Chứng chỉ SSL 47 ngày: vòng đời từ 2029 và việc cần chuẩn bị

Mốc cuối cùng trong lộ trình rút ngắn vòng đời chứng chỉ SSL của CA/Browser Forum là 47 ngày, áp dụng từ 15/03/2029. Từ một lần gia hạn mỗi năm như hiện nay, người quản trị website sẽ phải xử lý chứng chỉ SSL khoảng bảy đến tám lần trong năm. Gia hạn tay từng tên miền một, theo cách nhiều người vẫn làm, không còn kham nổi ở nhịp độ đó.

Chứng chỉ SSL 47 ngày là mốc gì trong lộ trình CA/Browser Forum

Đây là vòng đời tối đa cuối cùng trong bốn mốc CA/Browser Forum đã công bố, áp dụng cho chứng chỉ TLS công khai cấp hoặc gia hạn từ 15/03/2029. Trước đó, vòng đời giảm dần qua ba chặng: 398 ngày, 200 ngày rồi 100 ngày.

Bài chứng chỉ SSL 200 ngày từ 2026 đã nói kỹ mốc đầu tiên và việc cần làm ngay lúc đó. Bài này đi tiếp tới mốc cuối, nơi vòng đời ngắn tới mức cách quản trị chứng chỉ phải đổi hẳn, không còn là chuyện lịch nhắc dày hơn một chút.

Vì sao CA/Browser Forum rút vòng đời SSL xuống còn 47 ngày

Theo tài liệu Ballot SC-081v3 của CA/Browser Forum, vòng đời càng ngắn thì thời gian một chứng chỉ bị đánh cắp khóa riêng hoặc cấu hình sai còn hiệu lực trên mạng càng ngắn theo. Đây là tổ chức đặt chuẩn kỹ thuật chung cho ngành, gồm cả hãng trình duyệt lẫn nhà cấp chứng chỉ, không phải quy định riêng của một CA nào.

Lộ trình cũng gắn liền với xu hướng tự động hoá toàn ngành. Vòng đời 398 ngày từng đủ để gia hạn tay mỗi năm một lần. Xuống 47 ngày, việc gia hạn tay lặp lại gần chục lần trong năm biến từ chuyện phụ thành khối lượng công việc thật, buộc phần lớn hệ thống phải chuyển sang cấp phát tự động.

Chứng chỉ đang chạy hôm nay không bị rút ngắn theo mốc mới. Vòng đời mới chỉ áp dụng cho chứng chỉ cấp mới hoặc gia hạn từ đúng ngày hiệu lực của từng mốc, không thu hồi hay cắt ngắn chứng chỉ đang chạy. Chứng chỉ mua năm 2026 với chu kỳ 200 ngày vẫn chạy đủ 200 ngày đó, không bị đẩy xuống 47 ngày giữa chừng. Mốc 47 ngày còn cách khá xa, nhưng cách chuẩn bị không đợi tới sát ngày mới làm, vì đội ngũ quản trị nhiều tên miền cần thời gian chọn hạ tầng và quy trình phù hợp.

Lịch làm việc của người quản trị thay đổi ra sao khi vòng đời còn 47 ngày

Ở nhịp 47 ngày, một tên miền cần gia hạn khoảng bảy đến tám lần một năm, tức gần như mỗi tháng rưỡi một lần. Với người quản một website, đây vẫn là việc làm được bằng tay nếu chịu khó theo dõi lịch. Với đội vận hành vài chục tên miền trở lên, tổng số lượt gia hạn trong năm nhân lên gấp bảy, tám lần so với hiện tại.

Cách ghi chú một dòng rồi để đó, phổ biến ở thời vòng đời 398 ngày, không còn đủ. Cần một nơi theo dõi sống, cập nhật liên tục: tên miền nào, hạn ngày nào, ai xử lý. Thiếu công cụ giám sát tập trung, đội quản trị dễ rơi vào tình trạng chạy theo cảnh báo trình duyệt thay vì chủ động trước hạn.

