SSL Certificate Decoder

Tính năng nổi bật

• Kiểm tra SSL certificate nhanh chóng chỉ với domain name, dán cả URL đầy đủ cũng được
• Hỗ trợ tên miền tiếng Việt có dấu (IDN), tự chuyển sang dạng punycode xn-- trước khi kết nối
• Hiển thị thời hạn còn lại với cảnh báo màu sắc trực quan
• Xem thông tin nhà phát hành (Issuer) chi tiết
• Hiển thị phiên bản TLS thực tế thương lượng được với server (TLS 1.2 hoặc TLS 1.3)
• Hiển thị độ dài khóa kèm thuật toán: RSA 2048/4096 bit hoặc ECDSA 256/384 bit
• Xem serial number và fingerprint SHA256
• Liệt kê Subject Alternative Names (SAN), tức mọi tên miền mà chứng chỉ bảo vệ
• Ngày hiệu lực hiển thị kèm giờ phút theo giờ Việt Nam (GMT+7)
• Cảnh báo khi SSL sắp hết hạn (dưới 30 ngày)
• Phát hiện SSL đã hết hạn, tự ký, thiếu chứng chỉ trung gian hoặc không khớp tên miền, kèm mã lỗi gốc
• Hỗ trợ kiểm tra mọi domain công khai
• Giao diện thân thiện với kết quả dễ đọc

Tại Sao Cần Kiểm Tra SSL Certificate Định Kỳ?

SSL certificate là yếu tố bảo mật quan trọng nhất của website. Khi SSL hết hạn, browser sẽ hiển thị trang cảnh báo toàn màn hình kiểu 'Kết nối của bạn không phải là kết nối riêng tư' khiến người dùng mất niềm tin và rời khỏi trang. Google đã xác nhận HTTPS là một tín hiệu xếp hạng, dù chỉ là tín hiệu nhẹ, nhưng một chứng chỉ lỗi thì gây hại trực tiếp hơn nhiều: Googlebot và người dùng đều không vào được trang. Kiểm tra SSL định kỳ giúp bạn: phát hiện sớm chứng chỉ sắp hết hạn để gia hạn kịp thời, đảm bảo cấu hình TLS đúng chuẩn bảo mật mới nhất, xác minh nhà phát hành đáng tin cậy, và tránh gián đoạn dịch vụ do SSL lỗi. Đặc biệt với các website thương mại điện tử, SSL là bắt buộc để xử lý thanh toán online. Việc kiểm tra càng quan trọng hơn từ năm 2026 vì thời hạn tối đa của chứng chỉ đang được rút ngắn dần, số lần gia hạn mỗi năm tăng lên và mỗi lần gia hạn là một lần có thể xảy ra sự cố.

Lợi ích khi sử dụng

• •Đảm bảo website luôn an toàn với SSL hợp lệ
• •Tránh mất khách hàng do cảnh báo 'Not Secure'
• •Gia hạn SSL kịp thời trước khi hết hạn
• •Kiểm tra cấu hình bảo mật TLS đúng chuẩn
• •Xác minh nhà phát hành SSL đáng tin cậy
• •Cải thiện SEO với HTTPS được Google ưu tiên
• •Bảo vệ dữ liệu người dùng khỏi tấn công MITM
• •Tuân thủ các quy định bảo mật như PCI DSS
• •Xác nhận ngay sau khi cài hoặc gia hạn rằng server đã thực sự trả về chứng chỉ mới, không còn giữ bản cũ trong bộ nhớ

Hướng Dẫn Sử Dụng SSL Certificate Decoder

1. 1Nhập domain cần kiểm tra vào ô input (ví dụ: example.com)
2. 2Có thể nhập cả URL đầy đủ, tool sẽ tự động trích xuất domain
3. 3Nhấn nút 'Kiểm tra' hoặc Enter để bắt đầu
4. 4Đợi vài giây để tool kết nối và lấy thông tin SSL
5. 5Xem kết quả với trạng thái màu: xanh (hợp lệ), vàng (sắp hết hạn), đỏ (hết hạn)
6. 6Kiểm tra các thông tin chi tiết: Issuer, Valid From/To, Protocol, Key Size, Fingerprint

