Thiết Kế Website
Lỗi SSL không bảo mật: đọc mã lỗi và cách khắc phục từng trường hợp
“Kết nối của bạn không phải là kết nối riêng tư”, “Không bảo mật”, NET::ERR_CERT_DATE_INVALID: mỗi thông báo trỏ tới một nguyên nhân khác nhau, và không phải lúc nào lỗi cũng nằm ở website. Bài này giúp bạn đọc đúng mã lỗi, xác định ai cần sửa và sửa ở đâu.
Lỗi SSL không bảo mật xuất hiện khi trình duyệt không xác minh được chứng chỉ (hết hạn, sai tên miền, CA không tin cậy, thiếu chuỗi trung gian), khi máy chủ dùng giao thức cũ, hoặc khi trang còn tải nội dung qua HTTP. Trước hết kiểm tra lỗi chỉ xảy ra trên máy bạn hay trên mọi thiết bị, rồi đọc mã lỗi để biết cần sửa ở máy người xem hay trên hosting.
Bước 1: chỉ máy bạn bị, hay ai cũng bị?
Câu hỏi này tiết kiệm nhiều thời gian nhất. Mở website bằng điện thoại dùng 4G (không dùng Wi-Fi văn phòng), thử thêm một trình duyệt khác, hoặc dùng một công cụ kiểm tra SSL trực tuyến chạy từ máy chủ bên ngoài.
| Kết quả | Lỗi nhiều khả năng nằm ở |
|---|---|
| Chỉ một máy báo lỗi, máy khác vào bình thường | Máy đó: giờ hệ thống sai, phần mềm diệt virus quét HTTPS, tiện ích trình duyệt, hệ điều hành quá cũ |
| Mọi máy trong văn phòng báo lỗi, 4G thì không | Mạng văn phòng: tường lửa kiểm tra HTTPS, Wi-Fi yêu cầu đăng nhập, DNS nội bộ trỏ sai |
| Mọi thiết bị, mọi mạng đều báo lỗi | Website: chứng chỉ, cấu hình máy chủ hoặc DNS |
| Chỉ điện thoại rất cũ báo lỗi | Thiết bị không còn tin chuỗi chứng chỉ hiện tại; chủ website chỉ xử lý được một phần |
Bước 2: đọc mã lỗi
Trên trang cảnh báo, bấm “Nâng cao” (Advanced) để thấy mã lỗi. Bảng dưới liệt kê các mã hay gặp trên Chrome (Edge dùng cùng mã) và mã tương ứng trên Firefox:
| Mã lỗi | Nghĩa là | Nguyên nhân thường gặp |
|---|---|---|
| NET::ERR_CERT_DATE_INVALID SEC_ERROR_EXPIRED_CERTIFICATE | Chứng chỉ ngoài thời hạn so với đồng hồ của máy | Chứng chỉ hết hạn vì gia hạn tự động hỏng; hoặc ngày giờ trên máy người xem sai |
| NET::ERR_CERT_COMMON_NAME_INVALID SSL_ERROR_BAD_CERT_DOMAIN | Chứng chỉ không cấp cho tên miền đang truy cập | Thiếu www hoặc tên miền phụ; tên miền mới trỏ về hosting nhưng chưa cấp chứng chỉ; máy chủ trả chứng chỉ mặc định |
| NET::ERR_CERT_AUTHORITY_INVALID SEC_ERROR_UNKNOWN_ISSUER | Trình duyệt không tin tổ chức cấp | Chứng chỉ tự ký; thiếu chứng chỉ trung gian; phần mềm diệt virus hoặc tường lửa chèn chứng chỉ riêng |
| ERR_SSL_PROTOCOL_ERROR | Bước bắt tay TLS thất bại | Cổng 443 không chạy TLS đúng cách, cấu hình máy chủ lỗi, proxy trung gian lỗi |
| ERR_SSL_VERSION_OR_CIPHER_MISMATCH | Hai bên không có phiên bản hoặc bộ mã hóa chung | Máy chủ chỉ còn TLS 1.0/1.1; chưa có chứng chỉ cho tên miền này trên CDN |
| NET::ERR_CERT_REVOKED | Chứng chỉ đã bị thu hồi | CA thu hồi do lộ khóa hoặc cấp sai; phải cấp chứng chỉ mới |
| Chữ “Không bảo mật” trên thanh địa chỉ, không có trang cảnh báo | Trang không dùng HTTPS hoặc có thành phần không mã hóa | Website chưa chuyển hướng sang HTTPS; form gửi dữ liệu qua HTTP |
Kiến thức nền về chứng chỉ, các loại DV, OV, EV và lỗi nội dung hỗn hợp (mixed content) đã có trong bài chứng chỉ SSL là gì; phần dưới tập trung vào cách xử lý. Màn hình đỏ báo trang lừa đảo hoặc có phần mềm độc hại là cảnh báo khác, không liên quan chứng chỉ; cách xử lý ở bài website bị Google cảnh báo nguy hiểm.
