HTTPS là gì?
HTTPS (Hypertext Transfer Protocol Secure) là phiên bản mã hóa của HTTP, dùng giao thức TLS để bảo mật dữ liệu trao đổi giữa trình duyệt và máy chủ. Google chính thức xác nhận dùng HTTPS làm tín hiệu xếp hạng từ năm 2014, nhưng đây là tín hiệu nhẹ, trọng số thấp hơn nhiều so với chất lượng nội dung. HTTPS còn gián tiếp hỗ trợ Core Web Vitals nhờ TLS 1.3 và HTTP/2 giảm độ trễ kết nối.
HTTPS là gì?
HTTPS (Hypertext Transfer Protocol Secure) là phiên bản mã hóa của giao thức HTTP, sử dụng TLS (Transport Layer Security — tên gọi hiện đại của SSL) để mã hóa dữ liệu trao đổi giữa trình duyệt và máy chủ. Khi một site chạy HTTPS, trình duyệt hiển thị biểu tượng ổ khóa trên thanh địa chỉ, báo hiệu kết nối đã được mã hóa và xác thực danh tính máy chủ.
Về mặt SEO, HTTPS chính thức trở thành một tín hiệu xếp hạng từ ngày 7/8/2014, khi Google công bố trên Search Central Blog rằng họ “bắt đầu dùng HTTPS làm một tín hiệu xếp hạng.”
HTTPS ảnh hưởng đến thứ hạng như thế nào — theo đúng công bố gốc của Google
Đây là phần nhiều người hiểu sai. Nguyên văn công bố năm 2014 của Google nêu rõ ba điểm quan trọng cần phân biệt rạch ròi:
- Đây là tín hiệu nhẹ (lightweight) — tại thời điểm công bố, chỉ ảnh hưởng đến dưới 1% số lượt tìm kiếm trên toàn cầu.
- Trọng số của tín hiệu này thấp hơn các tín hiệu khác như chất lượng nội dung.
- Google để ngỏ khả năng “sau này có thể quyết định tăng mức độ tác động” — nghĩa là trọng số có thể thay đổi theo thời gian, không cố định.
Nói cách khác: chuyển từ HTTP sang HTTPS gần như không giúp một trang nội dung kém nhảy vọt thứ hạng. Vai trò thực sự của HTTPS gần với một “điều kiện cần” về bảo mật và trải nghiệm người dùng hơn là một đòn bẩy xếp hạng mạnh.
Cách hoạt động: HTTP header thay đổi ra sao
Khi truy cập một trang qua HTTPS, quá trình bắt tay TLS (TLS handshake) diễn ra trước khi bất kỳ dữ liệu HTTP nào được gửi đi. Response header của một trang HTTPS thường bổ sung các chỉ thị bảo mật, ví dụ:
HTTP/2 200 OK
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
Content-Type: text/html; charset=UTF-8Header Strict-Transport-Security (HSTS) yêu cầu trình duyệt luôn kết nối qua HTTPS với domain đó trong thời gian quy định (tính bằng giây, ví dụ 63072000 giây ≈ 2 năm), kể cả khi người dùng gõ nhầm “http://” — giúp ngăn chặn một dạng tấn công gọi là SSL stripping.
Những sai lầm kỹ thuật phổ biến khi chuyển sang HTTPS
Google từng cảnh báo rõ trong hướng dẫn ban đầu, và thực tế triển khai vẫn thường gặp các lỗi sau:
| Lỗi thường gặp | Hậu quả |
|---|---|
| Dùng chứng chỉ dưới 2048-bit | Không đạt chuẩn bảo mật khuyến nghị, một số trình duyệt cảnh báo |
| Chặn crawl trang HTTPS trong robots.txt trong lúc migrate | Googlebot không thể xác nhận và index lại phiên bản HTTPS mới |
| Không chuyển hướng 301 từ HTTP sang HTTPS | Tồn tại song song 2 phiên bản, gây trùng lặp nội dung và loãng tín hiệu |
| Mixed content (tài nguyên HTTP nhúng trong trang HTTPS) | Trình duyệt cảnh báo “không an toàn”, một số tài nguyên bị chặn tải |
Với việc chuyển domain từ HTTP sang HTTPS, Google khuyến nghị xử lý như một lần thay đổi địa chỉ trang web (site move) thực thụ: dùng redirect 301 từng URL tương ứng, không chỉ redirect về trang chủ.
