Hiểu về SSL free và có phí để có lựa chọn chính xác

Hiểu về SSL free miễn phí và có phí để có lựa chọn chính xác và phù hợp với nhu cầu sử dụng

Hiện nay hầu hết các website lớn đều hỗ trợ truy cập qua giao thức SSL (Secure Socket Layer). SSL giúp mã hoá dữ liệu truyền đi từ máy chủ web và trình duyệt người dùng. Không chỉ vậy SSL còn là một tiêu chí được Google ưu tiên xếp hạng website. Đi theo xu thế đó là sự ra đời và bùng nổ của các dịch vụ SSL miễn phí. Vậy SSL có phí và miễn phí khác nhau ở điểm nào. Trong bài viết này, Chúng ta sẽ cùng bạn tìm hiểu vấn đề đó.

1. Chi phí

Ngay từ tên gọi của 2 loại hình SSL này bạn đã có ngay cho mình một điểm khác biệt đầu tiên giữa chúng. Việc được sử dụng SSL mà không phải bỏ bất cứ khoản chi tiêu nào chính là một lợi thế được nhìn thấy rõ nhất của SSL miễn phí.

2. Tính an toàn

Đối với những doanh nghiệp, cơ sở lớn như ngân hàng, kinh doanh thương mại điện tử, tổ chức chính phủ cần độ an toàn cao, việc sử dụng loại chứng chỉ SSL miễn phí là không đảm bảo vì nó không thực hiện xác thực chủ thể doanh nghiệp, cở sở, tổ chức sẽ dễ bị lợi dụng kiểu tấn công giả mạo.

SSL miễn phí chỉ cung cấp giấy chứng nhận giúp chứng minh bạn là người có quyền sở hữu tên miền đó. Nó không bao gồm bất kỳ các vấn đề về bảo hành, bảo đảm, các vấn đề về lạm dụng hoặc gia hạn dịch vụ.

Trong khi đối với SSL trả phí cung cấp chứng chỉ cho các tên miền đã xác thực bao gồm các vấn đề về bảo hành, bảo đảm các vấn đề liên quan đến bảo mật hệ thống. Ngoài ra các thông tin về cá nhân, doanh nghiệp, tên miền được xác thực qua Email, File hoặc DNS. Điều này làm cho việc sử dụng chứng chỉ SSL trên các hệ thống như email, tường lửa và cân bằng tải được cấu hình một cách dễ dàng hơn.

Ngoài ra, SSL trả phí còn cung cấp mức độ xác thực Extended Validation, nó cho phép tên công ty đó được hiển thị trong thanh địa chỉ của trình duyệt rất chuyên nghiệp mà Let’s Encrypt không thể có.

3. Cách thức sử dụng

Chứng chỉ SSL miễn phí Let’s Encrypt sẽ được tự động cấp. Người sử dụng phải hiểu biết về lệnh trên máy chủ để thực hiện thao tác cài đặt. (Hiện nay hầu hết các nhà cung cấp hosting đều tích hợp sẵn Let’s Encrypt trong các gói hosting).

Đối với SSL miễn phí, việc cấp phát certificate sẽ do CA cấp qua email đăng ký dịch vụ. Thời gian cấp phát có thể ngay lập tức cho đến 15 ngày làm việc tuỳ vào mức độ xác thực. Việc cài đặt SSL cũng sẽ được các nhà cung cấp, đại lý SSL hỗ trợ miễn phí.

4. Tính liên kết

Với chứng chỉ Let’s Encrypt, mỗi máy chủ khác nhau, người dùng phải thao tác lệnh tạo vào cài đặt riêng. Với SSL trả phí bạn có thể sử dụng chức năng sao chép certificate cho các server khác nhau.

5. Tính tập trung

Với chứng chỉ Let’s Encrypt người dùng phải tự quản lý với những SSL riêng biệt trên từng máy chủ. Điều này sẽ gây ra nhiều khó khăn hơn. Với SSL trả phí, người dùng sẽ có giao diện tập trung cho việc quản lý các chứng chỉ.

6. Tính tương thích

Mặc dù Let’s Encrypt hiện tại đã tương thích hầu hết các trình duyệt phổ biến như Chrome, Firefox, Safari,… Tuy nhiên đối với nhiều trường hợp đặc thù riêng thì SSL trả phí vẫn có cho mình những lợi thế hơn nhất định so với SSL miễn phí.

