HTTPS là phiên bản có mã hóa của HTTP, được dùng để truyền dữ liệu giữa trình duyệt và máy chủ website thông qua giao thức TLS. HTTPS giúp hạn chế việc dữ liệu bị đọc trộm hoặc sửa đổi trong quá trình truyền, đồng thời cho phép trình duyệt xác thực máy chủ dựa trên chứng chỉ số.
Một địa chỉ sử dụng HTTPS bắt đầu bằng https:// thay vì http://. Tuy nhiên, chuyển HTTP sang HTTPS không chỉ là cài chứng chỉ SSL/TLS. Website còn phải cập nhật URL nội bộ, canonical, sitemap, chuyển hướng, tài nguyên tĩnh và các cấu hình liên quan đến SEO.
HTTPS là gì?
HTTPS là viết tắt của Hypertext Transfer Protocol Secure. Đây không phải một giao thức hoàn toàn tách biệt với HTTP mà là HTTP được truyền qua một kết nối TLS bảo mật.
HTTPS có ba chức năng chính:
- Mã hóa: Nội dung trao đổi giữa trình duyệt và máy chủ khó bị bên trung gian đọc trực tiếp.
- Bảo toàn dữ liệu: Giúp phát hiện dữ liệu bị thay đổi trái phép trong quá trình truyền.
- Xác thực máy chủ: Chứng chỉ số giúp trình duyệt kiểm tra tên miền đang kết nối có phù hợp với chứng chỉ hay không.
HTTPS đặc biệt cần thiết với trang đăng nhập, biểu mẫu liên hệ, khu vực thanh toán và các trang xử lý dữ liệu người dùng. Trên thực tế, toàn bộ website nên sử dụng HTTPS nhất quán thay vì chỉ bật cho một số trang.
Biểu tượng kết nối an toàn trên trình duyệt cho biết đường truyền đang được mã hóa và chứng chỉ hợp lệ. Dấu hiệu này không tự động chứng minh nội dung, doanh nghiệp hoặc giao dịch trên website đáng tin cậy.
HTTPS hoạt động như thế nào?
Khi người dùng truy cập một URL HTTPS, trình duyệt và máy chủ thực hiện quá trình thiết lập kết nối TLS trước khi trao đổi nội dung trang. Quy trình khái quát gồm:
- Trình duyệt yêu cầu thiết lập kết nối bảo mật với máy chủ.
- Máy chủ gửi chứng chỉ số cùng thông tin cần thiết để thiết lập phiên TLS.
- Trình duyệt kiểm tra tên miền, thời hạn, chữ ký và chuỗi tin cậy của chứng chỉ.
- Hai bên thống nhất khóa và thuật toán dùng cho phiên kết nối.
- Dữ liệu HTTP sau đó được truyền trong kênh đã mã hóa.
Phần lớn hoạt động này diễn ra tự động. Người quản trị website vẫn phải cấu hình đúng chứng chỉ, chuỗi chứng chỉ trung gian, phiên bản TLS và chuyển hướng từ HTTP sang HTTPS.
Chứng chỉ SSL/TLS có vai trò gì?
Cụm từ chứng chỉ SSL vẫn được sử dụng phổ biến, nhưng các hệ thống hiện đại thực tế dùng TLS. Chứng chỉ không phải toàn bộ HTTPS; nó là một thành phần giúp trình duyệt xác thực máy chủ và thiết lập kết nối bảo mật.
Một chứng chỉ cần đáp ứng các điều kiện cơ bản:
- Bao phủ đúng tên miền và các tên miền phụ cần sử dụng.
- Được cấp bởi tổ chức chứng thực mà trình duyệt tin cậy.
- Còn thời hạn và có cơ chế gia hạn phù hợp.
- Có đầy đủ chuỗi chứng chỉ trung gian trên máy chủ.
- Được cài đặt trên đúng máy chủ, CDN hoặc lớp cân bằng tải đang phục vụ website.
