Để bảo vệ người dùng, Google đã liên tục thực hiện các biện pháp khuyến khích chủ trang web ưu tiên bảo mật với các phương pháp hay nhất. Thông báo "Trang web không an toàn" (Site Not Secure) là một trong những biện pháp đó. Nó cho thấy trang web không cài đặt SSL.
Ongiây, với tư cách chủ trang web, chúng ta muốn làm tốt nhất cho người truy cập, do đó muốn các biện pháp bảo mật WordPress tốt nhất.
Vì vậy, nếu bạn thấy thông báo WordPress site not secure (trang web WordPress không an toàn) trên trang web, bài viết này sẽ giúp bạn khắc phục, làm cho trang web an toàn cho người truy cập và dữ liệu của họ.
TL;DR: Cài đặt chứng chỉ SSL, chuyển hướng trang web sang https, thay đổi tất cả liên kết nội bộ thành liên kết an toàn, và cập nhật Google Search Console để khắc phục vấn đề WordPress site not secure. Sao lưu toàn bộ trang web trước khi thực hiện bất kỳ thay đổi nào.
Tại Sao Bạn Thấy Thông Báo "WordPress Site Not Secure"?
Bạn thấy cảnh báo này vì trang web không có chứng chỉ SSL hoặc có chứng chỉ SSL nhưng không được cấu hình đúng khi cài đặt. Cài đặt SSL cải thiện đáng kể trải nghiệm người dùng và lớp bảo mật. Vì vậy, nếu có vấn đề với SSL, Google sẽ đưa ra cảnh báo "Not Secure" (Không an toàn).
Đây là những gì người truy cập sẽ thấy:
Lý tưởng, bạn (và người truy cập) nên thấy:
Bằng cách thiết lập SSL hoặc HTTPS, bạn nhận được hai lợi ích lớn. Thứ nhất, tất cả traffic đến trang web được mã hóa. Điều này có lợi ích lớn về quyền riêng tư và bảo mật. Thứ hai, cảnh báo "WordPress website not secure" được thay thế bằng ổ khóa xanh令人放心.
Cách Khắc Phục Cảnh Báo "WordPress Site Not Secure"?
Chúng tôi chia quy trình thành các bước riêng biệt để bạn làm theo. Tổng thể, quá trình mất vài giờ, nên bạn nên bookmark trang này và làm theo từng giai đoạn.
Đừng lo lắng nếu các phần tiếp theo hơi kỹ thuật. Làm theo hướng dẫn cẩn thận, bạn sẽ khắc phục thành công cảnh báo. Để an tâm hơn, hãy sao lưu trang web trước khi bắt đầu.
- Bắt đầu bằng kiểm tra SSL trước (SSL pre-check)
Một số nhà cung cấp hosting hoặc nhà phát triển sẽ cài đặt SSL khi trang web đi vào hoạt động. Mở trang web trong cửa sổ ẩn danh (incognito) và kiểm tra xem SSL đã được cài đặt chưa.
Nếu URL trang web là www.mybizsite.com, thêm "https://" trước URL và gõ vào thanh địa chỉ trình duyệt như https://www.bizsite.com.
Thêm "https://" nói với trình duyệt thử kết nối phiên bản an toàn của trang web. Nếu thấy ổ khóa xanh, bạn may mắn. Bạn có thể bỏ qua cài đặt SSL và chuyển sang giải quyết vấn đề mixed content (nội dung hỗn hợp).
Sao Lưu Trang Web
Trước khi thực hiện thêm bước nào để khắc phục cảnh báo, bạn bắt buộc phải sao lưu toàn bộ trang web WordPress. Là thói quen tốt sao lưu trước khi thay đổi lớn.
Chúng tôi khuyến nghị dùng BlogVault để sao lưu. Nếu lỡ làm sai, bạn có thể khôi phục một cú nhấp chuột.
Sau khi trang web kết nối với BlogVault, bạn cũng có thể bật cập nhật thời gian thực (real-time updates). Sao lưu thời gian thực tự động lưu các thay đổi. Điều này có nghĩa là bạn có thể chọn phiên bản sao lưu hoạt động cuối cùng mà không lo mất công sức vì một lỗi nhỏ.
