Từ ngày 15/3/2026, chứng chỉ SSL mới cấp chỉ còn hiệu lực tối đa 200 ngày, thay vì 398 ngày như trước. Đây mới là bước đầu: tới năm 2029, thời hạn tối đa chỉ còn 47 ngày. Doanh nghiệp quen mua chứng chỉ mỗi năm một lần rồi tự cài lên website sẽ phải làm việc đó ít nhất hai lần một năm, và tới năm 2029 là gần như mỗi tháng. Bài viết giải thích chứng chỉ SSL là gì, lộ trình thay đổi, website nào bị ảnh hưởng và những việc doanh nghiệp nên làm ngay.
SSL là gì
Chứng chỉ SSL (tên kỹ thuật hiện nay là chứng chỉ TLS) là một tệp số do tổ chức cấp chứng chỉ (CA) phát hành, xác nhận website thuộc về tên miền đang truy cập. Khi website có chứng chỉ hợp lệ, trình duyệt kết nối qua HTTPS: dữ liệu giữa khách và website được mã hoá, không bị đọc trộm hay sửa đổi trên đường truyền. Mật khẩu, thông tin form liên hệ, đơn hàng đều cần lớp bảo vệ này.
Khi chứng chỉ hết hạn, trình duyệt chặn truy cập bằng trang cảnh báo “Kết nối của bạn không phải là kết nối riêng tư”. Phần lớn khách sẽ đóng trang ngay, và với website bán hàng, mỗi giờ chứng chỉ hết hạn là mỗi giờ không có đơn.
Lộ trình rút ngắn thời hạn chứng chỉ SSL
Quy định do CA/Browser Forum, tổ chức chung của các đơn vị cấp chứng chỉ và các hãng trình duyệt, thông qua năm 2025 (nghị quyết SC-081). Mọi CA muốn chứng chỉ của mình được Chrome, Safari, Firefox, Edge tin tưởng đều phải tuân theo.
| Cấp từ ngày | Thời hạn tối đa của chứng chỉ | Thời gian dùng lại kết quả xác minh tên miền |
|---|---|---|
| Trước 15/3/2026 | 398 ngày | 398 ngày |
| 15/3/2026 | 200 ngày | 200 ngày |
| 15/3/2027 | 100 ngày | 100 ngày |
| 15/3/2029 | 47 ngày | 10 ngày |
Chứng chỉ đã cấp trước mỗi mốc vẫn dùng tới hết hạn ghi trên chứng chỉ. Cột cuối cùng cũng quan trọng: tới năm 2029, mỗi lần cấp lại gần như đều phải xác minh lại quyền sở hữu tên miền, nên việc này chỉ còn khả thi khi được làm tự động.
Let’s Encrypt, đơn vị cấp chứng chỉ miễn phí mà phần lớn hosting đang dùng, cũng có lộ trình riêng: thời hạn hiện là 90 ngày, giảm xuống 64 ngày từ tháng 2/2027 và 45 ngày từ tháng 2/2028.
Vì sao thời hạn bị rút ngắn
- Giảm thiệt hại khi lộ khoá: nếu khoá riêng của chứng chỉ bị lộ hoặc chứng chỉ bị cấp nhầm, kẻ xấu chỉ dùng được trong thời gian ngắn.
- Cơ chế thu hồi chứng chỉ kém hiệu quả: trên thực tế, trình duyệt không kiểm tra thu hồi một cách đáng tin cậy, nên thời hạn ngắn là cách chắc chắn hơn để chứng chỉ có vấn đề tự hết hiệu lực.
- Thông tin luôn mới: quyền sở hữu tên miền được xác minh lại thường xuyên, tránh trường hợp tên miền đã đổi chủ mà chứng chỉ cũ vẫn còn hạn.
- Buộc chuyển sang tự động hoá: khi gia hạn thủ công không còn khả thi, các hệ thống buộc phải gia hạn tự động, vốn an toàn và ít sai sót hơn.
Website nào bị ảnh hưởng
Ít bị ảnh hưởng: chứng chỉ tự động trên hosting hoặc Cloudflare
Nếu hosting đang cấp chứng chỉ Let’s Encrypt hoặc chứng chỉ miễn phí tương tự và tự gia hạn (AutoSSL trên cPanel, chứng chỉ của Cloudflare ở chế độ proxy), việc rút ngắn thời hạn gần như không thay đổi gì. Tuy vậy, cơ chế tự gia hạn vẫn có thể âm thầm hỏng, ví dụ khi tên miền trỏ sang máy chủ khác, khi bản ghi DNS bị sửa, hoặc khi website chặn đường dẫn xác minh. Cần có người theo dõi.
Bị ảnh hưởng nhiều: chứng chỉ trả phí cài thủ công
Doanh nghiệp mua chứng chỉ OV, EV hoặc wildcard theo năm, nhận tệp chứng chỉ qua email rồi nhờ kỹ thuật cài lên máy chủ, là nhóm chịu tác động rõ nhất. Gói mua theo năm hoặc nhiều năm vẫn có thể còn, nhưng chứng chỉ phải được cấp lại và cài lại sau mỗi chu kỳ ngắn hơn. Mỗi lần cài thủ công là một lần có thể quên, cài thiếu chứng chỉ trung gian, hoặc cài lên máy chủ này mà quên máy chủ kia.
