Ngày 25/1/2017, Google đưa Chrome 56 lên kênh ổn định cho Windows, Mac và Linux. Theo kế hoạch Google công bố từ tháng 9/2016, từ bản này Chrome bắt đầu gắn nhãn “Không bảo mật” (Not secure) cho các trang HTTP thu thập mật khẩu hoặc thông tin thẻ thanh toán. Nếu website của bạn có biểu mẫu đăng nhập hay thanh toán mà chưa dùng HTTPS, khách truy cập sẽ thấy cảnh báo ngay trên thanh địa chỉ.
Chrome 56 thay đổi điều gì?
Theo bài viết trên Google Security Blog đăng ngày 8/9/2016 (cập nhật 5/12/2016), từ tháng 1/2017 với Chrome 56, trình duyệt sẽ đánh dấu các trang HTTP có ô nhập mật khẩu hoặc thẻ thanh toán là không an toàn. Google nói rõ đây là một bước trong lộ trình dài hơn nhằm hướng tới việc đánh dấu mọi trang HTTP theo cách đó. Lý do được nêu: khi dùng HTTP, người khác trên cùng mạng có thể xem hoặc chỉnh sửa nội dung trước khi nó đến tay người dùng, và biểu tượng “trung tính” cũ khiến người ta không nhận ra nguy cơ.
Tức là cảnh báo không áp dụng cho mọi trang HTTP ngay lập tức, mà trước hết nhắm vào những trang yêu cầu nhập thông tin nhạy cảm. Cách hiển thị cụ thể có thể khác nhau theo phiên bản và thiết bị, nên hãy tự kiểm tra website bằng trình duyệt mới nhất.
Hậu quả với biểu mẫu liên hệ
Nhiều website doanh nghiệp nhỏ có biểu mẫu liên hệ, đăng ký nhận tin hoặc ô đăng nhập quản trị. Nếu các trang đó chạy trên HTTP, khách có thể thấy dòng cảnh báo khi định điền thông tin. Hậu quả thực tế:
- Mất niềm tin: khách do dự, thoát trang hoặc không để lại số điện thoại, email.
- Rủi ro dữ liệu: thông tin gửi qua HTTP có thể bị đọc trộm trên mạng công cộng.
- Đăng nhập quản trị: mật khẩu quản trị website gửi qua HTTP đặc biệt nguy hiểm.
Đừng đợi tới khi khách phản ánh. Hãy tự mở trang có biểu mẫu bằng Chrome và kiểm tra.
Cài SSL và chuyển hướng 301
Các bước cơ bản để chuyển sang HTTPS:
- Lấy chứng chỉ SSL/TLS. Có chứng chỉ trả phí và chứng chỉ miễn phí; xem bài về Let’s Encrypt đã ra khỏi beta để biết một lựa chọn miễn phí. Hỏi nhà cung cấp hosting xem họ hỗ trợ cài đặt thế nào.
- Cài chứng chỉ lên máy chủ hoặc dùng công cụ có sẵn của hosting.
- Chuyển hướng 301 từ địa chỉ `http://` sang `https://` để khách và công cụ tìm kiếm luôn vào bản mới, và tránh chia đôi lượng truy cập.
- Cập nhật cấu hình website: đổi địa chỉ site trong WordPress hoặc hệ quản trị nội dung bạn đang dùng.
- Cập nhật liên kết nội bộ, sơ đồ trang (sitemap), công cụ thống kê và các dịch vụ gắn với địa chỉ cũ.
- Theo dõi hạn chứng chỉ và đặt nhắc gia hạn; chứng chỉ hết hạn sẽ làm trình duyệt báo lỗi.
Trước khi thay đổi lớn, hãy sao lưu website theo quy tắc 3-2-1. Nếu bạn chưa hiểu rõ khái niệm tên miền và hosting, xem lại bài về tên miền.
Kiểm tra nội dung hỗn hợp
Sau khi bật HTTPS, một lỗi hay gặp là nội dung hỗn hợp (mixed content): trang chạy HTTPS nhưng vẫn nạp ảnh, script hoặc CSS qua `http://`. Khi đó trình duyệt có thể chặn một phần nội dung hoặc không hiển thị trạng thái an toàn đầy đủ. Cách kiểm tra:
- Mở trang bằng Chrome, bấm F12 và xem tab Console để tìm cảnh báo mixed content.
