Hướng dẫn bảo mật website bằng SSL/TLS là việc đầu tiên đội ngũ chúng tôi thường nhắc khách hàng làm, trước cả khi bàn đến thiết kế hay quảng cáo. Lý do rất đơn giản: một website không có HTTPS hiện trình duyệt cảnh báo “Không bảo mật”, khách hàng vừa thấy đã thoát ra. Bài này chia sẻ cách chúng tôi làm việc đó trên thực tế.
SSL và TLS khác nhau thế nào?
Nhiều người vẫn gọi chung là “chứng chỉ SSL”, nhưng về kỹ thuật, SSL là tên cũ của giao thức, còn TLS là phiên bản kế nhiệm hiện đại hơn. Hôm nay các máy chủ đều chạy TLS 1.2 hoặc 1.3. Bạn không cần nhớ chi tiết giao thức, chỉ cần biết chứng chỉ là “giấy tờ” xác nhận website là thật, còn TLS là lớp mã hoá giữ dữ liệu giữa trình duyệt và máy chủ không bị đọc trộm.
Khi khách hàng nhập thông tin đăng nhập hoặc thanh toán, dữ liệu đi qua rất nhiều chặng mạng. Nếu không mã hoá, bất kỳ ai nằm giữa đường truyền đều có thể đọc được. TLS giải quyết đúng vấn đề này.
Chọn loại chứng chỉ phù hợp
Có ba nhóm chứng chỉ phổ biến. Chứng chỉ DV chỉ xác minh quyền sở hữu tên miền, cấp nhanh và thường miễn phí. Chứng chỉ OV và EV yêu cầu xác minh thông tin doanh nghiệp, phù hợp các tổ chức cần độ tin cậy cao. Với đa số doanh nghiệp nhỏ, chúng tôi khuyên bắt đầu bằng DV, vì nó đủ bảo vệ dữ liệu và giúp trình duyệt hiện biểu tượng ổ khoá.
Một khách hàng bán mỹ phẩm từng hỏi chúng tôi có nên mua chứng chỉ EV để “nổi bật” hơn không. Sau khi cùng xem lại lưu lượng truy cập, chúng tôi nhận ra vấn đề của họ nằm ở tốc độ tải trang, không phải ở biểu tượng trên thanh địa chỉ. Chúng tôi đổi sang DV, dành ngân sách cho hạ tầng máy chủ, và họ thấy rõ hơn hẳn.
Các bước cài đặt HTTPS cơ bản
Quy trình chung gồm vài bước. Đầu tiên, tạo yêu cầu ký chứng chỉ (CSR) trên máy chủ hoặc dùng công cụ tự động trong bảng điều khiển hosting. Tiếp theo, xác minh quyền sở hữu tên miền qua email hoặc bản ghi DNS. Sau khi nhận được file chứng chỉ, bạn cài nó vào máy chủ web như Nginx hoặc Apache, rồi chuyển hướng toàn bộ truy cập HTTP sang HTTPS.
Bước chuyển hướng hay bị bỏ quên nhất. Nhiều website cài xong SSL nhưng vẫn cho phép truy cập bằng http://, khiến công cụ tìm kiếm thấy hai phiên bản cùng nội dung. Chúng tôi luôn thêm quy tắc chuyển hướng 301 và kiểm tra lại từng đường dẫn chính.
Cấu hình hệ thống để tăng cường bảo mật
Có chứng chỉ chưa đủ. Cấu hình máy chủ quyết định website an toàn đến đâu. Chúng tôi thường xử lý các hạng mục sau cho khách hàng:
- Tắt hẳn TLS 1.0 và 1.1, chỉ giữ TLS 1.2 trở lên, vì hai phiên bản cũ đã có lỗ hổng được ghi nhận.
- Bật HSTS để trình duyệt chỉ kết nối qua HTTPS trong một khoảng thời gian, giảm rủi ro bị hạ cấp kết nối.
- Cập nhật bộ mã hoá, ưu tiên các thuật toán mạnh và loại bỏ những thuật toán cũ.
- Cài tường lửa ứng dụng web và giới hạn cổng truy cập không cần thiết.
Mỗi thay đổi nên kiểm tra bằng công cụ đánh giá cấu hình SSL miễn phí trước và sau khi làm. Chúng tôi từng gặp trường hợp bật HSTS quá sớm với thời gian dài, khiến một tên miền phụ chưa có SSL bị lỗi truy cập. Vì vậy hãy tăng thời gian HSTS từ từ.
Theo dõi và gia hạn chứng chỉ
Chứng chỉ có hạn sử dụng, thường vài tháng đến một năm. Chứng chỉ hết hạn là nguyên nhân phổ biến nhất khiến website bỗng dưng báo lỗi bảo mật. Chúng tôi đặt nhắc nhở trước khi hết hạn ít nhất hai tuần và bật gia hạn tự động khi nhà cung cấp hỗ trợ. Sau mỗi lần gia hạn, chúng tôi kiểm tra lại chuỗi chứng chỉ để tránh lỗi thiếu chứng chỉ trung gian trên một số thiết bị.
Để website trên hosting ổn định và an toàn
SSL và cấu hình bảo mật chỉ phát huy hết tác dụng khi nền tảng lưu trữ đủ tốt. Nếu bạn đang cân nhắc nơi đặt website, hãy đọc thêm bài 7 kinh nghiệm thực tế chọn hosting cho website doanh nghiệp nhỏ để có tiêu chí chọn lựa rõ ràng hơn. Và nếu bạn đang làm từ đầu, bài Website bán hàng đầu tiên cho doanh nghiệp nhỏ: tự làm hay thuê trọn gói? sẽ giúp bạn cân nhắc phương án phù hợp với ngân sách.
Về phần chứng chỉ, bạn có thể tham khảo tài liệu hướng dẫn chính thức của Let’s Encrypt, nơi cung cấp chứng chỉ miễn phí được nhiều nhà cung cấp hosting sử dụng.
Kết luận
Bảo mật website bằng SSL/TLS không phải một việc làm một lần rồi quên. Chọn đúng loại chứng chỉ, cài đặt đúng cách, cấu hình máy chủ chặt chẽ và theo dõi thời hạn là bốn việc cốt lõi. Đội ngũ chúng tôi luôn khuyên khách hàng xem bảo mật là một phần của hạ tầng, không phải phần thêm vào sau cùng. Khi làm đúng từ đầu, bạn sẽ tiết kiệm được rất nhiều thời gian xử lý sự cố về sau.
