Sử dụng HTTPS trên miền của bạn

Giao thức truyền siêu văn bản (HTTP) là một bộ quy tắc các trình duyệt sử dụng để xác định cách đọc và truyền dữ liệu qua mạng Internet. Khi một URL có "http", trình duyệt sẽ biết là phải thực hiện theo giao thức này để tải thành công một trang web.

HTTPS giống như HTTP, nhưng HTTPS yêu cầu trình duyệt phải mã hóa những dữ liệu được trao đổi với một trang web. Việc mã hóa giúp giấu dữ liệu và giảm bớt nguy cơ thông tin của bạn bị xem hoặc sửa đổi. Điều này rất quan trọng khi trang web có dữ liệu nhạy cảm như thông tin cá nhân hoặc thông tin tài chính của bạn.

Thiết lập HTTPS

Để sử dụng HTTPS với tên miền, bạn cần cài đặt một chứng chỉ SSL hoặc TLS trên trang web của mình. Máy chủ lưu trữ web (Nhà cung cấp dịch vụ lưu trữ web) của bạn có thể cung cấp tính năng bảo mật HTTPS hoặc bạn có thể yêu cầu các tổ chức phát hành chứng chỉ cấp chứng chỉ SSL/TLS để tự mình cài đặt chứng chỉ. Chứng chỉ SSL/TLS có thể cần được gia hạn định kỳ.

Có nhiều loại máy chủ web và mỗi máy chủ có quy trình cài đặt và cập nhật chứng chỉ SSL/TLS riêng. Bạn sẽ cần phải tìm hiểu xem trang web của bạn đang sử dụng máy chủ web nào và làm theo hướng dẫn của máy chủ đó để cài đặt và cập nhật chứng chỉ.

Tính năng bảo mật HTTPS của nhà cung cấp dịch vụ lưu trữ web

Các dịch vụ sau đây của Google tự động cấp, cài đặt và gia hạn chứng chỉ SSL/TLS mà không phát sinh thêm phí:

Nhiều nhà cung cấp dịch vụ lưu trữ web của bên thứ ba cũng phát hành, cài đặt và gia hạn chứng chỉ SSL/TLS. Bạn có thể sử dụng bất cứ nhà cung cấp dịch vụ lưu trữ web nào cùng với Google Domains, bao gồm cả Bluehost, Shopify, Squarespace, Weebly và Wix.

Tìm hiểu cách kết nối với nhà cung cấp dịch vụ lưu trữ web và thiết lập HTTPS.

Yêu cầu chứng chỉ SSL/TLS từ một tổ chức phát hành chứng chỉ

Nếu nhà cung cấp dịch vụ lưu trữ web không cung cấp HTTP an toàn, bạn có thể lấy chứng chỉ SSL/TLS cho miền của mình thông qua một tổ chức phát hành chứng chỉ (CA). Google có CA riêng là Google Trust Services. Đối với khách hàng sử dụng Google Domains, bạn có thể lấy chứng chỉ của Google Trust Services bằng cách làm theo hướng dẫn trên trang "Bảo mật" của miền.

Let's Encrypt là một tổ chức phát hành chứng chỉ phổ biến khác, cung cấp các chứng chỉ để xây dựng một thế giới Internet an toàn hơn.

Sau khi lấy chứng chỉ, bạn phải phối hợp với nhà cung cấp dịch vụ lưu trữ web để cài đặt chứng chỉ. Nếu bạn lưu trữ trang web trên máy chủ của riêng mình, hãy tìm hiểu cách bật HTTPS. Nếu sử dụng giao thức Môi trường quản lý chứng chỉ tự động (ACME) để quản lý các chứng chỉ, bạn có thể làm theo các bước bên dưới để quản lý chứng chỉ bằng ACME và DNS.

Cách lấy chứng chỉ của Google Trust Services:

Đăng nhập vào Google Domains.
Chọn miền mà bạn muốn lấy chứng chỉ.
Ở trên cùng bên trái, hãy nhấn vào biểu tượng Trình đơn Bảo mật.
Trong mục "Chứng chỉ SSL/TLS cho miền của bạn", hãy mở rộng "Google Trust Services".
Nhấp vào Lấy khoá EAB.
- Một hộp thoại sẽ mở ra cùng 2 giá trị, "Giá trị nhận dạng khoá EAB" và "Khoá HMAC EAB".
  - Sao chép cả hai giá trị này bằng cách nhấn vào nút Sao chép bên cạnh mỗi giá trị.
  - Sử dụng 2 giá trị này để đăng ký tài khoản thông qua CA của Google Trust Services. Mỗi quy trình triển khai ứng dụng ACME sẽ khác nhau một chút về cách bạn chỉ định EAB này. Hãy tham khảo tài liệu dành cho ứng dụng ACME mà bạn muốn sử dụng.
    - Dưới đây là ví dụ về cấu hình cho ứng dụng ACME Certbot phổ biến.
      1. Cách đăng ký tài khoản:
        
