Bắt đầu TLS handshake trực tiếp từ máy chủ, đọc chứng chỉ, đàm phán giao thức và thời hạn còn lại.
Kiểm tra chứng chỉ SSL/TLS trực tuyến, nhập tên miền để xem chứng chỉ có hợp lệ hay không, tên miền có khớp không, số ngày còn lại, phiên bản TLS, bộ mã hóa và danh sách SAN, backend bắt đầu bắt tay không có vấn đề CORS.
Chứng chỉ SSL hết hạn, tên miền không khớp, lỗi cấu hình là những loại sự cố phổ biến nhất của trang web HTTPS. Sau khi chứng chỉ hết hạn, trình duyệt sẽ hiển thị cảnh báo 'không an toàn' làm khách truy cập rời đi, thứ hạng tìm kiếm Google cũng bị ảnh hưởng. Kiểm tra định kỳ và gia hạn sớm là công việc bảo trì cơ bản để đảm bảo HTTPS hoạt động bình thường.
SSL Labs thực hiện chấm điểm sâu (bao gồm kiểm tra toàn diện về giao thức, bộ mã hóa, lỗ hổng, mất khoảng 2 phút), công cụ này thực hiện kiểm tra cơ bản nhanh chóng (trả về kết quả trong 1-3 giây), bao gồm thông tin cốt lõi như hiệu lực chứng chỉ, thời hạn hiệu lực, phiên bản TLS, bộ mã hóa, danh sách SAN, phù hợp để xác minh nhanh trước khi lên mạng, xác nhận gia hạn, khắc phục sự cố.
Nguyên nhân có thể: 1) Trang web chặn IP nước ngoài (máy chủ kiểm tra ở nước ngoài); 2) Máy chủ thực hiện phân biệt SNI nhưng cấu hình không đầy đủ; 3) Đang sử dụng chứng chỉ tự ký cho mạng nội bộ doanh nghiệp; 4) Tường lửa chặn các nút kiểm tra. Kiểm tra thất bại không có nghĩa là chứng chỉ có vấn đề, cần đánh giá dựa trên thông tin lỗi cụ thể.
TLS 1.3 (2018, RFC 8446) là phiên bản mới nhất, tốc độ bắt tay được cải thiện từ 2-RTT của TLS 1.2 lên 1-RTT thậm chí 0-RTT, loại bỏ các thuật toán không an toàn như trao đổi khóa RSA, RC4, SHA-1, Forward Secrecy được bật mặc định, bảo mật và hiệu năng đều được cải thiện rõ rệt. Triển khai mới nên ưu tiên hỗ trợ TLS 1.3 và giữ lại TLS 1.2 để tương thích với máy khách cũ.
Khuyến nghị bắt đầu chuẩn bị gia hạn 30 ngày trước khi hết hạn, hoàn thành triển khai ít nhất 7 ngày trước. Công cụ sử dụng cảnh báo màu sắc: >30 ngày xanh lá (bình thường), 7-30 ngày vàng (nên gia hạn), <7 ngày đỏ (khẩn cấp). Chứng chỉ Let's Encrypt có hiệu lực 90 ngày, khuyến nghị cấu hình gia hạn tự động.
Let's EncryptSAN (Subject Alternative Name) là danh sách tên miền/IP trong chứng chỉ được phép sử dụng. Trình duyệt hiện đại (Chrome 58+) đã không còn tin tưởng trường Common Name(CN) nữa, chỉ kiểm tra SAN. Nếu tên miền truy cập không có trong danh sách SAN, trình duyệt sẽ báo lỗi 'tên miền không khớp'. Một chứng chỉ có thể bao phủ nhiều tên miền thông qua SAN (ví dụ example.com, www.example.com, api.example.com).
Dấu vân tay chứng chỉ (SHA-1/SHA-256) là giá trị băm của nội dung chứng chỉ, có thể được sử dụng cho HPKP (đã loại bỏ), Certificate Pinning, cũng như xác minh thủ công chứng chỉ được triển khai có khớp với dự kiến hay không, ví dụ xác nhận CDN đã tải chứng chỉ mới đúng cách hay chưa, hoặc xác minh chứng chỉ có giống nhau giữa nhiều máy chủ. Lưu ý: Dấu vân tay SHA-1 chỉ được sử dụng để nhận dạng, không nên sử dụng để kiểm tra bảo mật.
Kiểm tra chứng chỉ SSL/TLS là quá trình bắt đầu bắt tay TLS từ máy khách, lấy và phân tích thông tin chứng chỉ được trả về bởi máy chủ đích, từ đó xác định cấu hình HTTPS có đúng hay không. Các mục kiểm tra cốt lõi bao gồm: chứng chỉ có trong thời hạn hiệu lực hay không, tên miền truy cập có trong danh sách cho phép của chứng chỉ hay không (khớp SAN), chuỗi chứng chỉ có đầy đủ và đáng tin cậy hay không, phiên bản giao thức TLS và bộ mã hóa được sử dụng có an toàn hay không, v.v.
**Tại sao kiểm tra chứng chỉ lại quan trọng đến vậy?** Chứng chỉ SSL là nền tảng tin cậy của HTTPS. Một khi chứng chỉ có vấn đề (phổ biến nhất là hết hạn), trình duyệt sẽ ngay lập tức chặn truy cập và hiển thị trang cảnh báo màu đỏ 'Kết nối của bạn không phải là kết nối riêng tư', gây thiệt hại trực tiếp cho lưu lượng truy cập trang web, tỷ lệ chuyển đổi, thứ hạng SEO và niềm tin thương hiệu. Theo theo dõi, chứng chỉ hết hạn là nguyên nhân phổ biến nhất của sự cố HTTPS, chiếm hơn 40% tất cả các sự cố HTTPS.
