Giới thiệu về giao thức HTTPS và cách thức hoạt động

Cách đây không lâu mình có làm thông báo gần đây về việc diễn đàn IDVS chuyển sang sử dụng giao thức HTTPS, có nhiều bạn thành viên cũng như bạn bè đã hỏi mình về HTTPS là cái gì, có ăn được không.

I. HTTPS là gì? Có ăn được không?

HTTPS hay còn gọi là giao thức truyền siêu văn bản an toàn cũng là giao thức truyền trên internet bảo vệ dữ liệu của người dùng toàn vẹn và bảo mật giữa máy tính của người dùng và trang web. Chắc chắn là HTTPS không ăn được rồi

​

Ví dụ: khi người dùng nhập dữ liệu vào biểu mẫu trên trang web của bạn để đăng ký nhận cập nhật hay mua một sản phẩm, HTTPS bảo vệ thông tin cá nhân của người dùng đó trong quá trình truyền giữa người dùng và trang web. Người dùng mong đợi trải nghiệm trực tuyến bảo mật khi cung cấp dữ liệu qua một trang web. Google khuyến khích bạn nên sử dụng HTTPS để bảo vệ kết nối giữa người dùng và trang web của bạn.

Dữ liệu được gửi bằng cách sử dụng HTTPS được bảo mật qua giao thức Bảo mật lớp truyền tải (TLS), cung cấp ba lớp bảo vệ chính:

Toàn vẹn dữ liệu - không thể sửa đổi hay làm hỏng dữ liệu trong lúc truyền, cho dù cố ý hay theo cách khác, mà không bị phát hiện.

Mã hóa - mã hóa dữ liệu được trao đổi để bảo mật nó khỏi những người ********. Điều đó nghĩa là trong lúc người dùng duyệt trang web, không ai có thể "lắng nghe" các cuộc hội thoại của họ, theo dõi hoạt động của họ trên nhiều trang hay đánh cắp thông tin của họ.

Gói dữ liệu của HTTPS đã được mã hóa​

Xác thực - chứng minh rằng người dùng của bạn đang giao tiếp với trang web chủ định của họ. Giao thức này bảo vệ chống lại tấn công trung gian và xây dựng niềm tin của người dùng, điều này dẫn đến các lợi ích khác về mặt kinh doanh.

Chứng chỉ bảo mật dành cho tổ chức với dòng chữ xanh lá cây hiển thị tên doanh nghiệp trên trình duyệt.​

II. HTTPS hoạt động như thế nào:

Quá trình giao tiếp giữa Client và Server thông qua HTTPS

01. Client gửi request cho một secure page, có url bắt đầu từ https, ví dụ https://forum.idichvuseo.com
02. Server gửi lại cho client certificate của nó.
03. Client (web browser) tiến hành xác thực certificate này bằng cách kiểm tra (verify) tính hợp lệ của chữ ký số của CA được kèm theo certificate.
Giả sử certificate đã được xác thực và còn hạn sử dụng hoặc client vẫn cố tình truy cập mặc dù Web browser đã cảnh báo rằng không thể tin cậy được certificate này (do là dạng self-signed SSL certificate hoặc certificate hết hiệu lực, thông tin trong certificate không đúng) thì mới xảy ra bước 4 sau.
04. Client tự tạo ra ngẫu nhiên một symmetric encryption key (hay session key), rồi sử dụng public key (lấy trong certificate) để mã hóa session key này và gửi về cho server.
05. Server sử dụng private key (tương ứng với public key trong certificate ở trên) để giải mã ra session key ở trên.
06. Sau đó, cả server và client đều sử dụng session key đó để mã hóa/giải mã các thông điệp trong suốt phiên truyền thông.

Và tất nhiên, các session key sẽ được tạo ra ngẫu nhiên và khác nhau trong mỗi phiên làm việc với server. Ngoài encryption thì cơ chế hashing sẽ được sử dụng để đảm bảo tính Integrity cho các thông điệp được trao đổi.

Video Google I/O 2014 nói về HTTPS​

III. Di chuyển website từ HTTP sang HTTPS ảnh hưởng thế nào đến SEO:

Bên dưới đây là 13 FAQs khi di chuyển website từ HTTP sang HTTPS của John Muller là Webmaster Trends Analyst tại Google. Mình có dịch lại phiên bản tiếng việt để anh em theo dõi.

