Hướng dẫn xác thực chứng chỉ SSL cho tên miền
Hướng dẫn Tên miền & SSL · cập nhật 17/08/2026
Xác thực chứng chỉ SSL là bước chứng minh bạn có quyền với tên miền trước khi nhà cấp phát ký chứng chỉ. Bạn tạo CSR, chọn một trong ba cách xác minh là email, bản ghi DNS hoặc tệp trên hosting, rồi bấm xác thực lại. Làm gọn mất 10 tới 30 phút.
Bạn gặp việc này ngay sau khi mua chứng chỉ trả phí. Đơn hàng ở trạng thái chờ, hộp thư có thư tiêu đề SSL Certificate: configuration required, và chưa có tệp CRT nào để cài. Chứng chỉ chỉ được cấp sau khi khâu xác minh này qua.
- Mở đơn hàng chứng chỉ và bấm Configure Now.
- Tạo CSR với đúng tên miền ở ô Common Name.
- Khai thông tin người quản trị đơn hàng.
- Chọn cách xác minh quyền sở hữu tên miền.
- Hoàn tất cách đã chọn rồi bấm Revalidate.
- Tải CRT, chuỗi trung gian và khoá riêng về máy.
Khoá riêng sinh cùng CSR chỉ tải về được từ trang đơn hàng. Mất khoá riêng thì tệp CRT thành vô dụng, phải phát hành lại chứng chỉ từ đầu. Tải cả ba tệp về một thư mục và giữ lại trước khi đóng trang.
Xác thực chứng chỉ SSL là làm gì và vì sao bắt buộc
Xác thực chứng chỉ SSL, tên kỹ thuật là Domain Control Validation, là khâu nhà cấp phát kiểm bạn thật sự kiểm soát tên miền ghi trong đơn. Không có khâu này thì ai cũng xin được chứng chỉ cho tên miền của người khác rồi dựng trang giả mà trình duyệt vẫn hiện ổ khoá.
Quy tắc của tổ chức CA/Browser Forum bắt mọi nhà cấp phát phải xác minh quyền kiểm soát tên miền trước khi ký. Vì vậy đơn hàng nằm im ở trạng thái chờ cho tới khi bạn làm xong, dù đã thanh toán. Với chứng chỉ chỉ thẩm định tên miền, xác minh xong là chứng chỉ về trong vài phút.
Ba cách xác minh quyền sở hữu tên miền và nên chọn cách nào
Nhà cấp phát cho ba đường: gửi thư tới hộp thư quản trị tên miền, thêm một bản ghi CNAME vào DNS, hoặc đặt một tệp văn bản lên thư mục gốc website. Cả ba cho ra cùng một chứng chỉ, chỉ khác ở chỗ bạn đang nắm quyền gì trong tay.
| Cách xác minh | Cần quyền gì | Thời gian | Hợp khi nào |
|---|---|---|---|
| Đọc được hộp thư admin của tên miền | Vài phút | Bạn nắm hệ thống thư của tên miền | |
| Bản ghi DNS | Sửa được bản ghi tại nơi quản lý tên miền | 15 phút tới vài giờ | Website chưa dựng, hoặc chứng chỉ Wildcard |
| Tệp trên hosting | Tải tệp lên thư mục gốc website | Vài phút | Website đã chạy, bạn có FTP hoặc File Manager |
Chọn cách email khi tên miền đang chạy hệ thống thư và bạn đọc được hộp [email protected]. Chọn bản ghi DNS khi website chưa dựng xong, hoặc khi mua chứng chỉ Wildcard vì loại này thường chỉ nhận đường DNS. Chọn tệp trên hosting khi website đã chạy và bạn có sẵn tài khoản FTP.
Cách tạo CSR đúng cho tên miền cần cấp chứng chỉ
CSR là tệp văn bản chứa tên miền và thông tin tổ chức, gửi kèm khi xin chứng chỉ. Khai sai một trường trong CSR là chứng chỉ ký ra không dùng được cho tên miền của bạn, và phải làm lại từ đầu. Trường quan trọng nhất là Common Name.
1. Mở trang cấu hình đơn hàng
Sau khi đăng ký dịch vụ, bạn nhận thư có tiêu đề SSL Certificate: configuration required kèm đường dẫn cấu hình. Không thấy thư thì đăng nhập trang quản lý dịch vụ, vào mục Dịch vụ đang hoạt động, chọn dịch vụ SSL rồi bấm Configure Now.
