Trả lời nhanh: website không có SSL (chứng chỉ bảo mật giúp địa chỉ web đổi từ http sang https) vẫn mở được, nhưng Chrome và các trình duyệt lớn đã hiển thị cảnh báo "Không an toàn" ngay trên thanh địa chỉ từ tháng 7/2018. Cảnh báo này khiến khách do dự rồi rời đi. Bạn có thể bật HTTPS miễn phí bằng chứng chỉ Let's Encrypt, thường mất 15 đến 30 phút; chứng chỉ mặc định của Let's Encrypt có hạn 90 ngày và tự gia hạn.
Bài này dành cho chủ shop mở website thấy Chrome gắn chữ "Không an toàn" cạnh địa chỉ, hoặc đang băn khoăn khi đơn vị làm web báo thêm phí SSL. Bạn sẽ biết SSL là gì, thiếu nó thì thiệt gì, và cách bật HTTPS miễn phí cho website của mình.
SSL là gì và vì sao trình duyệt báo "Không an toàn"?
SSL viết tắt của Secure Sockets Layer, là công nghệ mã hóa đường truyền giữa trình duyệt của khách và máy chủ chứa website. Tên kỹ thuật chính xác ngày nay là TLS (Transport Layer Security), nhưng dân làm web và cả các nhà cung cấp vẫn quen gọi chung là SSL, nên bạn cứ hiểu hai từ này là một.
Chứng chỉ SSL là một tệp điện tử do tổ chức phát hành chứng chỉ (Certificate Authority, viết tắt CA) cấp cho tên miền của bạn. Khi có chứng chỉ, địa chỉ website chuyển từ http:// sang https://, trong đó chữ "s" là viết tắt của secure (an toàn), và trình duyệt hiện biểu tượng ổ khóa nhỏ.
Vì sao trình duyệt gắn nhãn "Không an toàn"? Vì khi dùng http, dữ liệu khách gõ vào — tên, số điện thoại, mật khẩu, thông tin thẻ — đi trên mạng dưới dạng có thể đọc được. Từ tháng 7/2018, Chrome bắt đầu đánh dấu mọi trang http là "Không an toàn" trên thanh địa chỉ, và các trình duyệt khác lần lượt đi theo.
| Tiêu chí | http | https |
|---|---|---|
| Dữ liệu truyền đi | Không mã hóa, có thể bị đọc trộm | Được mã hóa |
| Hiển thị trên Chrome | Cảnh báo "Không an toàn" | Biểu tượng ổ khóa |
| Tính năng hiện đại | Bị chặn | Dùng được bình thường |
Website không có SSL bị ảnh hưởng gì?
Nhiều chủ shop nghĩ "web chỉ để giới thiệu, không bán online thì cần gì SSL". Thực tế thiệt hại đến từ năm phía:
- Khách mất niềm tin. Cảnh báo "Không an toàn" hiện ngay cạnh tên miền khiến khách nghĩ website bị lỗi hoặc lừa đảo. Họ thoát ra và quay lại tìm nơi khác.
- Một số tính năng không chạy. Định vị, camera, thông báo đẩy, và ứng dụng web chạy như app (PWA) chỉ hoạt động trên https.
- Một số nền tảng từ chối liên kết. Cổng thanh toán, Zalo, các nút chia sẻ và nhiều dịch vụ bên thứ ba yêu cầu https mới cho phép nhúng.
- Dữ liệu khách không được bảo vệ. Form liên hệ, form đặt hàng gửi số điện thoại đi mà không mã hóa là rủi ro thật, không chỉ là cảnh báo hình thức.
- Bất lợi nhỏ về xếp hạng. Google từng công bố https là một tín hiệu xếp hạng, nhưng là tín hiệu rất nhẹ, không phải yếu tố quyết định vị trí.
Điểm cuối cần nói rõ để bạn không kỳ vọng sai: bật https không giúp website nhảy lên top. Nó chỉ gỡ một rào cản nhỏ và giữ khách ở lại lâu hơn.
Cách kiểm tra website của bạn đã có SSL chưa
Trước khi làm gì, hãy xác định hiện trạng:
- Mở trình duyệt và gõ địa chỉ website. Nhìn thanh địa chỉ xem có
https://và ổ khóa hay không. - Bấm vào biểu tượng ổ khóa để xem thông tin chứng chỉ: cấp cho tên miền nào, ai cấp, ngày hết hạn là khi nào.