Nếu website hoạt động ở cả phiên bản có www và không có www, cần xác định phiên bản chính và bảo đảm chứng chỉ hỗ trợ những hostname thực sự được truy cập. Sau đó, các phiên bản phụ phải chuyển hướng nhất quán về URL chuẩn.
HTTPS và SEO có liên quan như thế nào?
Đối với công cụ tìm kiếm, URL HTTP và URL HTTPS là hai địa chỉ khác nhau. Khi chuyển giao thức, hệ thống thu thập dữ liệu phải phát hiện URL mới, xử lý chuyển hướng và hợp nhất các tín hiệu liên quan.
HTTPS là một yếu tố kỹ thuật có ích cho bảo mật và trải nghiệm truy cập, nhưng không bảo đảm website tăng hạng hoặc giữ nguyên thứ hạng sau khi chuyển đổi. Khả năng duy trì hiệu suất tìm kiếm còn phụ thuộc vào chất lượng triển khai, nội dung, liên kết, khả năng thu thập dữ liệu và nhiều yếu tố khác.
Biến động có thể xuất hiện nếu:
- Một phần URL HTTP không chuyển hướng đúng.
- Redirect tạo thành nhiều bước hoặc vòng lặp.
- Canonical vẫn trỏ về HTTP.
- Sitemap chứa đồng thời URL HTTP và HTTPS.
- Liên kết nội bộ tiếp tục dẫn đến phiên bản cũ.
- Tệp JavaScript, CSS, ảnh hoặc API bị chặn do mixed content.
- Website vô tình thay đổi nội dung, cấu trúc URL hoặc quy tắc lập chỉ mục trong cùng đợt triển khai.
Nếu URL HTTPS không xuất hiện trong kết quả tìm kiếm như dự kiến, nên kiểm tra trạng thái phản hồi, canonical, sitemap và các chỉ thị lập chỉ mục theo quy trình xử lý website không được index, thay vì chỉ tập trung vào chứng chỉ.
Những thay đổi kỹ thuật khi chuyển HTTP sang HTTPS
URL và origin của website thay đổi
Phần giao thức là một thành phần của URL. Vì vậy, http:// và https:// được xem là hai origin khác nhau, ngay cả khi tên miền và đường dẫn giữ nguyên.
Sự thay đổi này có thể ảnh hưởng đến:
- Cookie có thuộc tính bảo mật hoặc phạm vi không phù hợp.
- Chính sách CORS giữa website, API và tên miền tài nguyên.
- Callback, webhook, URL đăng nhập hoặc URL thanh toán đã khai báo trước đó.
- Bộ nhớ đệm của trình duyệt, máy chủ hoặc CDN.
- Cấu hình phân tích truy cập và theo dõi chuyển đổi.
Tất cả tài nguyên phải tải qua HTTPS
Một trang HTTPS vẫn có thể gọi ảnh, font, CSS, JavaScript hoặc video bằng HTTP. Đây là lỗi mixed content. Trình duyệt có thể cảnh báo hoặc chặn tài nguyên, làm giao diện và chức năng hoạt động không đúng.
Sau khi đổi giao thức, cần rà soát cả URL trong mã HTML, CSS, JavaScript, cơ sở dữ liệu, giao diện, plugin và nội dung cũ. Nếu hình ảnh biến mất hoặc bị trình duyệt chặn, quy trình kiểm tra và sửa ảnh bị lỗi giúp xác định vấn đề nằm ở URL, phản hồi máy chủ hay quyền truy cập tài nguyên.
Tín hiệu SEO phải thống nhất về URL HTTPS
Các thành phần sau cần dùng URL HTTPS cuối cùng:
- Liên kết nội bộ.
- Thẻ canonical.
- Sitemap XML.
- Hreflang nếu website có nhiều ngôn ngữ hoặc khu vực.
- URL trong dữ liệu có cấu trúc.
- Thẻ chia sẻ mạng xã hội.