01. Do I need to set something in Search Console? No, just add the HTTPS site there. The change-of-address setting doesn't apply for HTTP -> HTTPS moves.

Liệu bạn có cần cấu hình gì đó trong Search Console không?

Search Console không hỗ trợ việc di chuyển từ HTTP sang HTTPS, như việc hỗ trợ chuyển từ tên miền này qua tên miền kia. Bạn cần tạo mới hồ sơ về domain và thêm mới url bắt đầu từ HTTPS. Ví dụ https://forum.idichvuseo.com

02. How can we do an A/B test? Don't cloak to Googlebot specifically, use 302 redirects + rel=canonical to HTTP if you want to test HTTPS but not have it indexed. Don't block via robots.txt . More about A/B testing at https://googlewebmastercentral.blogspot.ch/2012/08/website-testing-google-search.html (302 redirects aren't cached.)

Chúng tôi đã làm test A/B như thế nào?

Đừng giấu Googlebot, hãy dùng 302 redirect và rel=canonical đến phiên bản HTTP nếu bạn muốn test HTTPS nhưng không muốn được Google index. Đừng chặn trong tập tin robots.txt.

03. Will the rel=canonical guarantee that the HTTP URL is indexed? No, but it's a very strong signal when picking the indexed URL.

Liệu thuộc tính rel=canonical sẽ đảm bảo url từ HTTP sẽ được lập chỉ mục?

Không, nhưng nó là tín hiệu quan trọng trong việc lập chỉ mục các url. Việc từng pages trên website sử dụng thẻ rel="canonical" gọi đến HTTPS giúp các bộ máy tìm kiếm Index kết quả rõ ràng hơn.

Mã:

<link rel="canonical" href="https://forum.idichvuseo.com"/>

04. What's the next step after testing? Follow our site-move documentation ( https://support.google.com/webmasters/answer/6033049 ). Use 301 redirects from HTTP to HTTPS, confirm the new version by adding a rel=canonical on the HTTPS page, pointing to itself, and submit sitemaps including both HTTP & HTTPS URLs with new change-dates (in the long run, just keep the HTTPS sitemap).

Điều gì sẽ xảy ra sau khi kiểm tra thử nghiệm?

Bạn hãy xem thêm tài liệu về việc di chuyển website tại đây.

Hãy sử dụng chuyển hướng 301 khi chuyển từ HTTP sang HTTPS, hãy xác nhận lại việc đó bằng cách thêm thuộc tính rel=canonical trong các trang HTTPS, và gửi tập tin sitemaps mới lên Search Console.

Chỗ này mình diễn giải thêm để các bạn hiểu là trước khi chuyển qua giao thức HTTPS thì trước đó trong Search Console của Google đã có hồ sơ của website từ giao thức HTTP. Google muốn chúng ta tạo thêm hồ sơ mới dành cho giao thức HTTPS, sau đó submit sitemaps đã được tạo mới các url nội bộ có chứa HTTPS lên Search Console. Google vẫn muốn giữ lại hồ sơ của website từ HTTP chứ không nên xóa nó sau khi đã tạo mới hồ sơ về HTTPS.

Hồ sơ của giao thức HTTP và HTTPS trong Search Console​

05. What about the robots.txt file? The HTTPS site uses the HTTPS robots.txt file. Check that it's reachable or serves a 404 result code, and check that your HTTP URLs aren't blocked by the HTTP robots.txt file.

Còn về tập tin robots.txt thì sao?

Giao thức HTTPS sẽ sử dụng robots.txt từ HTTPS. Ví dụ như https://forum.idichvuseo.com/robots.txt

Tuy nhiên hãy chú ý là tập tin này phải tồn tại và không xuất hiện lỗi 404 từ máy chủ, vã hãy kiểm tra thêm phiên bản robots.txt của giao thức HTTP có chặn url nào hay không.

Tập tin robots.txt dành cho domain sử dụng giao thức HTTPS
https://forum.idichvuseo.com/robots.txt

Tập tin robots.txt dành cho domain sử dụng giao thức HTTP
http://forum.idichvuseo.com/robots.txt

06. Is it OK to have just some pages on HTTPS? Yes, no problem! Start with a part, test it, add more.

Liệu có ổn không khi website chỉ có vài pages chạy giao thức HTTPS?

