Kiểm tra SSL (check SSL): tra chứng chỉ SSL/TLS tên miền
Nhập tên miền để xem lịch sử chứng chỉ SSL/TLS đã phát hành qua Certificate Transparency logs (crt.sh), kèm số ngày còn lại trước khi hết hạn và cảnh báo khi chứng chỉ sắp hết hạn cần gia hạn.
Nhật ký Certificate Transparency nói gì về tên miền
Công cụ này tra ở đâu
Công cụ không bắt tay TLS trực tiếp với máy chủ của bạn. Nó truy vấn crt.sh, cổng tra cứu các nhật ký Certificate Transparency mà mọi tổ chức cấp chứng chỉ công khai buộc phải ghi mỗi lần phát hành. Kết quả trả về được khử trùng lặp theo cặp tên và đơn vị cấp, sắp xếp theo ngày phát hành, kèm tên chung, danh sách tên thay thế, ngày hết hạn và số ngày còn lại.
Việc thực tế cần tới nó
Kiểm tra tác vụ tự động gia hạn chứng chỉ có thật sự chạy hay không, chuyện rất đáng lo với chứng chỉ Let’s Encrypt vì hạn chỉ 90 ngày. Rà soát toàn bộ tên miền con đang có chứng chỉ trước khi nhận bàn giao hạ tầng từ đơn vị cũ. Phát hiện có ai đó phát hành chứng chỉ cho tên miền của mình mà mình không biết.
Đọc danh sách chứng chỉ
Dòng nào còn dưới 30 ngày là việc cần xử lý trong tuần. Thấy nhiều chứng chỉ trùng tên xuất hiện đều đặn thì đó là dấu hiệu tốt, tức là tiến trình gia hạn đang chồng lấn đúng cách. Cột tên thay thế cho biết một chứng chỉ đang phủ bao nhiêu tên miền con, con số này quyết định phạm vi ảnh hưởng nếu khoá riêng bị lộ.
Giới hạn của dữ liệu nhật ký
Nhật ký ghi chứng chỉ đã được phát hành, chứ không chứng minh máy chủ đang phục vụ đúng chứng chỉ đó. Chứng chỉ còn hạn trên nhật ký mà cài đặt sai trên máy chủ thì trình duyệt vẫn báo lỗi. Chứng chỉ tự ký hoặc do một tổ chức cấp chứng chỉ nội bộ phát hành không lên nhật ký nên tra không thấy. Ngược lại, danh sách tên thay thế vô tình phơi bày các tên miền con nội bộ như staging hay admin cho bất kỳ ai tra cứu, đó là một lý do cân nhắc dùng chứng chỉ ký tự đại diện.
Tên miền bạn tra có đi ra ngoài. Tên miền bạn nhập đi qua cổng trung chuyển trên máy chủ ALODEV rồi tới crt.sh, vì crt.sh không mở CORS cho trình duyệt gọi thẳng. Bản thân nội dung tra cứu là dữ liệu công khai theo thiết kế của Certificate Transparency.
SSL là gì, vì sao website cần chứng chỉ SSL/TLS
SSL/TLS là giao thức mã hoá dữ liệu truyền giữa trình duyệt của khách và máy chủ website, hiển thị ra ngoài bằng ổ khoá và địa chỉ bắt đầu bằng https thay vì http. Không có chứng chỉ SSL hợp lệ, trình duyệt hiện cảnh báo "Không an toàn" ngay trên thanh địa chỉ, và dữ liệu như mật khẩu hay thông tin thanh toán truyền đi ở dạng không mã hoá.
- Công cụ này tra cứu ngay trên nhật ký Certificate Transparency (crt.sh) - nơi mọi tổ chức cấp chứng chỉ công khai buộc phải ghi lại mỗi lần phát hành - để tìm chứng chỉ đã cấp cho tên miền, không cần bắt tay TLS trực tiếp với máy chủ.
- Kết quả trả về gồm tên đơn vị cấp (issuer), ngày bắt đầu và ngày hết hạn hiệu lực, danh sách tên miền thay thế (SAN) mà chứng chỉ đó phủ.
- Chứng chỉ còn dưới 30 ngày hiệu lực được đánh dấu cảnh báo riêng, để biết trước cần kiểm tra tác vụ tự động gia hạn trước khi trình duyệt tự chặn truy cập.
Cách gia hạn SSL trước khi hết hạn
Với chứng chỉ Let's Encrypt (hạn 90 ngày, phổ biến trên Cloudflare và hầu hết hosting), việc gia hạn thường được cấu hình chạy tự động bằng cron job hoặc do bên cung cấp hạ tầng (Cloudflare Universal SSL, hosting, CDN) tự làm - việc cần kiểm tra định kỳ là tác vụ đó có thật sự chạy hay không, bằng cách xem chứng chỉ mới có xuất hiện đều đặn trong lịch sử tra cứu không. Với chứng chỉ trả phí mua qua CA hoặc nhà đăng ký tên miền, gia hạn thường là thao tác thủ công cần chủ động đặt lịch trước ngày hết hạn.
