Cài đặt SSL trên IIS 7: tạo CSR và gắn chứng chỉ
Hướng dẫn Tên miền & SSL · cập nhật 10/08/2026
Cài SSL trên IIS 7 gồm hai việc: tạo CSR trên máy chủ rồi nạp chứng chỉ nhận về và gắn vào website. Mỗi việc mất khoảng năm phút, phần chờ lâu nhất là thời gian nhà cung cấp cấp chứng chỉ.
IIS 7 đi cùng Windows Server 2008 và IIS 7.5 đi cùng Windows Server 2008 R2. Cả hai đã hết hỗ trợ từ 14/01/2020, không còn bản vá bảo mật kể cả cho lỗi nghiêm trọng. Bài này giữ cho ai còn máy chủ cũ đang chạy và cần gia hạn chứng chỉ. Bản IIS hiện hành là IIS 10.0 trên Windows Server 2019 và 2022, nếu bạn đang dựng máy chủ mới thì làm trên bản đó.
Có hai đường cài SSL cho IIS và bạn nên biết mình đang đi đường nào trước khi bắt đầu. Bài này là đường thủ công cho IIS 7: tự tạo CSR, mua chứng chỉ, nạp file về rồi gắn tay. Đường còn lại là tự động bằng win-acme trên IIS hiện hành, chứng chỉ Let's Encrypt tự gia hạn mỗi 60 ngày, mô tả trong hướng dẫn cài SSL Let's Encrypt trên Microsoft IIS bằng win-acme.
- Tạo CSR trong IIS Manager và lưu file lại.
- Gửi nội dung CSR cho nhà cung cấp chứng chỉ.
- Nhận file
.cervà nạp vào bằng Complete Certificate Request. - Gắn chứng chỉ vào website qua mục Bindings.
- Mở website bằng https để kiểm tra.
Bài này khác gì hướng dẫn cài SSL trên IIS hiện hành
Hai bài trong kho nói về SSL trên IIS nhưng phục vụ hai tình huống khác nhau. Bài này làm thủ công trên IIS 7, dùng khi bạn có chứng chỉ trả phí mua từ nhà cung cấp và máy chủ chạy hệ điều hành đã hết hỗ trợ. Bài kia làm tự động, chứng chỉ miễn phí, chỉ chạy được trên bản IIS còn được hỗ trợ.
| Điểm khác | Bài này: IIS 7 thủ công | Bài win-acme: IIS hiện hành |
|---|---|---|
| Bản IIS | 7.0 và 7.5, đã hết hỗ trợ | 8.5 trở lên, khuyến nghị 10.0 |
| Loại chứng chỉ | Trả phí mua từ nhà cung cấp | Let's Encrypt miễn phí |
| Cách tạo CSR | Tạo tay trong IIS Manager | Công cụ tự tạo, không phải đụng tới |
| Gia hạn | Làm lại toàn bộ quy trình mỗi lần hết hạn | Tự động mỗi 60 ngày qua tác vụ theo lịch |
| Thời hạn chứng chỉ | Theo gói đã mua, thường 1 năm | 90 ngày, tự gia hạn |
Nếu máy chủ của bạn còn được hỗ trợ, hãy đi đường tự động. Cài tay rồi quên gia hạn là nguyên nhân phổ biến nhất của những ca website báo chứng chỉ hết hạn giữa giờ làm việc.
Cách tạo CSR trên IIS 7
CSR là khối văn bản chứa thông tin tổ chức và khoá công khai, bạn gửi nó cho nhà cung cấp để họ ký và trả về chứng chỉ. Khoá riêng sinh ra cùng lúc và nằm lại trên máy chủ, không bao giờ rời máy. Vì vậy CSR phải tạo đúng trên máy chủ sẽ chạy website.
1. Mở Server Certificates
Vào Start, mở Administrative Tools, chạy Internet Information Services (IIS) Manager. Bấm vào tên máy chủ ở khung trái. Ở khung giữa, bấm đúp vào Server Certificates.
2. Bấm Create Certificate Request
Ở trình đơn Actions bên phải, bấm Create Certificate Request để mở cửa sổ Request Certificate.
3. Nhập thông tin Distinguished Name
Điền sáu ô trong cửa sổ Distinguished Name Properties:
- Common Name: tên miền đầy đủ dạng FQDN mà chứng chỉ sẽ bảo vệ, ví dụ
www.domain.com. Ô này sai là chứng chỉ vô dụng. - Organization: tên công ty hoặc tổ chức, đúng như trên giấy đăng ký kinh doanh.
- Organizational unit: tên bộ phận, thường ghi IT hoặc Web Security.
- City/locality: tên thành phố nơi đặt trụ sở, viết đủ không viết tắt.
- State/province: tên tỉnh hoặc thành phố cấp tỉnh.
- Country/region: mã quốc gia hai chữ, Việt Nam là VN.
4. Chọn độ dài khoá
Ở cửa sổ Cryptographic Service Provider Properties, để mặc định Microsoft RSA SChannel Cryptographic Provider và độ dài khoá 2048.