2. Chọn kiểu đơn và loại máy chủ
Chọn New Order khi đăng ký mới, chọn Renewal khi gia hạn cho tên miền đã có chứng chỉ. Ở ô Web Server Type, chọn Any Other nếu máy chủ chạy Apache, Nginx hay LiteSpeed. Chỉ chọn IIS khi website nằm trên Windows Server. Bấm Generate CSR.
3. Khai thông tin trong CSR
Biểu mẫu hiện ra với các trường sau:
- Country Name: mã nước hai chữ, Việt Nam là
VN. - State và Locality Name: tỉnh hoặc thành phố, viết không dấu.
- Organization: tên tổ chức. Cá nhân thì ghi tên đầy đủ.
- Organization Unit: tên bộ phận, ví dụ
IT. - Common Name: tên miền cần cấp chứng chỉ. Gõ đúng
example.comnếu là chứng chỉ một tên miền, gõ*.example.comnếu là Wildcard. Gõ nhầm ở đây là hỏng cả đơn. - Email Address: hộp thư liên hệ của đơn.
Bấm Submit. Hệ thống sinh CSR và khoá riêng đi kèm.
4. Khai thông tin quản trị viên
Bấm Nhấn vào đây để tiếp tục rồi điền họ tên, chức danh, số điện thoại và địa chỉ thư của người quản trị đơn. Thông tin này dùng để liên hệ khi đơn có vấn đề, không in vào chứng chỉ. Bấm Click to Continue.
Cách xác minh bằng tệp trên hosting khi website đã chạy
Cách này đặt một tệp văn bản do nhà cấp phát chỉ định vào thư mục gốc website. Máy chủ của họ gọi vào địa chỉ đó, đọc đúng nội dung là xác minh qua. Nhanh và không phải chờ DNS lan, nhưng chỉ dùng được khi website đã chạy và bạn tải tệp lên được.
Chọn HTTP khi website chưa có chứng chỉ, chọn HTTPS khi đang chạy chứng chỉ cũ còn hạn. Bấm Click to Continue rồi quay lại trang chi tiết đơn để lấy thông tin tệp.
Trang chi tiết cho hai thứ:
- Hash File: đường dẫn tệp cần tạo, dạng
ten-mien.com/.well-known/pki-validation/tenfile.txt. Thư mục.well-knowncó dấu chấm đứng đầu, thiếu dấu chấm là sai đường dẫn. - Content: nội dung chép vào tệp đó. Chép đúng, không thêm dòng trống hay khoảng trắng thừa.
Tạo thư mục và tệp qua File Manager của bảng điều khiển, hoặc qua FTP. Chưa có tài khoản FTP trên hosting DirectAdmin thì làm theo hướng dẫn tạo tài khoản FTP trên DirectAdmin trước.
Xong thì dán đường dẫn Hash File vào trình duyệt. Trang phải hiện đúng chuỗi ở phần Content, không phải trang 404 hay trang chủ website.
Quay lại trang đơn và bấm Revalidate. Đợi vài phút rồi tải lại trang.
Cách xác minh bằng bản ghi DNS cho chứng chỉ Wildcard
Cách này thêm một bản ghi CNAME vào vùng DNS của tên miền, giá trị do nhà cấp phát cung cấp. Đây thường là đường duy nhất cho chứng chỉ Wildcard dạng *.example.com, vì không có website cụ thể nào để đặt tệp lên. Cũng dùng được khi website chưa dựng xong.
Chọn DNS ở màn hình phương thức xác minh. Trang chi tiết đơn hiện tên bản ghi và giá trị đích. Vào nơi quản lý DNS của tên miền, thêm bản ghi CNAME với đúng hai giá trị đó rồi lưu. Cách thêm bản ghi xem ở hướng dẫn quản lý DNS cho tên miền.
Bản ghi cần thời gian lan. Đợi 15 tới 30 phút rồi kiểm bằng lệnh dưới đây trên máy tính:
nslookup -type=CNAME _abc123.example.comKết quả trả về đúng giá trị đích nghĩa là bản ghi đã có hiệu lực, khi đó bấm Revalidate trên trang đơn. Bấm sớm quá thì hệ thống báo không tìm thấy bản ghi, đợi thêm rồi bấm lại. Giữ nguyên bản ghi cho tới khi chứng chỉ được cấp, xoá sớm là hỏng lần kiểm cuối.