- Thử gõ địa chỉ với
http://xem website có tự chuyển sanghttps://không. Nếu không tự chuyển, khách vào bằng link cũ vẫn thấy cảnh báo. - Kiểm tra cả các tên miền phụ như
www.tenmien.vn, vì chứng chỉ có thể chỉ cấp cho tên miền chính. - Dùng một công cụ kiểm tra SSL trực tuyến để xem còn "nội dung hỗn hợp" (mixed content) hay không. Đây là tình trạng phần chữ thì https nhưng ảnh hoặc mã nhúng vẫn tải qua http, khiến ổ khóa bị mờ hoặc mất.
Nếu website chưa có https, việc tiếp theo rất đơn giản.
Ba cách bật HTTPS miễn phí
Cách 1: Bật SSL có sẵn trong trang quản trị hosting
Phần lớn nhà cung cấp hosting Việt Nam đã tích hợp sẵn chứng chỉ Let's Encrypt. Bạn đăng nhập trang quản trị hosting, tìm mục SSL/TLS, chọn tên miền và bấm kích hoạt. Hệ thống tự cài và tự gia hạn. Đây là cách nhanh nhất, thường chỉ vài phút.
Cách 2: Cài chứng chỉ Let's Encrypt
Let's Encrypt là tổ chức phi lợi nhuận do nhóm Internet Security Research Group vận hành, cấp chứng chỉ hoàn toàn miễn phí và tự động. Chứng chỉ mặc định có hạn 90 ngày; bạn cũng có thể chọn loại ngắn hạn 6 ngày. Hướng dẫn của Let's Encrypt là gia hạn tự động mỗi 60 ngày với loại 90 ngày, hoặc mỗi 3 ngày với loại 6 ngày. Phần mềm Certbot giúp cài đặt và gia hạn tự động trên máy chủ.
Cách 3: Dùng Cloudflare làm lớp phía trước
Nếu không muốn đụng vào máy chủ, bạn có thể trỏ tên miền qua Cloudflare và bật chế độ https miễn phí ở lớp ngoài. Cách này nhanh, nhưng cần cấu hình đúng nếu không rất dễ gây lỗi chuyển hướng vòng lặp.
Sau khi bật, hãy làm hết danh sách sau để không sót:
- Kiểm tra ổ khóa hiện trên cả tên miền chính và
www. - Bật chuyển hướng tự động từ http sang https để link cũ không bị cảnh báo.
- Sửa hết "nội dung hỗn hợp": thay ảnh, icon, mã nhúng còn dùng http sang https.
- Cập nhật địa chỉ trong Google Search Console và Google Analytics sang phiên bản https.
- Cập nhật link nội bộ trong bài viết, menu và chân trang.
- Bật tự động gia hạn, hoặc đặt nhắc kiểm tra trước khi chứng chỉ hết hạn.
Chi phí SSL: miễn phí và trả phí khác nhau thế nào?
Đây là chỗ nhiều chủ shop bị tính thêm tiền mà không rõ. Với hầu hết website nhỏ, chứng chỉ miễn phí là đủ dùng.
| Loại chứng chỉ | Chi phí tham khảo | Phù hợp với |
|---|---|---|
| Miễn phí (Let's Encrypt, ZeroSSL) | 0đ | Gần như mọi website bán hàng, dịch vụ, giới thiệu |
| Chứng chỉ trả phí phổ thông | Giá hiện hành | Website cần bảo hiểm và hỗ trợ kỹ thuật riêng |
| Chứng chỉ xác thực tổ chức | Giá hiện hành | Tổ chức cần hiển thị tên đơn vị trên chứng chỉ |
Theo khảo sát của Sapo ngày 12/8/2026, hosting trung bình khoảng 1 triệu đồng/năm và nhiều gói hosting đã bao gồm SSL miễn phí; tên miền thông dụng khoảng 700.000 đến 800.000đ/năm. Nếu bạn đang tính tổng chi phí vận hành website, xem thêm bài chi phí duy trì website mỗi năm để dự trù đủ các khoản.
Lưu ý: nếu đơn vị làm web báo phí SSL riêng trong khi hosting bạn đang dùng đã có sẵn chứng chỉ miễn phí, hãy hỏi rõ loại chứng chỉ họ cài và vì sao phải trả phí.
