả thi.
Chứng chỉ SSL là tệp số do tổ chức chứng thực (CA) cấp, giúp trình duyệt xác minh website đúng là của tên miền đó và mã hóa dữ liệu qua HTTPS. Có ba loại DV, OV, EV khác nhau ở mức xác minh, không khác mức mã hóa. Website doanh nghiệp thông thường dùng DV miễn phí của Let’s Encrypt là đủ, miễn là gia hạn tự động.
Chứng chỉ SSL là gì và làm được gì?
SSL là tên cũ; giao thức đang dùng thực tế là TLS, nhưng thị trường vẫn gọi là “chứng chỉ SSL”. Khác biệt giữa hai giao thức có trong bài SSL và TLS khác nhau thế nào. Chứng chỉ làm hai việc:
- Xác thực: chứng minh máy chủ đang trả lời đúng là máy chủ được phép dùng tên miền đó. Trình duyệt kiểm tra chữ ký của CA, thời hạn và tên miền ghi trong chứng chỉ.
- Mã hóa: dữ liệu giữa trình duyệt và máy chủ (mật khẩu, nội dung form, thông tin đơn hàng) được mã hóa, người ở giữa đường truyền như Wi-Fi công cộng không đọc được.
SSL không làm được: không chặn mã độc trên website, không bảo vệ khi mật khẩu quản trị bị lộ, không chứng minh doanh nghiệp đáng tin. Một trang lừa đảo cũng có HTTPS. Vì vậy Chrome từ năm 2023 đã bỏ biểu tượng ổ khóa, thay bằng biểu tượng cài đặt trang, để người dùng không hiểu nhầm ổ khóa là “trang an toàn”.
DV, OV, EV khác nhau ở đâu?
Cả ba loại mã hóa như nhau. Khác biệt nằm ở việc CA kiểm tra những gì trước khi cấp.
| Loại | CA xác minh gì | Thời gian cấp | Hiển thị trên trình duyệt | Phù hợp |
|---|---|---|---|---|
| DV (Domain Validation) | Chỉ quyền kiểm soát tên miền, qua bản ghi DNS, file trên máy chủ hoặc email | Vài phút, tự động | HTTPS bình thường | Website giới thiệu, blog, đa số website doanh nghiệp |
| OV (Organization Validation) | Tên miền và sự tồn tại hợp pháp của tổ chức | Vài ngày, cần giấy tờ | Như DV; tên tổ chức chỉ thấy khi mở chi tiết chứng chỉ | Cổng đối tác, hệ thống nội bộ có yêu cầu tuân thủ |
| EV (Extended Validation) | Xác minh tổ chức chặt nhất theo quy trình chuẩn | Lâu nhất, nhiều giấy tờ | Từ năm 2019, Chrome và Firefox không còn hiện tên công ty trên thanh địa chỉ | Ngân hàng, tổ chức có yêu cầu riêng |
Ngoài mức xác minh, chứng chỉ còn chia theo phạm vi: một tên miền, nhiều tên miền (SAN), hoặc wildcard cho mọi tên miền phụ (*.congty.vn). Đọc sâu từng loại trong bài DV SSL là gì và EV SSL là gì.
Let’s Encrypt miễn phí có đủ cho website doanh nghiệp?
Đủ, với đa số trường hợp. Let’s Encrypt cấp chứng chỉ DV miễn phí, được các trình duyệt lớn tin cậy, và hầu hết hosting cPanel, DirectAdmin, LiteSpeed đều tích hợp sẵn chức năng cấp và gia hạn tự động. Website bán hàng nhận thanh toán qua cổng thanh toán cũng không cần chứng chỉ trả phí chỉ để “an toàn hơn”, vì mức mã hóa giống nhau.
Điều cần nắm là thời hạn chứng chỉ đang ngắn lại:
- Theo nghị quyết SC-081 của CA/Browser Forum, chứng chỉ công khai cấp từ 15/3/2026 có thời hạn tối đa 200 ngày, giảm còn 100 ngày từ 15/3/2027 và 47 ngày từ 15/3/2029. Quy định này áp dụng cả chứng chỉ trả phí.
