HTTPS và SSL trên website là gì? Chủ cơ sở cần biết gì

Khi mở một website, bạn sẽ thấy địa chỉ bắt đầu bằng "https://", thường kèm biểu tượng ổ khoá. Nhiều chủ cơ sở nghe đơn vị làm web nói "đã cài SSL" mà không rõ nó là gì, có quan trọng không, và ai chịu trách nhiệm nếu nó hết hạn. Bài này giải thích bằng lời đơn giản, không đi vào kỹ thuật sâu.

HTTPS và SSL là gì

• HTTP là cách trình duyệt và máy chủ website nói chuyện với nhau. Dữ liệu đi qua theo dạng thường, về nguyên tắc có thể bị người khác đọc hoặc thay đổi trên đường đi.
• HTTPS là phiên bản có mã hoá của HTTP. Dữ liệu giữa trình duyệt của khách và website được mã hoá, nên khó bị đọc hay sửa trên đường truyền.
• Chứng chỉ SSL (nay thường gọi chính xác hơn là TLS, nhưng "SSL" vẫn là cách gọi quen thuộc) là tệp xác nhận danh tính website và cho phép mã hoá diễn ra.

Hiểu đơn giản: chứng chỉ là "giấy chứng nhận", HTTPS là kết nối được bảo vệ nhờ giấy đó.

Vì sao cơ sở nhỏ cũng nên dùng

Tài liệu của web.dev, một nguồn hướng dẫn chính thức của Google, nêu HTTPS bảo vệ tính toàn vẹn và bảo mật của website cũng như thông tin người dùng gửi đi. Với website cơ sở nhỏ, ba lý do thực tế nhất là:

1. Bảo vệ thông tin khách để lại. Khách điền họ tên, số điện thoại trong biểu mẫu. Đường truyền được mã hoá giúp giảm nguy cơ thông tin bị đọc trộm giữa chừng.
2. Trình duyệt cảnh báo khi không có. Trình duyệt có thể hiện nhãn "Không an toàn" cho trang chưa dùng HTTPS, nhất là trang có ô nhập. Khách thấy cảnh báo ấy sẽ ngần ngại.
3. Khách tin hơn. Một ổ khoá nhỏ cạnh địa chỉ là tín hiệu đơn giản rằng website được quản lý nghiêm túc.

Cũng cần nói rõ giới hạn: HTTPS không chứng minh cơ sở đáng tin, cũng không bảo đảm thứ hạng trên Google. Nó chỉ nói rằng đường truyền giữa khách và website được mã hoá.

Cách tự kiểm tra website của bạn

1. Gõ địa chỉ website vào trình duyệt và xem phần đầu có "https://" không.
2. Nhìn biểu tượng ở thanh địa chỉ. Nếu có cảnh báo "Không an toàn" hay dấu hiệu lỗi, hãy chụp màn hình gửi đơn vị làm web.
3. Thử gõ địa chỉ dạng "http://" và xem website có tự chuyển sang "https://" không.
4. Thử cả địa chỉ có "www" và không có "www".
5. Mở vài trang bên trong, đặc biệt trang có biểu mẫu.

Nếu một trang hiển thị lẫn nội dung không an toàn, như ảnh vẫn tải qua HTTP, trình duyệt có thể báo trang "không hoàn toàn an toàn". Đó là lỗi cần nhờ đơn vị làm web sửa.

Chứng chỉ có hết hạn không

Có. Chứng chỉ có thời hạn, và phải được gia hạn. Điều này khiến việc cài đặt chỉ là một nửa câu chuyện; nửa còn lại là có ai theo dõi ngày hết hạn không. Chứng chỉ hết hạn sẽ làm trình duyệt hiện cảnh báo toàn màn hình, nhiều khách sẽ không vào tiếp.

Hai câu hỏi nên đặt ra với đơn vị làm web:

• Chứng chỉ do ai cấp và tự gia hạn hay phải làm thủ công?
• Nếu hết hạn, ai là người xử lý và trong bao lâu?

Bài chi phí duy trì website hằng năm liệt kê các khoản lặp lại mỗi năm, và bài bàn giao website gồm những gì có danh sách các thứ cần nhận khi website bàn giao.

SSL trong các gói của Webxin.net

Theo bảng giá, bảo mật SSL (https) nằm trong gói Cơ bản 1.900.000đ và các gói cao hơn. Nghĩa là bạn không phải trả riêng cho việc cài chứng chỉ cơ bản trong phạm vi bảng giá. Bảng giá không mô tả chi tiết về chu kỳ gia hạn chứng chỉ, nên đây là điều nên hỏi rõ khi được tư vấn. Xem các gói ở bảng giá thiết kế website.

Những hiểu lầm hay gặp

• "Có ổ khoá nghĩa là website chắc chắn an toàn." Không hẳn. Ổ khoá cho biết kết nối được mã hoá; nội dung website vẫn có thể có vấn đề khác.
• "Chỉ website bán hàng mới cần HTTPS." Mọi website có biểu mẫu hay thông tin liên hệ đều nên dùng, vì khách vẫn nhập thông tin cá nhân.
• "Cài một lần là xong mãi mãi." Chứng chỉ có hạn và cần gia hạn.
• "HTTPS làm website lên top." Không ai cam kết được điều đó. Hãy xem HTTPS như nền tảng cơ bản, không phải phương tiện để tăng thứ hạng.

Khi nào cần nhờ người xử lý

• Trình duyệt báo "Không an toàn" trên website của bạn.
• Website mở được bằng "http://" nhưng không tự chuyển sang "https://".
• Một số trang có ảnh hoặc biểu mẫu bị cảnh báo.
• Sắp tới ngày hết hạn chứng chỉ mà chưa rõ ai gia hạn.

Với website mới đổi tên miền hoặc chuyển nơi đặt, nên kiểm tra lại chứng chỉ ngay sau khi chuyển. Nếu bạn lựa chọn tên miền, hãy xem thêm bài tên miền .vn hay .com.

Câu hỏi thường gặp

HTTPS và SSL có phải là một không?

Gần như vậy trong cách nói thường ngày. SSL/TLS là công nghệ mã hoá và chứng chỉ; HTTPS là kết nối web dùng công nghệ đó.

Website của tôi có cần trả tiền riêng cho SSL không?

Tuỳ nhà cung cấp. Với gói Webxin.net, bảng giá ghi SSL nằm trong gói; các khoản khác như tên miền hay hosting năm sau được trao đổi rõ khi tư vấn.

Tôi thấy cảnh báo "Không an toàn", có phải bị tấn công không?

Không nhất thiết. Thường là do chưa cài chứng chỉ, chứng chỉ hết hạn hoặc một vài tài nguyên tải qua HTTP. Hãy chụp màn hình và nhờ đơn vị làm web kiểm tra.

HTTPS có làm website chậm không?

Bài viết này không có số liệu để khẳng định mức ảnh hưởng. Nếu website chậm, hãy thử kiểm tra những nguyên nhân dễ thấy hơn như ảnh quá nặng, rồi hỏi đơn vị làm web.

Ai chịu trách nhiệm gia hạn chứng chỉ?

Phải thoả thuận rõ từ đầu. Hãy ghi vào danh sách bàn giao: người gia hạn, cách gia hạn và thời điểm nhắc.

Cần hỏi thêm

Nếu website của bạn đang hiện cảnh báo hoặc bạn chưa rõ chứng chỉ do ai quản lý, hãy gọi hoặc nhắn Zalo 0913 081 986, hoặc để lại thông tin tại trang liên hệ.