- Rà các ảnh và tệp nhúng, đổi `http://` sang `https://` hoặc dùng địa chỉ tương đối.
- Kiểm tra các plugin, widget bên thứ ba có hỗ trợ HTTPS không.
- Kiểm tra lại từng trang quan trọng: trang chủ, liên hệ, giỏ hàng, đăng nhập.
Những việc cần ưu tiên
| Mức ưu tiên | Việc làm |
|---|---|
| Cao | Trang có ô mật khẩu, biểu mẫu thanh toán |
| Cao | Trang liên hệ, đăng ký |
| Trung bình | Toàn bộ website chuyển sang HTTPS |
| Trung bình | Chuyển hướng 301, cập nhật sitemap |
| Thường xuyên | Kiểm tra hạn chứng chỉ |
Nếu website được quản lý bởi bên thứ ba, hãy liên hệ họ để lên lịch thực hiện và xác nhận trước khi chuyển.
Cập nhật 2026: Lộ trình mà Google nêu năm 2016 đã đi xa hơn: việc hiển thị cảnh báo mở rộng sang nhiều trang HTTP hơn, xem Chrome 68 đánh dấu HTTP là không bảo mật và GDPR và website doanh nghiệp Việt về quy định dữ liệu. Let’s Encrypt vẫn cấp chứng chỉ miễn phí và trang chủ nêu kế hoạch rút ngắn thời hạn chứng chỉ xuống 64 ngày từ tháng 2/2027; vì vậy cần bật gia hạn tự động và theo dõi thông báo tại letsencrypt.org.
Nếu cần hỗ trợ cài SSL, có thể liên hệ đội Công nghệ của HVSC qua trang thiết kế website; phần bảo mật server và website có thêm thông tin.
Câu hỏi thường gặp
Chrome 56 gắn nhãn “Không bảo mật” cho mọi trang HTTP phải không?
Theo kế hoạch của Google, bước đầu là các trang HTTP có ô nhập mật khẩu hoặc thông tin thẻ thanh toán, trong lộ trình dài hơn hướng tới việc đánh dấu mọi trang HTTP.
Chỉ cần cài chứng chỉ SSL là xong?
Chưa đủ. Cần chuyển hướng 301 từ HTTP sang HTTPS, kiểm tra nội dung hỗn hợp và cập nhật liên kết, sitemap, công cụ thống kê.
Website giới thiệu không có biểu mẫu thì có cần HTTPS không?
Nên có, vì HTTPS bảo vệ dữ liệu truyền tải và tạo niềm tin; Google cũng định hướng đánh dấu ngày càng nhiều trang HTTP là không an toàn.
Nguồn tham khảo
- Google Security Blog — Moving towards a more secure web: https://security.googleblog.com/2016/09/moving-towards-more-secure-web.html
- Chrome Releases — Stable Channel Update for Desktop (25/1/2017): https://chromereleases.googleblog.com/2017/01/stable-channel-update-for-desktop.html
- Let’s Encrypt: https://letsencrypt.org/
Cần tư vấn website, phần mềm hoặc bảo mật?
Mô tả bài toán, kỹ thuật HVSC trao đổi phạm vi và phương án phù hợp với doanh nghiệp.
Câu hỏi thường gặp
Chrome 56 gắn nhãn "Không bảo mật" cho mọi trang HTTP phải không?
Theo kế hoạch của Google, bước đầu là các trang HTTP có ô nhập mật khẩu hoặc thông tin thẻ thanh toán, trong lộ trình dài hơn hướng tới việc đánh dấu mọi trang HTTP.
Chỉ cần cài chứng chỉ SSL là xong?
Chưa đủ. Cần chuyển hướng 301 từ HTTP sang HTTPS, kiểm tra nội dung hỗn hợp và cập nhật liên kết, sitemap, công cụ thống kê.
Website giới thiệu không có biểu mẫu thì có cần HTTPS không?
Nên có, vì HTTPS bảo vệ dữ liệu truyền tải và tạo niềm tin; Google cũng định hướng đánh dấu ngày càng nhiều trang HTTP là không an toàn.
▶
▶
▶
▶
▶