Khi nhận báo giá website hay hosting, nhiều chủ cửa hàng thấy một dòng “chứng chỉ SSL” với giá từ vài trăm nghìn đến vài triệu mỗi năm, và hỏi: có bắt buộc không, có loại miễn phí không? Bài này trả lời từng câu hỏi quanh chứng chỉ SSL và HTTPS cho website doanh nghiệp nhỏ, kèm thay đổi quan trọng về thời hạn chứng chỉ áp dụng từ năm 2026. Thông tin về thời hạn được kiểm tra ngày 28/10/2026 từ thông báo của CA/Browser Forum và Let's Encrypt.
HTTPS và chứng chỉ SSL là gì?
HTTPS là cách trình duyệt và website “nói chuyện” có mã hóa. Khi website dùng HTTPS, thông tin khách gõ vào form (tên, số điện thoại, nội dung) được mã hóa trên đường truyền, người ở giữa khó đọc trộm hay sửa. Để có HTTPS, website cần một chứng chỉ SSL/TLS do một tổ chức cấp chứng chỉ (CA) phát hành, xác nhận rằng tên miền đó đúng là của website đang hiển thị.
Tên gọi “SSL” là cách gọi quen thuộc; công nghệ hiện nay thực chất là TLS, nhưng trên thị trường người ta vẫn nói “chứng chỉ SSL”.
Website nhỏ có bắt buộc phải có HTTPS?
Không có luật nào bắt một trang giới thiệu nhỏ phải dùng HTTPS, nhưng trên thực tế gần như bắt buộc:
- Các trình duyệt phổ biến đánh dấu trang không có HTTPS là “Không bảo mật”, nhất là trang có form. Khách thấy cảnh báo thường bấm quay lại.
- Google đã công bố HTTPS là một tín hiệu xếp hạng (nhẹ) từ lâu; quan trọng hơn là trải nghiệm và niềm tin của khách.
- Website có form liên hệ, đặt hàng thu thập thông tin cá nhân; mã hóa đường truyền là mức bảo vệ tối thiểu nên có.
SSL miễn phí và SSL trả phí khác nhau thế nào?
SSL miễn phí (ví dụ Let's Encrypt)
Let's Encrypt là tổ chức cấp chứng chỉ miễn phí, được các trình duyệt tin cậy. Loại chứng chỉ này xác thực tên miền (DV): chứng minh bạn kiểm soát tên miền, không xác minh thông tin công ty. Mức mã hóa đường truyền tương đương chứng chỉ trả phí cùng loại. Nhiều nhà cung cấp hosting hiện có sẵn tính năng cài SSL miễn phí và tự gia hạn.
SSL trả phí
Có các loại xác thực tổ chức (OV) hoặc mở rộng (EV): CA kiểm tra giấy tờ doanh nghiệp, thông tin công ty nằm trong chứng chỉ. Một số gói kèm hỗ trợ kỹ thuật, bảo hiểm hoặc chứng chỉ cho nhiều tên miền con. Phù hợp với website giao dịch lớn, cổng thanh toán hoặc khi đối tác yêu cầu.
Vậy website nhỏ chọn loại nào?
Với trang giới thiệu, bán hàng nhỏ, blog, chứng chỉ miễn phí thường đủ dùng, miễn là được gia hạn tự động và theo dõi. Chỉ trả tiền khi có lý do cụ thể. Nếu báo giá có dòng SSL trả phí, hãy hỏi: loại gì (DV, OV, EV), vì sao cần, có dùng loại miễn phí được không.
Thời hạn chứng chỉ đang ngắn dần: điều chủ website cần biết
Theo Ballot SC-081v3 được CA/Browser Forum thông qua năm 2025, thời hạn tối đa của chứng chỉ công khai cấp mới giảm dần: 200 ngày từ 15/3/2026, 100 ngày từ 15/3/2027 và 47 ngày từ 15/3/2029. Let's Encrypt vốn đã cấp chứng chỉ 90 ngày; tổ chức này thông báo sẽ chuyển chứng chỉ mặc định sang 64 ngày từ 10/2/2027 và 45 ngày từ 16/2/2028.
Hệ quả thực tế: kiểu “mua SSL một lần dùng mấy năm” đã không còn. Dù miễn phí hay trả phí, chứng chỉ phải được gia hạn nhiều lần trong năm, nên gia hạn tự động trở thành bắt buộc. Website có chứng chỉ hết hạn sẽ hiện trang cảnh báo đỏ, khách gần như không vào được.
Chủ website nên tự kiểm tra gì?
- Mở website trên trình duyệt, bấm vào biểu tượng bên trái thanh địa chỉ, xem thông tin chứng chỉ và ngày hết hạn.
- Thử gõ địa chỉ có http://: website nên tự chuyển sang https://.
- Hỏi người quản lý kỹ thuật: chứng chỉ có tự gia hạn không, ai nhận cảnh báo khi gia hạn lỗi.
- Xem lại khi đổi hosting, đổi tên miền: đây là lúc SSL hay bị quên cài lại.
Những việc kiểm tra định kỳ khác có trong bài bảo mật website cơ bản, còn khái niệm hosting được giải thích ở bài hosting là gì.
SSL có tính vào giá làm website không?
Giá thiết kế trên bảng giá WebCut chưa gồm hosting và tên miền; với chứng chỉ, nhiều gói hosting phổ biến có sẵn SSL miễn phí, nên hỏi rõ khi chọn nhà cung cấp. Doanh nghiệp trong tỉnh có thể xem thêm cách WebCut làm và bàn giao website tại Quảng Ngãi.
Website đang báo “Không bảo mật” hoặc bạn không rõ chứng chỉ khi nào hết hạn? Nhắn Zalo 0947805184 hoặc gọi 0947588971 để được hướng dẫn kiểm tra.
Câu hỏi thường gặp
SSL miễn phí có kém an toàn hơn không?
Về mã hóa đường truyền, chứng chỉ DV miễn phí và trả phí tương đương. Khác biệt nằm ở mức xác thực thông tin tổ chức và dịch vụ đi kèm.
Có HTTPS là website an toàn tuyệt đối?
Không. HTTPS chỉ bảo vệ đường truyền; website vẫn cần mật khẩu mạnh, cập nhật phần mềm và sao lưu.
Chứng chỉ hết hạn thì sao?
Trình duyệt hiện cảnh báo lớn, khách khó vào trang. Cần gia hạn hoặc cấp lại ngay, rồi kiểm tra vì sao tự gia hạn không chạy.
Đổi sang HTTPS có mất thứ hạng Google?
Nếu chuyển hướng 301 đúng từ http sang https và cập nhật sitemap, thường không có vấn đề lớn.