- URL ảnh, video và tài nguyên có thể lập chỉ mục.
Với website thương mại điện tử, URL bộ lọc có thể tạo ra lượng địa chỉ lớn. Trước khi thay toàn bộ URL trong sitemap hoặc canonical, cần hiểu cách xử lý URL facet cho SEO để tránh chuyển cả những biến thể không cần lập chỉ mục sang hệ thống mới.
Checklist chuyển đổi HTTPS cho website
1. Lập danh sách phạm vi chuyển đổi
Ghi nhận các hostname, tên miền phụ, thư mục, ứng dụng và dịch vụ đang dùng HTTP. Danh sách nên bao gồm website chính, trang quản trị, API, CDN, máy chủ ảnh, biểu mẫu, callback và hệ thống tích hợp.
Thu thập các loại URL sau trước khi triển khai:
- URL có trong sitemap.
- URL đang nhận truy cập tự nhiên.
- URL có liên kết nội bộ.
- URL đích của chiến dịch hoặc tài liệu đã phát hành.
- URL ảnh, CSS, JavaScript và font.
- URL chuyển hướng cũ vẫn còn giá trị.
2. Sao lưu và chuẩn bị phương án khôi phục
Sao lưu cơ sở dữ liệu, mã nguồn, tệp cấu hình máy chủ, nội dung tải lên và cấu hình DNS hoặc CDN có liên quan. Bản sao lưu cần có khả năng khôi phục, không chỉ tồn tại dưới dạng tệp chưa được kiểm tra.
Ghi lại cấu hình trước khi thay đổi, bao gồm quy tắc redirect, canonical, robots, sitemap, cache và các header bảo mật. Phương án khôi phục nên xác định rõ thành phần nào có thể quay lại mà không làm mất dữ liệu mới phát sinh.
3. Cài SSL cho website
Cài chứng chỉ cho các hostname cần phục vụ HTTPS, sau đó kiểm tra:
- Tên miền có khớp chứng chỉ hay không.
- Chuỗi chứng chỉ có đầy đủ hay không.
- Chứng chỉ có còn hiệu lực hay không.
- Máy chủ có phục vụ đúng chứng chỉ khi có nhiều website dùng chung hạ tầng hay không.
- Cơ chế gia hạn có hoạt động và có cảnh báo khi thất bại hay không.
Không nên bật chuyển hướng toàn bộ trước khi xác nhận các trang quan trọng có thể tải trực tiếp bằng HTTPS.
4. Cập nhật URL nội bộ
Thay các liên kết nội bộ tuyệt đối từ HTTP sang HTTPS. Đồng thời kiểm tra URL trong menu, breadcrumb, nội dung bài viết, ảnh, stylesheet, script, biểu mẫu và dữ liệu được lưu trong cơ sở dữ liệu.
Không nên dựa hoàn toàn vào redirect để xử lý liên kết nội bộ cũ. Liên kết trực tiếp đến URL HTTPS giúp giảm bước chuyển tiếp, hạn chế lỗi và làm cấu trúc website rõ ràng hơn.
5. Cấu hình chuyển hướng vĩnh viễn
Mỗi URL HTTP nên chuyển thẳng đến URL HTTPS tương ứng bằng mã trạng thái chuyển hướng vĩnh viễn phù hợp với cấu hình máy chủ. Cần bảo toàn đường dẫn và tham số truy vấn khi chúng có ý nghĩa.
Ví dụ về đích chuyển đổi đúng:
http://tenmien.vn/danh-muc/bai-viet → https://tenmien.vn/danh-muc/bai-viet
Tránh chuyển mọi URL cũ về trang chủ, vì cách này làm mất ngữ cảnh và có thể bị coi là chuyển hướng không phù hợp. Cũng cần tránh chuỗi chuyển hướng như HTTP → HTTPS có www → HTTPS không có www; nên hợp nhất thành một bước khi hạ tầng cho phép.
