Chứng chỉ SSL là gì? Chứng chỉ SSL (đúng tên hiện nay là chứng chỉ TLS) là một tệp số do tổ chức cấp chứng chỉ (CA) phát hành, gắn khóa công khai với tên miền của website. Nhờ nó, trình duyệt xác nhận được bạn đang kết nối đúng website và thiết lập kết nối HTTPS được mã hóa.

Có nhiều loại chứng chỉ với tên gọi DV, OV, EV, wildcard, đa tên miền, miễn phí và trả phí. Bài viết giải thích từng loại, khi nào nên dùng loại nào và những thay đổi lớn về thời hạn chứng chỉ đang diễn ra từ năm 2026.

SSL và TLS: vì sao vẫn gọi là SSL

SSL (Secure Sockets Layer) là giao thức mã hóa ra đời từ những năm 1990. Các phiên bản SSL đều đã bị loại bỏ vì lỗ hổng bảo mật và được thay bằng TLS (Transport Layer Security). Hiện nay TLS 1.2 và TLS 1.3 là các phiên bản được dùng phổ biến. Tuy vậy, tên "chứng chỉ SSL" vẫn được dùng rộng rãi theo thói quen, nên trong bài này hai cách gọi được hiểu như nhau.

Chứng chỉ SSL hoạt động như thế nào

  1. Trình duyệt kết nối tới website và nhận chứng chỉ của máy chủ.
  2. Trình duyệt kiểm tra chứng chỉ có đúng tên miền, còn hạn và được ký bởi một CA nằm trong danh sách tin cậy hay không.
  3. Nếu hợp lệ, hai bên thực hiện quá trình bắt tay TLS để thống nhất khóa phiên.
  4. Toàn bộ dữ liệu sau đó được mã hóa bằng khóa phiên này.

Nếu chứng chỉ hết hạn, sai tên miền hoặc không được tin cậy, trình duyệt hiển thị cảnh báo toàn trang, làm người dùng rời đi và ảnh hưởng tới uy tín website. Google cũng đã xác nhận HTTPS là một tín hiệu xếp hạng từ năm 2014.

Phân loại theo mức độ xác minh: DV, OV, EV

DV (Domain Validation)

CA chỉ xác minh bạn kiểm soát tên miền, thông qua bản ghi DNS, tệp đặt trên website hoặc email quản trị tên miền. Quá trình có thể tự động hoàn toàn và mất vài phút. Chứng chỉ không chứa tên doanh nghiệp. DV phù hợp với blog, website cá nhân, website giới thiệu và phần lớn ứng dụng web.

OV (Organization Validation)

Ngoài quyền kiểm soát tên miền, CA còn xác minh tổ chức sở hữu có tồn tại hợp pháp, thường qua giấy tờ đăng ký kinh doanh và thông tin liên hệ. Tên tổ chức được ghi trong chứng chỉ, ai xem chi tiết chứng chỉ đều thấy. OV phù hợp với website doanh nghiệp, cổng thông tin, hệ thống nội bộ có yêu cầu tuân thủ.

EV (Extended Validation)

EV có quy trình xác minh tổ chức chặt chẽ nhất theo bộ hướng dẫn riêng của CA/Browser Forum. Trước đây, trình duyệt hiển thị thanh địa chỉ màu xanh kèm tên công ty cho chứng chỉ EV. Từ khoảng năm 2019, Chrome, Firefox và Safari đã bỏ cách hiển thị này, nên lợi ích về giao diện hầu như không còn. EV vẫn được một số ngân hàng, tổ chức tài chính dùng vì yêu cầu nội bộ hoặc quy định.

Điều quan trọng: DV, OV và EV có mức mã hóa như nhau. Khác biệt duy nhất là mức độ CA xác minh danh tính chủ sở hữu.

Phân loại theo số tên miền: đơn, wildcard, đa tên miền

  • Chứng chỉ đơn tên miền: bảo vệ một tên miền, ví dụ example.vn. Nhiều CA tự động thêm cả bản www.
  • Chứng chỉ wildcard: dạng *.example.vn, bảo vệ mọi tên miền con cấp một như shop.example.vn, mail.example.vn. Không bao gồm tên miền con cấp hai như a.b.example.vn. Với Let's Encrypt, chứng chỉ wildcard bắt buộc xác minh bằng bản ghi DNS (DNS-01).
  • Chứng chỉ đa tên miền (SAN hoặc UCC): một chứng chỉ chứa nhiều tên miền khác nhau, ví dụ example.vn, example.com, thuonghieu.vn. Phù hợp khi một máy chủ phục vụ nhiều tên miền.

Lưu ý wildcard không có bản EV, chỉ có DV hoặc OV.

Bảng so sánh các loại chứng chỉ SSL

LoạiXác minhThời gian cấpPhạm viPhù hợp
DVQuyền kiểm soát tên miềnVài phút, tự độngĐơn, wildcard, đa tên miềnBlog, website, ứng dụng web
OVTên miền và tổ chứcThường vài ngày làm việcĐơn, wildcard, đa tên miềnWebsite doanh nghiệp, cổng dịch vụ
EVTổ chức, quy trình chặt nhấtThường lâu nhấtĐơn, đa tên miền (không có wildcard)Ngân hàng, tổ chức có yêu cầu tuân thủ
WildcardDV hoặc OVTheo mức xác minhMọi tên miền con cấp mộtHệ thống nhiều subdomain
Đa tên miềnDV, OV hoặc EVTheo mức xác minhNhiều tên miền khác nhauMột máy chủ phục vụ nhiều thương hiệu

SSL miễn phí và SSL trả phí

Chứng chỉ miễn phí phổ biến nhất là Let's Encrypt, một CA phi lợi nhuận do ISRG vận hành. Ngoài ra còn có ZeroSSL, Google Trust Services và chứng chỉ miễn phí đi kèm các dịch vụ CDN. Đây đều là chứng chỉ DV, được trình duyệt tin cậy như chứng chỉ trả phí cùng loại.

