Kiểm tra SSL và header bảo mật website

Hướng dẫn chi tiết

Chứng chỉ SSL miễn phí, tự gia hạn

Chứng chỉ của Let's Encrypt miễn phí, hạn ngắn và được công cụ certbot tự gia hạn. Lỗi hay gặp nhất ở website nhỏ là quên gia hạn (cron certbot hỏng, đổi máy chủ) khiến khách thấy cảnh báo đỏ. Nếu dùng Cloudflare, đặt SSL/TLS ở chế độ Full (strict) và cài chứng chỉ ở máy chủ gốc, đừng dùng chế độ Flexible (đoạn Cloudflare → máy chủ không mã hoá).

Ý nghĩa từng header

• Strict-Transport-Security (HSTS): bảo trình duyệt chỉ vào trang bằng https trong thời gian max-age, chống bị hạ xuống http trên Wi-Fi công cộng.
• Content-Security-Policy (CSP): danh sách nguồn được phép tải script, ảnh, khung… Là lớp chống chèn mã độc (XSS) mạnh nhất, nhưng cần thử kỹ.
• X-Frame-Options / frame-ancestors: không cho trang lạ nhúng website của bạn để lừa người dùng bấm (clickjacking).
• X-Content-Type-Options: nosniff: trình duyệt không tự đoán loại file.
• Referrer-Policy: kiểm soát đường dẫn gửi sang trang khác khi người dùng bấm link ra ngoài.
• Permissions-Policy: tắt camera, micro, vị trí… với những trang không dùng.

Thêm header trên nginx

Đặt trong khối server { } của https, nhớ chữ always để header có cả ở trang lỗi. Lưu ý nginx chỉ kế thừa add_header từ khối ngoài khi khối trong (location) không có add_header nào.

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
server_tokens off;
ssl_protocols TLSv1.2 TLSv1.3;

Thêm header trên Apache

Bật mod_headers (a2enmod headers), đặt trong VirtualHost *:443 hoặc .htaccess:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set X-Content-Type-Options "nosniff"
Header always set Referrer-Policy "strict-origin-when-cross-origin"
Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"

Trên Cloudflare

• SSL/TLS → Edge Certificates: Always Use HTTPS, HSTS, Minimum TLS Version 1.2.
• Rules → Transform Rules → Modify Response Header: thêm từng header ở trên (Set static).
• Managed Transforms → Add security headers: thêm sẵn một số header cơ bản.