6. Cập nhật canonical và hreflang
Mỗi trang có thể lập chỉ mục nên dùng canonical trỏ đến phiên bản HTTPS chuẩn. Nếu sử dụng canonical tự tham chiếu, URL phải khớp với phiên bản cuối cùng sau chuyển hướng.
Với hreflang, các URL thay thế và URL hồi đáp đều phải được cập nhật đồng bộ. Không nên để canonical trỏ đến HTTPS nhưng hreflang tiếp tục trỏ về HTTP.
7. Tạo sitemap HTTPS
Sitemap mới chỉ nên chứa URL HTTPS chuẩn, có thể truy cập và phù hợp để lập chỉ mục. Không đưa URL HTTP, URL chuyển hướng, URL lỗi hoặc trang bị loại trừ có chủ đích vào sitemap.
Cập nhật đường dẫn sitemap trong tệp robots nếu website có khai báo. Không tự ý gỡ noindex, nosnippet, giới hạn snippet hoặc quy tắc chặn trong robots nếu chưa xác định đó là cấu hình sai và chưa có xác nhận của chủ website.
8. Rà soát hệ thống bên ngoài
Cập nhật URL website trong các hệ thống thuộc quyền quản lý, chẳng hạn hồ sơ doanh nghiệp, nền tảng quảng cáo, công cụ phân tích, cổng thanh toán, webhook và cấu hình API. Với liên kết ngoài không thể chỉnh sửa, redirect phải tiếp tục hoạt động ổn định.
9. Kiểm thử trước khi triển khai toàn bộ
Kiểm tra các mẫu trang quan trọng như trang chủ, danh mục, bài viết, trang sản phẩm, tìm kiếm nội bộ, đăng nhập, biểu mẫu và quy trình giao dịch. Mỗi mẫu cần được thử trên cả máy tính và thiết bị di động.
Không nên đồng thời thay giao diện, cấu trúc URL, nội dung quy mô lớn và giao thức nếu không thật sự cần thiết. Tách các thay đổi giúp khoanh vùng nguyên nhân khi phát sinh lỗi.
Cách kiểm tra website sau khi triển khai HTTPS
Kiểm tra phản hồi máy chủ
Chọn mẫu URL từ nhiều khu vực của website và xác nhận:
- URL HTTP chuyển hướng đúng một cách nhất quán.
- URL HTTPS cuối cùng trả về trạng thái thành công.
- Không có vòng lặp hoặc chuỗi redirect không cần thiết.
- Trang lỗi thực sự trả về mã trạng thái phù hợp.
- Phiên bản
www, khôngwwwvà các hostname phụ đi đúng đích đã chọn.
Kiểm tra mixed content và chức năng
Mở các mẫu trang bằng trình duyệt và xem cảnh báo bảo mật, yêu cầu tài nguyên thất bại cùng lỗi JavaScript. Kiểm tra menu, tìm kiếm, biểu mẫu, giỏ hàng, đăng nhập, tải tệp và nội dung nhúng.
Mixed content có thể chỉ xuất hiện trên một số trang cũ, vì vậy không nên kết luận toàn bộ website an toàn chỉ dựa trên trang chủ.
Kiểm tra khả năng thu thập và lập chỉ mục
Đối chiếu URL HTTPS với các thành phần sau:
- Canonical do website khai báo.
- Canonical mà công cụ tìm kiếm lựa chọn khi thông tin này có sẵn.
- Chỉ thị meta robots và header liên quan.
- Quy tắc robots.txt.
- Sitemap đã gửi.
- Liên kết nội bộ dẫn đến trang.
Theo dõi lỗi thu thập, số trang được phát hiện và trạng thái lập chỉ mục. Quá trình xử lý lại URL cần thời gian tùy quy mô, tần suất thu thập và tình trạng kỹ thuật của từng website; không nên cam kết một mốc cố định.
