SSL cho máy chủ mail: nên chọn loại nào cho doanh nghiệp

Máy chủ thư của công ty bạn chạy trên một địa chỉ riêng, thường là mail.tencongty.com hoặc smtp.tencongty.com. Nhiều doanh nghiệp mua SSL cho website chính rồi quên mất máy chủ mail, webmail và vài hệ thống nội bộ khác cũng cần chứng chỉ riêng của chúng. Hậu quả xuất hiện đầu tiên trên điện thoại nhân viên: một dòng cảnh báo chứng chỉ không hợp lệ hiện ra mỗi lần mở email, rồi bị bấm bỏ qua thành thói quen. SSL cho máy chủ mail không phải khoản chi phát sinh, mà là điều kiện để Outlook và ứng dụng mail trên điện thoại tin tưởng máy chủ đang kết nối.

SSL cho máy chủ mail là gì và có bắt buộc không

Đây là chứng chỉ số cấp riêng cho hostname máy chủ thư như mail.tencongty.com hoặc smtp.tencongty.com, mã hóa toàn bộ phiên kết nối IMAP và SMTP giữa phần mềm thư và máy chủ. Không có luật nào bắt buộc, nhưng thiếu chứng chỉ cho hệ thống thư thì phần mềm thư liên tục cảnh báo, dữ liệu đăng nhập truyền ở dạng chưa mã hóa nếu người dùng vẫn bấm chấp nhận kết nối.

Trước đây nhiều máy chủ mail chạy chứng chỉ tự ký vì mua SSL còn tốn kém. Giờ chứng chỉ DV giá từ 200.000đ/năm nên lý do đó không còn nhiều ý nghĩa. Vấn đề còn lại nằm ở thói quen: quản trị viên nghĩ tới SSL khi dựng website, còn máy chủ mail dựng xong thường bị bỏ quên.

Vì sao tên trên chứng chỉ SSL phải khớp đúng tên máy chủ IMAP và SMTP

Phần mềm thư so khớp tên miền ghi trên chứng chỉ với tên máy chủ khai trong cấu hình IMAP hoặc SMTP, sai một ký tự cũng báo lỗi. Chứng chỉ cấp cho tencongty.com không tự bảo vệ được mail.tencongty.com nếu đó là một subdomain riêng, vì hai tên này khác nhau trong mắt phần mềm thư.

Tình huống hay gặp: công ty mua SSL cho website, đội IT khai địa chỉ máy chủ mail trong Outlook là mail.tencongty.com, nhưng chứng chỉ chỉ cấp cho tencongty.com và www.tencongty.com. Outlook lập tức báo tên trên chứng chỉ không khớp tên máy chủ, hỏi có tiếp tục kết nối không. Câu trả lời đúng là dừng lại và kiểm tra lại chứng chỉ, không phải bấm để cho qua.

Cách xử lý là cấp chứng chỉ riêng đúng tên mail.tencongty.com, hoặc dùng Wildcard SSL phủ luôn subdomain đó. Muốn phân biệt rõ mức xác thực trước khi chọn, có thể xem bài phân biệt chứng chỉ DV OV EV. Xem trước bảng giá chứng chỉ SSL doanh nghiệp để biết chi phí từng loại trước khi quyết định.

Wildcard SSL giải quyết bài toán nhiều tên miền phụ thế nào

Wildcard SSL là một chứng chỉ duy nhất phủ toàn bộ *.tencongty.com, gồm mail, webmail, autodiscover và mọi subdomain khác cùng lúc. Doanh nghiệp có năm sáu hệ thống chạy trên các tên miền phụ khác nhau chỉ cần gia hạn một chứng chỉ mỗi năm, thay vì canh ngày hết hạn của từng cái.

Hạ tầng mail doanh nghiệp thường không chỉ có một hostname. Ngoài mail.tencongty.com còn có webmail.tencongty.com cho giao diện web, autodiscover.tencongty.com để Outlook tự dò cấu hình, đôi khi thêm smtp.tencongty.com riêng. Mua từng chứng chỉ DV cho mỗi tên thì dễ quên gia hạn một cái, và đúng cái bị quên lại là cái báo lỗi vào ngày xấu nhất. Bài Wildcard SSL dùng khi nào giải thích chi tiết hơn cơ chế phủ subdomain này.

Tại BizMaC, GoGetSSL Wildcard giá 1.700.000đ/năm, RapidSSL Wildcard cao cấp hơn ở 3.100.000đ/năm, cả hai xác thực DV và mã hóa 256-bit. Wildcard không phải lựa chọn rẻ nhất nếu chỉ có một hai subdomain, nhưng đổi lại chỉ một ngày gia hạn, một chứng chỉ theo dõi, thay vì rải rác nhiều ngày hết hạn khác nhau cho mail, webmail, autodiscover.

