Website bị cảnh báo "không bảo mật" — Fix dứt diểm nhanh chóng

Website hiển thị “Không Bảo Mật” không chỉ làm mất niềm tin khách hàng mà còn tiềm ẩn rủi ro về dữ liệu và SEO. Tìm hiểu nguyên nhân và cách khắc phục lỗi SSL, HTTPS nhanh chóng.

1. Cảnh báo "Không Bảo Mật" trông như thế nào?

Tùy trình duyệt, Website bị cảnh báo không bảo mật có cảnh báo hiển thị khác nhau nhưng đều có chung một thông điệp: Kết nối của bạn không an toàn...

Các trình duyệt có điểm chung sẽ hiển thị thông báo "not secure" cùng với biểu tượng ⚠️ hoặc 🔓 màu xám ở trên thanh URL hoặc dòng chữ cảnh báo ""Your connection is not private" ở màn hình trang chủ trước khi vào website.

Tất cả đều xuất phát từ một nguyên nhân gốc rễ: website của bạn đang dùng HTTP thay vì HTTPS — nghĩa là chưa có hoặc có vấn đề với chứng chỉ SSL.

2. Tại sao cảnh báo này gây thiệt hại nghiêm trọng?

Nhiều chủ website nghĩ rằng cảnh báo này chỉ ảnh hưởng đến cảm giác, không ảnh hưởng đến các chỉ số khác như hiệu suất, thứ hạng website... Vấn đề quan trọng hơn nữa là ảnh hưởng đến hoạt động kinh doanh liên quan đến website.

Khách hàng bỏ đi — không quay lại

Khi người dùng thấy "Không Bảo Mật", phản ứng đầu tiên là nghi ngờ. Nếu website bán hàng, họ sẽ không bao giờ nhập số thẻ, địa chỉ, hay thông tin cá nhân vào một trang như vậy. Tỷ lệ thoát trang (bounce rate) tăng vọt, tỷ lệ chuyển đổi (conversion rate) gần như về 0.

Google phạt thứ hạng tìm kiếm

Từ năm 2014, Google đã chính thức xác nhận HTTPS là tín hiệu xếp hạng (ranking signal). Website không có SSL sẽ bị xếp thứ hạng thấp hơn đối thủ có HTTPS — trong cùng điều kiện nội dung và backlink. Mọi công sức SEO bạn bỏ ra sẽ bị giảm hiệu quả đáng kể.

Dữ liệu khách hàng bị lộ

HTTP truyền dữ liệu dạng văn bản thô (plain text). Bất kỳ ai có công cụ kỹ thuật đơn giản đều có thể nghe lén (intercept) thông tin người dùng nhập vào form của bạn — email, mật khẩu, thông tin thanh toán. Đây là rủi ro pháp lý và đạo đức nghiêm trọng.

Uy tín thương hiệu bị tổn hại lâu dài

Một lần khách hàng thấy website bị cảnh báo không bảo mật, ấn tượng xấu đó rất khó xóa. Trong thời đại mà niềm tin thương hiệu là tài sản quý nhất, đây là tổn thất không đo đếm được bằng tiền.

Câu hỏi đặt ra là Website hiển thị "Không bảo mật" có nguy hiểm không?

Có. Cảnh báo "Không bảo mật" (Not Secure) cho biết kết nối giữa trình duyệt và website chưa được mã hóa hoặc chứng chỉ SSL đang gặp sự cố. Điều này có thể khiến người truy cập mất niềm tin, làm giảm tỷ lệ chuyển đổi và tiềm ẩn nguy cơ dữ liệu bị đánh cắp khi truyền tải qua Internet.

3. Nguyên nhân phổ biến khiến Website bị cảnh báo không bảo mật.

Trước khi sửa, bạn cần xác định đúng nguyên nhân. Dưới đây là 4 trường hợp thường gặp nhất:

Nguyên nhân 1: Website chưa có chứng chỉ SSL (phổ biến nhất)

Dấu hiệu: URL của bạn bắt đầu bằng http:// thay vì https://

Đây là nguyên nhân của hơn 80% trường hợp website bị cảnh báo. Website chưa bao giờ được cài SSL, vì vậy mọi kết nối đều không được mã hóa.

Cách xác nhận: Gõ địa chỉ website vào trình duyệt và nhìn vào đầu URL. Nếu thấy http:// (không có chữ s) → đây chính là vấn đề.

Nguyên nhân 2: Chứng chỉ SSL đã hết hạn

Dấu hiệu: Website từng có HTTPS, nhưng đột nhiên xuất hiện cảnh báo từ một thời điểm nào đó

Chứng chỉ SSL có thời hạn (thường 1 năm). Khi hết hạn mà không gia hạn kịp thời, trình duyệt sẽ hiển thị cảnh báo ngay lập tức — dù website vẫn hoạt động bình thường.

Cách xác nhận: Click vào biểu tượng ổ khóa (hoặc cảnh báo) trên trình duyệt → chọn "Xem chứng chỉ" → kiểm tra ngày hết hạn (Expiry/Valid until).

Nguyên nhân 3: Nội dung hỗn hợp (Mixed Content)

Dấu hiệu: Website đã có SSL, URL hiển thị https://, nhưng vẫn có cảnh báo hoặc ổ khóa bị gạch chéo

Đây xảy ra khi website có HTTPS nhưng vẫn tải một số tài nguyên (ảnh, script, file CSS) qua HTTP không mã hóa. Trình duyệt phát hiện sự không nhất quán này và đưa ra cảnh báo.

