HTTPS, chứng chỉ và HSTS: lỗi nội dung hỗn hợp, chứng chỉ hết hạn và bẫy chứng chỉ tự ký sau CDN

Năm 2026, site không có HTTPS gần như không còn. Nhưng “có HTTPS” và “HTTPS chạy đúng” là hai chuyện khác nhau. Chứng chỉ hết hạn một đêm thứ bảy, trình duyệt hiện trang cảnh báo đỏ toàn màn hình, khách bấm quay lại và đơn hàng của cả cuối tuần mất. Ảnh sản phẩm vẫn gọi qua http://, ổ khoá biến mất trên thanh địa chỉ. Máy chủ gốc dùng chứng chỉ tự ký nhưng không ai biết vì Cloudflare che đi. Bài này đi qua các lỗi HTTPS hay gặp và cách kiểm cho đúng.

HTTPS ảnh hưởng SEO thế nào

• Là tín hiệu xếp hạng nhỏ từ 2014, một phần của trải nghiệm trang. Không có HTTPS không làm site biến mất, nhưng giữa hai trang ngang nhau, bản HTTPS được ưu tiên.
• Google ưu tiên chọn bản HTTPS làm bản chính tắc khi cả http và https cùng tồn tại.
• Lỗi chứng chỉ chặn Googlebot như chặn người dùng. Chứng chỉ hết hạn kéo dài thì trang có thể rơi khỏi chỉ mục.
• Chrome đánh dấu trang http là “Không bảo mật”, đặc biệt khi trang có ô nhập liệu. Ảnh hưởng tới lòng tin và chuyển đổi rõ hơn nhiều so với ảnh hưởng tới thứ hạng.

Bảng lỗi HTTPS hay gặp

Lỗi	Người dùng thấy	Nguyên nhân	Cách sửa
Chứng chỉ hết hạn	Trang cảnh báo đỏ	Gia hạn tay, quên; cron gia hạn tự động hỏng	Gia hạn tự động, có cảnh báo trước 14 ngày
Sai tên miền	Cảnh báo đỏ	Chứng chỉ cấp cho tenmien.vn nhưng không có www.tenmien.vn	Cấp chứng chỉ gồm cả hai tên
Thiếu chuỗi trung gian	Máy tính bình thường, một số điện thoại Android cũ báo lỗi	Máy chủ chỉ gửi chứng chỉ lá, thiếu chứng chỉ trung gian	Cấu hình tệp fullchain
Nội dung hỗn hợp	Mất ổ khoá, ảnh hoặc kịch bản không tải	Trang https gọi tài nguyên qua http	Đổi mọi địa chỉ tài nguyên sang https
Chứng chỉ tự ký ở máy chủ gốc	Không thấy gì (CDN che)	CDN chấp nhận chứng chỉ không hợp lệ ở chế độ Full	Cài chứng chỉ thật, dùng chế độ Full strict
Vòng lặp chuyển hướng	“Trang chuyển hướng quá nhiều lần”	CDN chế độ Flexible gọi http về gốc, gốc lại ép về https	Đổi sang Full strict

Kiểm theo đường của khách, đừng tự che lỗi

Bẫy hay gặp nhất khi kiểm HTTPS là dùng công cụ theo cách bỏ qua chính thứ đang cần kiểm:

• curl -k (hoặc --insecure) bỏ qua kiểm chứng chỉ. Chứng chỉ hết hạn, sai tên, tự ký đều cho “200 OK”.
• Ép phân giải thẳng IP máy chủ gốc để “kiểm máy chủ” là bỏ qua CDN, tức bỏ qua đường khách thật đi.
• Chỉ kiểm bằng trình duyệt máy tính: máy tính thường đã lưu sẵn chứng chỉ trung gian từ site khác, nên không thấy lỗi thiếu chuỗi mà điện thoại gặp.

Cách đúng khi đụng tới HTTPS, chuyển hướng, HSTS: gọi thẳng như khách gọi.

# Mã, chuyển hướng, không bỏ qua chứng chỉ
curl -s -o /dev/null -w "%{http_code} %{redirect_url}\n" https://tenmien.vn/

# Xem chứng chỉ: cấp cho tên nào, hết hạn khi nào, ai cấp
echo | openssl s_client -connect tenmien.vn:443 -servername tenmien.vn 2>/dev/null \
  | openssl x509 -noout -subject -enddate -issuer

Chấm điểm SEO của SEO Gốc gọi site như một trình duyệt bình thường, báo lỗi https_loi_ssl nếu chứng chỉ không hợp lệ, và kiểm bản http có chuyển hẳn về https bằng 301 không.

Nội dung hỗn hợp: dò và sửa

Trang tải qua https nhưng gọi ảnh, CSS, JS, iframe qua http là nội dung hỗn hợp. Trình duyệt hiện nay tự nâng cấp ảnh, âm thanh, video sang https nếu được, và chặn hẳn kịch bản, CSS qua http. Kết quả: trang vỡ giao diện, nút không chạy. Nguồn hay gặp trên site Việt:

• Bài viết cũ chèn ảnh bằng địa chỉ tuyệt đối http://tenmien.vn/wp-content/uploads/... từ trước khi chuyển https.
• Mã nhúng cũ của bản đồ, video, bộ đếm truy cập, widget thời tiết, tỉ giá.
• Giao diện ghi cứng địa chỉ http trong tệp CSS.
• Cài đặt địa chỉ site trong WordPress vẫn là http.

