Từ Chrome 68, Google đưa tất cả trang non-HTTPS vào loại tiêu cực "Not Secure" (Không an toàn). Trang mang nhãn này, Google nói, dễ bị theo dõi (snooping) bởi người khác. Không có biểu tượng ổ khóa đặc trưng, Chrome không coi trang web nào đủ an toàn.
Đặc biệt đúng khi chia sẻ thông tin đăng nhập và thanh toán. Vấn đề thực sự khi trang bị gán nhãn "Dangerous" (Nguy hiểm) với biển báo đỏ lớn. Nên coi đó là TUYỆT ĐỐI KHÔNG truy cập.
Kể từ khi chuẩn SSL mới được Chrome thực thi, người dùng cuối bối rối. Nhiều người không chắc có nên TRÁNH HOÀN TOÀN trang bị gắn cờ. Ngay trang như ESPN cũng mang huy hiệu "not secure". Cảm giác như overreach (quá mức) nếu truy cập trang đó thường xuyên.
Cách Loại Bỏ Lỗi? Thêm Tiền Tố https Vào Địa Chỉ Web
Giải pháp Chrome: thêm "https" vào thanh địa chỉ. Lý thuyết: buộc web server chuyển hướng sang kết nối SSL an toàn. Tuy nhiên, KHÔNG LUÔN hoạt động. Vì vài trang web hàng đầu KHÔNG BOTHER (chăm chú) triển khai giao thức mới. Từ góc nhìn user, truy cập trang có thể KHÔNG MANG RỦI RO gì.
Thực tế: chỉ vì có huy hiệu "not secure" KHÔNG NGHĨA là trang thực sự không an toàn. Xem phần "rủi ro có tính toán" (informed risk) dưới.
Cách Buộc Trang Web Thực Thi SSL
Với tiện ích KB SSL Enforcer, có thể buộc trang web chuyển hướng user sang SSL. Đa số trường hợp bên cạnh tránh thấy cảnh báo, cũng lướt web an toàn hơn dưới giao thức SSL.
Quy tắc SSL mới chỉ phải thực thi như dưới. Lại nói, có thể không hoạt động với mọi web vì chúng KHÔNG CÓ cơ chế chuyển hướng HTTP sang HTTPS.
Chấp Nhận Rủi Ro Có Tính Toán (Informed Risk)
Nếu muốn tiếp tục cẩn thận dù lỗi "Not Secure", hãy chấp nhận rủi ro có tính toán và lướt web không lo. Việc Google quan tâm bạn tốt, nhưng không phải tất cả admin web đang ngoài kia để đánh cắp thông tin bạn.
Thực tế: đây là trang HTTP thông thường luôn tồn tại, và có thể AN TOÀN hơn Google nói. Lý do kỹ thuật lỗi SSL: chứng chỉ SSL hết hạn, lỗi hình ảnh, CSS, JavaScript, TLS không khớp...
Nếu chỉ muốn biết web có đủ tốt cho lướt sơ sài, có công cụ web Whynopadlock.com cho bức tranh toàn cảnh. Ví dụ trên: trang chat hiển thị pass SSL connection nhưng có thể TLS cũ. Không phải trang nào cũng cần ép HTTPS cho an ninh thực tế.
Kết Luận
Nhiều lợi ích của web SSL: không chỉ mã hóa thông tin duyệt web khỏi bên thứ ba mà cả ISP chỉ thấy trang chính. Cảnh báo "Not Secure" thực sự an tâm cho người lướt thường, đặc biệt khi liên quan thanh toán.
Trường hợp thực sự có thể nghĩa trang đã bị xâm phạm. Không ai thích "người khác có thể thấy hoặc thay đổi thông tin bạn gửi/nhận qua trang".
Tuy nhiên, lúc này, nó VẪN KHÔNG NGHĨA trang HTTP luôn không an toàn. Cuối cùng, là sự lựa chọn và bạn PHẢI dùng thẩm phán.