Câu hỏi thường gặp
Chứng chỉ SSL hết hạn thì website doanh nghiệp bị ảnh hưởng gì?
Trình duyệt chặn truy cập bằng cảnh báo "Kết nối không an toàn" hoặc "Not secure", hầu hết khách sẽ rời đi ngay chứ không bấm tiếp tục. Với site bán hàng, form liên hệ hay trang có tính năng thanh toán, một buổi tối cert hết hạn có thể mất toàn bộ đơn hàng và lead trong thời gian đó. Công cụ này cho biết trước bao nhiêu ngày còn lại để xử lý gia hạn kịp, không để đến lúc trình duyệt tự chặn mới biết.
HTTPS quan trọng thế nào với SEO và độ tin cậy của website?
Google dùng HTTPS làm một tín hiệu xếp hạng từ nhiều năm nay, và trình duyệt Chrome đánh dấu rõ site không có HTTPS là "Not secure" ngay trên thanh địa chỉ, ảnh hưởng trực tiếp tới tỷ lệ khách ở lại trang. Ngoài xếp hạng, HTTPS còn mã hoá dữ liệu trao đổi giữa khách và máy chủ, cần thiết với mọi form nhập thông tin cá nhân hay thanh toán.
DV, OV, EV là gì, khác nhau ở chỗ nào?
Ba mức xác thực chứng chỉ SSL. DV (Domain Validated) chỉ xác minh bạn kiểm soát tên miền, cấp trong vài phút, dùng phổ biến nhất kể cả Let's Encrypt miễn phí. OV (Organization Validated) xác minh thêm pháp nhân doanh nghiệp đứng sau tên miền. EV (Extended Validation) xác minh pháp nhân kỹ hơn, từng hiện tên công ty màu xanh trên thanh địa chỉ nhưng trình duyệt hiện đại đã bỏ hiển thị riêng đó. Công cụ này đọc dữ liệu công khai từ Certificate Transparency log, hiện tên đơn vị cấp chứng chỉ (issuer) chứ không phân loại DV/OV/EV trực tiếp - muốn xem mức xác thực cụ thể, mở chi tiết chứng chỉ ngay trên trình duyệt tại ổ khoá cạnh địa chỉ trang.
Làm sao biết cần gia hạn SSL trước khi hết hạn?
Xem cột "còn bao nhiêu ngày" của từng chứng chỉ trong kết quả tra cứu. Chứng chỉ còn dưới 30 ngày được đánh dấu cảnh báo riêng - đây là lúc cần kiểm tra tác vụ tự động gia hạn (auto-renew) có đang chạy hay không. Với chứng chỉ Let's Encrypt, hạn dùng chỉ 90 ngày nên việc tự động gia hạn càng quan trọng, một lần cron job lỗi âm thầm là đủ để site rơi vào tình trạng hết hạn.
Certificate Transparency log là gì, vì sao công cụ này tra ở đó?
Certificate Transparency là hệ thống nhật ký công khai mà mọi tổ chức cấp chứng chỉ SSL/TLS uy tín buộc phải ghi lại mỗi lần phát hành, để bất kỳ ai cũng có thể kiểm tra minh bạch. Công cụ này truy vấn crt.sh, cổng tra cứu phổ biến nhất của nhật ký đó, nên không cần bắt tay TLS trực tiếp với máy chủ của bạn mà vẫn thấy được lịch sử cấp chứng chỉ.
Vì sao một tên miền có nhiều chứng chỉ trùng tên xuất hiện liên tục?
Đó thường là dấu hiệu tốt: chứng chỉ Let's Encrypt chỉ có hạn 90 ngày nên hệ thống tự động gia hạn sẽ phát hành chứng chỉ mới trùng tên miền đều đặn mỗi khoảng thời gian đó, tạo ra chuỗi chứng chỉ nối tiếp nhau trong lịch sử. Nếu không thấy chứng chỉ mới xuất hiện gần ngày hết hạn của cái cũ, đó mới là dấu hiệu cần kiểm tra auto-renew.
Chứng chỉ tự ký hoặc do CA nội bộ cấp có hiện trong kết quả không?
Không. Certificate Transparency chỉ ghi nhận chứng chỉ do các tổ chức cấp chứng chỉ công khai (public CA) như Let's Encrypt, DigiCert, Sectigo... phát hành. Chứng chỉ tự ký (self-signed) hoặc do CA nội bộ trong mạng công ty cấp không đi qua các CA công khai này nên sẽ không xuất hiện khi tra cứu ở đây.