Tiêu chíSSL miễn phí (Let's Encrypt)SSL trả phí
Mức xác minhChỉ DVDV, OV, EV
Mức mã hóaNhư nhauNhư nhau
Cách cấp và gia hạnTự động qua ACMEThủ công hoặc tự động tùy CA
Hỗ trợ kỹ thuậtCộng đồngCó hỗ trợ từ CA hoặc đại lý
Bảo hiểm (warranty)KhôngThường có, tùy gói
Phù hợpĐa số website, ứng dụngDoanh nghiệp cần tên tổ chức, yêu cầu hợp đồng, tuân thủ

Với website chạy trên VPS dùng Nginx, bạn có thể cài Let's Encrypt trong vài phút theo hướng dẫn cài SSL Let's Encrypt bằng Certbot và Nginx tự gia hạn.

Thời hạn chứng chỉ SSL đang ngắn lại

Ngày 11/04/2025, CA/Browser Forum, tổ chức gồm các CA và các hãng trình duyệt, đã thông qua ballot SC-081v3 về lộ trình rút ngắn thời hạn chứng chỉ TLS công khai. Trước đây thời hạn tối đa là 398 ngày. Lộ trình mới như sau:

Chứng chỉ cấp từ ngàyThời hạn tối đa
Trước 15/03/2026398 ngày
15/03/2026200 ngày
15/03/2027100 ngày
15/03/202947 ngày

Thời gian được phép dùng lại kết quả xác minh tên miền cũng giảm dần và chỉ còn 10 ngày vào năm 2029. Nói cách khác, mốc 200 ngày đã có hiệu lực từ tháng 3/2026. Nếu mua chứng chỉ trả phí theo năm, hãy hỏi CA hoặc đại lý về cách cấp lại chứng chỉ trong kỳ thuê bao.

Let's Encrypt cũng công bố lộ trình riêng, giảm từ 90 ngày xuống 45 ngày. Hồ sơ tlsserver tùy chọn đã cấp chứng chỉ 45 ngày từ 13/05/2026. Hồ sơ mặc định sẽ chuyển sang 64 ngày từ 10/02/2027 và 45 ngày từ 16/02/2028.

Việc cần làm với quản trị viên

  • Chuyển sang cấp và gia hạn tự động bằng ACME (Certbot, acme.sh, Caddy, cert-manager) thay vì cài tay.
  • Không đặt lịch gia hạn cứng như "mỗi 60 ngày". Dùng tính năng ARI (ACME Renewal Information) nếu công cụ hỗ trợ, hoặc gia hạn khi đã dùng khoảng hai phần ba thời hạn.
  • Lập danh sách mọi nơi đang dùng chứng chỉ: web server, cân bằng tải, mail server, thiết bị mạng.
  • Bật giám sát ngày hết hạn và cảnh báo qua email hoặc chat.

Chọn loại chứng chỉ nào

  • Blog, website cá nhân, website giới thiệu: DV miễn phí là đủ.
  • Cửa hàng trực tuyến nhỏ, ứng dụng SaaS: DV miễn phí hoặc trả phí, quan trọng nhất là gia hạn tự động.
  • Nhiều subdomain: wildcard DV, xác minh qua DNS.
  • Doanh nghiệp cần tên tổ chức trong chứng chỉ: OV.
  • Tổ chức tài chính hoặc có yêu cầu quy định: OV hoặc EV theo yêu cầu cụ thể.

Canh Deal đề xuất

Chứng chỉ SSL cần một máy chủ ổn định để cài đặt và tự động gia hạn. Nếu bạn cần VPS tại Việt Nam để chạy website với HTTPS, TDCloud là lựa chọn nên xem đầu tiên: VPS Giá Rẻ từ 55.000đ/tháng (1 vCPU, 1GB RAM, 20GB) hoặc VPS Siêu Sale 599.000đ/năm (2 vCPU, 2GB RAM, 30GB) với giá gia hạn giữ nguyên. Giá tham khảo ngày 24/10/2026, chưa gồm VAT 10%. Hạ tầng dùng CPU Intel Xeon Platinum, SSD/NVMe, có Anti-DDoS, datacenter tại Việt Nam. Bạn có root nên có thể cài Certbot hay acme.sh để tự động gia hạn. Xem thêm các lựa chọn khác tại trang dịch vụ VPS.

Kết luận

Chứng chỉ SSL/TLS là nền tảng của HTTPS, giúp mã hóa dữ liệu và xác thực website. DV, OV, EV chỉ khác nhau ở mức xác minh danh tính, còn wildcard và đa tên miền khác nhau ở phạm vi tên miền được bảo vệ. Với thời hạn tối đa đã giảm còn 200 ngày và sẽ xuống 47 ngày vào năm 2029, điều quan trọng nhất không phải là chọn chứng chỉ đắt hay rẻ, mà là tự động hóa việc cấp và gia hạn.

Nguồn tham khảo