Cách tải chứng chỉ, chuỗi trung gian và khoá riêng về máy
Xác minh qua thì trang chi tiết đơn hiện đủ ba thứ để cài lên máy chủ. Tải cả ba về một thư mục ngay lúc này, đặt tên rõ ràng theo tên miền và ngày cấp, vì khoá riêng không lấy lại được sau khi rời trang.
| Thành phần | Là gì | Dùng vào đâu |
|---|---|---|
| Certificate (CRT) | Chứng chỉ ký cho tên miền của bạn | Ô Certificate khi cài lên máy chủ |
| Intermediate hoặc Chain | Chứng chỉ trung gian nối tới gốc tin cậy | Ô CA Certificate, thiếu thì điện thoại báo lỗi |
| Private Key | Khoá riêng sinh cùng CSR | Ô Key, không gửi cho ai |
Có đủ ba tệp là sang khâu cài đặt. Hosting chạy DirectAdmin thì làm theo hướng dẫn cài đặt SSL trên DirectAdmin, hosting chạy Plesk thì xem cách cài đặt SSL trên Plesk. Máy chủ Windows chạy IIS cần đổi ba tệp này thành một tệp PFX trước, cách làm ở bài convert chứng chỉ SSL sang PFX.
Xử lý các lỗi thường gặp khi xác thực chứng chỉ SSL
Năm tình huống dưới đây chiếm phần lớn số ca đơn hàng kẹt ở trạng thái chờ. Phần lớn là sai một ký tự trong đường dẫn hoặc bấm xác thực lại quá sớm.
Bấm Revalidate nhiều lần vẫn báo thất bại với cách dùng tệp. Mở đường dẫn Hash File bằng trình duyệt ẩn danh. Ra trang 404 nghĩa là tệp đặt sai thư mục, thường vì tạo thành well-known mà thiếu dấu chấm đầu. Ra trang chủ website nghĩa là có luật chuyển hướng trong .htaccess nuốt mất đường dẫn.
Website chuyển hướng hết sang HTTPS mà chứng chỉ cũ đã hết hạn. Máy chủ kiểm không đọc được tệp vì bị chuyển sang cổng có chứng chỉ lỗi. Thêm luật loại trừ thư mục .well-known khỏi chuyển hướng, hoặc đổi sang cách xác minh bằng bản ghi DNS.
Không nhận được thư xác minh. Hộp thư quản trị của tên miền chưa tồn tại, hoặc thư nằm trong hộp rác. Địa chỉ nhận thư bị giới hạn trong danh sách cố định gồm admin@, administrator@, webmaster@, hostmaster@ và postmaster@, không đổi sang hộp thư khác được. Tạo một trong các hộp đó rồi yêu cầu gửi lại, hoặc chuyển sang cách khác.
Xác minh DNS báo không tìm thấy bản ghi. Bản ghi chưa lan hết, hoặc nhập thừa tên miền vào phần tên bản ghi. Nhiều nơi quản lý DNS tự thêm tên miền vào sau, gõ đủ cả tên miền thành ra _abc123.example.com.example.com. Kiểm bằng lệnh nslookup trước khi bấm Revalidate.
Chứng chỉ cấp xong nhưng tên miền in trong đó bị sai. Ô Common Name lúc tạo CSR gõ nhầm, ví dụ thiếu phần www hoặc thừa https://. Chứng chỉ đã ký không sửa được, phải yêu cầu phát hành lại với CSR mới. Việc này miễn phí trong thời hạn của chứng chỉ.
Việc cần làm sau khi nhận được chứng chỉ
Cất khoá riêng vào nơi an toàn, nên dùng trình quản lý mật khẩu hoặc thư mục có mã hoá. Đừng để trong thư mục Downloads hay gửi qua tin nhắn, ai có khoá riêng là giả mạo được website của bạn ngay cả khi chứng chỉ vẫn hợp lệ.
Ghi ngày hết hạn vào lịch và đặt nhắc trước 30 ngày. Chứng chỉ trả phí không tự gia hạn, hết hạn là trình duyệt chặn khách vào website bằng màn cảnh báo đỏ. Lúc gia hạn phải làm lại đúng quy trình xác minh này, nên giữ bản ghi DNS hoặc tệp xác minh lại thì lần sau nhanh hơn.
Không cần mức thẩm định cao và ngại theo dõi ngày hết hạn thì cân nhắc chứng chỉ tự động miễn phí, cách cài ở bài cài SSL Let's Encrypt trên DirectAdmin. Loại đó tự xin lại trước hạn, đổi lại chỉ thẩm định quyền sở hữu tên miền.