Các Thông Tin SSL Certificate Quan Trọng

Issuer: Nhà phát hành chứng chỉ (Let's Encrypt, DigiCert, Sectigo, trước đây mang tên Comodo, GlobalSign...). Valid From/To: Thời gian hiệu lực của chứng chỉ. Protocol: Phiên bản TLS đang sử dụng (nên dùng TLS 1.2 hoặc 1.3). Key Size: Độ dài khóa mã hóa (2048 bit RSA là tiêu chuẩn, 4096 bit RSA an toàn hơn, còn khóa ECDSA 256 bit ngắn hơn nhưng mạnh tương đương khoảng 3072 bit RSA). Serial Number: Mã định danh duy nhất của chứng chỉ do CA cấp. Fingerprint: Dấu vân tay SHA256 tính trên toàn bộ chứng chỉ, dùng để đối chiếu xem hai nơi có đang nhìn thấy cùng một chứng chỉ hay không. Subject Alternative Names: Danh sách tên miền mà chứng chỉ thực sự bảo vệ, trình duyệt hiện đại chỉ dựa vào danh sách này để so khớp tên miền chứ không còn nhìn vào trường Common Name.

Các Loại SSL Certificate Phổ Biến

DV (Domain Validation): Xác minh quyền sở hữu domain, cấp nhanh trong vài phút, phù hợp blog/website cá nhân. OV (Organization Validation): Xác minh tổ chức, tên công ty được ghi trong chứng chỉ, phù hợp doanh nghiệp. EV (Extended Validation): Xác minh mở rộng với quy trình kiểm tra pháp nhân chặt chẽ nhất, phù hợp ngân hàng/thương mại điện tử. Lưu ý rằng thanh địa chỉ màu xanh kèm tên công ty từng gắn với EV đã bị Chrome, Firefox và Safari bỏ từ khoảng năm 2019, nên hiện nay người dùng gần như không phân biệt được EV với DV bằng mắt thường, giá trị của EV nằm ở thông tin pháp nhân trong chứng chỉ. Wildcard: Bảo vệ domain chính và tất cả subdomain một cấp (*.example.com bảo vệ shop.example.com nhưng không bảo vệ a.shop.example.com). Multi-domain (SAN): Một chứng chỉ liệt kê nhiều tên miền khác nhau trong trường SAN.

Công cụ này hoạt động thế nào: kết nối trực tiếp, không cần dán PEM

Khác với các decoder yêu cầu bạn dán khối văn bản bắt đầu bằng -----BEGIN CERTIFICATE-----, công cụ này lấy chứng chỉ trực tiếp từ website. Khi bạn nhập tên miền, máy chủ của công cụ phân giải DNS, từ chối các địa chỉ nội bộ như 10.x, 192.168.x, 127.0.0.1 để tránh bị lợi dụng dò mạng nội bộ, sau đó mở kết nối TLS tới cổng 443 kèm SNI đúng tên miền bạn nhập, giống hệt cách trình duyệt làm. Chứng chỉ mà server trả về trong lần bắt tay đó được giải mã và hiển thị. Ưu điểm của cách này là bạn thấy đúng chứng chỉ đang chạy thật trên production chứ không phải file nằm trên máy mình, nên rất hợp để xác nhận sau khi gia hạn. Giới hạn cần biết: công cụ hiện chỉ kiểm tra cổng 443, chỉ hiển thị chứng chỉ lá (leaf) của website chứ không liệt kê từng chứng chỉ trung gian trong chuỗi, không nhận nội dung PEM hay file DER do bạn dán hoặc tải lên, và không kiểm tra được website nội bộ hay domain chưa trỏ DNS công khai.