Không vấn đề gì cả. Hãy bắt đầu bằng 01 phần, thử nghiệm và thêm nhiều pages hơn nữa.

07. Should I move everything together, or is it fine to do sections? Moving in sections is fine.

Khi di chuyển từ giao thức HTTP sang HTTPS thì nên chuyển mọi thứ cùng lúc hay là chuyển từng phần?

Chuyển từng phần cũng được. Nhưng tốt hơn hết là làm 01 lần.

08. Will I see a drop in search? Fluctuations can happen with any bigger site change. We can't make any guarantees, but our systems are usually good with HTTP -> HTTPS moves.

Liệu có khả năng nào website sẽ mất traffic từ bộ máy tìm kiếm?

Tỷ lệ mất traffic từ tìm kiếm có thể xảy ra. Google không đảm bảo được điều gì, tuy nhiên hệ thống xử lý tốt khi di chuyển từ HTTP sang HTTPS.

09. Which certificate do I need? For Google Search, any modern certificate that's accepted by modern browsers is acceptable.

Đối với chứng thực từ HTTPS thì bạn cần làm gì?

Đối với bộ máy tìm kiếm Google, các loại chứng thực từ HTTPS sẽ được chấp nhận từ các trình duyệt hiện đại (mới nhất). Điều này được hiểu là Google sẽ không phân biệt các loại HTTPS, Google chấp nhận HTTPS khi các trình duyệt phổ biến như Chrome, Firefox, Safari chấp nhận nó.

10. Do I lose "link juice" from the redirects? No, for 301 or 302 redirects from HTTP to HTTPS no PageRank is lost.

Liệu bạn có mất backlink khi chuyển hướng từ HTTP sang HTTPS?

Không, đối với chuyển hướng 301 hay 302 để di chuyển từ HTTP sang HTTPS sẽ không mất giá trị Pagerank. Google vô tình tiết lộ chỉ số Pagerank vẫn còn quan trọng, chẳng qua là họ ẩn đi để không còn là thước đo cho việc mua bán liên kết.

11. Will we see search keywords in Google Analytics when we're on HTTPS? This won't change with HTTPS, you can see the search queries in Search Console.

Liệu bạn có thấy các từ khóa trong Google Analytics dưới dạng HTTPS không?

Nó sẽ không có thay đổi nào đối với giao thức HTTPS, bạn có thể thấy truy vấn trong Search Console. Điều này được hiểu là để xem report về traffic hay từ khóa thì không có sự khác nhau giữa HTTP và HTTPS.

12. How can I test how many pages were indexed? Verify HTTP / HTTPS separately in Search Console, use Index Status for a broad look, or the sitemaps indexed counts for sitemap URLs.

Làm thế nào để kiểm tra có bao nhiêu pages đã được Google index?

Đầu tiên bạn cần tạo hồ sơ và xác thực website nếu nó sử dụng HTTP hay HTTPS trong Search Console, xem trạng thái Index và số lượng các url đã được lập chỉ mục trong bảng Sitemaps.

13. How long will a move from HTTP to HTTPS take? There are no fixed crawl frequencies, it depends on the size of your site, and the speed of crawling that's possible. The move takes place on a per-URL basis.

Bao lâu thì việc di chuyển từ giao thức HTTP sang HTTPS xong?

Google nói là họ không chỉnh sửa tần số quét đến website, nó phụ thuộc vào kích cỡ của website lớn hay nhỏ và dĩ nhiên còn có tốc độ quét của Googlebots đối với website đó. Việc di chuyển này ảnh hưởng từng url 01, bạn sẽ thấy có url đã được chuyển sang HTTPS, có url chưa được di chuyển vẫn còn là HTTP.

Bên trên là định nghĩa, giới thiệu, cách thức mà giao thức HTTPS vận hành. Phần tiếp theo mình sẽ hướng dẫn cách cài đặt HTTPS dành cho các loại mã nguồn. Mời các bạn đón xem

 

Bạn chú ý xem lại bài viết của mình, cụ thể nhất là mục III nhé. Search Console không hỗ trợ chuyển hướng từ HTTP sang HTTPS, nó không giống như việc chuyển từ tên miền này sang tên miền khác nhé.