Do sự gia tăng của việc sử dụng mã hóa trên Web, mọi người bắt đầu liên kết nó với sự tin cậy. Điều này tạo ra hiệu ứng tuyết cuộn nơi nhiều trang web cảm thấy động lực phải áp dụng mã hóa SSL/TLS kẻo bị tụt hậu. Các trang thương mại điện tử, đặc biệt, là những trang đầu tiên cảm thấy áp lực đó khi khách hàng e ngại giao dịch trực tuyến không mã hóa.
Khi nói đến trang web thuộc sở hữu của thực thể, mã hóa trở thành thứ phức tạp hơn, với các cơ quan cấp chứng chỉ (CA) và các cấp độ ủy quyền khác nhau. Bây giờ, với sự xuất hiện của CA miễn phí như Let's Encrypt, mọi người tự hỏi tại sao các lựa chọn thương mại vẫn tồn tại. Chúng "tốt hơn"? Hay câu chuyện còn nhiều hơn thế?
Hiểu Về CA Và Tầm Quan Trọng
Để dùng HTTPS và được công nhận là "an toàn" (thanh URL biến xanh khi người dùng truy cập) yêu cầu dạng ủy quyền nào đó. Bạn cần chứng chỉ SSL do cơ quan cấp chứng chỉ cấp. Chứng chỉ sẽ "xác thực" sự hiện diện trực tuyến của bạn là thứ "thực". Có các loại xác thực khác nhau:
- Xác thực tên miền (DV), chứng minh không thể chối cãi bạn là bạn và bạn sở hữu tên miền muốn bảo mật
- Xác thực tổ chức (OV), chứng minh bạn sở hữu tên miền và xác thực vài điều về tổ chức đằng sau trang web
- Xác thực mở rộng (EV), thực hiện phân tích kỹ lưỡng và nghiêm ngặt về tên miền, tổ chức, và trạng thái pháp lý
Quy trình cấp chứng chỉ DV rõ ràng dễ dàng hơn nhiều vì bạn chỉ cần 제출 bằng chứng sở hữu tên miền. Thực tế, điều này có thể tự động hóa.
Bây Giờ Đến CA Miễn Phí
Các cơ quan cấp chứng chỉ như Let's Encrypt cấp chứng chỉ DV miễn phí. Họ tự động hóa quy trình xác thực sở hữu tên miền đến mức tốn gần như không chi phí để xác thực bạn. Điều này hoàn toàn ổn nếu bạn có trang web bình thường không yêu cầu người dùng chia sẻ dữ liệu nhạy cảm (số thẻ tín dụng, chi tiết tài khoản ngân hàng, số hộ chiếu, v.v.).
Nếu bạn chạy trang web thương mại điện tử, có lẽ bạn nên xem xét chứng chỉ cơ quan thương mại. Mức độ tin cậy mà xác thực mở rộng cung cấp sẽ hợp pháp hóa tổ chức của bạn hơn bất kỳ hình thức chứng nhận nào khác. Ít nhất, hãy lấy chứng chỉ OV nếu không muốn loay hoay với thủ tục hành chính đằng sau EV.
Nếu bạn sở hữu thực thể web lớn lưu trữ trang web trên nhiều tên miền con, bạn có thể thất vọng khi biết không thể lấy chứng chỉ wildcard miễn phí (không kể Let's Encrypt). Chứng chỉ này cho phép xác thực mọi tên miền con bạn tạo dưới tên miền chính.
Kết luận đơn giản: nếu bạn chạy trang web đơn giản không yêu cầu trao đổi dữ liệu nhạy cảm, chứng chỉ xác thực tên miền như Let's Encrypt cung cấp sẽ ổn. Bạn không cần gì phức tạp hơn!
Ngược lại, bạn nên giữ các cơ quan thương mại. Ở một số quốc gia, bạn thậm chí có thể gặp rắc rối pháp lý vì không dùng chứng chỉ xác thực mở rộng cho các thỏa thuận có giá trị pháp lý.
Bạn nghĩ chúng ta cuối cùng có thể tự động hóa tất cả xác thực chứng chỉ không? Hay đó chỉ là một bước nhảy quá xa cho nhân loại? Cho chúng tôi biết trong bình luận!