Trình kiểm tra chứng chỉ SSL
Kiểm tra ngay chứng chỉ SSL của bất kỳ tên miền nào: ngày hết hạn, tổ chức phát hành, trạng thái tin cậy và toàn bộ chuỗi chứng chỉ. Miễn phí, không cần đăng nhập.
Cách đọc kết quả chứng chỉ SSL
Mỗi trường trong kết quả cho biết một khía cạnh khác nhau của chứng chỉ. Dưới đây là ý nghĩa của từng mục và điều bạn nên chú ý.
Tổ chức phát hành (CA)
Đơn vị ký và cấp chứng chỉ. Nên là CA uy tín như Let's Encrypt, DigiCert, Sectigo hoặc GlobalSign. Nếu issuer và subject có cùng CN và O thì đây là chứng chỉ tự ký — trình duyệt sẽ hiển thị cảnh báo.
Tên thay thế của chủ thể
Danh sách tên miền và subdomain mà chứng chỉ này có hiệu lực. Trong môi trường production, hãy xác nhận có cả miền gốc và bản www. Mục wildcard (*.example.com) bao phủ toàn bộ subdomain cấp một nhưng không bao phủ miền gốc hoặc subdomain cấp hai.
Ngày hết hạn và đếm ngược
Đây là ngày sau đó chứng chỉ không còn hiệu lực. Thanh đếm ngược đổi từ xanh (>30 ngày) sang vàng (8–30 ngày) rồi đỏ (<7 ngày). Chứng chỉ Let's Encrypt hết hạn sau mỗi 90 ngày; chứng chỉ thương mại thường kéo dài 1 năm.
Phiên bản giao thức TLS
Đây là phiên bản TLS mà máy chủ của bạn thương lượng cho kết nối này. TLS 1.3 là chuẩn hiện tại — nhanh hơn và an toàn hơn. TLS 1.2 vẫn chấp nhận được. TLS 1.0 và 1.1 đã bị loại bỏ và nên tắt; SSLv3 và SSLv2 có lỗ hổng nghiêm trọng.
Số sê-ri
Mã định danh duy nhất do CA gán cho chứng chỉ này. Hữu ích khi quản lý chứng chỉ, tra cứu OCSP stapling và theo dõi sự cố khi một tên miền có nhiều chứng chỉ.
Dấu vân tay SHA-256
Hàm băm mật mã của toàn bộ nội dung chứng chỉ. Hai dấu vân tay giống nhau có nghĩa là hai chứng chỉ giống hệt nhau. Hãy so sánh dấu vân tay trước và sau khi xoay vòng chứng chỉ để xác nhận bản cập nhật đã được áp dụng, hoặc để phát hiện việc thay thế chứng chỉ ngoài dự kiến.
Kế hoạch hành động khi chứng chỉ sắp hết hạn
Hết hạn là nguyên nhân phổ biến nhất gây ra gián đoạn SSL. Dùng bảng này để biết nên làm gì dựa trên số ngày còn lại.
| Số ngày còn lại trước khi hết hạn | Trạng thái | Hành động khuyến nghị |
|---|---|---|
| > 30 ngày | Bình thường | Không cần hành động. Hãy đặt nhắc nhở gia hạn ở mốc 30 ngày. |
| 8–30 ngày | Cảnh báo | Hãy bắt đầu gia hạn ngay bây giờ. Phần lớn CA và dịch vụ tự động gia hạn (Let's Encrypt, Certbot) sẽ gia hạn khi còn 30 ngày. |
| 1–7 ngày | Khẩn cấp | Gia hạn ngay. Chứng chỉ hết hạn sẽ gây lỗi trình duyệt và chặn toàn bộ lưu lượng HTTPS. |
| 0 hoặc âm | Đã hết hạn | Chứng chỉ đã hết hạn. Hãy thay thế ngay — nếu không, website của bạn sẽ hiển thị lỗi bảo mật cho mọi khách truy cập. |
Lỗi SSL phổ biến trong Chrome, Firefox & Safari — Nguyên nhân & Cách khắc phục
Đây là những lỗi SSL thường gặp nhất trên trình duyệt và ý nghĩa của từng lỗi. Hãy dùng công cụ này để xác định nguyên nhân gốc, rồi áp dụng cách xử lý phù hợp.
Trường valid_to của chứng chỉ đã nằm trong quá khứ. Chứng chỉ đã hết hạn và phải được gia hạn thì trình duyệt mới tiếp tục tin cậy kết nối.
Gia hạn chứng chỉ qua CA hoặc nhà cung cấp hosting của bạn. Hãy xác minh cấu hình tự động gia hạn hoạt động đúng — đa số CA sẽ tự gia hạn trong vòng 30 ngày cuối trước khi hết hạn.