- Let’s Encrypt hiện cấp chứng chỉ 90 ngày; theo kế hoạch công bố tháng 12/2025, mặc định giảm còn 64 ngày từ 10/2/2027 và 45 ngày từ 16/2/2028.
- Let’s Encrypt đã ngừng gửi email nhắc hết hạn từ ngày 04/6/2025. Không có email cảnh báo nữa, nên gia hạn tự động và theo dõi riêng là bắt buộc.
Hệ quả thực tế: chứng chỉ trả phí mua “một năm” vẫn phải cài lại nhiều lần trong năm. Thứ bạn trả tiền là mức xác minh và hỗ trợ, không còn là thời hạn dài.
Lỗi SSL thường gặp và cách xử lý
Mixed content: có HTTPS nhưng vẫn báo không an toàn
Trang tải qua HTTPS nhưng còn ảnh, script, font gọi qua http://. Trình duyệt tự nâng cấp hoặc chặn các tài nguyên này, gây mất ảnh, vỡ giao diện hoặc form không gửi được. Hay gặp sau khi chuyển website cũ từ HTTP sang HTTPS mà đường dẫn trong bài viết, theme, widget vẫn ghi http.
- Mở công cụ nhà phát triển (F12), tab Console sẽ liệt kê tài nguyên “Mixed Content”.
- Đổi địa chỉ WordPress và địa chỉ trang trong Cài đặt sang https.
- Thay đường dẫn http trong cơ sở dữ liệu bằng công cụ tìm và thay thế có xử lý dữ liệu tuần tự hóa, sao lưu trước khi chạy.
- Kiểm tra mã nhúng bên thứ ba (bản đồ, chat, video) còn dùng http.
Chứng chỉ hết hạn
Trình duyệt chặn toàn màn hình với lỗi NET::ERR_CERT_DATE_INVALID. Nguyên nhân hay gặp: tác vụ gia hạn tự động bị lỗi vì tên miền đã trỏ sang máy chủ khác, bản ghi DNS xác minh bị xóa, hoặc website đứng sau Cloudflare khiến cách xác minh qua file không chạy. Cách phòng: dùng một dịch vụ theo dõi uptime có kiểm tra ngày hết hạn chứng chỉ.
Sai tên miền trên chứng chỉ
Chứng chỉ cấp cho congty.vn nhưng khách vào www.congty.vn (hoặc ngược lại) sẽ gặp lỗi NET::ERR_CERT_COMMON_NAME_INVALID. Khi cấp chứng chỉ, chọn cả hai tên, và chuyển hướng 301 về một tên chính.
Vòng lặp chuyển hướng khi dùng Cloudflare
Cloudflare đặt chế độ SSL “Flexible” (Cloudflare tới máy chủ bằng HTTP) trong khi WordPress lại ép chuyển hướng sang HTTPS, tạo vòng lặp ERR_TOO_MANY_REDIRECTS. Cài chứng chỉ trên máy chủ gốc và chuyển Cloudflare sang “Full (strict)”.
Thiếu chứng chỉ trung gian
Trình duyệt trên máy tính vẫn mở được nhưng một số điện thoại, ứng dụng hoặc công cụ gọi API báo lỗi. Nguyên nhân là chỉ cài chứng chỉ của tên miền mà thiếu chuỗi trung gian. Kiểm tra bằng công cụ phân tích SSL trực tuyến và cài lại đủ chuỗi.
Các thông báo lỗi “Kết nối không riêng tư”, “Không bảo mật” theo từng trình duyệt được giải thích chi tiết trong bài lỗi SSL không bảo mật.
HTTPS có giúp SEO không?
