SSL/TLS & HTTPS: vai trò và cách cấu hình đúng

Mục lục1. SSL/TLS và HTTPS là gì2. Vì sao mọi website cần HTTPS3. Các loại chứng chỉ số SSL/TLS3.1. Theo mức xác minh3.2. Theo phạm vi tên miền4. Cấu hình HTTPS đúng cách4.1. Chỉ bật phiên bản TLS an toàn4.2. Chuyển hướng toàn bộ HTTP sang HTTPS4.3. Bật HSTS4.4. Cài đủ chuỗi chứng chỉ và tự động gia hạn5. Lỗi thường gặp và cách kiểm tra6. Triển khai HTTPS trên hạ tầng Cloud Server7. Kết luận8. Nguồn tham khảo

1. SSL/TLS và HTTPS là gì

SSL (Secure Sockets Layer) và TLS (Transport Layer Security) là giao thức mã hóa dữ liệu truyền giữa hai điểm trên mạng, phổ biến nhất là giữa trình duyệt của người dùng và máy chủ web. TLS là phiên bản kế thừa của SSL; các phiên bản SSL cũ đã bị loại bỏ từ lâu vì lỗ hổng, nhưng thói quen gọi "chứng chỉ SSL" vẫn còn phổ biến nên hai tên thường được dùng lẫn nhau.

HTTPS đơn giản là giao thức HTTP chạy bên trên lớp mã hóa TLS. Khi website dùng HTTPS, ba điều được đảm bảo:

• Mã hóa: dữ liệu trao đổi (mật khẩu, thông tin thẻ, nội dung form) không thể bị đọc trộm trên đường truyền.
• Toàn vẹn: dữ liệu không thể bị sửa đổi giữa đường mà không bị phát hiện.
• Xác thực: người dùng biết mình đang nói chuyện với đúng máy chủ của tên miền đó, không phải một trang giả mạo chen ngang.

Để bật HTTPS, máy chủ cần một chứng chỉ số (certificate) do một tổ chức cấp chứng chỉ (CA) phát hành, gắn với tên miền của website.

2. Vì sao mọi website cần HTTPS

Nhiều chủ website nghĩ rằng "trang của tôi không thu thập gì nhạy cảm nên chưa cần HTTPS". Thực tế có ít nhất bốn lý do để bật HTTPS ngay cả với website thuần giới thiệu:

• Niềm tin của khách truy cập: các trình duyệt phổ biến như Chrome, Firefox đánh dấu website HTTP là "Không an toàn". Cảnh báo này ảnh hưởng trực tiếp đến tỷ lệ khách ở lại trang.
• SEO: các công cụ tìm kiếm từ lâu đã xem HTTPS là một tín hiệu xếp hạng và ưu tiên hiển thị trang an toàn.
• Chống nghe lén và chèn nội dung: với HTTP, bất kỳ điểm trung gian nào trên đường truyền (Wi-Fi công cộng, proxy) đều có thể đọc hoặc chèn nội dung vào trang của bạn.
• Yêu cầu của nền tảng: nhiều tính năng web hiện đại (thanh toán trực tuyến, thông báo đẩy, định vị, PWA) chỉ hoạt động trên HTTPS.

Chi phí cũng không còn là rào cản: chứng chỉ miễn phí từ Let's Encrypt đã được các trình duyệt tin cậy và tự động gia hạn được, phù hợp cho phần lớn website.

3. Các loại chứng chỉ số SSL/TLS

Chứng chỉ khác nhau ở mức độ xác minh danh tính và phạm vi tên miền được bảo vệ:

3.1. Theo mức xác minh

• DV (Domain Validation): chỉ xác minh quyền sở hữu tên miền, cấp nhanh trong vài phút, có loại miễn phí (Let's Encrypt). Phù hợp cho blog, website giới thiệu, môi trường thử nghiệm.
• OV (Organization Validation): xác minh thêm thông tin tổ chức đứng sau website. Phù hợp cho website doanh nghiệp, cổng dịch vụ.
• EV (Extended Validation): xác minh sâu về pháp nhân, thường dùng cho ngân hàng, tổ chức tài chính, nơi cần mức tin cậy cao về danh tính.

