Kiểm tra SSL, HTTPS website
Nhập tên miền để xem chứng chỉ SSL còn bao nhiêu ngày, kiểm tra website có kết nối HTTPS được không, có tự chuyển từ http sang https không, đã bật HSTS chưa và có tải tài nguyên qua http không an toàn hay không.
SSL/HTTPS là gì?
HTTPS là HTTP được mã hoá bằng chứng chỉ SSL/TLS. Nó giữ cho mật khẩu, thông tin đặt hàng và nội dung trang không bị đọc trộm hay sửa đổi trên đường truyền (ví dụ ở Wi-Fi quán cà phê). Trình duyệt hiện đánh dấu trang http là “Không bảo mật”, khiến khách ngại nhập thông tin.
Công cụ kiểm tra những gì
- Kết nối HTTPS: mở được https://tenmien hay không. Chứng chỉ hết hạn hoặc sai tên miền thường làm kết nối này thất bại.
- Chuyển hướng http → https: khách gõ tenmien.vn (không có https) có được tự chuyển sang bản mã hoá không.
- HSTS: header Strict-Transport-Security bảo trình duyệt luôn dùng HTTPS cho tên miền này, kể cả khi người dùng gõ http.
- Mixed content: trang HTTPS nhưng lại tải ảnh, script hay CSS qua http://, phần đó không được mã hoá.
Cách sửa thường gặp
Dùng Cloudflare: SSL/TLS → Edge Certificates → bật Always Use HTTPS, và bật HSTS khi toàn bộ site đã chạy tốt trên HTTPS.
Tự quản máy chủ nginx — chứng chỉ miễn phí Let's Encrypt và chuyển hướng 301:
sudo certbot --nginx -d tenmien.vn -d www.tenmien.vn
server {
listen 80;
server_name tenmien.vn www.tenmien.vn;
return 301 https://$host$request_uri;
}Apache (.htaccess):
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]WordPress: Cài đặt → Tổng quan → đổi cả hai địa chỉ sang https://, rồi tìm và thay các link http:// cũ trong bài viết để hết mixed content.
Công cụ hiện số ngày còn lại, ngày hết hạn và bên cấp chứng chỉ. Muốn xem chuỗi chứng chỉ đầy đủ, bấm biểu tượng ổ khoá trên thanh địa chỉ trình duyệt.
Kiểm tra toàn bộ website, không chỉ một mục
Bản quét miễn phí kiểm tra cùng lúc SSL, email giả mạo, header bảo mật, file nhạy cảm bị lộ, CMS cũ và dấu hiệu bị hack, kèm hướng dẫn sửa bằng tiếng Việt.
Miễn phí sau khi xác minh tên miền: quét lại hằng tuần và gửi email khi có vấn đề mới. PRO (199.000đ/tháng): quét chuyên sâu với hơn 5.000 mẫu kiểm tra lỗ hổng đã biết, quét chuyên sâu lại tới 10 lần/ngày, giám sát website sập 5 phút/lần.
Câu hỏi thường gặp
Chứng chỉ SSL miễn phí có an toàn bằng chứng chỉ trả phí không?
Về mã hoá thì như nhau. Let's Encrypt hay chứng chỉ của Cloudflare dùng cùng chuẩn TLS với chứng chỉ trả phí; khác biệt chủ yếu là mức xác minh doanh nghiệp và hỗ trợ.
Đã có SSL rồi sao vẫn báo thiếu chuyển hướng?
Có chứng chỉ chưa đủ: nếu http://tenmien vẫn trả trang bình thường thay vì chuyển sang https://, khách gõ địa chỉ không có https vẫn dùng kết nối không mã hoá. Cần thêm chuyển hướng 301.
Bật HSTS có rủi ro gì không?
Sau khi bật, trình duyệt sẽ từ chối mở site qua http trong suốt thời gian max-age. Nếu HTTPS bị lỗi, khách không vào được. Chỉ bật khi mọi tên miền con đã chạy HTTPS; có thể bắt đầu với max-age ngắn.
Mixed content là gì và sửa thế nào?
Là khi trang HTTPS tải ảnh, script hay CSS qua http://. Trình duyệt có thể chặn chúng hoặc báo không an toàn. Sửa bằng cách đổi các link đó sang https:// hoặc đường dẫn tương đối.