Khi lỗi nằm ở máy hoặc mạng của người xem
- Chỉnh ngày giờ: bật tự động đặt ngày giờ và múi giờ. Máy hết pin CMOS hay bị lùi ngày, khiến mọi chứng chỉ trông như hết hạn hoặc chưa có hiệu lực.
- Tắt thử tính năng quét HTTPS của phần mềm diệt virus (thường tên là quét web, bảo vệ web). Nếu hết lỗi, cập nhật phần mềm hoặc để nó tắt.
- Wi-Fi công cộng: mở một trang HTTP bất kỳ để hiện trang đăng nhập Wi-Fi, đăng nhập xong rồi mới vào lại website.
- Tiện ích trình duyệt: mở cửa sổ ẩn danh (tiện ích thường bị tắt) để thử.
- Thiết bị cũ: chuỗi chứng chỉ chéo cũ của Let’s Encrypt hết hạn ngày 30/9/2024, nên điện thoại chạy Android cũ hơn bản 7.1.1 có thể không mở được website dùng chứng chỉ Let’s Encrypt. Cách xử lý là cập nhật hoặc dùng trình duyệt có kho chứng chỉ riêng như Firefox.
- Bấm “Tiếp tục truy cập” trên website ngân hàng, cổng thanh toán, trang đăng nhập. Nếu website có bật HSTS, trình duyệt sẽ không cho bỏ qua cảnh báo, và đó là cơ chế bảo vệ đúng.
- Cài “chứng chỉ gốc” theo hướng dẫn của một website lạ để hết cảnh báo. Đây là cách kẻ gian đọc được mọi dữ liệu bạn gửi đi.
Khi lỗi nằm ở website: sửa trên hosting và WordPress
Chứng chỉ hết hạn hoặc sai tên miền
- Vào trang quản lý SSL của hosting (AutoSSL trong cPanel, mục SSL của DirectAdmin) hoặc Certbot trên VPS, cấp lại chứng chỉ gồm cả tên miền chính và www.
- Nếu cấp lại thất bại, kiểm tra DNS: bản ghi A và AAAA phải trỏ về đúng máy chủ đang chạy website; bản ghi CAA (nếu có) phải cho phép CA đang dùng. Nguyên nhân gia hạn hỏng được phân tích trong bài DV SSL là gì.
- Website sau Cloudflare: kiểm tra chứng chỉ ở cả hai đầu, chứng chỉ của Cloudflare cho khách truy cập và chứng chỉ trên máy chủ gốc, chế độ SSL đặt “Full (strict)”.
Thiếu chứng chỉ trung gian
Máy tính vẫn vào được (trình duyệt tự tìm chuỗi còn thiếu), nhưng một số điện thoại, ứng dụng, cổng thanh toán gọi về website báo lỗi CA không tin cậy. Khi cài chứng chỉ thủ công, phải dán đủ phần chuỗi (CA bundle hoặc fullchain), không chỉ chứng chỉ của tên miền. Công cụ kiểm tra SSL trực tuyến sẽ báo “chain incomplete” nếu thiếu.
Máy chủ còn dùng giao thức cũ
Lỗi phiên bản hoặc bộ mã hóa thường gặp trên máy chủ lâu không cập nhật. Cần bật TLS 1.2, TLS 1.3 và tắt các phiên bản cũ; giải thích chi tiết ở bài SSL và TLS khác nhau thế nào.
Có HTTPS nhưng vẫn hiện “Không bảo mật” trên WordPress
- Trong Cài đặt, Tổng quan: địa chỉ WordPress và địa chỉ trang đều bắt đầu bằng https.
- Chạy tìm và thay thế http://tenmien thành https://tenmien trong cơ sở dữ liệu bằng công cụ xử lý được dữ liệu tuần tự hóa; sao lưu trước.
- Kiểm tra những chỗ công cụ tìm và thay thế hay bỏ sót: ảnh nền trong CSS tùy chỉnh của theme, đường dẫn ảnh trong khối trình dựng trang (như UX Builder của Flatsome), mã nhúng bản đồ, chat, form bên thứ ba.
- Form liên hệ, form đăng ký gửi về địa chỉ http: trình duyệt sẽ cảnh báo khi khách bấm gửi.
- Thêm chuyển hướng 301 toàn bộ HTTP sang HTTPS ở cấp máy chủ, một bước duy nhất.
Lỗi SSL ảnh hưởng tới SEO và quảng cáo thế nào?