Bốn lỗi thường gặp sau khi bật HTTPS
Bật https xong chưa chắc đã sạch lỗi. Bốn vấn đề hay gặp:
- Nội dung hỗn hợp (mixed content). Trang chạy https nhưng ảnh, icon hoặc mã nhúng tải qua http, khiến trình duyệt vẫn báo không an toàn hoặc ẩn ổ khóa. Cách sửa là tìm và thay các link http bằng https.
- Chuyển hướng vòng lặp. Cấu hình ép https sai chỗ khiến trình duyệt chuyển qua chuyển lại và báo "too many redirects". Thường do bật https ở cả hosting lẫn lớp trung gian mà không thống nhất.
- Chứng chỉ hết hạn. Chứng chỉ 90 ngày nếu không tự gia hạn sẽ hết hạn, website hiện cảnh báo đỏ "Chứng chỉ không hợp lệ".
- Trùng lặp http và https. Cả hai phiên bản cùng tồn tại khiến Google thấy hai trang giống nhau. Cần chuyển hướng vĩnh viễn về một phiên bản và khai báo địa chỉ chính (canonical).
Ví dụ thực tế: website bán hàng cần HTTPS ở những chỗ nào
Với website bán hàng, https không chỉ để cho đẹp. Lấy ví dụ website rượu vang 1993 Cellar mà DCA thực hiện: có cổng xác nhận độ tuổi trước khi vào, trang sản phẩm, giỏ hàng và trang chính sách. Nếu thiếu https, dữ liệu khách nhập ở cổng xác nhận tuổi và khi đặt hàng sẽ truyền đi không mã hóa, còn trình duyệt gắn cảnh báo ngay từ bước đầu — đúng lúc khách cần tin tưởng nhất.
Với website dịch vụ như spa, phòng khám, form đặt lịch thu số điện thoại và tên khách cũng cần https để không bị chặn. Nếu website hay bị khách phản hồi mở chậm, https cũng là bước đầu tiên; phần còn lại xem ở bài website chậm: cách kiểm tra và tăng tốc. Trường hợp khách báo website không mở được thì lại là nhóm lỗi khác, đã nói trong bài website không vào được: nguyên nhân và cách tự kiểm tra.
Câu hỏi thường gặp
Cần. Chrome gắn cảnh báo "Không an toàn" với mọi trang http, kể cả trang giới thiệu. Khách vào tìm địa chỉ, số điện thoại mà thấy cảnh báo sẽ giảm tin tưởng. Chi phí bật https miễn phí nên không có lý do để bỏ qua.
Về mức độ mã hóa, chứng chỉ miễn phí và trả phí dùng cùng chuẩn mã hóa, nên bảo mật đường truyền tương đương. Loại trả phí thường khác ở bảo hiểm, hỗ trợ kỹ thuật và loại xác thực tổ chức. Với shop nhỏ, chứng chỉ miễn phí là đủ.
Không đáng kể. Công nghệ https ngày nay chỉ thêm một bước bắt tay nhỏ, gần như không ảnh hưởng tốc độ, trong khi lợi ích về bảo mật và niềm tin lớn hơn nhiều. Nếu website chậm, nguyên nhân thường là hosting yếu, ảnh nặng hoặc quá nhiều plugin.
Website vẫn mở nhưng trình duyệt hiện cảnh báo đỏ về chứng chỉ không hợp lệ, khách phải bấm qua cảnh báo mới vào được. Đây là lý do bạn cần bật tự động gia hạn, hoặc đặt nhắc kiểm tra trước khi chứng chỉ hết hạn.
Phần lớn trường hợp là không. Nếu hosting bạn dùng đã hỗ trợ chứng chỉ miễn phí, bạn không cần trả thêm. Hãy hỏi rõ loại chứng chỉ và lý do nếu bị báo phí, đồng thời yêu cầu ghi rõ khoản này trong báo giá.
Nguồn tham khảo
- Let's Encrypt: Câu hỏi thường gặp về chứng chỉ miễn phí
- Google Search Central: HTTP pages now show "not protected" (7/2018)
- Google Search Central: HTTPS as a ranking signal
- web.dev: Why HTTPS matters
- Google Blog tiếng Việt: Chrome cảnh báo người dùng website không an toàn
- Sapo: Chi phí thiết kế website (khảo sát 12/8/2026)
Thông tin cập nhật đến tháng 10/2026.