Hậu quả khi trễ hạn cũng nặng hơn trước. Chứng chỉ hết hạn mà chưa gia hạn kịp khiến trình duyệt chặn thẳng trang bằng cảnh báo lỗi kết nối, không phải chỉ nhãn "Không an toàn" như thiếu SSL từ đầu. Website bán hàng thì đơn hàng đứng ngay tại bước thanh toán vì cổng thanh toán từ chối kết nối HTTPS không hợp lệ, còn hệ thống nội bộ dùng API qua HTTPS thì các cuộc gọi giữa dịch vụ với nhau cũng gãy cùng lúc. Ở vòng đời 398 ngày, quên một lần còn có khoảng lùi để xử lý gấp. Ở vòng đời 47 ngày, khoảng lùi đó gần như không còn, một lần trễ hạn dễ kéo theo áp lực dồn sang lần kế.

Tự động hoá gia hạn SSL bằng ACME có phải bắt buộc

Không bắt buộc, nhưng ở nhịp 47 ngày thì gần như là lựa chọn thực tế duy nhất cho hệ thống nhiều tên miền. ACME là giao thức cho phép chứng chỉ tự xin cấp và tự gia hạn không cần thao tác tay, phù hợp với máy chủ bạn toàn quyền cấu hình như VPS Hosting cao cấp.

Với hosting dùng chung hoặc chạy qua panel có sẵn, khả năng tự động hoá phụ thuộc panel đó có hỗ trợ ACME hay không. Trường hợp không tự cấu hình được, cách còn lại là để bên cung cấp dịch vụ theo dõi và nhắc lịch thay bạn. Cả hai hướng đều nhắm cùng một mục tiêu: giảm số lần con người phải nhớ và làm tay trong một năm.

Đội quản trị nội bộ nên chuẩn bị gì trước lịch làm việc dày hơn

Việc chuẩn bị nên bắt đầu từ danh sách đầy đủ chứng chỉ đang chạy: tên miền, nhà cung cấp, ngày hết hạn, ai giữ quyền quản trị. Không có danh sách này, mọi kế hoạch tự động hoá sau đó đều xây trên nền không chắc.

1. Kiểm kê toàn bộ chứng chỉ SSL đang dùng, gắn rõ ngày hết hạn và người phụ trách từng tên miền.
2. Xác định máy chủ nào toàn quyền cấu hình được ACME, máy chủ nào phải nhờ nhà cung cấp xử lý.
3. Với hệ thống nhiều tên miền, cân nhắc gom về một đầu mối quản trị thay vì để rải rác nhiều người giữ quyền truy cập khác nhau.
4. Đưa việc theo dõi hạn SSL vào quy trình vận hành định kỳ, không còn là việc làm khi nhớ ra.

Hệ thống đang thuê dịch vụ quản trị máy chủ thì phần cấu hình backup, restore và SSL vốn đã nằm trong phạm vi gói Basic trở lên, đội kỹ thuật lo luôn phần theo dõi hạn thay vì để một người trong công ty tự nhớ lịch.

So sánh cách gia hạn SSL thủ công và tự động ở vòng đời ngắn

Hai cách gia hạn phù hợp với hai quy mô khác nhau. Bảng dưới so sánh trên cùng nhịp 47 ngày để thấy rõ khối lượng công việc phát sinh.

Câu hỏi thường gặp về vòng đời chứng chỉ SSL 47 ngày

Chuẩn bị gì cho vòng đời ngắn

Mốc 47 ngày từ 15/03/2029 không đòi hỏi hành động ngay lập tức, nhưng đòi hỏi nhìn trước hướng đi: gia hạn tay từng tên miền một sẽ hết chỗ đứng khi nhịp độ lên tới bảy, tám lần một năm. Việc đáng làm ngay bây giờ là kiểm kê chứng chỉ đang chạy và xác định hệ thống nào cần chuyển sang tự động hoá trước khi lịch làm việc trở nên quá tải.

Cần thiết lập lại chứng chỉ theo hướng dễ gia hạn hơn, có thể tham khảo bảng giá SSL DV tại BizMaC, đội kỹ thuật hỗ trợ cài đặt và nhắc lịch theo đúng vòng đời mới. Trường hợp đang vận hành nhiều tên miền trên dịch vụ Linux Hosting BizMaC hoặc VPS, gộp việc theo dõi hạn SSL vào quy trình quản trị máy chủ sẵn có là cách giảm tải sớm nhất.