        certbot register --email <CONTACT_EMAIL> --no-eff-email --server "https://dv.acme-v02.api.pki.goog/directory" --eab-kid "<EAB_KEY_ID>" --eab-hmac-key "<EAB_HMAC_KEY>"
      2. Sau khi tạo tài khoản, bạn có thể cấp chứng chỉ bằng cách chạy:
        
        certbot certonly -d <YOUR_DOMAIN> --server "https://dv.acme-v02.api.pki.goog/directory" --standalone

Quản lý chứng chỉ bằng ACME và DNS

Môi trường quản lý chứng chỉ tự động (ACME) là một giao thức phổ biến dùng để tự động hoá việc quản lý các chứng chỉ giữa tổ chức phát hành chứng chỉ (CA) và máy chủ. Với khả năng tự động hoá, nhiều người dùng có thể giảm nguy cơ bị ngừng hoạt động do không gia hạn được chứng chỉ HTTPS.

Để chứng minh rằng bạn có quyền kiểm soát tên miền, giao thức ACME sử dụng các quy trình xác thực. Google Domains hỗ trợ loại quy trình xác thực DNS-01 bằng máy chủ DNS thông qua việc sử dụng mã thông báo API.

Cách tạo mã thông báo API:

Đăng nhập vào Google Domains.
Chọn miền mà bạn muốn sử dụng.
Ở trên cùng bên trái, hãy nhấn vào biểu tượng Trình đơn Bảo mật.
Trong mục "ACME DNS API", hãy nhấn vào Tạo mã thông báo.
QUAN TRỌNG: Giá trị này chỉ xuất hiện một lần. Sau khi đóng hộp thoại, bạn sẽ không thể tìm lại mã thông báo API này. Hãy lưu mã thông báo này ở nơi an toàn vì người nào có mã này đều có thể sửa đổi một số bản ghi DNS đối với miền của bạn.
- Một hộp thoại sẽ mở ra kèm theo "Mã thông báo API".
  - Bạn cần có mã thông báo API này để truy cập vào ứng dụng ACME.
  - Để sao chép giá trị này, hãy nhấn vào nút Sao chép bên cạnh mã thông báo API.
  - Nếu không lưu giá trị này trước khi đóng hộp thoại, bạn có thể dễ dàng xoá và tạo mã thông báo API mới.
  - Mỗi miền chỉ được có tối đa 10 mã thông báo API tại một thời điểm.
  - Khi hộp thoại đóng, một bản ghi sẽ xuất hiện trong danh sách. Để thu hồi quyền truy cập của bản ghi, bạn có thể xoá mã thông báo này bất cứ lúc nào.
  - Bạn có thể sử dụng mã thông báo API trong ứng dụng ACME hỗ trợ ACME DNS API của Google Domains. Mỗi quy trình triển khai ACME sẽ khác nhau một chút về cách bạn chỉ định mã thông báo API này. Hãy tham khảo tài liệu dành cho ứng dụng ACME mà bạn muốn sử dụng.

Danh sách các ứng dụng ACME đã biết để làm việc với ACME DNS API

Certbot thông qua trình bổ trợ cộng đồng
Máy chủ web của Caddy
Certify The Web
Posh-ACME

Bảo vệ chứng chỉ SSL/TLS của bạn

Giao thức HTTPS giúp ngăn chặn các cuộc tấn công xen giữa (MitM), nhưng nếu một người nào đó có thể làm giả chứng chỉ SSL/TLS của bạn, thì người đó vẫn có thể tấn công. Để ngăn chặn việc này, bạn nên kiểm tra những chứng chỉ được cấp cho trang web của bạn mà bạn không nhận ra. Bạn cũng có thể hạn chế những người có thể cấp chứng chỉ cho miền của bạn bằng các bản ghi tài nguyên Ủy quyền tổ chức phát hành chứng chỉ (CAA).

Xem những chứng chỉ được cấp cho miền của bạn

Để kiểm tra các chứng chỉ được cấp cho miền của bạn, bạn có thể tìm trên censys.io.

Thêm bản ghi tài nguyên CAA vào miền