Chứng chỉ SSL là gì? Chọn đúng loại cho website 2026

Từ 15/03/2026, chứng chỉ TLS mới cấp không được sống quá 200 ngày. Nghe như chuyện kỹ thuật vặt, nhưng nó xoá luôn thói quen mua chứng chỉ một năm rồi quên tới lúc hết hạn. Theo CA/Browser Forum, mốc này còn rút tiếp xuống 100 ngày vào tháng 3/2027 và 47 ngày vào tháng 3/2029.

Chứng chỉ SSL từ chỗ mua một lần rồi quên, nay thành việc phải theo lịch. Bài này giải thích chứng chỉ SSL là gì theo góc nhìn người vận hành website: nó mã hoá cái gì, xác thực tới đâu, loại nào hợp mô hình nào, và những sai lầm khiến doanh nghiệp trả tiền cho phạm vi không dùng tới.

Chứng chỉ SSL là gì và nó bảo vệ điều gì

SSL (Secure Sockets Layer) là chuẩn mã hoá dữ liệu trên đường truyền giữa trình duyệt của khách và máy chủ web. Tên SSL đã thành thói quen, nhưng giao thức chạy thật trên website hiện đại là TLS, bản kế thừa. Khi cài chứng chỉ, đường dẫn đổi từ HTTP sang HTTPS và trình duyệt hiện biểu tượng ổ khoá.

Chỗ này nhiều người hiểu nhầm. Chứng chỉ SSL bảo vệ dữ liệu đang di chuyển, không phải toàn bộ website. Nó khiến kẻ nghe lén trên WiFi công cộng không đọc được nội dung form đăng nhập, thông tin thẻ hay dữ liệu đơn hàng. Nó không vá lỗ hổng mã nguồn. Không chặn mã độc trong plugin. Không thay thế backup.

Chứng chỉ làm hai việc song song

• Mã hoá: khoá phiên được thoả thuận lại cho từng kết nối, nên dữ liệu chặn được cũng thành vô nghĩa.
• Xác thực: chứng chỉ do một Certificate Authority phát hành, xác nhận máy chủ đang trả lời đúng là chủ tên miền đó, chống giả mạo trang.

Khác biệt giữa các mức giá nằm ở phần xác thực. Mã hoá 256-bit thì gói nào cũng như nhau.

Certificate Authority hoạt động thế nào

Certificate Authority (CA) là tổ chức được trình duyệt tin sẵn. Trình duyệt mang trong mình một danh sách CA gốc. Khi nhận chứng chỉ từ website, nó truy ngược chuỗi ký cho tới khi chạm một CA trong danh sách đó. Chạm được thì hiện ổ khoá, không chạm được thì cảnh báo.

Thế nên chứng chỉ tự tạo trên máy chủ không bao giờ qua được mắt khách. Dữ liệu vẫn mã hoá, nhưng không CA nào đứng ra bảo chứng nên trình duyệt vẫn chặn. Chứng chỉ dùng cho website công khai bắt buộc phải xin hoặc mua từ một CA hợp lệ.

Chứng chỉ TLS công khai cấp từ 15/03/2026 có hạn tối đa 200 ngày, giảm tiếp còn 100 ngày từ 15/03/2027 và 47 ngày từ 15/03/2029.

CA/Browser Forum, Ballot SC-081v3

Các loại chứng chỉ SSL theo mức xác thực

Ba mức xác thực, khác nhau ở việc CA kiểm tra bạn kỹ tới đâu trước khi cấp:

• DV (Domain Validation): CA chỉ kiểm tra bạn có quyền với tên miền, thường qua bản ghi DNS hoặc file đặt trên hosting. Cấp trong ngày. Phủ gần hết nhu cầu website doanh nghiệp, blog, landing page.
• OV (Organization Validation): CA kiểm tra thêm pháp nhân, gồm giấy phép kinh doanh, địa chỉ, điện thoại. Mất vài ngày. Tên công ty nằm trong chi tiết chứng chỉ.
• EV (Extended Validation): quy trình thẩm định nặng nhất. Trước kia EV đổi màu thanh địa chỉ thành xanh lá, nhưng các trình duyệt đã bỏ hiển thị đó, nên lợi thế thị giác gần như không còn.

Phân loại theo phạm vi phủ tên miền

• Single domain: một tên miền, thường kèm cả bản www và non-www.
• Wildcard: phủ toàn bộ subdomain cùng cấp của một tên miền chính, dạng *.tenmien.com. Hợp khi bạn chạy nhiều subdomain: shop, blog, api, mail.
• SAN / Multi-Domain: gộp nhiều tên miền khác nhau vào một chứng chỉ, tiện cho doanh nghiệp giữ nhiều thương hiệu.

