SSL cho website bán hàng: chọn loại nào cho đủ dùng

SSL cho website bán hàng không chỉ để gỡ nhãn "Không an toàn" trên thanh địa chỉ. Trang bán hàng có thêm bước khách nhập thông tin cá nhân và thanh toán, nên chứng chỉ còn là điều kiện của cổng thanh toán và là thứ khách nhìn trước khi điền số thẻ. Website giới thiệu chỉ cần SSL để tăng tin cậy và không mất điểm SEO, còn website bán hàng thiếu SSL đúng chuẩn thì đơn đăng ký cổng thanh toán bị từ chối ngay từ vòng xét duyệt.

SSL cho website bán hàng là gì và khác website thường ra sao

Đây là chứng chỉ số mã hóa toàn bộ dữ liệu giữa trình duyệt của khách và máy chủ, áp dụng cho cả trang sản phẩm lẫn trang thanh toán. Khác với website giới thiệu chỉ cần HTTPS để không bị cảnh báo, website bán hàng phải đảm bảo mọi trang có form nhập thẻ đều nằm trong phạm vi chứng chỉ, không được để lọt một trang nào chạy HTTP.

Điểm khác lớn nhất nằm ở bên thứ ba can thiệp. Cổng thanh toán, ngân hàng phát hành thẻ và trình duyệt đều kiểm tra SSL trước khi cho giao dịch đi qua. Website giới thiệu không có bên thứ ba nào xét duyệt như vậy, mất SSL chỉ ảnh hưởng cảm quan chứ không chặn hoạt động của trang.

Chứng chỉ DV có đủ cho website bán hàng hay phải lên OV

Chứng chỉ DV (Domain Validation) xác minh quyền sở hữu tên miền, cấp trong ngày, mã hóa 256-bit giống hệt OV và EV. Phần lớn website bán hàng quy mô vừa và nhỏ dùng DV là đủ, vì khách hàng nhìn thấy ổ khóa và HTTPS là đủ để tin, còn thẩm định pháp nhân không hiện ra trên giao diện trình duyệt hiện đại.

Chứng chỉ OV (Organization Validation) thẩm định thêm tên pháp nhân, địa chỉ đăng ký kinh doanh, thông tin này nằm trong chi tiết kỹ thuật của chứng chỉ chứ không hiện thanh xanh như các trình duyệt đời cũ từng làm. Đây là lúc chứng chỉ cho trang bán hàng cần thêm một bước xác minh: nên nâng lên OV khi giá trị đơn hàng trung bình cao, khách là doanh nghiệp cần đối chiếu pháp nhân trước khi chuyển khoản, hoặc đối tác thanh toán yêu cầu xác minh tổ chức. BizMaC hiện cung cấp bốn gói DV từ GoGetSSL và RapidSSL, xem chi tiết ở bảng giá chứng chỉ SSL; nhu cầu OV thì liên hệ đội kỹ thuật để được tư vấn gói phù hợp. Cách phân biệt ba mức thẩm định được nêu chi tiết ở bài viết thẩm định giữa DV OV và EV.

Cổng thanh toán online yêu cầu gì ở chứng chỉ SSL

Cổng thanh toán online là nơi kiểm tra khắt khe nhất, vì hầu hết yêu cầu website đã bật HTTPS hợp lệ toàn site trước khi duyệt hồ sơ tích hợp: luồng giao dịch thẻ phải đi qua kết nối mã hóa mới đạt chuẩn bảo mật dữ liệu thẻ tối thiểu. Thiếu SSL hoặc SSL hết hạn, đơn đăng ký cổng thanh toán bị từ chối hoặc website chỉ chạy được ở chế độ thử nghiệm (sandbox).

Ngoài cổng thanh toán, khách hàng cũng tự kiểm tra trước khi điền thẻ. Ổ khóa trên thanh địa chỉ là dấu hiệu đầu tiên người mua nhìn vào, trước cả logo thương hiệu hay chính sách đổi trả. Một trang giỏ hàng hoặc trang thanh toán còn cảnh báo "Không an toàn" gần như chắc chắn mất đơn ngay tại bước cuối, đúng lúc khách đã sẵn sàng trả tiền.

Trang thanh toán ở subdomain thì SSL cần phủ thế nào

Nhiều website bán hàng tách trang thanh toán ra subdomain riêng như pay.tenmien.com hoặc checkout.tenmien.com để dùng chung hệ thống với đối tác thanh toán. Chứng chỉ SSL gắn cho tên miền chính không tự động phủ subdomain này, đây là chỗ hay bị bỏ quên nhất khi triển khai, dẫn tới trang thanh toán chạy HTTP trong khi trang chủ đã HTTPS.

Cách xử lý là dùng chứng chỉ Wildcard, một chứng chỉ phủ toàn bộ *.tenmien.com thay vì phải mua riêng cho từng subdomain. Wildcard hợp với website bán hàng có nhiều nhánh: trang chủ, blog, trang thanh toán, khu vực quản trị đơn hàng. Bài viết Wildcard SSL và khi nào cần dùng nói rõ thêm cách tính khi nào Wildcard rẻ hơn mua lẻ từng chứng chỉ.

Cài SSL trên WooCommerce cho website bán hàng thế nào

Cài chứng chỉ SSL trên WooCommerce gồm hai phần: cài chứng chỉ ở tầng hosting hoặc VPS, sau đó bật "Force HTTPS" trong WooCommerce và cập nhật lại đường dẫn ảnh, script cũ đang trỏ HTTP. Bỏ qua bước thứ hai là nguyên nhân phổ biến nhất khiến trang vẫn báo nội dung hỗn hợp (mixed content) dù đã cài chứng chỉ đúng.

Với các nền tảng khác như Shopify dùng SSL riêng của nền tảng, còn website tự dựng trên mã nguồn PHP thì cần trỏ chứng chỉ đúng virtual host và bật chuyển hướng 301 từ HTTP sang HTTPS ở tầng máy chủ. Các bước cài đặt cụ thể trên từng loại hosting được nêu ở bài viết cách cài SSL trên hosting và VPS.

So sánh giá và loại chứng chỉ SSL cho website bán hàng

Bảng dưới so sánh bốn gói theo cùng một khung: mức thẩm định, phạm vi phủ tên miền và quy mô shop phù hợp, để chọn đúng gói ngay từ đầu thay vì đổi giữa chừng.

Theo CA/Browser Forum, thời hạn tối đa của một chứng chỉ SSL công khai hiện là 398 ngày, nên dù chọn gói nào cũng cần đặt lịch gia hạn trước khi hết hạn, tránh để website rớt HTTPS giữa lúc đang có đơn chờ xử lý. Google cũng đã đánh dấu mọi trang thu thập thông tin qua HTTP là "Không an toàn" kể từ Chrome 68, theo Google Security Blog, áp dụng cho mọi trang có form nhập liệu kể cả ô tìm kiếm.

Câu hỏi thường gặp về chứng chỉ cho trang bán hàng

Chốt vài ý

Website bán hàng khác website giới thiệu ở chỗ có bên thứ ba xét duyệt: cổng thanh toán, ngân hàng phát hành thẻ, và cả khách hàng đang cầm thẻ trên tay. SSL cho website bán hàng vì vậy không phải việc làm cho có, mà là điều kiện để giao dịch chạy được. Chọn DV nếu shop vừa và nhỏ, cân nhắc OV khi cần hiện tên pháp nhân, và đừng quên phủ SSL cho subdomain thanh toán nếu có tách riêng.

Xem đầy đủ bốn gói và giá hiện hành tại trang chứng chỉ SSL của BizMaC.