**Khác gì với truy cập trực tiếp trong trình duyệt?** Truy cập trình duyệt có thể bị ảnh hưởng bởi bộ đệm, HSTS, proxy doanh nghiệp, chứng chỉ máy khách và các yếu tố khác gây ra sai lệch; trong khi công cụ kiểm tra chứng chỉ bắt đầu bắt tay TLS tiêu chuẩn từ một nút độc lập và trả về thông tin chứng chỉ khách quan, được chuẩn hóa, phù hợp cho các kịch bản xác minh vận hành. Công cụ này bắt đầu bắt tay TLS trực tiếp từ máy chủ backend, **không có giới hạn CORS của trình duyệt**, có thể kiểm tra bất kỳ tên miền HTTPS nào có thể truy cập công khai.
**Thông tin cốt lõi mà công cụ này kiểm tra**: Trạng thái ủy quyền chứng chỉ (hợp lệ hay không), thông tin lỗi authorizationError cụ thể, phiên bản giao thức TLS (TLS 1.2/1.3), bộ mã hóa được thương lượng (Cipher), kết quả thương lượng giao thức ALPN (h2/http/1.1), nhà cấp phát chứng chỉ (Subject/Issuer), ngày hiệu lực (validFrom/validTo), số ngày còn lại (với cảnh báo màu sắc), danh sách SAN Subject Alternative Name, dấu vân tay SHA-1/SHA-256, thời gian phản hồi và chi tiết JSON đầy đủ.
Kết quả thường được trả về trong 1-3 giây, phù hợp cho các kịch bản như xác minh nhanh trước khi lên mạng, xác nhận gia hạn, khắc phục sự cố, v.v. Nếu cần chấm điểm sâu (như xếp hạng A+-F của SSL Labs, bao gồm thương lượng lại, kiểm tra lỗ hổng, mức độ hỗ trợ giao thức, v.v.), khuyến nghị sử dụng cùng với SSL Labs Server Test.
| Phiên bản giao thức | Năm phát hành | Trạng thái hiện tại | Ghi chú |
|---|---|---|---|
SSL 1.0-3.0 | 1995-1996 | ❌ Đã loại bỏ/không an toàn | Có lỗ hổng nghiêm trọng như POODLE, tất cả trình duyệt hiện đại đã vô hiệu hóa |
TLS 1.0 | 1999 | ❌ Đã loại bỏ | Lỗ hổng như BEAST, CRIME, bị cấm từ PCI DSS 2018 |
TLS 1.1 | 2006 | ❌ Đã loại bỏ | Đã chính thức loại bỏ trong RFC 8996, Chrome/Firefox đã loại bỏ hỗ trợ từ 2020 |
TLS 1.2 | 2008 | ⚠️ Hỗ trợ rộng rãi (chuyển tiếp) | Được triển khai rộng rãi nhất hiện nay, khả năng tương thích tốt nhất, nhưng có rủi ro về một số bộ mã hóa yếu |
TLS 1.3 | 2018 (RFC 8446) | ✅ Khuyến nghị | Bắt tay nhanh hơn (1-RTT/0-RTT), loại bỏ các thuật toán yếu, là lựa chọn hàng đầu cho trình duyệt hiện đại |
| Số ngày còn lại | Màu trạng thái | Hành động đề xuất |
|---|---|---|
| >30 ngày | 🟢 Xanh lá (bình thường) | Không cần xử lý, kiểm tra định kỳ là được |
| 7-30 ngày | 🟡 Vàng (cảnh báo) | Sớm bắt đầu quy trình gia hạn, đảm bảo hoàn thành thay thế trước khi hết hạn |
| <7 ngày | 🔴 Đỏ (khẩn cấp) | Gia hạn ngay lập tức, sau khi hết hạn trình duyệt sẽ chặn truy cập |
| 0 ngày/đã hết hạn | 🔴 Đỏ (đã hết hạn) | Chứng chỉ đã không hợp lệ, người dùng sẽ thấy cảnh báo bảo mật, phải xử lý ngay |
| Loại lỗi | Nguyên nhân phổ biến | Hướng giải quyết |
|---|---|---|
| Chứng chỉ hết hạn (expired) | Chứng chỉ chưa được gia hạn sau ngày validTo | Gia hạn kịp thời và triển khai chứng chỉ mới |
| Tên miền không khớp (name mismatch) | Tên miền hiện tại không có trong danh sách SAN của chứng chỉ | Cấp lại chứng chỉ chứa tên miền đích, hoặc kiểm tra cấu hình nguồn CDN |
| Chuỗi chứng chỉ không đầy đủ (incomplete chain) | Máy chủ chưa cấu hình đúng chứng chỉ trung gian | Kết hợp chứng chỉ trung gian với chứng chỉ lá để triển khai |
| Chứng chỉ tự ký (self-signed) | Chứng chỉ được ký bởi CA riêng, không được tin tưởng công khai | Sử dụng chứng chỉ được cấp bởi CA công khai như Let's Encrypt |
| Nhà cấp phát không đáng tin cậy (untrusted issuer) | Chứng chỉ gốc CA không có trong kho tin cậy của trình duyệt | Thay bằng chứng chỉ được cấp bởi CA đáng tin cậy |