Tên miền trên thanh địa chỉ của trình duyệt không xuất hiện trong trường CN hoặc SAN của chứng chỉ. Điều này thường xảy ra sau khi di chuyển tên miền, cấu hình sai subdomain hoặc cấp nhầm chứng chỉ cho tên miền khác.
Cấp lại chứng chỉ với đúng tên miền. Hãy kiểm tra cả miền gốc (example.com) và subdomain www (www.example.com) đều có mặt trong danh sách SAN.
Chứng chỉ được cấp bởi một CA không nằm trong trust store của trình duyệt hoặc hệ điều hành. Trường hợp này bao gồm chứng chỉ tự ký, chứng chỉ do CA nội bộ cấp hoặc chứng chỉ thiếu CA trung gian trong chuỗi.
Cài chứng chỉ từ CA công khai được tin cậy. Nếu dùng CA nội bộ, hãy cài chứng chỉ gốc vào trust store của máy khách. Đảm bảo máy chủ gửi đầy đủ chuỗi trung gian.
Chứng chỉ đã bị CA phát hành thu hồi một cách rõ ràng — thường do khóa riêng bị lộ, quyền sở hữu tên miền thay đổi hoặc chứng chỉ được cấp nhầm.
Hãy lấy chứng chỉ mới ngay. Nếu bạn không phải người chủ động thu hồi, rất có thể khóa riêng đã bị lộ — cần xoay vòng khóa, cấp lại chứng chỉ và điều tra nguyên nhân rò rỉ.
Máy chủ đang trả về phản hồi HTTP trên cổng HTTPS, hoặc proxy trả về lỗi HTTP trước khi quá trình bắt tay TLS hoàn tất. Nói cách khác, cổng 443 đang nhận bản rõ thay vì TLS.
Xác nhận máy chủ đã được cấu hình để phục vụ TLS trên đúng cổng đang kết nối. Kiểm tra cấu hình load balancer và proxy, đồng thời bảo đảm SSL/TLS termination được thiết lập chính xác.
Máy khách và máy chủ không thể thống nhất phiên bản giao thức TLS hoặc bộ mật mã. Điều này thường xảy ra khi máy chủ chỉ còn hỗ trợ TLS 1.0/1.1 (đã bị loại bỏ khỏi Chrome 84+, Firefox 74+, Safari 14+) hoặc dùng các bộ mật mã mà trình duyệt hiện đại không còn hỗ trợ.
Bật TLS 1.2 và TLS 1.3 trên máy chủ, đồng thời tắt TLS 1.0 và TLS 1.1. Cập nhật danh sách bộ mật mã để loại bỏ RC4, 3DES và các cipher cấp export. Dùng trình tạo cấu hình TLS của Mozilla để lấy cấu hình sẵn cho Nginx và Apache.
Cách kiểm tra chứng chỉ SSL (3 bước)
Nhập tên miền
Nhập bất kỳ tên miền nào, chẳng hạn github.com hoặc api.example.com, vào ô nhập. Công cụ sẽ tự động bỏ tiền tố https:// nếu có. Bạn cũng có thể chỉ định cổng tùy chỉnh nếu dịch vụ HTTPS không chạy trên cổng mặc định 443.
Xem chi tiết chứng chỉ
Chỉ trong vài giây, bạn sẽ thấy đầy đủ thông tin: ngày hết hạn và đếm ngược, chuỗi chứng chỉ, trạng thái tin cậy, phiên bản giao thức (TLS 1.2 hoặc 1.3), bộ mật mã, SAN và dấu vân tay SHA-256. Không có dữ liệu nào được lưu lại.
Đọc kết quả
Nếu chứng chỉ đã hết hạn, tự ký hoặc không khớp tên máy chủ, kết quả sẽ nêu rõ vấn đề. Thanh cảnh báo thời hạn chuyển sang vàng khi còn dưới 30 ngày và đỏ khi còn dưới 7 ngày. Bạn có thể sao chép toàn bộ chi tiết chỉ với một lần nhấn.
Chứng chỉ SSL cho biết điều gì?
Chứng chỉ SSL/TLS là chứng chỉ số dùng để xác thực danh tính website và thiết lập kết nối được mã hóa. Khi truy cập website qua HTTPS, trình duyệt sẽ kiểm tra chứng chỉ do một Tổ chức chứng thực (CA) đáng tin cậy cấp trước khi thiết lập kênh mã hóa. Nếu không có chứng chỉ hợp lệ, trình duyệt sẽ hiển thị cảnh báo bảo mật và chặn truy cập, ảnh hưởng trực tiếp đến niềm tin của người dùng và khả năng hiển thị trên công cụ tìm kiếm.
