HTTP và HTTPS khác nhau thế nào? Câu hỏi này chúng tôi nghe không dưới chục lần mỗi tháng. Thường là từ khách hàng vừa thấy trình duyệt cảnh báo đỏ. Có người còn tưởng web bị hack. Thật ra lỗi chỉ nằm ở một chứng chỉ hết hạn. Không ít chủ website mới mở cũng gặp đúng tình huống tương tự. Bài viết này, chúng tôi kể lại gốc rễ của chuyện đó, đúng như vẫn hay giải thích cho khách hàng mới.
HTTP Là Gì Và Cách Hoạt Động Cơ Bản
Nói dễ hiểu, HTTP là ngôn ngữ giúp trình duyệt và máy chủ “nói chuyện” với nhau. Bạn gõ một địa chỉ web, trình duyệt gửi yêu cầu đi. Máy chủ trả lời bằng dữ liệu để dựng thành trang bạn đang thấy. Cả quá trình chỉ mất vài trăm mili giây. Dân kỹ thuật gọi đây là mô hình request – response. Một bên hỏi, một bên đáp, lặp lại cho từng hình ảnh, từng đoạn chữ trên trang.
Chúng tôi hay ví HTTP như một bức thư viết tay, không có phong bì niêm phong. Ai đứng giữa đường truyền cũng có thể mở ra đọc được. Dữ liệu gõ vào form, mật khẩu, thông tin thẻ đều đi qua ở dạng văn bản thô, chưa mã hóa. Đây không phải lỗi kỹ thuật, mà là vì HTTP ra đời từ thập niên 1990.
Rủi ro này rõ nhất khi bạn dùng Wi-Fi công cộng, ở quán cà phê hay sân bay. Một người rành kỹ thuật ngồi cùng mạng, dùng công cụ bắt gói tin miễn phí, hoàn toàn thấy được nội dung bạn gửi đi. Chúng tôi từng gặp một chủ shop online đăng nhập trang quản trị qua Wi-Fi quán cà phê. Sau đó, đơn hàng của họ bị chỉnh sửa sai lệch so với ban đầu. Giao thức, mã hóa, hay API là gì — những khái niệm nền tảng này thường bị người mới học web gộp chung làm một.
Nhiều người tưởng chỉ trang có ô nhập liệu mới cần lo HTTPS, còn trang giới thiệu thuần túy thì không. Ngay cả trang tĩnh chạy HTTP cũng vẫn bị trình duyệt gắn nhãn cảnh báo. Mẹo chúng tôi hay dùng là kiểm tra HTTPS ngay từ lúc mua hosting.
HTTPS Khác Gì Với HTTP Và Vì Sao Quan Trọng
Nếu HTTP là bức thư không niêm phong, HTTPS chính là bức thư đó được bỏ vào phong bì khóa kín. Chỉ người nhận đúng địa chỉ mới mở được. Chữ “S” đứng sau HTTP là viết tắt của Secure, nghĩa là an toàn. Về bản chất, HTTPS vẫn là HTTP, chỉ thêm một lớp mã hóa chạy bên dưới, gọi là SSL hoặc bản mới hơn là TLS.
Ba điều chúng tôi luôn nhấn mạnh với khách hàng khi giải thích vì sao nên chuyển sang HTTPS:
- Dữ liệu được mã hóa trước khi rời trình duyệt. Dù người đứng giữa đường truyền có bắt được gói tin, cũng chỉ thấy ký tự vô nghĩa.
- Website được xác thực danh tính qua chứng chỉ số, giúp phân biệt trang thật với trang giả mạo.
- Google xếp HTTPS là tín hiệu xếp hạng từ năm 2014, nên website chưa chuyển đổi thường chịu thiệt hơn.
Nhiều người nghĩ HTTPS chỉ cần cho trang có thanh toán trực tuyến. Quan niệm này khiến không ít website bỏ lỡ bước bảo mật cơ bản. Mọi trang có form đăng nhập, form liên hệ, hoặc chỉ đơn giản là muốn giữ uy tín thương hiệu, đều nên dùng HTTPS ngay từ đầu. Chúng tôi từng thấy một trang giới thiệu công ty, chẳng thu thập dữ liệu gì. Vậy mà vẫn bị khách nghi ngại, chỉ vì thanh địa chỉ báo đỏ.