Đừng chọn 1024, các trình duyệt hiện nay từ chối chứng chỉ có khoá dưới 2048 bit.
5. Lưu file CSR
Đặt tên file và nhớ chỗ lưu. Bạn sẽ mở file này bằng Notepad rồi chép toàn bộ nội dung, gồm cả hai dòng bắt đầu và kết thúc, dán vào biểu mẫu đăng ký của nhà cung cấp chứng chỉ.
Cách nạp chứng chỉ vào IIS 7 sau khi nhận file
Nhà cung cấp gửi về một file nén chứa chứng chỉ, thường đuôi .cer hoặc .crt mang tên miền của bạn. Bạn giải nén rồi nạp file đó vào đúng máy chủ đã tạo CSR, vì khoá riêng nằm ở đó. Nạp trên máy khác là không dùng được.
1. Giải nén file chứng chỉ
Chép file your_domain_name.cer lên máy chủ, để ở một thư mục dễ tìm.
2. Mở Complete Certificate Request
Vào lại IIS Manager, bấm tên máy chủ, bấm đúp Server Certificates. Ở trình đơn Actions, bấm Complete Certificate Request.
3. Trỏ tới file và đặt tên gợi nhớ
Chọn đường dẫn tới file .cer. Nhập tên gợi nhớ cho chứng chỉ, nên đặt trùng tên miền đã đăng ký để sau này dễ nhận ra trong danh sách. Bấm OK.
4. Gắn chứng chỉ vào website
Ở khung trái, chọn website cần bật https. Ở trình đơn Actions, bấm Bindings để mở cửa sổ Site Bindings.
5. Thêm binding https
Bấm Add. Ở danh sách Type chọn https, cổng để mặc định 443. Ở danh sách SSL Certificate, chọn chứng chỉ vừa nạp. Bấm OK.
Kiểm tra chứng chỉ đã chạy đúng chưa
Mở website bằng địa chỉ https trong trình duyệt, thanh địa chỉ phải hiện biểu tượng ổ khoá không kèm cảnh báo. Bấm vào ổ khoá để xem tên miền trên chứng chỉ, ngày hết hạn và tên đơn vị cấp. Ba thông tin này khớp với đơn hàng là cài đúng.
Kiểm tra thêm từ dòng lệnh trên một máy khác, xem chuỗi chứng chỉ có đủ không:
openssl s_client -connect www.domain.com:443 -servername www.domain.comDòng Verify return code: 0 (ok) nghĩa là chuỗi đầy đủ. Nếu báo lỗi về chứng chỉ trung gian, bạn thiếu file intermediate, tải từ nhà cung cấp rồi cài vào kho Intermediate Certification Authorities của máy chủ. Chi tiết cách xác thực nằm ở hướng dẫn xác thực chứng chỉ SSL.
Lỗi hay gặp khi cài SSL trên IIS 7
Ba thông báo lỗi dưới đây chiếm phần lớn số ca cài không xong. Mỗi lỗi có nguyên nhân riêng nên đọc đúng dòng chữ hiện ra là biết rơi vào ca nào, không phải tạo lại CSR để dò.
Cannot find the certificate request associated with this certificate file. A certificate request must be completed on the computer where it was created. Máy chủ không tìm thấy khoá riêng khớp với chứng chỉ. Nếu bạn đang cài đúng trên máy đã tạo CSR thì phần lớn trường hợp cứ bỏ qua thông báo, chứng chỉ vẫn vào danh sách và dùng được. Nếu sau đó không thấy nó trong danh sách, tạo lại CSR và xin cấp lại chứng chỉ.
ASN1 bad tag value met. File chứng chỉ sai định dạng hoặc bị hỏng lúc tải về. Mở file bằng Notepad, nếu không thấy hai dòng BEGIN CERTIFICATE và END CERTIFICATE thì tải lại từ nhà cung cấp.
Trình duyệt báo chứng chỉ không hợp lệ dù đã cài xong. Common Name trên chứng chỉ không khớp tên miền đang gõ, thường là chứng chỉ cấp cho domain.com mà bạn mở www.domain.com. Xin cấp lại chứng chỉ có cả hai tên, hoặc chuyển hướng về đúng tên miền đã ký.
Nên chuyển sang hệ điều hành nào cho máy chủ IIS
Windows Server 2008 R2 hết hỗ trợ từ 14/01/2020, mọi lỗ hổng phát hiện sau mốc đó đều không có bản vá. Máy chủ còn chạy IIS 7 mà mở ra Internet là rủi ro thật, chứng chỉ SSL hợp lệ cũng không bù được điều đó vì SSL chỉ mã hoá đường truyền, không vá lỗ hổng máy chủ.
Hướng chuyển hợp lý là Windows Server 2022 với IIS 10.0, còn được hỗ trợ tới 2031. Sau khi chuyển xong, dùng win-acme để chứng chỉ tự gia hạn thay vì làm tay mỗi năm. Trường hợp bạn cần chuyển chứng chỉ hiện có sang máy mới, xuất ra định dạng PFX theo cách convert chứng chỉ SSL sang PFX cho máy chủ IIS rồi nhập vào máy mới, không cần xin cấp lại.