‘Chrome 68 đánh dấu mọi trang HTTP là “Không bảo mật”: bước tiếp theo’

Từ ngày 24/7/2018, Chrome 68 hiển thị nhãn “Không bảo mật” (Not secure) với mọi trang tải qua HTTP, không chỉ các trang có ô nhập mật khẩu. Nếu website của bạn chưa dùng HTTPS, khách truy cập bằng Chrome sẽ thấy cảnh báo ngay cạnh địa chỉ. Bài này giải thích thay đổi và các bước thực tế cho website doanh nghiệp nhỏ.

Chrome 68 thay đổi điều gì?

Theo Google, từ Chrome 68, trang HTTP hiển thị thông báo “không bảo mật”. Lý do: trên kết nối HTTP không mã hoá, người khác trong cùng mạng có thể xem thông tin truyền qua lại, thậm chí chỉnh nội dung trang. HTTPS mã hoá kết nối nên mật khẩu hay số thẻ được giữ riêng tư.

Đây là bước cuối của một lộ trình dần dần. Chrome trước đó đã cảnh báo trang HTTP có thu mật khẩu hoặc thẻ tín dụng, rồi mở rộng sang trang HTTP có ô nhập dữ liệu và mọi trang HTTP ở chế độ ẩn danh. Bài Chrome 56 cảnh báo trang HTTP đã mô tả giai đoạn đầu.

Google cũng công bố các bước kế tiếp: từ tháng 9/2018, Chrome ngừng hiển thị nhãn “Bảo mật” cho trang HTTPS, vì HTTPS được coi là mặc định; và từ Chrome 70 (tháng 10/2018), nhãn “Không bảo mật” sẽ chuyển sang màu đỏ khi người dùng nhập dữ liệu trên trang HTTP.

Tỷ lệ HTTPS lúc đó

Google dẫn số liệu từ Báo cáo Minh bạch của mình: lưu lượng Chrome trên Android được bảo vệ bằng HTTPS là 76%, tăng từ 42%; trên ChromeOS là 85%, tăng từ 67%; và 83 trong 100 website được truy cập nhiều nhất dùng HTTPS theo mặc định, tăng từ 37. Đây là số liệu của Google tại thời điểm công bố.

Website doanh nghiệp nên làm gì?

1. Cài chứng chỉ SSL/TLS. Nhiều nhà cung cấp hosting cho cài chứng chỉ miễn phí hoặc có phí. Google cũng nhắc đến Let’s Encrypt, dịch vụ chứng chỉ miễn phí và tự động. Chọn cách phù hợp với hạ tầng của bạn.

2. Chuyển hướng HTTP sang HTTPS. Đặt chuyển hướng cố định (301) từ địa chỉ http:// sang https:// để khách và công cụ tìm kiếm đến đúng nơi.

3. Kiểm tra nội dung hỗn hợp (mixed content). Nếu trang HTTPS vẫn gọi ảnh, script hoặc font qua http://, trình duyệt có thể chặn hoặc cảnh báo. Rà các thẻ img, script, link, iframe và cả cấu hình trong theme hoặc plugin.

4. Cập nhật liên kết nội bộ, sitemap và canonical. Dùng địa chỉ HTTPS thống nhất. Nếu có theo dõi bằng công cụ như Search Console, hãy thêm phiên bản HTTPS của website.

5. Cân nhắc HSTS một cách thận trọng. HSTS yêu cầu trình duyệt luôn dùng HTTPS cho tên miền của bạn. Hãy bật khi chắc chắn mọi trang, kể cả tên miền phụ, chạy tốt qua HTTPS; đặt thời hạn ngắn lúc đầu rồi tăng dần. Cấu hình sai có thể khiến khách không truy cập được.

6. Theo dõi hạn chứng chỉ. Chứng chỉ hết hạn khiến trình duyệt hiện cảnh báo còn lớn hơn nhãn “Không bảo mật”. Hãy đặt nhắc hạn hoặc bật tự động gia hạn.

Kiểm tra sau khi chuyển

• Mở trang chủ, trang sản phẩm, trang liên hệ và thử gửi form.
• Xem biểu tượng cạnh địa chỉ có báo lỗi không.
• Thử mở bằng điện thoại và một vài trình duyệt khác.
• Kiểm tra trong Search Console xem có lỗi mới không.

HTTPS không thay thế các biện pháp khác. Cần cập nhật phần mềm, đặt mật khẩu mạnh và sao lưu; xem quy tắc sao lưu 3-2-1 nếu chưa có kế hoạch. Chủ đề liên quan đến dữ liệu người dùng nằm trong GDPR và website doanh nghiệp Việt và vụ Cambridge Analytica; xem thêm Google ưu tiên lập chỉ mục di động.

Nếu cần hỗ trợ chuyển website sang HTTPS, có thể liên hệ đội thiết kế website hoặc bảo mật server và website của HVSC.

Cập nhật 2026: Từ 2018, hầu hết website nghiêm túc đã chuyển sang HTTPS và cách Chrome hiển thị trạng thái kết nối cũng đã thay đổi nhiều lần. Hãy xem tài liệu chính thức của Chrome để biết cách hiển thị hiện nay. Với phần mềm nền của website, xem PHP 5.6 và 7.0 hết hỗ trợ bảo mật.

Câu hỏi thường gặp

Chrome 68 có chặn truy cập trang HTTP không?

Không. Chrome 68 chỉ hiển thị nhãn “Không bảo mật”, người dùng vẫn mở được trang.

Có cần mua chứng chỉ SSL đắt tiền không?

Không nhất thiết. Có chứng chỉ miễn phí như Let’s Encrypt; tuỳ nhu cầu bạn chọn loại phù hợp.

HTTPS có làm website tự động an toàn không?

Không. HTTPS bảo vệ đường truyền, không thay cho cập nhật, mật khẩu mạnh hay sao lưu.

Nguồn tham khảo

• Google — A milestone for Chrome security: marking HTTP as “not secure”: https://blog.google/products/chrome/milestone-chrome-security-marking-http-not-secure/
• Google Security Blog — A secure web is here to stay: https://security.googleblog.com/2018/02/a-secure-web-is-here-to-stay.html