Mixed Content — lỗi phổ biến nhất sau khi bật HTTPS
Mixed content xảy ra khi một trang HTTPS vẫn tải một số tài nguyên (ảnh, script, CSS) qua đường dẫn HTTP tuyệt đối, ví dụ <img src="http://example.com/logo.png">. Trình duyệt hiện đại sẽ tự động chặn tải các tài nguyên “active” (như JavaScript) qua HTTP trên trang HTTPS, có thể làm hỏng giao diện hoặc chức năng. Cách khắc phục phổ biến nhất, đúng như khuyến nghị gốc của Google, là dùng URL tương đối theo giao thức hoặc URL tương đối hoàn toàn thay vì URL tuyệt đối có ghi cứng “http://”.
HTTPS và Core Web Vitals
HTTPS còn có một tác động gián tiếp ít được nhắc tới: TLS 1.3 (phiên bản mới) giảm đáng kể số vòng bắt tay (round-trip) cần thiết so với TLS 1.2 trở về trước, giúp giảm độ trễ kết nối ban đầu. With HTTP/2 (chỉ khả dụng qua HTTPS trên hầu hết trình duyệt), một kết nối có thể tải nhiều tài nguyên song song thay vì tuần tự. Cả hai yếu tố này gián tiếp hỗ trợ các chỉ số trong Core Web Vitals, đặc biệt là thời gian phản hồi máy chủ ban đầu.
Best practices khi triển khai HTTPS cho SEO
- Dùng chứng chỉ TLS với khóa tối thiểu 2048-bit từ một nhà cung cấp uy tín.
- Chuyển hướng 301 toàn bộ URL HTTP sang đúng URL HTTPS tương ứng (không redirect hàng loạt về trang chủ).
- Không chặn crawl các URL HTTPS trong robots.txt trong và sau khi migrate.
- Không thêm thẻ
noindex“tạm thời” rồi quên gỡ sau khi chuyển đổi xong. - Rà soát toàn bộ tài nguyên nội bộ (ảnh, CSS, JS) để loại bỏ mixed content.
- Khai báo lại tài sản (property) HTTPS trong Google Search Console và nộp lại sitemap.
- Cân nhắc bật HSTS sau khi xác nhận toàn bộ site và subdomain đã chạy ổn định trên HTTPS.
Checklist kiểm tra nhanh sau khi migrate HTTP → HTTPS
- Toàn bộ URL HTTP có redirect 301 đúng 1-1 sang HTTPS không?
- Còn mixed content nào trong console trình duyệt (tab Security) không?
- Google Search Console đã ghi nhận property HTTPS và crawl ổn định chưa?
- Chứng chỉ TLS còn hạn, không sắp hết hiệu lực?
Câu hỏi thường gặp
HTTPS có phải là yếu tố xếp hạng quan trọng nhất không?
Không. Theo chính công bố gốc của Google, đây là tín hiệu nhẹ, trọng số thấp hơn nhiều so với chất lượng nội dung. Không nên kỳ vọng thứ hạng cải thiện đáng kể chỉ nhờ chuyển sang HTTPS nếu nội dung không thay đổi.
SSL và TLS có phải là một không?
Về mặt lịch sử là hai giao thức khác nhau — SSL là phiên bản cũ hơn, không còn được khuyến nghị sử dụng vì các lỗ hổng bảo mật đã biết. TLS là phiên bản kế thừa, an toàn hơn. Trong giao tiếp hằng ngày, “chứng chỉ SSL” thường được dùng như cách gọi thông tục cho chứng chỉ TLS.
Nguồn tham khảo
Bạn muốn tra cứu thuật ngữ khác?