Chúng tôi từng hỗ trợ một khách bán hàng online chuyển hẳn từ HTTP sang HTTPS. Chỉ sau vài tuần, họ báo lại là ít khách bỏ giỏ hàng hơn hẳn. Không phải vì SEO tăng ngay, mà vì khách nhìn thấy ổ khóa xanh nên yên tâm nhập số điện thoại và địa chỉ hơn trước.
Cách Nhận Biết Và Đảm Bảo Website Sử Dụng HTTPS Đúng Cách
Cách nhanh nhất để kiểm tra là nhìn vào thanh địa chỉ trình duyệt. Có biểu tượng ổ khóa nhỏ trước tên miền, kèm chữ https:// thay vì http://, nghĩa là kết nối đã được mã hóa. Ngược lại, Chrome và Firefox hiện nay đều gắn nhãn “Không an toàn” cạnh địa chỉ đó.
Với người tự dựng website, hoặc thuê đơn vị thi công, bước quan trọng là cài đúng chứng chỉ SSL/TLS ngay từ đầu. Trì hoãn việc này dễ khiến link nội bộ, ảnh, script còn trỏ về địa chỉ HTTP cũ. Dân kỹ thuật gọi lỗi đó là “nội dung hỗn hợp”. Chúng tôi từng viết khá kỹ về quy trình này trong hướng dẫn bảo mật website bằng SSL từ A đến Z.
Chứng chỉ SSL/TLS hiện có nhiều mức. Loại miễn phí như Let’s Encrypt phù hợp với website cá nhân hoặc blog nhỏ. Loại trả phí có xác thực tổ chức, thường dùng cho doanh nghiệp cần thêm uy tín. Giá tham khảo dao động từ vài trăm nghìn đến vài triệu đồng mỗi năm, tùy mức xác thực. Sau khi cài chứng chỉ, đừng quên bật chuyển hướng tự động từ HTTP sang HTTPS.
Nhiều khách hàng tìm đến chúng tôi khi website đã chạy được vài năm. Họ muốn nâng cấp bảo mật, nhưng ngại đụng vào code đang ổn định. Lúc này, chúng tôi thường khuyên làm mới luôn phần nền tảng, coi việc chuyển đổi HTTPS là dịp dọn lại kỹ thuật cho gọn. Nếu cần một đơn vị làm mới toàn diện, bạn có thể tham khảo dịch vụ thiết kế website bán hàng, vừa lên giao diện mới, vừa chuẩn hóa HTTPS ngay từ lúc bàn giao.
Hiểu Đúng Từ Đầu Để Website Không Gặp Rắc Rối Về Sau
Câu chuyện khách hàng hoảng hốt vì cảnh báo đỏ chỉ cần vài phút để xử lý, miễn là hiểu đúng gốc rễ ngay từ lúc dựng website. Không ít trường hợp, chỉ vì thiếu bước này mà website mất luôn niềm tin của khách ngay từ lần ghé đầu tiên. Biết HTTP và HTTPS khác nhau ở đâu, vì sao lớp mã hóa quan trọng, sẽ giúp người mới học web đỡ phải sửa chữa vội vàng về sau. Chúng tôi tin rằng an toàn kỹ thuật nên là việc làm ngay từ ngày đầu, không phải sửa chữa khi đã muộn. Đó cũng là nền tảng để bạn tự tin hơn khi làm việc với bất kỳ đơn vị kỹ thuật nào.
Nếu bạn đang tự học để dựng website đầu tiên, đừng chỉ dừng ở khái niệm HTTP hay HTTPS. Còn khá nhiều kiến thức nền tảng khác đáng nắm trước khi bắt tay code hay chọn nền tảng. Chúng tôi có gom lại trong lộ trình tự học lập trình, thiết kế website trong sáu tháng. Cứ đi từng bước một, bạn sẽ thấy việc dựng một website vừa chạy nhanh vừa an toàn không còn là bài toán quá xa vời. Không có gì phải vội, chỉ cần chọn đúng thứ tự ưu tiên mỗi tuần một bước.