Dò: mở công cụ nhà phát triển, tab Console, tìm cảnh báo “Mixed Content”. Sửa hàng loạt trong cơ sở dữ liệu bằng công cụ tìm và thay thế có xử lý dữ liệu tuần tự hoá (WordPress lưu một số tuỳ chọn ở dạng tuần tự hoá, thay chuỗi trần sẽ làm hỏng). Thêm tiêu đề Content-Security-Policy: upgrade-insecure-requests là lưới an toàn tạm thời, không thay cho việc sửa nguồn.

Site cũ vẫn còn chạy http: chuyển thế nào

Vẫn còn những site doanh nghiệp dựng từ mười năm trước chạy http, nhất là site giới thiệu công ty, trường học, cơ quan. Chuyển sang https là một lần chuyển site nhỏ, rủi ro thấp vì đường dẫn giữ nguyên:

1. Cài chứng chỉ, kiểm bản https chạy đủ mọi trang trong khi bản http vẫn hoạt động.
2. Sửa nội dung hỗn hợp trên bản https (mục trên).
3. Đổi liên kết nội bộ, canonical, sitemap, hreflang, Open Graph sang https.
4. Bật chuyển hướng 301 toàn site từ http sang https, giữ nguyên đường dẫn và tham số.
5. Thêm thuộc tính https vào Search Console nếu đang dùng thuộc tính tiền tố URL (thuộc tính miền thì đã bao gồm cả hai), gửi sitemap mới.
6. Cập nhật địa chỉ ở hồ sơ doanh nghiệp trên Google, trang mạng xã hội, quảng cáo.

Thứ hạng thường gần như không dao động với kiểu chuyển này nếu chuyển hướng đúng một bước. Điều cần tránh là để hai bản cùng sống song song nhiều tháng; Google phải tự chọn bản chính và tín hiệu bị chia đôi. Kế hoạch chi tiết hơn cho các lần chuyển lớn ở bài đổi tên miền, đổi nền tảng.

HSTS: bật sau cùng, bật từ từ

HSTS (HTTP Strict Transport Security) là tiêu đề bảo trình duyệt “từ nay chỉ dùng https cho tên miền này, kể cả khi người dùng gõ http”:

Strict-Transport-Security: max-age=31536000; includeSubDomains

Lợi ích: bỏ được một bước chuyển hướng http sang https với khách quay lại, và chống tấn công hạ cấp giao thức. Rủi ro: một khi trình duyệt đã nhận HSTS, nếu sau này HTTPS hỏng (chứng chỉ hết hạn), người dùng không thể bấm bỏ qua cảnh báo. Với includeSubDomains, mọi tên miền phụ cũng bị ép https; tên miền phụ nào chưa có chứng chỉ (một hệ thống nội bộ, một trang thử nghiệm) sẽ không truy cập được.

1. Chỉ bật khi HTTPS đã chạy ổn định, gia hạn tự động đã được kiểm.
2. Bắt đầu với max-age=300 (5 phút), không có includeSubDomains.
3. Kiểm mọi tên miền phụ có https chưa.
4. Tăng dần lên một tuần, một tháng, một năm.
5. Danh sách nạp sẵn trong trình duyệt (preload) là cam kết rất khó rút lại; chỉ đăng ký khi chắc chắn.

Gia hạn tự động: thứ hay hỏng âm thầm

Chứng chỉ miễn phí phổ biến nhất có hạn 90 ngày và được gia hạn bằng tác vụ tự động. Các tác vụ này hỏng âm thầm khi: đổi máy chủ mà quên chép tác vụ, DNS trỏ sang CDN làm bước xác minh qua HTTP thất bại, cổng 80 bị tường lửa đóng, hoặc tài khoản hết dung lượng đĩa. Các tổ chức cấp chứng chỉ cũng đang rút ngắn dần thời hạn tối đa của chứng chỉ trong vài năm tới, nghĩa là gia hạn sẽ còn thường xuyên hơn. Biện pháp đơn giản: một tác vụ riêng kiểm số ngày còn lại mỗi ngày và gửi cảnh báo khi dưới 14 ngày. Siêu SEO chấm lại site định kỳ và báo khi phát hiện lỗi chứng chỉ, như một lớp kiểm từ bên ngoài.

Checklist HTTPS

1. Chứng chỉ gồm cả tên miền gốc và www (và mọi tên miền phụ đang dùng).
2. Máy chủ gửi đủ chuỗi chứng chỉ trung gian.
3. http chuyển 301 về https trong một bước.
4. Không còn nội dung hỗn hợp trên trang chủ, trang sản phẩm, bài viết cũ.
5. Sau CDN: máy chủ gốc có chứng chỉ hợp lệ, chế độ Full strict.
6. Gia hạn tự động có cảnh báo trước khi hết hạn.
7. HSTS bật sau cùng, tăng max-age từ từ.
8. Kiểm bằng đường khách thật, không dùng tuỳ chọn bỏ qua chứng chỉ.