Theo dõi truy cập và chuyển đổi
So sánh dữ liệu trước và sau triển khai theo từng nhóm trang, thiết bị, loại URL và nguồn truy cập. Kiểm tra xem mã đo lường có tiếp tục gửi dữ liệu hay không, đồng thời chú ý việc thay đổi hostname hoặc bộ lọc có thể làm báo cáo bị gián đoạn.
Nếu lượng truy cập giảm, cần tách nguyên nhân kỹ thuật khỏi biến động nhu cầu, mùa vụ và thay đổi nội dung. Quy trình tìm nguyên nhân khi traffic giảm có thể hỗ trợ kiểm tra theo từng giả thuyết thay vì vội quy mọi vấn đề cho HTTPS.
Các lỗi thường gặp khi cài SSL cho website
Chứng chỉ không bao phủ đúng tên miền
Chứng chỉ có thể hợp lệ cho tên miền chính nhưng không bao phủ một tên miền phụ đang phục vụ ảnh hoặc ứng dụng. Cần kiểm tra từng hostname mà người dùng thực sự truy cập.
Quên gia hạn chứng chỉ
Chứng chỉ hết hạn khiến trình duyệt cảnh báo và có thể ngăn người dùng truy cập. Nếu dùng gia hạn tự động, vẫn cần theo dõi lỗi xác thực tên miền, thay đổi DNS hoặc giới hạn quyền ghi tệp.
Chuyển hướng không nhất quán
Một số trang chuyển sang HTTPS trong khi trang khác vẫn ở HTTP sẽ tạo ra hai hệ URL song song. Cần kiểm tra chuyển hướng HTTP sang HTTPS ở máy chủ, ứng dụng, CDN và bộ nhớ đệm để tránh mỗi lớp áp dụng một đích khác nhau.
Canonical và sitemap còn dùng HTTP
Redirect đúng nhưng canonical hoặc sitemap sai vẫn gửi tín hiệu mâu thuẫn. Tất cả thành phần SEO phải thống nhất với URL HTTPS cuối cùng.
Tài nguyên HTTP bị chặn
Ảnh có thể chỉ tạo cảnh báo, trong khi script hoặc stylesheet dùng HTTP có khả năng bị chặn và làm hỏng chức năng. Cách xử lý phù hợp là cập nhật nguồn tài nguyên sang HTTPS hoặc thay thế tài nguyên không hỗ trợ kết nối bảo mật.
Bật HSTS quá sớm
HSTS yêu cầu trình duyệt chỉ kết nối bằng HTTPS trong khoảng thời gian được khai báo. Đây là cơ chế hữu ích nhưng có thể khiến việc khôi phục trở nên khó khăn nếu HTTPS chưa hoạt động ổn định. Chỉ nên bật sau khi toàn bộ tên miền cần thiết đã được kiểm thử; phạm vi tên miền phụ và các lựa chọn dài hạn cần được đánh giá cẩn thận.
Kết luận
HTTPS bảo vệ dữ liệu truyền giữa trình duyệt và máy chủ thông qua TLS, đồng thời dùng chứng chỉ số để hỗ trợ xác thực máy chủ. Với SEO, chuyển HTTP sang HTTPS là một lần thay đổi URL trên toàn website chứ không chỉ là thao tác cài SSL.
Một kế hoạch an toàn cần bao gồm sao lưu, kiểm tra chứng chỉ, cập nhật URL nội bộ, cấu hình redirect, sửa canonical, tạo sitemap HTTPS và rà soát mixed content. Sau triển khai, website cần được theo dõi ở cấp URL, mẫu trang, trạng thái lập chỉ mục, truy cập và chuyển đổi.
Thực hiện đầy đủ checklist chuyển đổi HTTPS giúp giảm rủi ro kỹ thuật, nhưng không thể bảo đảm thứ hạng hoặc lưu lượng sẽ giữ nguyên. Mục tiêu thực tế là duy trì tín hiệu nhất quán, phát hiện lỗi sớm và cung cấp một phiên bản HTTPS ổn định cho người dùng lẫn công cụ tìm kiếm.