Có, nhưng ở mức nhỏ. Google công bố HTTPS là một tín hiệu xếp hạng nhẹ từ năm 2014. Tác động lớn hơn nằm ở trải nghiệm: theo blog bảo mật của Google, Chrome 154 (tháng 10/2026) được lên kế hoạch bật mặc định “Luôn dùng kết nối an toàn” cho trang công khai, hiển thị cảnh báo trước khi mở trang không có HTTPS. Khách thấy cảnh báo thì phần lớn quay lại kết quả tìm kiếm.
Khi chuyển website từ HTTP sang HTTPS, cần chuyển hướng 301 từng URL, cập nhật sitemap, canonical và thêm thuộc tính HTTPS trong Search Console nếu đang dùng thuộc tính tiền tố URL. Làm sai bước này mới là nguyên nhân tụt hạng, không phải bản thân SSL.
Checklist SSL cho chủ website
- Chứng chỉ bao gồm cả tên miền chính và www.
- Toàn bộ HTTP chuyển hướng 301 về HTTPS, chỉ một bước chuyển.
- Gia hạn tự động đang hoạt động; có công cụ báo trước khi hết hạn.
- Không còn cảnh báo mixed content ở trang chủ, trang dịch vụ, trang thanh toán.
- Nếu dùng Cloudflare: chế độ Full (strict), có chứng chỉ trên máy chủ gốc.
Hosting mà Marketing SEO Top cài đặt cho khách đều bật SSL và chuyển hướng HTTPS từ đầu; tiêu chí chọn hosting có trong trang tên miền và hosting. Website đang chạy cần theo dõi chứng chỉ, cập nhật và sao lưu định kỳ có thể giao cho gói bảo trì WordPress.
Nguồn tra cứu tháng 10/2026: Let’s Encrypt (letsencrypt.org/2025/12/02/from-90-to-45, letsencrypt.org/2025/01/22/ending-expiration-emails), CA/Browser Forum Ballot SC-081v3, Google Online Security Blog “HTTPS by default” (security.googleblog.com/2025/10/https-by-default.html).
Câu hỏi thường gặp
Chứng chỉ SSL miễn phí và trả phí khác nhau thế nào?
Mức mã hóa giống nhau. Chứng chỉ trả phí có thể là OV hoặc EV với bước xác minh tổ chức, có hỗ trợ kỹ thuật và bảo hiểm theo điều khoản của CA. Với website doanh nghiệp thông thường, chứng chỉ DV miễn phí gia hạn tự động là đủ.
Vì sao đã cài SSL mà trình duyệt vẫn báo không an toàn?
Thường do mixed content: trang vẫn gọi ảnh hoặc script qua http. Nguyên nhân khác là chứng chỉ không bao gồm tên miền đang truy cập (thiếu www) hoặc đã hết hạn. Mở F12, tab Console để xem chính xác tài nguyên nào gây lỗi.
Chứng chỉ SSL có thời hạn bao lâu?
Chứng chỉ công khai cấp từ 15/3/2026 có thời hạn tối đa 200 ngày, giảm dần còn 47 ngày từ năm 2029. Let’s Encrypt hiện cấp 90 ngày và sẽ rút xuống 45 ngày vào năm 2028, nên mọi website cần gia hạn tự động.
Website không có form, không bán hàng có cần SSL không?
Có. Trình duyệt cảnh báo mọi trang HTTP, không phân biệt có form hay không, và kẻ ở giữa đường truyền có thể chèn nội dung vào trang không mã hóa. SSL miễn phí nên không có lý do bỏ qua.
Dùng Cloudflare thì còn cần cài SSL trên hosting không?
Nên cài. Nếu chỉ dùng chế độ Flexible, đoạn từ Cloudflare về máy chủ vẫn không mã hóa và dễ gây vòng lặp chuyển hướng. Cài chứng chỉ trên máy chủ gốc rồi đặt Cloudflare ở chế độ Full (strict).
Cần người làm giúp phần này?
Mô tả ngắn nhu cầu hoặc gửi link website. Chúng tôi phản hồi bằng đánh giá cụ thể trước khi báo giá.