Cần lưu ý: cả ba loại đều mã hóa như nhau. Khác biệt nằm ở mức độ xác minh danh tính, không phải "độ mạnh mã hóa".

3.2. Theo phạm vi tên miền

• Single domain: bảo vệ một tên miền (vd cloudzone.vn).
• Wildcard: bảo vệ tên miền chính và mọi subdomain cùng cấp (vd *.cloudzone.vn), tiện khi có nhiều subdomain.
• SAN/Multi-domain: một chứng chỉ cho nhiều tên miền khác nhau.

4. Cấu hình HTTPS đúng cách

Có chứng chỉ mới chỉ là một nửa câu chuyện. Cấu hình sai vẫn khiến website bị cảnh báo hoặc để lộ điểm yếu. Bốn việc quan trọng cần làm đúng:

4.1. Chỉ bật phiên bản TLS an toàn

Tắt hoàn toàn SSLv3, TLS 1.0 và TLS 1.1 - các phiên bản này có lỗ hổng đã được công bố. Cấu hình khuyến nghị hiện nay là TLS 1.2 và TLS 1.3, kèm bộ mã hóa (cipher suite) hiện đại. Bạn không cần tự soạn cấu hình từ đầu: Mozilla cung cấp bộ cấu hình mẫu (SSL Configuration Generator) cho Nginx, Apache, HAProxy theo từng mức tương thích.

4.2. Chuyển hướng toàn bộ HTTP sang HTTPS

Thiết lập redirect 301 từ http:// sang https:// cho mọi đường dẫn, để không tồn tại song song hai phiên bản trang. Điều này vừa bảo vệ người dùng vừa tránh trùng lặp nội dung về mặt SEO.

4.3. Bật HSTS

HSTS (HTTP Strict Transport Security) là một HTTP header báo cho trình duyệt: từ nay chỉ kết nối tới website này qua HTTPS, kể cả khi người dùng gõ "http://". Điều này chặn kiểu tấn công hạ cấp kết nối xuống HTTP. Nên bắt đầu với max-age ngắn để thử, sau đó tăng dần khi chắc chắn mọi subdomain đều đã sẵn sàng HTTPS.

4.4. Cài đủ chuỗi chứng chỉ và tự động gia hạn

Hai lỗi vận hành phổ biến là thiếu chứng chỉ trung gian (intermediate certificate) khiến một số thiết bị báo lỗi, và quên gia hạn khiến website "sập" đúng ngày chứng chỉ hết hạn. Hãy cài đầy đủ chuỗi chứng chỉ (fullchain) và thiết lập gia hạn tự động - với Let's Encrypt, công cụ certbot làm việc này gần như trọn gói.

5. Lỗi thường gặp và cách kiểm tra

Một số lỗi hay gặp sau khi bật HTTPS:

• Mixed content: trang tải qua HTTPS nhưng bên trong vẫn gọi ảnh, CSS, JS qua HTTP. Trình duyệt sẽ chặn hoặc cảnh báo. Cách xử lý: đổi toàn bộ liên kết tài nguyên nội bộ sang HTTPS hoặc dùng đường dẫn tương đối.
• Chứng chỉ không khớp tên miền: cấp cho example.com nhưng truy cập bằng www.example.com (hoặc ngược lại) mà chứng chỉ không bao gồm cả hai.
• Chứng chỉ hết hạn: thường do quên gia hạn thủ công; hãy chuyển sang gia hạn tự động và đặt cảnh báo trước ngày hết hạn.
• Còn mở giao thức cũ: máy chủ vẫn chấp nhận TLS 1.0/1.1 do dùng cấu hình mặc định cũ.

