Trả lời nhanh
Nhập tên miền (ví dụ vidu.vn) và bấm “Kiểm tra SSL”: công cụ kết nối tới cổng 443 của website và cho biết chứng chỉ do ai cấp, còn bao nhiêu ngày hết hạn, có khớp tên miền (SAN), có được trình duyệt tin cậy không, máy chủ có gửi đủ chứng chỉ trung gian không, cùng giao thức TLS, bộ mã hoá, loại khoá và vân tay SHA-256.
Chứng chỉ SSL là gì?
Chứng chỉ SSL hết hạn hay cài thiếu là nguyên nhân hàng đầu khiến khách thấy cảnh báo “Kết nối của bạn không phải là kết nối riêng tư” và bỏ đi. Công cụ kiểm tra từ máy chủ của Công Cụ Nhanh giống cách một trình duyệt mới kết nối lần đầu, nên phát hiện được lỗi mà chính máy bạn có thể không thấy (vì đã lưu sẵn chứng chỉ trung gian). Hữu ích sau khi cài hoặc gia hạn SSL trên hosting, cPanel, aaPanel, Cloudflare, hoặc khi kiểm tra định kỳ trước ngày hết hạn.
Cách kiểm tra SSL
- 1
Nhập tên miền vào ô; dán cả đường dẫn https://www.vidu.vn/trang cũng được, công cụ tự lấy phần tên miền.
- 2
Bấm “Kiểm tra SSL”. Máy chủ của Công Cụ Nhanh kết nối tới cổng 443 của tên miền, thường mất 1–3 giây.
- 3
Đọc khung trạng thái: xanh là hợp lệ, vàng là sắp hết hạn (30 ngày trở xuống), đỏ là hết hạn, sai tên miền hoặc không được tin cậy.
- 4
Xem bảng chi tiết: tên miền trong chứng chỉ (SAN), tổ chức cấp, ngày hết hạn, giao thức TLS, khoá, vân tay.
- 5
Kéo xuống “Chuỗi chứng chỉ máy chủ gửi” để chắc đã có chứng chỉ trung gian sau chứng chỉ tên miền.
Kết quả và cách xử lý
| Trạng thái | Nghĩa là | Nên làm |
|---|---|---|
| Chứng chỉ hợp lệ | Tin cậy, khớp tên, còn hạn trên 30 ngày | Không cần làm gì; bật tự gia hạn nếu chưa có |
| Sắp hết hạn | Còn 30 ngày trở xuống | Gia hạn hoặc kiểm tra tác vụ tự gia hạn (certbot, acme.sh) có chạy không |
| Đã hết hạn | Ngày hết hạn đã qua | Gia hạn và cài lại chứng chỉ, khởi động lại web server |
| Không khớp tên miền | Tên miền không có trong SAN | Cấp lại chứng chỉ gồm cả tên miền có và không có www |
| Không được trình duyệt tin cậy | Tự ký hoặc thiếu chứng chỉ trung gian | Cài tệp fullchain thay vì chỉ cert, hoặc dùng chứng chỉ từ tổ chức cấp được tin cậy |
Phiên bản TLS
| Phiên bản | Trạng thái | Ghi chú |
|---|---|---|
| TLS 1.3 | Khuyên dùng | Nhanh hơn (bắt tay 1 vòng), chỉ còn bộ mã an toàn (RFC 8446) |
| TLS 1.2 | Vẫn dùng được | Cần cấu hình bộ mã ECDHE + AES-GCM / ChaCha20 |
| TLS 1.1, 1.0 | Đã bị loại bỏ | RFC 8996 (2021); trình duyệt hiện đại từ chối kết nối |
| SSL 3.0, 2.0 | Không an toàn | Đã bị cấm từ lâu (lỗ hổng POODLE…) |
Ví dụ thực tế
Máy mình vào được, khách báo lỗi
Kết quả “Không được trình duyệt tin cậy” và mục chuỗi chứng chỉ chỉ có 1 chứng chỉ. Trên Nginx, trỏ ssl_certificate tới tệp fullchain.pem thay vì cert.pem rồi tải lại cấu hình.
Có www thì lỗi, không www thì được
Kiểm tra www.vidu.vn báo “Không khớp tên miền”, SAN chỉ có vidu.vn. Cấp lại chứng chỉ với cả hai tên vidu.vn và www.vidu.vn.
Kiểm tra trước ngày hết hạn
Website dùng chứng chỉ trả phí 1 năm còn 12 ngày: trạng thái “Sắp hết hạn”. Gia hạn với nhà cung cấp và cài chứng chỉ mới trước ngày ghi ở dòng Hết hạn.
Sau khi bật Cloudflare
Tổ chức cấp hiện là Google Trust Services hoặc Let's Encrypt qua Cloudflare: đó là chứng chỉ ở biên Cloudflare, không phải chứng chỉ trên hosting của bạn.
Lỗi thường gặp
- Báo không kết nối được, hết thời gian chờ hoặc bị từ chối ở cổng 443.