Cách xác nhận: Mở Developer Tools (F12) → tab Console → tìm thông báo lỗi có chữ "Mixed Content".

Nguyên nhân 4: Chứng chỉ SSL không khớp tên miền

Dấu hiệu: Thông báo lỗi cụ thể như "Chứng chỉ không hợp lệ" hoặc "ERR_CERT_COMMON_NAME_INVALID"

Xảy ra khi chứng chỉ SSL được cấp cho domain www.example.com nhưng người dùng truy cập example.com (không có www) — hoặc ngược lại. Cũng có thể do SSL cấp cho domain khác nhưng vô tình dùng nhầm.

4. Hướng dẫn Fix website bị cảnh báo không bảo mật

Bước 1: Xác định nguyên nhân (15 phút)

Dùng công cụ kiểm tra SSL miễn phí để chẩn đoán chính xác:

• SSL Checker: www.sslshopper.com/ssl-checker.html

• SSL Labs Test: www.ssllabs.com/ssltest

Nhập tên miền của bạn → hệ thống sẽ báo cáo đầy đủ: SSL có tồn tại không, còn hạn không, cấu hình đúng chưa.

Bước 2: Mua và cài đặt chứng chỉ SSL (2–4 giờ)

Đây là bước quan trọng nhất. Bạn cần mua SSL từ nhà cung cấp uy tín.

Chọn loại SSL phù hợp:

Lưu ý quan trọng: Nếu cần fix nhanh trong vòng vài giờ, hãy chọn DV SSL — loại này được cấp trong vòng vài giờ làm việc vì chỉ cần xác thực tên miền, không cần giấy tờ doanh nghiệp.

Nên chọn loại chứng chỉ SSL nào cho website?

Việc lựa chọn phụ thuộc vào mục đích sử dụng. DV SSL phù hợp với blog, website cá nhân và doanh nghiệp nhỏ; OV SSL dành cho doanh nghiệp cần xác thực tổ chức; EV SSL thích hợp với các tổ chức yêu cầu mức độ xác thực cao; còn Wildcard SSL là lựa chọn tối ưu nếu cần bảo mật nhiều subdomain trên cùng một tên miền.

→ Xem bảng giá và chọn SSL phù hợp tại P.A Việt Nam

P.A Việt Nam cung cấp SSL từ các tổ chức CA hàng đầu thế giới: Sectigo (Comodo), DigiCert, GeoTrust, Thawte — với giá từ chỉ 16.000đ/tháng, hỗ trợ cài đặt miễn phí và chính sách hoàn tiền 100% trong 30 ngày.

Bước 3: Cài đặt SSL lên hosting

Sau khi mua và nhận file SSL, tiến hành cài đặt:

Cài SSL trên cPanel (phổ biến nhất):

• Đăng nhập cPanel → tìm mục SSL/TLS

• Chọn Manage SSL Sites

• Nhập Certificate (CRT), Private Key, và CA Bundle

• Click Install Certificate

Cài SSL trên DirectAdmin:

• Đăng nhập DirectAdmin → vào SSL Certificates

• Chọn Paste a pre-generated certificate and key

• Dán nội dung file .crt và .key

• Click Save

Khách hàng P.A Việt Nam được cài đặt SSL miễn phí nếu đang dùng hosting/server tại P.A. Chỉ cần liên hệ đội ngũ kỹ thuật để được hỗ trợ.

Bước 4: Chuyển hướng toàn bộ HTTP sang HTTPS (30 phút)

Sau khi cài SSL, bạn cần ép buộc (force) website dùng HTTPS. Nếu không làm bước này, website vẫn có thể truy cập qua cả HTTP lẫn HTTPS — gây lỗi mixed content và ảnh hưởng SEO.

Với WordPress — thêm vào file .htaccess:

Sao chép

RewriteEngine On

RewriteCond %{HTTPS} off

RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Với cPanel — dùng tính năng Force HTTPS Redirect:

• Vào cPanel → Domains

• Tìm domain của bạn → bật công tắc Force HTTPS Redirect

Cập nhật URL trong WordPress:

• Vào Settings → General

• Đổi WordPress Address và Site Address từ http:// thành https://

Sau khi hoàn tất, truy cập Website để kiểm tra lỗi Mixed Content.

Kết luận

Ngay cả khi đã cài đặt SSL, hiện tượng website bị cảnh báo không bảo mật vẫn có thể xảy ra nếu chứng chỉ đã hết hạn, tên miền không khớp với SSL, website còn tải tài nguyên qua giao thức HTTP (Mixed Content) hoặc cấu hình chuyển hướng HTTPS chưa đúng. Bạn nên kiểm tra toàn bộ cấu hình SSL để xác định chính xác nguyên nhân.

Bạn đang tìm chứng chỉ SSL phù hợp với ngân sách doanh nghiệp?
Xem ngay bảng giá tổng hợp các chứng chỉ SSL để lựa chọn đúng loại – đúng nhu cầu

👉 Thông tin chung và bảng giá SSL mới nhất

✔ Tham khảo thêm thông tin về các chương trình khuyến mãi tổng hợp
👉 Truy cập ngay: Ưu đãi tổng hợp và độc quyền tại P.A Việt Nam

Xem thêm các bài viết kiến thức về chứng chỉ SSL tại đây!