Để kiểm tra, bạn có thể dùng công cụ trực tuyến SSL Labs Server Test (Qualys) - công cụ chấm điểm cấu hình TLS từ A+ đến F và chỉ ra từng vấn đề cụ thể, hoặc kiểm tra nhanh chuỗi chứng chỉ ngay trong trình duyệt (biểu tượng ổ khóa > xem chứng chỉ). Nên kiểm tra lại sau mỗi lần đổi chứng chỉ hoặc chỉnh cấu hình máy chủ web.

6. Triển khai HTTPS trên hạ tầng Cloud Server

Về hạ tầng, việc triển khai HTTPS không đòi hỏi cấu hình phần cứng đặc biệt: một Cloud Server chạy Nginx hoặc Apache là đủ để cài chứng chỉ, bật TLS 1.2/1.3 và thiết lập gia hạn tự động. Nếu đội ngũ của bạn chưa quen thao tác, dịch vụ cài đặt và vận hành máy chủ của Cloudzone có thể hỗ trợ cài đặt chứng chỉ và cấu hình HTTPS đúng khuyến nghị ngay từ đầu.

Cũng cần nói rõ: HTTPS mã hóa đường truyền, nhưng không lọc được nội dung tấn công đi bên trong kết nối đã mã hóa đó - một câu lệnh SQL Injection gửi qua HTTPS vẫn là SQL Injection. Vì vậy với website xử lý dữ liệu quan trọng, HTTPS nên đi cùng tường lửa ứng dụng web (WAF) để lọc tấn công ở tầng ứng dụng. Chủ đề này sẽ được phân tích kỹ trong bài "WAF là gì & khi nào website cần tường lửa ứng dụng web" [chèn link bài WAF khi đăng].

Lưu ý: ổ khóa HTTPS chỉ xác nhận kết nối được mã hóa tới đúng tên miền đó, không xác nhận website là "đáng tin". Trang lừa đảo cũng có thể có HTTPS. Với người dùng, hãy kiểm tra đúng tên miền; với chủ website, hãy xem HTTPS là lớp nền bắt buộc, bên trên còn cần các lớp bảo vệ khác.

7. Kết luận

SSL/TLS và HTTPS là lớp nền của bảo mật web: mã hóa dữ liệu trên đường truyền, xác thực máy chủ và giữ niềm tin của khách truy cập. Điều quan trọng là làm đúng: chọn loại chứng chỉ phù hợp, chỉ bật TLS 1.2/1.3, chuyển hướng toàn bộ sang HTTPS, bật HSTS và gia hạn tự động, rồi kiểm tra định kỳ bằng công cụ đánh giá. Làm tốt phần nền này, các lớp bảo vệ tiếp theo như WAF hay giám sát máy chủ mới phát huy đúng giá trị.

Tham khảo dịch vụ tại cloudzone.vn.

8. Nguồn tham khảo

• Mozilla SSL Configuration Guidelines & SSL Configuration Generator - khuyến nghị phiên bản TLS và cipher suite cho các máy chủ web phổ biến.
• Let's Encrypt - tài liệu về chứng chỉ miễn phí, chuỗi chứng chỉ và gia hạn tự động với certbot.
• OWASP Transport Layer Security Cheat Sheet - khuyến nghị cấu hình TLS, HSTS và xử lý mixed content.
• Qualys SSL Labs Server Test - công cụ kiểm tra và chấm điểm cấu hình TLS của website.
• Dữ kiện hạ tầng và dịch vụ của Cloudzone: nguồn dữ kiện chính thức của Cloudzone.

Các khuyến nghị được đối chiếu từ nhiều nguồn uy tín và diễn đạt lại; dữ kiện về Cloudzone lấy từ nguồn chuẩn nội bộ.

Website của bạn đã chạy HTTPS với cấu hình đúng khuyến nghị chưa?