Cách kiểm tra trang web có chứng chỉ HTTPS đáng tin
HTTPS và ổ khóa chưa chắc là trang an toàn. Hướng dẫn xem chứng chỉ, nhận biết tên miền giả mạo và những dấu hiệu trang web đáng tin trước khi nhập thông tin.
Nhiều người nghĩ cứ thấy biểu tượng ổ khóa cạnh địa chỉ là trang web an toàn. Thực tế, ổ khóa chỉ cho biết kết nối giữa bạn và trang web đã được mã hóa, không đảm bảo chủ trang web là người đáng tin. Trang lừa đảo cũng có thể có HTTPS.
Bài này giúp bạn hiểu HTTPS và chứng chỉ thật sự nói lên điều gì, cách xem chứng chỉ trên Chrome và Edge, và quan trọng hơn là cách nhận ra tên miền giả mạo trước khi nhập mật khẩu hay thông tin thanh toán.
HTTPS và chứng chỉ nói lên điều gì?
HTTPS là phiên bản mã hóa của HTTP. Khi bạn truy cập trang HTTPS, dữ liệu gửi đi (như mật khẩu, số thẻ) được mã hóa, người ở giữa như chủ Wi-Fi công cộng khó đọc trộm.
Chứng chỉ (certificate) do một tổ chức cấp chứng chỉ phát hành, xác nhận rằng khóa mã hóa thuộc về tên miền đang hiển thị. Nghĩa là:
- Chứng chỉ hợp lệ: bạn đang nói chuyện đúng với máy chủ của tên miền đó, và kết nối được mã hóa.
- Chứng chỉ không chứng minh: trang web đó trung thực, an toàn hay thuộc doanh nghiệp bạn nghĩ. Kẻ lừa đảo có thể đăng ký tên miền giống thật và lấy chứng chỉ cho nó.
Vì vậy kiểm tra chứng chỉ chỉ là một trong nhiều lớp, quan trọng nhất vẫn là kiểm tra tên miền.
Cách xem chứng chỉ trên Chrome và Edge
Giao diện thay đổi theo phiên bản, các bước dưới đây áp dụng cho bản mới trên Windows 11.
- Mở trang web cần kiểm tra.
- Bấm vào biểu tượng bên trái thanh địa chỉ (hình ổ khóa hoặc biểu tượng điều chỉnh).
- Chọn Kết nối an toàn (Connection is secure).
- Chọn Chứng chỉ hợp lệ (Certificate is valid) để mở thông tin chứng chỉ.
- Xem các mục: Issued to (Cấp cho) là tên miền, Issued by (Cấp bởi) là tổ chức cấp chứng chỉ, và Valid from/to (Có hiệu lực) là thời hạn.
Tên miền ở mục "Cấp cho" phải khớp chính xác với địa chỉ bạn đang truy cập. Chứng chỉ chưa hết hạn thì càng tốt.
Khi trình duyệt cảnh báo chứng chỉ
Nếu trình duyệt hiện trang đỏ "Kết nối của bạn không phải là kết nối riêng tư" hoặc báo chứng chỉ hết hạn, sai tên miền, đừng bấm tiếp tục để nhập thông tin. Với trang ngân hàng, thương mại điện tử hay đăng nhập tài khoản, hãy dừng lại, kiểm tra lại địa chỉ và đồng hồ của máy. Xem cách chỉnh ngày giờ và múi giờ, vì sai giờ máy cũng gây lỗi chứng chỉ.
Kiểm tra tên miền: bước quan trọng nhất
Trang giả mạo thường chơi chữ ở tên miền. Hãy nhìn kỹ phần chính của địa chỉ, nằm ngay trước đuôi (.com, .vn...) và phía sau các dấu chấm cuối.
- Gõ sai một chữ: viết sai chính tả, thêm hoặc bớt ký tự, thay chữ "l" bằng số "1", chữ "o" bằng số "0".