Hay bị quên: chứng chỉ ngoài website
Ngoài website, chứng chỉ còn nằm ở máy chủ thư, cổng VPN, phần mềm quản lý nội bộ, camera, thiết bị mạng, hay đường dẫn nhận kết quả từ cổng thanh toán. Đây thường là những nơi được cài tay một lần rồi không ai nhớ, và sẽ là nơi hỏng đầu tiên khi chu kỳ gia hạn ngắn lại.
Website doanh nghiệp cần làm gì
1. Kiểm kê toàn bộ chứng chỉ đang dùng
Lập danh sách mọi tên miền và tên miền phụ đang chạy HTTPS: website chính, trang bán hàng, mail, cổng nội bộ. Với mỗi chứng chỉ, ghi lại đơn vị cấp, ngày hết hạn, cài ở máy chủ nào, ai phụ trách. Bấm vào biểu tượng ổ khoá trên thanh địa chỉ trình duyệt là xem được đơn vị cấp và ngày hết hạn của chứng chỉ website.
2. Chuyển sang gia hạn tự động
Gia hạn tự động dùng giao thức ACME: phần mềm trên máy chủ tự xin cấp, tự xác minh tên miền và tự cài chứng chỉ mới trước khi chứng chỉ cũ hết hạn. Phần lớn hosting hiện nay đã hỗ trợ sẵn. Nếu doanh nghiệp vẫn cần chứng chỉ OV hoặc EV, hãy hỏi đơn vị bán chứng chỉ có hỗ trợ cấp qua ACME không. Nhiều CA đã có, và đây là cách duy nhất để không phải cài tay nhiều lần mỗi năm.
3. Đặt cảnh báo hết hạn độc lập
Tự động hoá vẫn có thể hỏng mà không báo lỗi. Let’s Encrypt đã ngừng gửi email nhắc hết hạn từ giữa năm 2025, nên đừng dựa vào email của đơn vị cấp chứng chỉ. Hãy dùng một công cụ giám sát bên ngoài kiểm tra chứng chỉ hằng ngày và cảnh báo khi còn dưới 14 ngày.
4. Rà soát DNS và đường dẫn xác minh
Khi xác minh tên miền diễn ra thường xuyên, mọi thay đổi DNS đều có thể làm hỏng việc cấp lại. Kiểm tra bản ghi CAA (nếu có) đã cho phép đúng đơn vị cấp chứng chỉ, và plugin bảo mật hay tường lửa không chặn đường dẫn /.well-known/acme-challenge/. Cách quản lý DNS có trong bài chọn, đăng ký và quản lý tên miền doanh nghiệp.
5. Cân nhắc lại nhu cầu chứng chỉ trả phí
Về mã hoá, chứng chỉ miễn phí và trả phí như nhau. Khác biệt nằm ở mức xác minh doanh nghiệp (OV, EV), cam kết bảo hiểm và hỗ trợ của CA. Trình duyệt hiện không còn hiển thị tên doanh nghiệp trên thanh địa chỉ với chứng chỉ EV, nên với website giới thiệu và bán hàng thông thường, chứng chỉ miễn phí tự gia hạn thường là lựa chọn đơn giản và an toàn hơn. Chứng chỉ trả phí vẫn hợp lý khi đối tác hoặc quy định nội bộ yêu cầu.
6. Kiểm tra sau mỗi lần thay chứng chỉ
Sau khi chứng chỉ được cấp lại, mở website trên cả máy tính lẫn điện thoại, kiểm tra tên miền có và không có “www”, và dùng công cụ như SSL Labs để xem chứng chỉ trung gian đã đầy đủ chưa. Thiếu chứng chỉ trung gian là lỗi phổ biến khi cài tay: website vẫn mở được trên máy tính nhưng báo lỗi trên một số điện thoại.
SSL chỉ là một lớp bảo vệ. Các bước khác để website không bị tấn công có trong bài 7 việc cần làm để website WordPress doanh nghiệp không bị hack, và lịch kiểm tra định kỳ trong bài Quản trị website là gì.
Câu hỏi thường gặp
Chứng chỉ SSL mua trước ngày 15/3/2026 có bị rút ngắn không?
Chứng chỉ SSL miễn phí có kém an toàn hơn chứng chỉ trả phí không?
Website dùng Cloudflare có cần lo về thời hạn SSL không?
Làm sao biết chứng chỉ SSL của website khi nào hết hạn?
Kiểm tra nhanh
- Chứng chỉ SSL của website do đơn vị nào cấp, hết hạn ngày nào?
- Chứng chỉ đang được gia hạn tự động hay có người cài tay?
- Ngoài website, công ty còn chứng chỉ nào ở mail, VPN, phần mềm nội bộ?
- Ai sẽ nhận cảnh báo khi chứng chỉ sắp hết hạn?
Website chạy trên Managed Hosting của VIF đã có sẵn chứng chỉ SSL/TLS cùng tường lửa và sao lưu tự động. Với website đang ở nơi khác, VIF rà soát chứng chỉ, bổ sung SSL nếu chưa có và kiểm tra định kỳ trong gói quản trị và chăm sóc website. Liên hệ VIF để được tư vấn miễn phí.