Cài Đặt Chứng Chỉ SSL Để Bảo Mật Kết Nối
Hầu hết mọi người e ngại cài đặt SSL; và một thời gian trước, họ có lý do. Giờ mọi thứ đơn giản hơn nhiều với plugin làm phần lớn công việc nặng nhọc.
Tuy nhiên, đây là quá trình dài. Hãy làm theo hướng dẫn cài đặt SSL cẩn thận. Nó bao gồm mọi thứ bạn cần biết:
- Chọn chứng chỉ SSL
- Cài đặt chứng chỉ tùy chỉnh
- Xác minh chứng chỉ SSL
Nếu bạn có câu hỏi về loại chứng chỉ, cách và nơi mua, bài viết bao quát tất cả.
Sau khi xong cài đặt chứng chỉ, quay lại bài này và hoàn thành các bước còn lại.
Quan trọng: Chỉ cài đặt chứng chỉ là KHÔNG ĐỦ.
Chuyển Hướng Liên Kết Từ HTTP Sang HTTPS
Bước tiếp theo dùng chút thuật ngữ kỹ thuật, quan trọng để chủ trang web hiểu. Hữu ích khi biết khác biệt giữa HTTP và HTTPS.
Bây giờ, bạn phải đảm bảo mọi trang trên trang web được phục vụ an toàn, nghĩa là mọi người truy cập đều vào phiên bản SSL. Đó là nơi chuyển hướng HTTP sang HTTPS đóng vai trò.
Đừng lo nếu nghe phức tạp. Như mọi thứ WordPress, bạn có thể chuyển hướng URL từ HTTP sang HTTPS theo hai cách:
- Có plugin
- Không dùng plugin
Chúng tôi mạnh mẽ khuyến nghị dùng plugin như Really Simple SSL để chuyển hướng từ HTTP sang HTTPS. Buộc chuyển hướng thủ công sang SSL có thể gây hậu quả không lường trước, vì cần can thiệp vào file core WordPress – nơi tốt nhất nên để nguyên.
Dù cách nào, chúng tôi tạo bài viết hướng dẫn đầy đủ để giúp bạn ép buộc chuyển hướng HTTP sang HTTPS. Hãy làm theo bài đó để có hướng dẫn từng bước. Sau đó quay lại làm theo phần còn lại.
Nếu chuyển hướng ép buộc không hoạt động đúng, bạn sẽ thấy vấn đề mixed content. Cách đơn giản xác định là truy cập một trong các trang sau để kiểm tra mixed content:
- https://www.jitbit.com/sslcheck/
- https://www.sslchecker.com/insecuresources
- https://www.ssllabs.com/ssltest
- https://www.whynopadlock.com/
Tìm Và Thay Thế Tất Cả Liên Kết Nội Bộ Sang Phiên Bản HTTPS
Mixed content nghĩa là trang web phục vụ URL không an toàn cùng với URL an toàn. Nghĩa là dù đã cài SSL, một số trang cũ vẫn được phục vụ bằng URL HTTP.
Đây là vấn đề phổ biến với theme và hình ảnh WordPress.
Lại một lần, bạn có thể làm theo hai cách:
- Có plugin
- Không dùng plugin
Xóa mixed content thủ công là việc nguy hiểm vì liên quan đến thay đổi mục trong cơ sở dữ liệu. Nếu làm sai, bạn sẽ làm hỏng toàn bộ trang web. Vì vậy, hãy sao lưu toàn bộ trang web ngay bây giờ với BlogVault.
Chúng tôi sẽ cố gắng giảm thiểu rủi ro nhưng dùng plugin khắc phục mixed content luôn an toàn hơn. Bài viết của WPBeginner sẽ chỉ cách dùng plugin SSL Insecure Content Fixer.
Nhưng nếu bạn vẫn muốn làm thủ công, chúng tôi khuyến nghị các bước sau:
- Sao lưu lại một lần nữa: Nếu có lúc nào cần sao lưu toàn bộ trang web, đó là bây giờ.
- Liệt kê URL HTTP: Dùng WhyNoPadlock tìm URL HTTP và liệt kê.