Nhân viên bấm bỏ qua cảnh báo chứng chỉ quen tay, rủi ro nằm ở đâu

Cảnh báo chứng chỉ không hợp lệ xuất hiện một lần, nhân viên bấm bỏ qua, ứng dụng mail vẫn kết nối được nên họ lặp lại thao tác đó ở máy khác, tài khoản khác. Thói quen này xoá luôn khả năng phân biệt cảnh báo do cấu hình sai với cảnh báo do ai đó đang giả mạo máy chủ mail để chặn thư.

Về mặt kỹ thuật, cảnh báo tên chứng chỉ không khớp hoặc chứng chỉ không được tin cậy có hai nguồn gốc rất khác nhau: một là lỗi cấu hình vô hại như tình huống ở phần trên, hai là dấu hiệu của tấn công can thiệp đường truyền, nơi kẻ tấn công tự tạo chứng chỉ giả để đọc trộm phiên kết nối. Phần mềm thư không phân biệt được hai trường hợp này, chỉ báo chung một cảnh báo. Người dùng đã quen bấm bỏ qua thì mất luôn lớp phòng vệ cuối cùng.

Cách phòng tránh không nằm ở việc dặn nhân viên cẩn thận hơn, mà ở việc giữ chứng chỉ luôn hợp lệ để cảnh báo đó không bao giờ xuất hiện trong điều kiện bình thường. Theo Baseline Requirements của CA/Browser Forum, chứng chỉ SSL công khai có hạn tối đa 398 ngày kể từ ngày cấp, nên máy chủ mail vẫn cần một mốc gia hạn rõ ràng mỗi năm chứ không thể cấp một lần rồi quên. Bài cách xử lý khi SSL báo lỗi có quy trình xử lý cụ thể khi cảnh báo này xuất hiện.

Hệ thống nào trong doanh nghiệp cần SSL ngoài máy chủ mail

Ngoài máy chủ mail, webmail và các hệ thống nội bộ chạy trên tên miền phụ như CRM hay cổng VPN cũng cần chứng chỉ cho hệ thống thư và hệ thống nội bộ nói chung, không riêng gì website chính. Bảng dưới liệt kê từng hệ thống, loại chứng chỉ phù hợp và lý do chọn loại đó.

SSL cho máy chủ mail nên chọn Wildcard hay DV Domain

Chọn Wildcard SSL khi máy chủ mail đi cùng từ ba tên miền phụ trở lên, ví dụ mail, webmail, autodiscover cùng lúc. Chọn DV Domain riêng khi chỉ có một hostname mail cần bảo vệ và ngân sách còn hạn chế. BizMaC cấp cả hai loại qua đối tác GoGetSSL, đội kỹ thuật hỗ trợ khai đúng tên máy chủ trước khi cài để tránh lặp lại lỗi không khớp tên.

Với công ty vừa chuyển từ mail cá nhân sang mail theo tên miền riêng, thứ tự làm hợp lý là dựng máy chủ mail trước, xác định đủ subdomain sẽ dùng, rồi mới chọn DV Domain hay Wildcard theo đúng con số đó, thay vì mua Wildcard cho chắc rồi phát hiện chỉ dùng một hostname. Bài cấu hình email trên Outlook và điện thoại mô tả bước khai IMAP, SMTP cụ thể để đối chiếu đúng tên máy chủ với chứng chỉ đã cấp.

Theo tài liệu Let's Encrypt, chứng chỉ miễn phí của họ có hạn 90 ngày, ngắn hơn nhiều so với chứng chỉ trả phí BizMaC cấp qua GoGetSSL, thường theo chu kỳ 1 năm. Máy chủ mail ít khi có công cụ gia hạn tự động tiện lợi như website chạy trên hosting, nên chu kỳ 1 năm với một mốc nhắc gia hạn rõ ràng thực tế hơn việc phải canh lại mỗi 90 ngày.

Câu hỏi thường gặp về chứng chỉ cho hệ thống thư

Đọng lại

SSL cho máy chủ mail thường bị bỏ quên vì doanh nghiệp chỉ nghĩ tới chứng chỉ khi dựng website. Ba việc cần nhớ: tên trên chứng chỉ phải khớp đúng hostname khai trong IMAP và SMTP, chọn Wildcard nếu có từ ba tên miền phụ trở lên để đỡ gia hạn rải rác, và dừng ngay thói quen bấm bỏ qua cảnh báo chứng chỉ vì đó có thể là dấu hiệu thật chứ không chỉ là lỗi cấu hình. Cần tư vấn loại chứng chỉ phù hợp với số subdomain đang dùng, xem bảng giá SSL tại BizMaC hoặc liên hệ BizMaC để đội kỹ thuật kiểm tra cấu hình hiện tại.