Trình duyệt báo "Không bảo mật": cách sửa trước khi khách kịp quay đi

Khi trình duyệt báo “Không bảo mật”, khách thấy một lý do để rời đi, và Chrome sắp khiến cảnh báo này khó bỏ qua hơn. Theo Google, từ Chrome 154 (tháng 10/2026), tùy chọn “Luôn dùng kết nối bảo mật” cho các trang công khai trở thành mặc định với mọi người dùng: trước khi mở một trang công khai qua HTTP lần đầu, Chrome sẽ hiện hộp thoại cảnh báo. Dưới đây là cách hiểu và sửa nhanh.

HTTPS là gì và vì sao khách quan tâm?

HTTPS là bản có mã hóa của kết nối giữa trình duyệt và website, dựa trên chứng chỉ bảo mật (SSL/TLS). Địa chỉ bắt đầu bằng https:// và trình duyệt hiện biểu tượng ổ khóa. Với HTTP thường, dữ liệu khách nhập (số điện thoại, tin nhắn, mật khẩu) đi qua mạng không mã hóa và có thể bị đọc hoặc sửa trên đường đi.

Website giới thiệu không có đăng nhập vẫn cần HTTPS: biểu mẫu liên hệ chứa thông tin cá nhân, và cảnh báo của trình duyệt làm giảm niềm tin ngay từ đầu.

Chrome thay đổi gì?

Theo bài đăng trên blog bảo mật của Google:

Tháng 4/2026 (Chrome 147): chế độ “Luôn dùng kết nối bảo mật” cho trang công khai được bật cho người dùng đã chọn Duyệt web an toàn nâng cao.
Tháng 10/2026 (Chrome 154): trở thành mặc định cho tất cả người dùng.
Khách thấy gì: lần đầu mở một trang công khai bằng HTTP, Chrome hiện cảnh báo với lựa chọn tiếp tục hoặc quay lại. Người dùng vẫn có thể bấm tiếp tục, và Chrome không lặp lại cảnh báo với trang họ vào thường xuyên.

Vậy nên website HTTP không bị chặn hẳn, nhưng khách mới sẽ thấy một hộp thoại cảnh báo trước khi vào. Với doanh nghiệp cần khách mới, đó là cản trở không đáng có.

Các nguyên nhân khiến website báo không bảo mật

Hiện tượng	Nguyên nhân thường gặp
Thanh địa chỉ ghi “Không bảo mật”	Website chạy HTTP, chưa cài chứng chỉ
Trang cảnh báo toàn màn hình “Kết nối của bạn không phải là kết nối riêng tư”	Chứng chỉ hết hạn, sai tên miền, hoặc cấu hình sai
Có ổ khóa nhưng bị gạch chéo hoặc cảnh báo một phần	Nội dung hỗn hợp: trang HTTPS nhưng ảnh, script vẫn gọi qua HTTP
Vào được bằng `www` nhưng không vào được bản không `www` (hoặc ngược lại)	Chứng chỉ không bao phủ cả hai tên
Sau khi chuyển sang HTTPS, trang lỗi hoặc lặp chuyển hướng	Quy tắc chuyển hướng cấu hình trùng lặp

Các bước sửa

Bước 1: Cài chứng chỉ bảo mật

Nhiều nhà cung cấp máy chủ có chứng chỉ miễn phí cài chỉ vài thao tác, hoặc đã tặng kèm trong gói. Hãy chọn loại chứng chỉ bao phủ cả tên miền chính và bản www. Nếu không rành, nhờ đơn vị quản lý máy chủ cài giúp.

Bước 2: Bật gia hạn tự động

Chứng chỉ có hạn dùng. Chứng chỉ hết hạn là nguyên nhân phổ biến của trang cảnh báo toàn màn hình, và thường xảy ra vào ngày bạn không ngờ tới. Bật gia hạn tự động và đặt thông báo về hộp thư có người đọc.

Bước 3: Chuyển hướng toàn bộ HTTP sang HTTPS

Mọi địa chỉ http:// phải chuyển hướng vĩnh viễn (301) sang địa chỉ https:// tương ứng, về một phiên bản chính duy nhất (có hoặc không có www). Chuyển hướng từng bước nhiều lần làm chậm trang.

Bước 4: Sửa nội dung hỗn hợp

Tìm và đổi các liên kết ảnh, script, kiểu dáng còn gọi bằng http:// thành https://. Trên WordPress, có thể dùng công cụ tìm và thay thế trong cơ sở dữ liệu một cách cẩn thận, kèm sao lưu trước. Kiểm tra bằng công cụ dành cho nhà phát triển của trình duyệt (mục Console) để thấy cảnh báo “mixed content”.

Bước 5: Cập nhật những nơi khác dùng địa chỉ cũ

Sơ đồ trang trong Search Console.
Liên kết trên Google Business Profile, mạng xã hội.
Liên kết nội bộ và canonical.
Công cụ đo lường.

Bước 6: Thêm thuộc tính trong Search Console và theo dõi

Nếu bạn dùng thuộc tính loại Tên miền thì đã bao gồm mọi phiên bản địa chỉ; nếu dùng loại tiền tố URL, hãy thêm thuộc tính cho bản HTTPS. Theo dõi báo cáo lập chỉ mục sau vài tuần.

Kiểm tra sau khi sửa

Gõ http://tenmien vào trình duyệt: có tự chuyển sang https:// không?
Thử cả bản www và không www.
Bấm vào ổ khóa, xem chứng chỉ còn hạn bao lâu.
Mở trang chủ, trang dịch vụ và trang liên hệ, bảo đảm không có cảnh báo hỗn hợp.
Thử biểu mẫu liên hệ hoạt động bình thường.

HTTPS có phải tất cả về bảo mật không?

Không. HTTPS bảo vệ dữ liệu trên đường truyền, không bảo vệ website khỏi bị hack, lỗi plugin hay mật khẩu yếu. Xem website bị hack: dấu hiệu và cách xử lý và cập nhật WordPress, plugin, giao diện an toàn.

Câu hỏi thường gặp

HTTPS có giúp SEO không?

Đây là chuẩn an toàn cơ bản; nó góp phần vào trải nghiệm trang, nhưng đừng kỳ vọng sẽ tăng thứ hạng đáng kể. Giá trị lớn nhất là niềm tin của khách và tránh cảnh báo.

Chứng chỉ miễn phí có an toàn không?

Chứng chỉ miễn phí vẫn mã hóa kết nối. Điều cần quan tâm hơn là có tự động gia hạn và cấu hình đúng hay không.

Tôi nên làm gì nếu chứng chỉ hết hạn lúc cuối tuần?

Liên hệ ngay đơn vị quản lý máy chủ hoặc nhà cung cấp chứng chỉ để gia hạn. Đặt thông báo trước 30 ngày để không rơi vào tình huống này.

Nguồn tham khảo

HTTPS by default, Google Security Blog (10/2025), lịch triển khai Chrome 147 và Chrome 154

Website do Bác Sĩ Web thiết kế đã gồm chứng chỉ SSL; nếu website của bạn đang báo không bảo mật, liên hệ để được khám.

Thẻ: Bảo mật website Kiểm tra website SEO kỹ thuật