PEM, DER và chuỗi chứng chỉ: đọc chứng chỉ khi không có website công khai

Chứng chỉ X.509 về bản chất là một cấu trúc nhị phân mã hóa theo chuẩn DER. Định dạng PEM chỉ là DER được mã hóa Base64 rồi bọc giữa hai dòng -----BEGIN CERTIFICATE----- và -----END CERTIFICATE-----, nên hai định dạng chứa cùng một thông tin. File .crt, .cer hay .pem thường là PEM, trong khi .der hoặc một số file .cer xuất từ Windows là nhị phân DER. Một file fullchain.pem của Let's Encrypt chứa nhiều khối BEGIN/END nối tiếp nhau: khối đầu là chứng chỉ của website, các khối sau là chứng chỉ trung gian. Vì công cụ này không nhận PEM dán vào, khi cần đọc một chứng chỉ chưa triển khai hoặc của hệ thống nội bộ, bạn có thể dùng OpenSSL ngay trên máy: lệnh openssl x509 -in cert.pem -noout -text in toàn bộ thông tin của khối đầu tiên, thêm -inform der nếu file ở định dạng DER, và openssl s_client -connect example.com:443 -servername example.com -showcerts in toàn bộ chuỗi mà server gửi về. Cách xử lý ngay trên máy cũng an toàn hơn vì không phải gửi dữ liệu ra ngoài, dù bản thân chứng chỉ vốn là thông tin công khai.

Ví dụ đọc kết quả: số ngày còn lại được tính ra sao

Giả sử bạn kiểm tra vào lúc 12:00 trưa ngày 27/09/2026 theo giờ UTC (tức 19:00 giờ Việt Nam) và chứng chỉ có Valid To là 00:00 UTC ngày 25/12/2026. Khoảng cách giữa hai thời điểm là 88,5 ngày, công cụ làm tròn lên thành 89 ngày nên ô Còn lại hiện 89 ngày màu xanh. Ô Hết hạn hiển thị 07:00 ngày 25/12/2026 (GMT+7) vì 00:00 UTC tương ứng 7 giờ sáng ở Việt Nam. Đây là lý do công cụ luôn ghi rõ múi giờ: chứng chỉ lưu thời điểm theo UTC, nếu chỉ hiện ngày mà không có giờ thì một chứng chỉ hết hạn lúc 20:00 UTC ngày 24 sẽ được người ở Việt Nam hiểu là ngày 25, còn người ở Mỹ vẫn hiểu là ngày 24. Khi số ngày còn lại từ 30 trở xuống, trạng thái chuyển sang màu vàng. Khi số ngày còn lại bằng 0 hoặc âm, hoặc khi chứng chỉ không vượt qua bước xác thực vì bất kỳ lý do gì, trạng thái chuyển sang màu đỏ.

Giải nghĩa các mã lỗi thường gặp trong ô Trạng thái

Khi chứng chỉ không hợp lệ, ô Trạng thái hiển thị mã lỗi gốc do thư viện TLS trả về thay vì một câu chung chung, để bạn biết chính xác cần sửa gì. CERT_HAS_EXPIRED: chứng chỉ đã quá ngày Valid To, cần gia hạn và nạp lại cấu hình web server. CERT_NOT_YET_VALID: ngày Valid From nằm ở tương lai, thường do đồng hồ máy chủ phát hành sai hoặc cài nhầm chứng chỉ. ERR_TLS_CERT_ALTNAME_INVALID: tên miền bạn nhập không nằm trong danh sách SAN, ví dụ chứng chỉ chỉ có example.com mà bạn truy cập www.example.com, hoặc server đang trả nhầm chứng chỉ của website khác dùng chung IP. DEPTH_ZERO_SELF_SIGNED_CERT hoặc SELF_SIGNED_CERT_IN_CHAIN: chứng chỉ tự ký, trình duyệt sẽ không tin. UNABLE_TO_VERIFY_LEAF_SIGNATURE hoặc UNABLE_TO_GET_ISSUER_CERT_LOCALLY: server không gửi kèm chứng chỉ trung gian. Lỗi cuối cùng này rất hay gặp và dễ bị bỏ qua, vì Chrome trên máy tính thường tự tải bù chứng chỉ trung gian nên bạn mở vẫn thấy ổ khóa bình thường, trong khi ứng dụng di động, webhook, API client và một số bot lại báo lỗi. Cách sửa là cấu hình web server dùng file fullchain thay vì chỉ file cert.

