HTTPS và TLS là gì? TLS (Transport Layer Security) là giao thức giúp máy khách và máy chủ liên lạc an toàn qua mạng không đáng tin; ứng dụng phổ biến nhất của nó là bảo vệ HTTP, tạo ra HTTPS. Theo tài liệu MDN (đọc ngày 25/10/2026), TLS cung cấp ba thứ: mã hoá dữ liệu khi truyền, toàn vẹn dữ liệu và xác thực danh tính, và TLS 1.3 (RFC 8446) là phiên bản hiện hành, phổ biến nhất. Bài này giải thích HTTPS và TLS là gì, chứng chỉ hoạt động ra sao, phiên bản nên dùng, cách kiểm tra và kinh nghiệm của OPCAIOS.
HTTPS là HTTP chạy trên TLS: mã hoá, toàn vẹn và xác thực. Sơ đồ: OPCAIOS.
HTTPS và TLS là gì, SSL là gì?
HTTPS là HTTP được bảo vệ bằng TLS. SSL là tiền thân của TLS; ngày nay người ta vẫn quen gọi "chứng chỉ SSL" dù giao thức thực tế đang dùng là TLS. Trình duyệt coi trang HTTPS là "bối cảnh bảo mật" và nhiều tính năng web chỉ chạy trên HTTPS.
Theo MDN, HTTPS giúp chống tấn công xen giữa (man-in-the-middle): kẻ ở giữa đường truyền không đọc được hay sửa được dữ liệu mà không bị phát hiện. Với bất kỳ website nào có đăng nhập, thanh toán hay biểu mẫu, HTTPS gần như bắt buộc.
TLS bảo vệ những gì?
TLS bảo vệ ba điều: mã hoá (kẻ nghe lén không đọc được), toàn vẹn (không thể sửa dữ liệu mà không bị phát hiện) và xác thực (các bên chứng minh danh tính). Trên web, thường chỉ máy chủ xác thực với máy khách, còn ngược lại hiếm.
| Bảo đảm | Ý nghĩa với website của bạn |
|---|---|
| Mã hoá | Mật khẩu, biểu mẫu không bị đọc trên đường truyền |
| Toàn vẹn | Trang không bị chèn quảng cáo, mã độc giữa đường |
| Xác thực | Bạn đang nói chuyện với đúng tên miền đó |
HTTPS bảo vệ đường truyền, không bảo đảm nội dung website an toàn hay đáng tin: một trang lừa đảo vẫn có thể có ổ khoá.
Chứng chỉ hoạt động thế nào?
Máy chủ chứng minh danh tính bằng chứng chỉ số, ràng buộc khoá công khai của nó với tên miền; chứng chỉ do tổ chức cấp chứng chỉ (CA) ký. Theo MDN, Let's Encrypt là CA miễn phí được dùng rộng rãi.
Khi bạn vào trang, trình duyệt kiểm tra chứng chỉ có do CA đáng tin ký, còn hạn và khớp tên miền không, rồi hai bên thoả thuận khoá để mã hoá phiên. Chứng chỉ hết hạn hay sai tên miền sẽ hiện cảnh báo, và đây là lỗi vận hành thường gặp ở người tự quản máy chủ. Chứng chỉ thường được cấp dựa trên bản ghi DNS hoặc kiểm tra quyền kiểm soát tên miền.
Phiên bản nào nên dùng?
Theo MDN, TLS 1.3 là phiên bản hiện hành và phổ biến nhất; TLS 1.2 vẫn còn thông dụng; TLS 1.1 và 1.0 không nên dùng nữa. Cấu hình máy chủ nên tắt các phiên bản cũ.
Muốn đảm bảo thêm, có thể bật tiêu đề HSTS để buộc trình duyệt luôn dùng HTTPS với tên miền của bạn. Đây là kiến thức chung của OPCAIOS; trang MDN tôi đọc không bàn về HSTS.
Cách kiểm tra website của bạn có dùng HTTPS đúng không
Mở trang, nhìn ổ khoá và xem thông tin chứng chỉ (hạn dùng, tên miền, CA). Với kiểm tra kỹ hơn, dùng công cụ dòng lệnh để xem tiêu đề phản hồi và dịch vụ kiểm tra cấu hình TLS công khai.
curl -sI https://ten-mien-cua-ban.vn | head -20
Việc cần kiểm tra: HTTP tự chuyển sang HTTPS, chứng chỉ còn hạn, không có nội dung hỗn hợp (trang HTTPS tải tài nguyên HTTP), và tiêu đề bảo mật như HSTS. Xem thêm rà soát bảo mật website.
Kinh nghiệm của OPCAIOS
Website opcaios.org trả về tiêu đề HSTS với thời hạn một năm (max-age=31536000), chúng tôi kiểm tra bằng lệnh curl -I ngày 25/10/2026, và đi qua Cloudflare. Theo ghi chép kiểm toán bảo mật nội bộ ngày 17/10/2026, chúng tôi đã xử lý việc siết giao thức cũ trên máy chủ gốc; xem Nginx là gì và Cloudflare là gì.
Hạn chế: chúng tôi không công bố cấu hình TLS cụ thể của máy chủ gốc trong bài này, và chưa chạy một dịch vụ chấm điểm TLS bên thứ ba để đưa điểm số. Việc gia hạn chứng chỉ được tự động hoá; nếu bạn tự quản, hãy đặt cảnh báo trước khi hết hạn.
Câu hỏi thường gặp
Có ổ khoá HTTPS nghĩa là website an toàn?
Không hẳn. Nó chỉ cho biết đường truyền được mã hoá và bạn đang nối tới đúng tên miền; nội dung vẫn có thể là lừa đảo.
SSL và TLS khác nhau thế nào?
SSL là tiền thân của TLS. Ngày nay giao thức dùng là TLS dù nhiều người vẫn gọi là SSL.
Chứng chỉ HTTPS có tốn tiền không?
Có CA miễn phí như Let's Encrypt theo MDN; một số nhà cung cấp tính phí cho các loại chứng chỉ khác. Giá thay đổi.
TLS 1.2 còn dùng được không?
Theo MDN, vẫn còn phổ biến; TLS 1.0 và 1.1 không nên dùng.
Tôi nên bắt đầu từ đâu?
Bật HTTPS, chuyển hướng HTTP sang HTTPS và đặt cảnh báo hết hạn chứng chỉ. Cần hỗ trợ, xem dịch vụ đào tạo ứng dụng AI.
Nguồn: MDN Web Docs, "Transport Layer Security", đọc ngày 25/10/2026; chưa đọc RFC 8446 và tài liệu HSTS. Tiêu đề HSTS của opcaios.org do OPCAIOS kiểm tra ngày 25/10/2026. Kinh nghiệm là của OPCAIOS.
Để lại bình luận
Email của bạn sẽ không hiển thị công khai. Bình luận sẽ hiển thị sau khi được duyệt.