Mỗi chứng chỉ SSL đều có 3 thông tin cốt lõi:
- •Chủ thể — tên miền (và tổ chức đối với OV/EV) mà chứng chỉ được cấp cho
- •Nhà phát hành — Tổ chức chứng thực (CA) đã ký và xác minh chứng chỉ
- •Thời hạn hiệu lực — mốc ngày bắt đầu và kết thúc chính xác mà chứng chỉ được tin cậy
Công cụ này KHÔNG kiểm tra điều gì
Công cụ này thực hiện bắt tay TLS trực tiếp và đọc chứng chỉ. Nó không:
- Không chấm điểm độ mạnh bộ mật mã (A–F) — muốn kiểm toán TLS đầy đủ hãy dùng SSL Labs
- Không kiểm tra tiêu đề HSTS hoặc trạng thái danh sách preload
- Không kiểm tra cấu hình OCSP stapling
- Không phát hiện certificate pinning (HPKP)
- Không xác minh hành vi chuyển hướng từ HTTP sang HTTPS
Các loại chứng chỉ SSL
Mỗi loại chứng chỉ tương ứng với một mức độ xác minh danh tính khác nhau. Loại chứng chỉ phản ánh CA đã kiểm tra điều gì trước khi ký, chứ không phản ánh độ mạnh mã hóa.
CA chỉ xác minh rằng người yêu cầu kiểm soát tên miền; không xác minh danh tính pháp lý của doanh nghiệp. Chứng chỉ thường được cấp trong vài phút thông qua thử thách DNS hoặc HTTP tự động. Phù hợp cho blog, website cá nhân và công cụ nội bộ. Phần subject sẽ chỉ có CN (tên miền), không có trường O (tổ chức).
CA xác minh quyền kiểm soát tên miền và tư cách pháp lý của tổ chức. Thường mất 1–3 ngày làm việc. Tên công ty sẽ xuất hiện ở trường O, vì vậy khách truy cập có thể mở chứng chỉ và xem đơn vị sở hữu. Phù hợp cho website doanh nghiệp và API.
Đây là mức xác minh nghiêm ngặt nhất: CA kiểm tra tên miền, tổ chức, địa chỉ thực, tình trạng pháp lý và sự tồn tại hoạt động của đơn vị. Trước đây loại này từng kích hoạt thanh địa chỉ màu xanh trong trình duyệt. Hiện nay tên công ty được hiển thị trong chi tiết chứng chỉ. Thường được yêu cầu trong lĩnh vực tài chính và các nền tảng thương mại điện tử xử lý dữ liệu thanh toán.
Chứng chỉ này bao phủ miền gốc và toàn bộ subdomain cấp một bằng mẫu *.example.com trong CN hoặc SAN. Một wildcard duy nhất có thể bảo vệ www.example.com, api.example.com, cdn.example.com và nhiều tên miền khác. Nó không bao phủ subdomain cấp hai như dev.api.example.com — những trường hợp đó cần chứng chỉ riêng.
Một chứng chỉ có thể bao phủ nhiều tên miền riêng biệt thông qua tiện ích mở rộng Subject Alternative Names. Mô hình này phổ biến khi một chứng chỉ phục vụ nhiều sản phẩm, ví dụ example.com, example.io và app.example.net. Phần lớn chứng chỉ hiện đại đều dùng SAN ngay cả với một tên miền duy nhất, trong đó CN được lặp lại trong danh sách SAN.
Khi nào cần kiểm tra chứng chỉ SSL
Trước khi triển khai
Hãy xác minh rằng chứng chỉ bao phủ đúng tên miền bạn sắp triển khai. Trước khi trỏ DNS sang production, hãy chắc chắn tổ chức phát hành là CA đáng tin cậy (không phải tự ký), SAN bao gồm cả miền gốc và biến thể www, đồng thời giao thức là TLS 1.2 trở lên.
Theo dõi gia hạn chứng chỉ
Chủ động kiểm tra ngày hết hạn. Chứng chỉ Let's Encrypt hết hạn sau mỗi 90 ngày; bỏ lỡ tự động gia hạn sẽ gây gián đoạn dịch vụ. Chứng chỉ thương mại thường có hiệu lực 1 năm. Hãy lưu công cụ này và kiểm tra hàng tháng mọi chứng chỉ còn dưới 30 ngày.
Kiểm tra an ninh
Xác định các máy chủ vẫn dùng TLS 1.0 hoặc 1.1, bộ mật mã yếu hoặc chứng chỉ tự ký. Sau khi xoay vòng chứng chỉ, hãy đối chiếu dấu vân tay SHA-256 với giá trị mong đợi để xác nhận không có tình huống thay thế MITM.
Sau khi di chuyển tên miền
Sau khi chuyển tên miền sang máy chủ hoặc CDN mới, hãy kiểm tra chứng chỉ mới có bao phủ đúng tên miền, tổ chức phát hành có đúng hay không và tập SAN có khớp với kỳ vọng không. Nếu chứng chỉ còn nằm trên máy chủ cũ mà chưa được cấu hình trên máy chủ mới, trình duyệt vẫn sẽ báo lỗi dù DNS đã đúng.