Trang cảnh báo toàn màn hình chặn khách trước khi website kịp tải, nên thiệt hại đầu tiên là mất khách ngay lập tức, kể cả khách đến từ tìm kiếm tự nhiên. Những ảnh hưởng tiếp theo:
- Quảng cáo: lượt nhấp vẫn bị tính tiền dù khách gặp trang cảnh báo; trang đích không mở được còn có thể khiến quảng cáo bị từ chối vì đích đến không hoạt động. Nếu đang chạy Google Ads, hãy kiểm tra chứng chỉ trước mỗi đợt tăng ngân sách. Quy trình kiểm tra trang đích có trong bài hướng dẫn chạy Google Ads.
- Tìm kiếm: Google thu thập dữ liệu trang HTTPS qua kết nối được mã hóa; lỗi chứng chỉ kéo dài làm trang khó được thu thập lại và cập nhật. Theo dõi báo cáo trong Search Console sau khi sửa.
- Trang HTTP: theo kế hoạch Google công bố, Chrome 154 (tháng 10/2026) bật mặc định chế độ hỏi người dùng trước khi mở trang công khai không có HTTPS. Website chưa chuyển HTTPS sẽ bị cảnh báo rõ hơn trước.
Phòng lỗi SSL: những việc làm một lần, đỡ cả năm
- Dùng dịch vụ theo dõi uptime có kiểm tra ngày hết hạn chứng chỉ, gửi cảnh báo cho ít nhất hai người.
- Mỗi lần đổi hosting, đổi DNS, bật Cloudflare: kiểm tra lại chứng chỉ trên cả tên miền chính và www trong ngày.
- Ghi lại nơi chứng chỉ được cấp và ai có quyền vào đó.
- Kiểm tra định kỳ bằng công cụ phân tích SSL: phiên bản TLS, chuỗi chứng chỉ, ngày hết hạn.
Nếu website không có người kỹ thuật theo dõi, gói bảo trì WordPress của Marketing SEO Top bao gồm theo dõi chứng chỉ, cập nhật và sao lưu. Website đang lỗi cần sửa ngay có thể gửi đường dẫn qua Zalo để chúng tôi kiểm tra và báo giá theo hiện trạng.
Nguồn tra cứu tháng 10/2026: Let’s Encrypt, “Shortening the Let’s Encrypt Chain of Trust” (letsencrypt.org/2023/07/10/cross-sign-expiration); Google Online Security Blog “HTTPS by default” (10/2025, theo bài 3268 trên website).
Câu hỏi thường gặp
Có nên bấm 'Tiếp tục truy cập (không an toàn)' khi gặp lỗi SSL không?
Không nên với bất kỳ trang nào bạn sẽ nhập mật khẩu, thông tin thanh toán hay dữ liệu cá nhân. Với website của chính bạn đang sửa lỗi thì có thể, để kiểm tra nội dung. Nếu trang dùng HSTS, trình duyệt sẽ không cho bỏ qua.
Vì sao chỉ máy tính ở văn phòng báo lỗi SSL?
Thường do mạng văn phòng có tường lửa hoặc phần mềm diệt virus kiểm tra lưu lượng HTTPS bằng chứng chỉ riêng, hoặc giờ hệ thống trên các máy bị sai. Thử cùng website bằng 4G trên điện thoại; nếu không lỗi, hãy nhờ người quản trị mạng kiểm tra.
Điện thoại cũ báo lỗi chứng chỉ khi vào website, chủ website sửa được không?
Chỉ một phần. Android cũ hơn bản 7.1.1 không còn tin chuỗi chứng chỉ Let’s Encrypt hiện tại sau khi chuỗi chéo cũ hết hạn năm 2024. Chủ website có thể dùng chứng chỉ từ CA khác có chuỗi tương thích, còn người dùng nên cập nhật máy hoặc dùng Firefox.
Sửa lỗi SSL xong bao lâu thì trình duyệt hết báo?
Gần như ngay lập tức với chứng chỉ mới. Nếu vẫn thấy lỗi, hãy tải lại trang bằng Ctrl+F5, xóa bộ nhớ đệm hoặc thử cửa sổ ẩn danh. Lỗi chuyển hướng có thể bị trình duyệt nhớ lâu hơn, cần xóa dữ liệu trang của tên miền đó.
Website bị gắn nhãn 'Nguy hiểm' màu đỏ có phải lỗi SSL không?
Không. Trang đỏ cảnh báo trang lừa đảo hoặc phần mềm độc hại là của Google Safe Browsing, thường do website bị chèn mã độc. Cần dọn mã độc rồi gửi yêu cầu xem xét lại trong Search Console; xem dịch vụ xử lý mã độc WordPress.
Cần người làm giúp phần này?
Mô tả ngắn nhu cầu hoặc gửi link website. Chúng tôi phản hồi bằng đánh giá cụ thể trước khi báo giá.