- Website chưa bật HTTPS, tường lửa chặn cổng 443, hoặc tên miền trỏ sai IP. Kiểm tra bản ghi A bằng công cụ Tra cứu DNS.
- Đã gia hạn nhưng vẫn thấy ngày hết hạn cũ.
- Web server chưa nạp chứng chỉ mới: tải lại Nginx / Apache (hoặc bấm áp dụng trong panel), rồi kiểm tra lại.
- Dùng chứng chỉ wildcard *.vidu.vn cho vidu.vn.
- Wildcard chỉ bao một cấp tên con (www.vidu.vn, shop.vidu.vn), không bao chính vidu.vn hay a.b.vidu.vn. Thêm vidu.vn vào SAN.
- Không kiểm tra được IP hoặc tên miền nội bộ.
- Vì an toàn, công cụ chỉ kiểm tra tên miền công khai trỏ tới IP công khai; địa chỉ nội bộ, localhost, .local bị chặn.
Chứng chỉ trung gian là gì và vì sao hay thiếu
Tổ chức cấp (CA) không ký trực tiếp chứng chỉ của bạn bằng chứng chỉ gốc mà qua một hoặc vài chứng chỉ trung gian. Máy chủ phải gửi kèm các chứng chỉ trung gian đó để trình duyệt nối được tới chứng chỉ gốc có sẵn trong máy.
Nhiều trình duyệt máy tính tự tải hoặc đã lưu chứng chỉ trung gian nên vẫn vào được, nhưng điện thoại, ứng dụng, công cụ dòng lệnh (curl, API) sẽ báo lỗi. Công cụ này không tự bổ sung chứng chỉ trung gian nên phản ánh đúng trường hợp xấu nhất.
Thời hạn chứng chỉ ngày càng ngắn
Diễn đàn CA/Browser đã thông qua lộ trình rút ngắn thời hạn tối đa của chứng chỉ công khai: 200 ngày từ 15/3/2026, 100 ngày từ 15/3/2027 và 47 ngày từ 15/3/2029. Let's Encrypt cấp chứng chỉ 90 ngày. Vì vậy nên dùng tự gia hạn (ACME) thay vì gia hạn tay hằng năm.
Công cụ kiểm tra những gì, an toàn ra sao
Máy chủ của Công Cụ Nhanh phân giải tên miền, chỉ kết nối khi mọi IP đều là IP công khai, rồi bắt tay TLS tới đúng IP đã kiểm tra trên cổng 443 với tên miền gửi trong SNI. Công cụ không gửi yêu cầu HTTP, không đọc nội dung trang và không lưu tên miền bạn kiểm tra.
Thuật ngữ
- SAN
- Subject Alternative Name: danh sách tên miền mà chứng chỉ có hiệu lực; trình duyệt chỉ xét danh sách này.
- CA
- Certificate Authority, tổ chức cấp chứng chỉ được trình duyệt tin cậy (Let's Encrypt, DigiCert, Sectigo…).
- Chứng chỉ trung gian
- Chứng chỉ nối chứng chỉ của bạn với chứng chỉ gốc của CA.
- SNI
- Server Name Indication: tên miền gửi lúc bắt tay TLS để máy chủ chọn đúng chứng chỉ khi một IP chạy nhiều website.
- Vân tay SHA-256
- Mã băm của chứng chỉ, dùng để so sánh hai chứng chỉ có giống hệt nhau không.
- Tự ký
- Chứng chỉ tự ký bằng chính nó, không qua CA nên trình duyệt không tin cậy.
Câu hỏi thường gặp
Làm sao biết SSL của website còn bao nhiêu ngày?
Nhập tên miền và bấm “Kiểm tra SSL”: khung trạng thái ghi “Còn N ngày” cùng ngày giờ hết hạn chính xác.
Vì sao trình duyệt của tôi vào được nhưng công cụ báo không tin cậy?
Thường do thiếu chứng chỉ trung gian: trình duyệt của bạn đã lưu sẵn nên bỏ qua lỗi, nhưng máy khác và điện thoại sẽ báo lỗi. Hãy cài tệp fullchain.
Công cụ có kiểm tra cổng khác 443 không?
Không. Để tránh bị lợi dụng dò quét, công cụ chỉ kết nối cổng 443 của tên miền công khai.
Tên miền tôi kiểm tra có bị lưu lại không?
Không. Máy chủ chỉ đếm số lượt theo IP trong vài phút để chống lạm dụng, không lưu tên miền hay kết quả.
Chứng chỉ miễn phí Let's Encrypt có kém an toàn hơn chứng chỉ trả phí?
Về mã hoá thì như nhau. Chứng chỉ trả phí (OV, EV) khác ở chỗ CA xác minh thêm thông tin tổ chức; trình duyệt hiện đại hiển thị ổ khoá giống nhau.
TLS 1.0 / 1.1 còn dùng được không?
Không nên. RFC 8996 đã chính thức loại bỏ chúng và các trình duyệt lớn đã ngừng hỗ trợ. Công cụ đánh dấu khi máy chủ chỉ thương lượng được giao thức cũ.
Đánh giá và bình luận
Đang tải…