Cài SSL xong chưa có nghĩa là website đã an toàn
Hướng dẫn cấu hình HTTPS redirect đúng cách sau khi cài SSL là bước nhiều người bỏ qua. Tuần trước, một khách hàng của chúng tôi nhắn tin với giọng khá lo lắng. Trang web vừa được cài SSL và ổ khóa xanh đã hiện trên trình duyệt. Thế nhưng khi gõ địa chỉ bằng “http://”, trang vẫn mở bình thường.
Tình huống này chúng tôi gặp khá thường xuyên. Chứng chỉ SSL là lớp mã hóa giúp dữ liệu giữa trình duyệt và máy chủ không bị đọc trộm trên đường truyền. Tuy vậy, chứng chỉ chỉ mở ra khả năng chạy HTTPS. Nó không tự động chuyển mọi lượt truy cập sang bản an toàn đó.
Nếu bỏ qua bước redirect, website sẽ tồn tại song song hai phiên bản: một bản HTTP chưa mã hóa và một bản HTTPS đã mã hóa. Những đường link cũ mà khách vẫn bấm có thể dẫn thẳng đến bản chưa an toàn. Bạn nên xử lý ngay từ đầu để tránh tình trạng này.
Nhiều chủ website nghĩ rằng chỉ cần mua SSL, cài xong và thấy biểu tượng ổ khóa là đủ. Thực tế, Chrome vẫn có thể gắn nhãn “Không an toàn” cạnh địa chỉ nếu trang được mở qua HTTP. Chứng chỉ có thể hợp lệ và còn hạn đầy đủ, nhưng phần redirect thì không ai đụng tới.
Vì sao cần cấu hình HTTPS redirect sau khi cài SSL
Lý do đầu tiên là bảo vệ người dùng. Khi ai đó gõ nhầm “http://” hoặc bấm vào một liên kết cũ, họ cần được đưa sang HTTPS ngay lập tức. Nếu không có redirect, người dùng có thể vô tình xem hoặc nhập thông tin trên bản chưa mã hóa.
Với những trang có form đăng nhập hay giỏ hàng, rủi ro này rất cụ thể. Đây không phải chuyện lý thuyết xa vời mà chúng tôi từng gặp trong thực tế.
Lý do thứ hai liên quan trực tiếp đến SEO. Google coi “http://tenmien.com” và “https://tenmien.com” là hai địa chỉ khác nhau, dù nội dung giống hệt nhau. Khi đó tín hiệu xếp hạng bị chia nhỏ thay vì dồn về một URL duy nhất. Nếu muốn hiểu rõ hơn sự khác nhau giữa hai giao thức này, bạn có thể tham khảo bài phân biệt HTTP và HTTPS mà chúng tôi đã viết trước đó.
Có khách từng hỏi: “Chứng chỉ SSL vẫn còn hạn, sao thứ hạng vẫn tụt?”. Khi kiểm tra, chúng tôi thấy đúng là thiếu bước redirect. Một nửa lượng truy cập cũ vẫn đổ vào bản HTTP, và Google không gộp được tín hiệu về một mối. Sau khi chuyển toàn bộ về một phiên bản HTTPS, dữ liệu trên Google Search Console mới dần ổn định trở lại.
Các bước cấu hình HTTPS redirect đúng cách
Thiết lập redirect 301 trong file cấu hình máy chủ
Việc này thực hiện ở tầng máy chủ web, không nằm trong WordPress hay các CMS khác. Với máy chủ Apache, chúng tôi thường thêm quy tắc chuyển hướng vào file .htaccess. Quy tắc này buộc mọi yêu cầu “http://” chuyển thành “https://” bằng mã trạng thái 301.
Mã 301 nghĩa là chuyển hướng vĩnh viễn. Trình duyệt và Google đều hiểu đây không phải chuyển hướng tạm thời, nên họ sẽ cập nhật địa chỉ mới và không giữ bản cũ trong bộ nhớ đệm.
Với máy chủ Nginx, quy tắc chuyển hướng được khai báo trong khối server, thường tách riêng theo từng tên miền. Cú pháp khác Apache đôi chút, nhưng bản chất vẫn là chuyển kết nối từ cổng 80 sang cổng 443.
Một lỗi chúng tôi hay gặp khi hỗ trợ khách là đặt redirect sai thứ tự trong file cấu hình. Hậu quả là vòng lặp chuyển hướng, và trình duyệt báo “quá nhiều lần chuyển hướng”. Nếu bạn tự chỉnh file cấu hình, nên đọc kỹ các lỗi cấu hình server thường gặp để tránh những sai sót tương tự.
Một cái bẫy khác thường xuất hiện ở website dùng Cloudflare: chế độ SSL được đặt là “Flexible” trong khi máy chủ gốc đã ép HTTPS. Khi đó trình duyệt cứ chuyển hướng qua lại không dừng. Cách xử lý của chúng tôi thường là đổi sang chế độ “Full” hoặc “Full (strict)”.
Rà soát toàn bộ website sau khi đổi redirect
Thiết lập xong redirect chưa phải là kết thúc. Chúng tôi luôn dành thời gian kiểm tra lại toàn bộ website, vì đây là bước dễ bị bỏ qua nhất và cũng là nơi lỗi hay phát sinh âm thầm.
Trước hết, hãy mở các trang quan trọng bằng cả hai giao thức và xem chúng có tự chuyển hướng đúng không. Sau đó kiểm tra xem trang còn gọi hình ảnh, script hay liên kết nội bộ nào theo địa chỉ “http://” cũ hay không.
Lỗi này trong nghề được gọi là “mixed content”. Trình duyệt sẽ cảnh báo trang chưa an toàn dù đã có SSL. Cuối cùng, đừng quên cập nhật sitemap.xml và khai báo lại URL chuẩn về bản HTTPS trong Search Console.
Chúng tôi thường dùng thêm một công cụ kiểm tra chuỗi chuyển hướng trực tuyến. Chỉ cần nhập tên miền là bạn sẽ thấy từng bước chuyển hướng. Nếu thấy hai, ba vòng thay vì một bước gọn gàng, đó là dấu hiệu cấu hình cần được sửa lại.
Giữ cho HTTPS luôn ổn định về sau
Cấu hình xong redirect không có nghĩa là bạn có thể bỏ qua mọi việc sau đó. Chứng chỉ SSL có thời hạn, thường là một năm, và cần được gia hạn đúng hạn. Nếu chậm, trình duyệt sẽ hiển thị cảnh báo đỏ, dù redirect vẫn hoạt động đúng.
Chúng tôi khuyên khách hàng bật gia hạn tự động nếu nhà cung cấp hỗ trợ. Nếu không, hãy đặt lịch nhắc trước ngày hết hạn khoảng hai tuần để tránh quên giữa lúc bận công việc khác.
Nếu website dùng CDN, mỗi lần thay đổi quy tắc redirect bạn nên xóa cache CDN luôn. Nếu không xóa, người dùng vẫn có thể thấy bản đệm cũ dù máy chủ gốc đã được cấu hình đúng.
Redirect chỉ là một phần trong bức tranh bảo mật tổng thể. Nếu muốn tìm hiểu sâu hơn, bạn có thể đọc hướng dẫn bảo mật website bằng SSL từ A đến Z. Làm đúng ngay từ đầu sẽ giúp chứng chỉ SSL phát huy đầy đủ giá trị bảo mật mà bạn đã đầu tư.