- Cài đặt Better Search Replace: Dùng plugin tìm và thay thế liên kết HTTP bằng HTTPS.
"Search for" (Tìm) URL HTTP, dán cùng URL vào "Replace with" (Thay thế bằng) và đổi liên kết từ HTTP sang HTTPS.
Nhược điểm lớn nhất của phương pháp này là dù dùng plugin, vẫn phải làm thủ công từng URL một.
Cập Nhật Google Search Console Và Analytics
Bây giờ bạn đã xong cài đặt SSL và đảm bảo phục vụ phiên bản HTTPS, đã đến lúc thông báo cho Google. Nếu không thay đổi, Google Search Console sẽ tiếp tục thu thập dữ liệu từ phiên bản HTTP – traffic sẽ giảm dần.
Vì vậy, vào Google Search Console và thêm tài sản mới (property) cho phiên bản HTTPS.
Sau đó nộp lại file sitemap với phiên bản HTTPS cập nhật.
Nếu trang web có file disavow link trên Search Console, vào Google Disavow Tool, chọn phiên bản HTTP, tải file xuống và tải lên hồ sơ mới.
Sau đó xóa hồ sơ cũ vĩnh viễn.
Khi xong, vào Google Analytics và cập nhật tài sản (property) và view (khung nhìn). Nếu Analytics kết nối với Search Console, bạn chỉ cần vào Property Settings >> Default URL >> nhấp dropdown chọn "https://".
Làm tương tự cho view. Vào View Settings >> Website's URL >> nhấp dropdown chọn "https://".
Đó là việc duy nhất cần làm để khắc phục cảnh báo "WordPress site not secure".
Tại Sao Bạn Nên Triển Khai SSL Trên Trang Web?
Điều quan trọng là lợi ích của quy trình này sẽ lấn át sự bất tiện nhỏ bạn có thể gặp khi bước vào lĩnh vực mới.
Bạn sẽ có:
- Bảo mật trang web tăng cường: Phục vụ trang web trên HTTPS nghĩa là mã hóa thông tin trang web qua kết nối SSL/TLS và làm trang web WordPress an toàn. Nói đơn giản, ngay cả hacker chặn thông tin trang web, họ cũng không bao giờ giải mã được thông tin nhạy cảm.
Điều này cực kỳ quan trọng cho trang web thương mại điện tử nơi giao dịch tài chính diễn ra. Nếu giao dịch không mã hóa, hacker có thể đánh cắp thông tin tài chính trực tiếp. - Không còn cảnh báo Chrome: Chrome nắm trên 73% thị phần trình duyệt. Cảnh báo Chrome sẽ ảnh hưởng lớn đến traffic. Giải quyết vài vấn đề kỹ thuật nhỏ sẽ xóa bỏ vấn đề "WordPress site not secure" vĩnh viễn.
Tuy nhiên, vấn đề này kéo dài đến tất cả trình duyệt chính bao gồm Firefox và Mozilla. Bạn cũng có thể nhận cảnh báo từ Google Search Console. Chúng tôi khuyến nghị làm theo chính xác các bước trong bài viết để khắc phục vĩnh viễn. - Tốc độ tải trang: Giao thức HTTP/2 mới để kết nối trang web nhanh hơn HTTP rất nhiều. HTTP/2 thực sự yêu cầu kết nối SSL. Vì vậy, cài đặt SSL có thể cải thiện tốc độ tải trang đáng kể.
Chúng tôi nói "có thể" vì không phải host nào cũng tự động cung cấp HTTP/2. Trước khi kiểm tra hiệu suất trên GTMetrix, hãy hỏi host xem HTTP/2 có được bật trên tài khoản không. - Traffic SEO: Theo bài viết Google Search Central, HTTPS là yếu tố xếp hạng trên SERPs Google. Khi Google nói cách lấy xếp hạng và traffic tốt hơn từ SEO, bạn phải nghe. Không chỉ Google, các blog SEO độc lập cũng phân tích và đạt cùng kết luận.