Chọn loại nào cho từng mô hình website

SSL miễn phí và SSL trả phí khác nhau chỗ nào

Let's Encrypt cấp chứng chỉ DV miễn phí, hạn 90 ngày, gia hạn tự động qua control panel. Tổ chức này nói rõ họ không cấp OV hay EV vì hai loại đó không tự động hoá được. Về mã hoá, chứng chỉ của họ ngang bản trả phí.

Khác biệt nằm ở ba chỗ: mức xác thực dừng ở DV, không có bảo hiểm phát hành sai, và không ai chịu trách nhiệm khi việc gia hạn tự động hỏng. Cái thứ ba mới đáng lo. Một bản ghi DNS đổi, một rule chặn thư mục xác thực, thế là chu kỳ gia hạn hỏng trong im lặng. Doanh nghiệp thường phát hiện khi khách gọi báo trang hiện cảnh báo bảo mật.

Gói hosting tại BizMaC kèm sẵn Free SSL Let's Encrypt trên mọi gói, bật ngay trong Panel Plesk / DirectAdmin. Với website giới thiệu hoặc blog, dùng bản miễn phí là hợp lý. Khi website bắt đầu nhận đơn hàng và dữ liệu khách, chuyển sang chứng chỉ có đầu mối hỗ trợ là bước nên tính.

Bảng giá chứng chỉ SSL tại BizMaC

Bốn mức chứng chỉ DV, tính theo năm:

Cả bốn đều mã hoá 256-bit, xác thực DV, cấp nhanh trong ngày. BizMaC là đối tác của GoGetSSL thuộc DigiCert, nên chứng chỉ đi thẳng từ CA. Lưu ý theo lịch mới: hợp đồng tính theo năm nhưng chứng chỉ sẽ được cấp lại theo chu kỳ ngắn hơn trong năm đó.

Bốn lỗi thường gặp khi triển khai SSL

1. Cài chứng chỉ nhưng không chuyển hướng HTTP sang HTTPS. Trang mở được bằng cả hai đường dẫn, công cụ tìm kiếm xem là hai bản trùng nội dung. Cần một redirect 301 dứt khoát về HTTPS.
2. Mixed content. Trang chạy HTTPS nhưng còn gọi ảnh, script, font qua HTTP. Ổ khoá biến mất dù chứng chỉ vẫn tốt. Rà lại đường dẫn tài nguyên trong theme và nội dung cũ.
3. Quên hạn. Chứng chỉ hết hạn gây cảnh báo toàn trang, thiệt hại tính bằng giờ. Với chu kỳ 200 ngày, mỗi năm bạn phải xử lý việc này nhiều hơn trước, nên tự động hoá là bắt buộc.
4. Mua Wildcard khi chỉ có một tên miền. Trả gấp tám lần cho phạm vi không dùng tới. Đếm subdomain thật đang chạy trước khi chọn gói.

Sau khi cài xong cần kiểm lại những gì

• Mở trang bằng cả bản www và non-www, xác nhận cả hai đều về HTTPS.
• Kiểm tra chuỗi chứng chỉ đã đủ certificate trung gian. Thiếu mắt xích này thì trình duyệt máy tính vẫn hiện ổ khoá còn điện thoại lại báo lỗi.
• Cập nhật đường dẫn trong Google Search Console và sitemap sang bản HTTPS.
• Rà lại link nội bộ cứng trong bài viết cũ.
• Đo lại tốc độ trang. Theo web.dev, ngưỡng tốt của Largest Contentful Paint là 2,5 giây ở phân vị 75, và HTTPS là điều kiện để dùng HTTP/2 vốn giúp cải thiện chỉ số này.

Câu hỏi thường gặp về chứng chỉ SSL

Tóm tắt

Nguyên tắc gọn: website giới thiệu dùng DV single domain. Nhiều subdomain thì Wildcard tiết kiệm hơn mua lẻ. Website nhận dữ liệu khách nên cân nhắc mức xác thực cao hơn. Đừng chọn theo tên gói nghe mạnh nhất, vì mã hoá gói nào cũng như nhau, tiền chênh nằm ở phạm vi và thẩm định.

Đội ngũ BizMaC hỗ trợ chọn loại chứng chỉ, xử lý xác thực và cài đặt hoàn chỉnh, kể cả khi website đang chạy trên hosting ở nơi khác. Nếu bạn chưa rõ website mình cần mức nào, gửi tên miền kèm mô tả ngắn về hệ thống đang chạy, BizMaC sẽ tư vấn phương án đúng chi phí.