Thời hạn chứng chỉ đang ngắn dần và điều đó thay đổi cách bạn quản lý SSL

Diễn đàn CA/Browser Forum, nơi các trình duyệt và tổ chức phát hành chứng chỉ thống nhất quy tắc chung, đã thông qua lộ trình rút ngắn thời hạn tối đa của chứng chỉ công khai: từ 398 ngày xuống 200 ngày áp dụng từ ngày 15/03/2026, xuống 100 ngày từ 15/03/2027 và còn 47 ngày từ 15/03/2029. Nghĩa là trong năm 2026, chứng chỉ trả phí mua theo năm cũng không còn dùng liền một năm được nữa mà phải cấp lại giữa kỳ. Let's Encrypt vốn cấp chứng chỉ 90 ngày nên đã quen với nhịp này. Hệ quả thực tế là gia hạn thủ công bằng tay ngày càng rủi ro, bạn nên chuyển sang tự động hóa qua giao thức ACME (certbot, acme.sh, hoặc tính năng tự gia hạn của hosting và CDN), đồng thời vẫn kiểm tra định kỳ bằng công cụ như trang này, vì tự động hóa cũng có thể thất bại âm thầm khi DNS đổi, tường lửa chặn cổng 80 hoặc web server không được reload sau khi có chứng chỉ mới.

Những gì công cụ này không kiểm tra

Để tránh hiểu sai kết quả, cần biết rõ phạm vi của công cụ. Protocol hiển thị là phiên bản TLS mà máy chủ của công cụ và website thương lượng được trong lần kết nối đó, thường là phiên bản cao nhất cả hai cùng hỗ trợ; nó không liệt kê website còn bật các phiên bản cũ như TLS 1.0 hay 1.1 hay không, và vì phía công cụ chỉ chấp nhận tối thiểu TLS 1.2 nên một website chỉ hỗ trợ TLS cũ sẽ báo lỗi kết nối. Công cụ không chấm điểm cipher suite, không kiểm tra HSTS, OCSP stapling, trạng thái thu hồi chứng chỉ hay lỗi nội dung hỗn hợp (mixed content) trên trang. Kho CA tin cậy mà công cụ dùng để xác thực là kho đi kèm môi trường Node.js dựa trên danh sách của Mozilla, về cơ bản giống trình duyệt nhưng không đảm bảo trùng khớp tuyệt đối với mọi thiết bị cũ. Với một bài kiểm tra cấu hình TLS toàn diện, bạn nên dùng thêm các dịch vụ chuyên sâu chấm điểm cấu hình server.

Câu hỏi thường gặp (FAQ)

Từ khóa liên quan

• kiểm tra SSL
• SSL certificate checker
• SSL decoder
• HTTPS checker
• TLS checker
• certificate expiry
• SSL validator
• website security check
• SSL certificate info
• chứng chỉ bảo mật
• kiểm tra ngày hết hạn SSL
• xem thông tin chứng chỉ SSL
• kiểm tra SAN chứng chỉ
• lỗi thiếu chứng chỉ trung gian
• PEM DER là gì
• kiểm tra phiên bản TLS website
• SSL Let's Encrypt còn hạn không
• fingerprint SHA256 chứng chỉ