- Uy tín thương hiệu: Theo nhà cung cấp SSL uy tín GlobalSign, 77% người dùng trực tuyến sợ thông tin cá nhân bị hack hoặc lạm dụng. Có ổ khóa xanh đơn giản cải thiện uy tín thương hiệu.
Đối với trang web thương mại điện tử, đây gần như là bắt buộc vì không ai tin cửa hàng trực tuyến với cảnh báo "site not secure". Tài chính và sàn thương mại lớn thậm chí dùng chứng chỉ SSL Extended Validation. Nhưng trang web portfolio đơn giản cũng nên cài SSL cho uy tín. - Traffic Chuyển Hướng (Referral Traffic): Giống SEO, đây là lý do marketing hơn là bảo mật. Nhưng HTTPS cho hình ảnh rõ ràng hơn về referral traffic. Điều hầu hết marketer không nhận ra là dữ liệu referral từ HTTPS sang HTTP bị chặn trong Google Analytics. Vì vậy, nếu trang HTTP nhận referral từ trang HTTPS, dữ liệu được归档 dưới "Direct Traffic" (Traffic trực tiếp).
Điều này gây hiểu lầm nghiêm trọng và có thể dẫn đến quyết định marketing sai lầm. Vì vậy, nếu bạn thắc mắc tại sao Direct Traffic tăng và Referral Traffic giảm trong Google Analytics, đây có thể là lý do quan trọng.
Tiếp Theo Là Gì?
Như bạn có thể thấy, khắc phục vấn đề "WordPress site not secure" phức tạp hơn bạn nghĩ. Cài đặt SSL đúng cách là bước tốt về bảo mật. Nhưng chưa đủ.
Chúng tôi mạnh mẽ khuyến nghị đăng ký MalCare. MalCare là plugin bảo mật WordPress toàn diện tự động quét mã độc. Nếu trang web bị nhiễm hoặc hack, MalCare giúp xóa mã độc một cú nhấp chuột đơn giản.
Bạn cũng nhận được tường lửa WordPress tiên tiến bảo vệ khỏi hacker và bot xấu. Trang bị thuật toán học mạnh mẽ, tường lửa tự động chặn IP độc hại được phát hiện trên 250.000+ trang web MalCare bảo vệ.
Câu Hỏi Thường Gặp (FAQs)
Tại sao trang web WordPress của tôi không an toàn?
Google nói trang web WordPress không an toàn vì trang web không có chứng chỉ SSL hoặc có SSL nhưng cấu hình kém. Cách đơn giản nhất khắc phục lỗi Chrome là cài đặt chứng chỉ SSL. Để bảo mật toàn diện, khuyến nghị cài đặt plugin bảo mật WordPress.
Làm thế nào để làm cho trang web WordPress của tôi an toàn?
Cài đặt chứng chỉ SSL đúng cách theo hướng dẫn. Sau đó cập nhật Google Search Console và Analytics với phiên bản HTTPS. Nhưng đây chỉ là bắt đầu. Nếu bạn nghiêm túc muốn trang web không bị hack, hãy cài đặt MalCare ngay.
Có an toàn khi sử dụng trang web báo "not secure" không?
Câu trả lời ngắn: KHÔNG. Đặc biệt nếu trang web là thương mại điện tử xử lý thông tin tài chính. Trang web không có SSL dễ bị hack hơn và hậu quả nghiêm trọng. Chỉ truy cập trang không an toàn cũng có thể tự động tải mã độc vào máy tính mà bạn không hay biết.
Trang web WordPress có thể bị hack không?
Có. Thực tế, mọi trang web trên internet đều có thể bị hack theo cách này hoặc cách khác. Không có an ninh mạng tuyệt đối. WordPress là nền tảng xây dựng trang web cực kỳ phổ biến và hàng ngày hacker cố gắng hack hàng nghìn trang WordPress. Tuy nhiên, có cách xác định để bảo mật trang web WordPress.
Trang web trên WordPress an toàn đến đâu?
An toàn của trang web WordPress phụ thuộc vào biện pháp bảo mật bạn triển khai. Chúng tôi khuyến nghị thực hiện kiểm tra bảo mật WordPress toàn diện và áp dụng các biện pháp đối phó trong bài viết.