- Đánh lừa bằng cụm dài: tên thật chỉ là phần cuối, phần dài phía trước chỉ là tên miền phụ do kẻ gian đặt.
- Đuôi lạ: thương hiệu quen thuộc nhưng dùng đuôi miền khác thường.
- Địa chỉ rút gọn: liên kết rút gọn ẩn đích đến thật, nên chưa nên bấm khi chưa rõ nguồn.
Cách an toàn nhất để vào trang quan trọng: tự gõ địa chỉ hoặc dùng ứng dụng chính thức, lưu dấu trang cho nơi hay vào. Đừng bấm liên kết trong tin nhắn, email lạ.
Những dấu hiệu khác cho thấy trang web đáng ngờ
- Giao diện chỉnh chu kém, nhiều lỗi chính tả, hình ảnh mờ.
- Giá rẻ bất thường, khuyến mãi "chỉ hôm nay", thúc ép thanh toán gấp.
- Yêu cầu chuyển khoản vào tài khoản cá nhân thay vì cổng thanh toán rõ ràng.
- Không có thông tin liên hệ, địa chỉ, chính sách đổi trả rõ ràng.
- Cửa sổ quảng cáo bật liên tục hoặc yêu cầu cài phần mềm để xem nội dung.
- Yêu cầu thông tin quá mức cần thiết, như mã OTP, ảnh căn cước, mật khẩu.
Nếu một trang yêu cầu mã OTP hoặc mật khẩu mà bạn không chủ động đăng nhập, hãy dừng ngay. Ngân hàng thật không xin OTP của bạn qua tin nhắn hay điện thoại.
Quy trình kiểm tra nhanh trước khi nhập thông tin
- Địa chỉ có đúng tên miền chính thức không (nhìn từng chữ).
- Có HTTPS và chứng chỉ hợp lệ không.
- Bạn vào trang bằng cách tự gõ hay từ liên kết lạ.
- Trang đang yêu cầu những thông tin gì, có hợp lý không.
- Nếu còn do dự, đóng tab và liên hệ trực tiếp qua số điện thoại, ứng dụng chính thức của đơn vị đó.
Nếu lỡ nhập mật khẩu vào trang đáng ngờ, hãy đổi mật khẩu ngay. Xem cần làm gì khi bị lộ mật khẩu email. Nếu đã tải phần mềm từ trang đó, hãy quét máy theo cách quét virus bằng Windows Security.
Cần hỗ trợ thêm?
Nếu bạn lỡ bấm vào trang lạ và máy có biểu hiện bất thường, hãy mang tới cửa hàng để kỹ thuật viên kiểm tra, xem trang sửa chữa. Chủ cửa hàng hoặc doanh nghiệp muốn website của mình chuẩn HTTPS và đáng tin cũng có thể tham khảo dịch vụ thiết kế website. Hotline/Zalo: 0943.847.333.
Câu hỏi thường gặp
Trang web có ổ khóa HTTPS thì có an toàn không?
Chưa chắc. Ổ khóa chỉ cho biết kết nối được mã hóa. Trang lừa đảo cũng có thể có HTTPS, nên bạn vẫn phải kiểm tra tên miền và nội dung trang.
Trình duyệt báo chứng chỉ không hợp lệ thì có nên vào không?
Không nên nhập thông tin vào trang đó. Hãy kiểm tra lại địa chỉ và ngày giờ của máy, nếu vẫn báo lỗi thì liên hệ chủ trang bằng kênh chính thức.
Làm sao phân biệt trang ngân hàng thật và giả?
Tự gõ hoặc dùng ứng dụng chính thức của ngân hàng, kiểm tra từng chữ trong tên miền và không bấm liên kết trong tin nhắn lạ. Ngân hàng không xin mã OTP của bạn.
Chứng chỉ SSL miễn phí có kém an toàn hơn chứng chỉ trả phí không?
Về mã hóa kết nối thì giống nhau. Chứng chỉ không phản ánh độ uy tín của chủ trang web, nên đừng dùng nó làm tiêu chí duy nhất.