7. Hỗ trợ con dấu trang động

SSL miễn phí không cung cấp con dấu trang động (dynamic site seals). Con dấu này giúp khách hàng truy cập website có thể yên tâm và tin cậy hơn. Trong khi các SSL có phí khác (SSL Wildcard và SSL EV) làm được điều này.

8. Chế độ bảo hiểm

Vì được cung cấp miễn phí nên SSL Let’s Encrypt cũng không có chế độ bảo hiểm. Khi gặp sự cố bạn sẽ không được bồi thường như các hình thức SSL có phí khác.

9. Độ tương thích với các ứng dụng khác

Hiện tại SSL miễn phí chỉ hỗ trợ cho web service. Trong khi SSL trả phí có thể hỗ trợ cho các ứng dụng khác như: Email, Firewall, DNS, Load Balancing v.v… rất dễ dàng.

10. Thời hạn hiệu lực

SSL miễn phí chỉ cấp tối đa 90 ngày, sau đó bạn cần phải gia hạn lại định kỳ. Trong khi SSL trả phí hỗ trợ đăng ký lên đến 3 năm.

11. Hỗ trợ Wildcard SSL

SSL miễn phí không có Wildcard SSL (chứng chỉ SSL cho các tên miền con). Nếu muốn sử dụng SSL cho subdomain, bạn phải đăng ký mỗi chứng chỉ cho 1 tên miền.

12. Khả năng hỗ trợ các định dạng tên miền quốc tế

SSL miễn phí không hỗ trợ các tên miền với nhiều định dạng khác nhau như SSL trả phí. Đơn cử như trường hợp tên miền tiếng Việt chẳng hạn.

SSL Free miễn phí – Nên hay không nên sử dụng?

Chứng chỉ số SSL có vai trò giúp tăng tính xác thực và bảo vệ website khỏi nguy cơ bị đánh cắp dữ liệu. Việc dùng chứng chỉ số SSL miễn phí cũng là giải pháp được nhiều người cân nhắc.

1. Bạn biết gì về SSL?

SSL là viết tắt của thuật ngữ Secure Sockets Layer – được biết đến như một chuẩn bảo mật công nghệ toàn cầu. Công nghệ này tạo ra một liên kết được mã hóa giữa máy chủ website và browser (trình duyệt), đảm bảo dữ liệu trao đổi giữa máy chủ và trình duyệt luôn bảo mật và an toàn. Trong bối cảnh đảm bảo an ninh mạng là vấn đề nhức nhối, vai trò của SSL lại càng được coi trọng hơn bao giờ hết.

SSL có các loại cơ bản sau:

Chứng thư xác thực tên miền (Domain Validation – DV SSL): chứng thực tên miền và website đã được mã hóa
Chứng thư xác thực tổ chức (Organization Validation – OV SSL): dành cho các tổ chức cần độ tin cậy cao
Chứng thư mở rộng (Extended Validation – EV SSL): là chứng thư có độ tin cậy cao nhất
Wildcard SSL: dành cho các site có nhu cầu dùng SSL cho nhiều sub-domain khác nhau
UC/SAN SSL: cho phép bảo mật đến 210 tên miền tùy nhà cung cấp chỉ với một chứng thư số

2. SSL hoạt động ra sao?

Khi người dùng đăng nhập vào website, việc cài đặt SSL miễn phí hoặc trả phí sẽ mã hóa dữ liệu và chia thông tin thành nhiều phần. Công nghệ này chỉ cho phép riêng người nhận đọc và hiểu nội dung truyền tải. Để được dùng SSL, chủ nhân website phải được xác thực danh tính bởi một cơ quan uy tín. Mỗi chứng chỉ SSL được tạo ra sẽ áp dụng riêng cho một website duy nhất. Sau khi được cài đặt, SSL sẽ mã hóa thông tin nhạy cảm trong quá trình giao dịch trực tuyến theo các bước sau:

3. Lợi ích cụ thể của SSL là gì?

Nhờ mã hóa dữ liệu hoàn toàn, SSL miễn phí hoặc trả phí sẽ giúp bảo mật thông tin truyền đi trên môi trường Internet, tránh nguy cơ bị can thiệp. Do đó, SSL bảo vệ được cả hai đối tượng: website và khách hàng của website đó. Dưới đây là những lợi ích cụ thể của SSL:

Nâng cao uy tín doanh nghiệp: Website sử dụng SSL sẽ khiến khách hàng tin cậy và hài lòng hơn khi thấy thông tin của mình được bảo vệ nghiêm túc. Từ đó, uy tín của doanh nghiệp trong mắt khách hàng cũng được nâng cao.
Website bảo mật và ổn định: SSL sẽ giúp bảo mật các dịch vụ như: webmail và các ứng dụng email, các ứng dụng ảo hóa hoặc điện toán đám mây, dịch vụ FTP, các dịch vụ truyền dữ liệu trong mạng LAN, VPN..
Tốt hơn cho SEO: Thực tế, sức ảnh hưởng của SSL đến SEO được đánh giá thấp hơn các yếu tố khác. Tuy nhiên, Google đã chính thức thông báo ưu tiên xếp hạng website dựa theo giao thức HTTPS. Bởi vì theo Google, một website bảo mật tốt sẽ đáp ứng được tiêu chí lựa chọn website an toàn cho người dùng.

4. SSL free có hạn chế nào không?

Tùy theo loại chứng chỉ SSL, bạn sẽ có thể chịu những hạn chế sau:

Tốn chi phí: Nếu không dùng chứng chỉ SSL Free, bạn cần bỏ ra một chi phí nhất định để duy trì.
Ảnh hưởng đến SEO: Quá trình cái đặt SSL cho website có thể gây ảnh hưởng đến thứ hạng từ khóa của trang web. Nguyên nhân của điều này là do Google chưa index kịp các URL được redirect.
Mất dữ liệu: Một số dữ liệu liên kết với mạng xã hội như lượt like, share, comment có thể bị mất.

5. Đối tượng nào nên dùng SSL?

Các website cần trao đổi thông tin nhạy cảm, giao dịch, thanh toán cần dùng SSL để bảo mật dữ liệu. Bạn có thể chọn loại SSL phù hợp theo hướng dẫn sau:

6. Có nên dùng SSL miễn phí không?

Đăng ký SSL miễn phí là lựa chọn của một số cá nhân, doanh nghiệp nhỏ với mục đích giảm thiểu chi phí. Tuy nhiên, SSL miễn phí có những hạn chế sau đây:

Không đảm bảo tính xác thực chủ thể – tổ chức, doanh nghiệp có thể bị giả mạo, lợi dụng.
Không chịu trách nhiệm về các vấn đề bảo đảm, bảo hành, lạm dụng hoặc gia hạn dịch vụ.
Dễ gây ra lỗi 404 trong quá trình mã hóa – giải mã ở cụm máy chủ.

Do đó, bạn hãy tham khảo kỹ bài viết này và cân nhắc giữa được và mất để có thể chọn dịch vụ chứng chỉ số phù hợp nhất nhé!

Tổng quan về HTTPS và chứng chỉ SSL tại Let’s encrypt

Cài SSL cho Website đem lại khá nhiều lợi ích: vừa đảm bảo dữ liệu truyền đi trên internet được mã hóa an toàn, đồng thời giúp nâng tầm thương hiệu đặc biệt với những website thương mại điện tử.

Bạn có thể nhận biết dấu hiệu một website được cài SSL, đó là thanh địa chỉ (Address Bar) có hình ổ khóa, cả chữ và ổ khóa đều mang màu xanh. Lợi ích là vậy, tuy nhiên với những web blog nhỏ, việc đầu tư một khoản tiền xấp xỉ trăm $ để mua SSL cho cả domain và subdomain (SSL Wildcard) thật sự là khoản đầu tư lớn, đáng phải suy nghĩ.

Trước tiên, chúng ta cùng tìm hiểu về giao thức HTTPS và SSL Free Let’s Encrypt dưới đây.

1. Cách thức hoạt động của HTTPS

HTTPS là gì?

HTTPS (Hyper Text Transfer Protocol Secure) là sự kết hợp của giao thức SSL và HTTP. Nếu bạn nhận được thông tin rằng trang web đang dùng SSL, tức đang nói về HTTPS.

Để tạo được một kết nối HTTPS, cần thiết phải có 3 thành phần tham gia sau: Client, Web Server, CA.

– Trong đó:

Client: các trình duyệt web như Chrome, Firefox…

Web Server: máy chủ chạy Website bạn muốn truy cập, thường là Nginx, Apache…

CA: đơn vị cung cấp chứng chỉ SSL.

Trong hệ thống phân cấp CA, đứng cao nhất là Root CA, tiếp theo là Intermediate CA. Một số CA nổi tiếng có thể kể tên như Comodo, RapidSSL, GeoTrust, Symantec… Ngoài việc bán SSL Certificate cho Web Server, nó còn có chức năng thẩm định tính hợp lệ của chứng chỉ cấp cho Web Server khi Client yêu cầu.

HTTPS làm việc như thế nào?

Bước 1: Client gửi request bằng cách nhập Address Bar trên trình duyệt

Bước 2: Web Server nhận được request và gửi lại cho Client certificate của nó và Public Key. Public Key này được sinh ra từ Private Key của Web Server.

Bước 3: Client nhận được certificate sẽ lấy thông tin về CA trong certificate, ví dụ CA – Comodo. Sau đó Client kết nối đến Comodo xác nhận (verify) thông tin về Web Server bao gồm IP, Domain, Address, Valid…

Nếu thông tin chính xác, Client sẽ sinh ra một khóa khác gọi là Session Key để sau này mã hóa dữ liệu truyền đi giữa Client – Web Server. Đồng thời dùng Public Key mã hóa thông tin và Session Key gửi ngược lại Web Server.

Bước 4: Web Server nhận được gói tin dùng Private Key giải mã lấy ra Session Key và dùng nó để mã hóa dữ liệu trao đổi giữa Client – Web Server sau này.

Trên đây là toàn bộ hoạt động của HTTPS. Khi trang web dùng HTTPS mà gặp lỗi bạn có thể áp dụng nguyên tắc trên có thể phán đoán được phần nào nguyên nhân gây lỗi SSL, VD: lỗi không hiện ổ khóa màu xanh.

Nguyên nhân:

– Client không verify được với CA như Bước 3 ở trên, thường do cấu hình Web Server không đúng hoặc chứng chỉ đã hết hạn (expired).

– Cũng có thể đây là chứng chỉ dạng tự cấp do chính bạn tạo ra hay còn gọi là Self-Signed SSL Certificate được dùng trong nội bộ doanh nghiệp.

– Hoặc trang web của bạn chứa link HTTP (Link trỏ đến trang web dùng HTTP, link hình ảnh cũ được upload trước đây vẫn dùng HTTP).

2. Tỉm hiểu về LEST’S ENCRYPT

Tổng quan về SSL Free Let’s Encrypt

Trước hết, Let’s Encrypt ra đời để giải quyết vấn đề một cách dễ dàng hơn rất nhiều, nhằm cung cấp cho người dùng một Open Certificate chất lượng mà hoàn toàn Free, tạo ra môi trường internet bảo mật hơn. Bởi theo thống kê của Mozilla hiện có đến 60% giao dịch trực tuyến không sử dụng HTTPS. Đồng thời thời tự động hoá cách thức vận hành và sử dụng chứng chỉ SSL truyền thống, tránh sự rườm rà như trước đây.

Let’s Encrypt là tổ chức lớn, được hỗ trợ bởi nhiều đại gia công nghệ như Facebook, Chrome, Mozilla… Ra đời mới từ 3/12/2015, Let’s Encrypt hiện đang là đơn vị cung chứng chỉ SSL miễn phí uy tín, có tốc độ tăng trưởng khổng lồ, chưa đầy 1 năm đã có gần 5 triệu domain sử dụng.

Let’s Encrypt là một CA cung cấp chứng chỉ SSL dạng Domain Validation. Nghĩa là người dùng không cần giấy tờ xác minh công ty, tổ chức, chỉ cần domain là đủ. Điều này rất có ý nghĩa với những website nhỏ, những website này khó có thể đáp ứng được việc cung cấp giấy tờ xác minh.

Đặc điểm của chứng chỉ SSL Free LET’S ENCRYPT

– Đầu tiên phải kể tới đặc điểm nổi bật, đó là Free (miễn phí).

– Dùng cho nhiều Domain dạng Wildcard, do đó không giới hạn domain/subdomain.

– Thanh địa chỉ với hình ổ khoá màu xanh.

– Cài đặt đơn giản và chỉ cần xác mình Domain.

– Gia hạn sau 90 ngày, đây là hạn chế của Let’s Encrypt, tuy nhiên bạn hoàn toàn vẫn có thể renew chứng chỉ.

Hạn mức

– Names/ Certificate quy định bạn chỉ có thể dùng tối đa 100 domain hoặc website trên một chứng chỉ.

– Certificates/Domain cùng một domain chỉ có thể dùng tối đa 20 chứng chỉ mỗi tuần.

– Certificates/FQDNset với domain chính xác dạng FQDN (Fully Qualified Domain Names), bị giới hạn 05 chứng chỉ một tuần.

– Registrations/IP address mỗi IP chỉ được đăng ký tối đa 500 lần trong 3 giờ.

– Pending Authorizations/Account dành cho những khách hàng ACME, họ có thể nhận được sự ủy quyền tối đa 300 account mỗi tuần.

3. Cơ chế hoạt động của SSL Free LET’S ENCRYPT

Cách lấy chứng chỉ tại Let’s Encrypt khác với việc mua chứng chỉ trên website của các CA mà bạn từng biết. Bạn phải kết nối đến Let’s Encrypt Server để lấy chứng chỉ bằng một công cụ gọi là Let’s Encrypt Client.

Nhờ Let’s Encrypt Client mà việc cài đặt, cấu hình chứng chỉ SSL diễn ra hoàn toàn tự động mà không cần gửi/ nhận mail qua lại mất thời gian như trước.

Những Client có thể làm việc này: Certbot, Letsencrypt.sh (Bash), Lua-resty-auto-ssl (nginx), AcmePHP (PHP), Let’s ACME (Python) …

Để tự động quá trình sử dụng cũng như gia hạn (renewal), thu hồi (revoke), đăng ký mới (register) trên các loại Web Server khác nhau, Let’s Encrypt Client thường được kêt hợp với một số Plugin sau đây:

– Apache được dùng với các Web Server Apache để nhận và install chứng chỉ một cách tự động.

– Webroot plugin, phù hợp khi Web Server và Let’s Encrypt Client chạy trên cùng một máy. Plugin này dùng tốt nhất cho người sử dụng VPS.

– Standalone dùng khi Web Server nằm trên một máy chủ khác. Bởi plugin này sẽ chiếm dụng Port 80/443 khi dùng dấn đến Web Server sẽ bị gián đoạn.

– Nginx dùng cho Web Server nginx

4. Sự khác biệt giữa chứng chỉ trả phí và ssl free (miễn phí).

Trong thực tế dùng có thể nhận thấy sự khác nhau lớn nhất giữa chứng chỉ trả phí và chứng chỉ Free Let’s Encrypt là việc phải gia hạn chứng chỉ sau 90 ngày (bạn có thể tạo Cron Job để tự động gia hạn chứng chỉ).

Cài đặt chứng chỉ Let’s Encrypt đời hỏi bạn phải biết sử dụng máy chủ hay VPS.

Ngoài ra còn có thông tin cho rằng chứng chỉ miễn phí này không tương thích với nhiều trình duyệt.

Tuy nhiên có thể thấy rằng, những hạn chế đó là hoàn toàn chấp nhận được.

5. Kết luận

Hiện nay, xu hướng đang dịch chuyển sang sử dụng SSL Free Let’s Encypt ngày càng nhiều.

Let’s Encrypt thực sự là một nhà cung cấp chứng chỉ SSL miễn phí đáng sử dụng, vì vậy bạn nên nghiên cứu và áp dụng ngay cho website của mình. Với sự hỗ trợ của Let’s Encrypt Client & Plugin nên việc triển khai chữ ký số trở nên đơn giản đi rất nhiều.

Lời kết:

Mong rằng các bạn có thể nhìn thấy được ngay lợi và hại giữa hai hình thức SSL Free và trả phí. Tuỳ thuộc và nhu cầu sử dụng mỗi người sẽ có những sự chọn lựa khác nhau. Chúc các bạn luôn có cho mình những lựa chọn hợp lý nhất. Hơn hết là đừng quên đón đọc các bài viết tiếp theo của DIGISTAR.