Cấu hình Cloudflare SSL/TLS: Chọn đúng chế độ mã hoá để bảo vệ website toàn diện
Cloudflare SSL/TLS đóng vai trò mã hoá toàn bộ dữ liệu truyền giữa người dùng và website của bạn. Nhưng điều ít người để ý là Cloudflare thực chất quản lý hai kết nối riêng biệt — và việc chọn sai chế độ mã hoá có thể khiến website của bạn “có khoá xanh” nhưng vẫn truyền dữ liệu dạng văn bản thuần (plain text) ở phía sau.
🔐 Hai kết nối mà Cloudflare đang quản lý
Khi một website đặt sau Cloudflare, có 2 đoạn kết nối hoàn toàn tách biệt: kết nối từ người dùng đến Cloudflare, và kết nối từ Cloudflare đến server gốc (Origin server) của bạn. Chế độ mã hoá SSL/TLS quyết định mỗi đoạn này dùng HTTP hay HTTPS.
⚙️ 5 chế độ mã hoá của Cloudflare
🔴 Off (no encryption) — Không khuyến nghị
Mọi yêu cầu HTTPS đều bị chuyển hướng về HTTP thuần. Toàn bộ dữ liệu — bao gồm mật khẩu, thông tin thanh toán — truyền đi không được mã hoá. Chế độ này gần như không nên xuất hiện trên môi trường production.
🟠 Flexible — Bảo mật một phần
Kết nối 1 (Browser ↔ Cloudflare) dùng HTTPS, nhưng kết nối 2 (Cloudflare ↔ Origin) luôn là HTTP — dù người dùng truy cập bằng http hay https. Vì vậy origin server không cần chứng chỉ SSL. Tuy nhiên đoạn đường giữa Cloudflare và server gốc vẫn là văn bản thuần, dễ bị nghe lén nếu hạ tầng trung gian không an toàn.
🔵 Full — Mã hoá hai chiều, không kiểm tra chứng chỉ
Cả 2 kết nối đều dùng HTTPS. Cloudflare kết nối tới origin theo đúng scheme mà client yêu cầu (http hoặc https), và chấp nhận cả chứng chỉ self-signed ở phía origin — nghĩa là không xác thực CA của chứng chỉ gốc.
🟢 Full (strict) — Khuyến nghị cho hầu hết website
Giống Full, nhưng Cloudflare bắt buộc chứng chỉ tại origin phải hợp lệ — được cấp bởi CA công khai đáng tin cậy hoặc Cloudflare Origin CA, còn hạn sử dụng, và Common Name/SAN khớp với hostname. Đây là chế độ Cloudflare khuyến nghị mặc định.
🟢 Strict (SSL-Only Origin Pull) — Cao nhất, dành cho Enterprise
Mọi kết nối đến origin luôn bắt buộc mã hoá TLS. Có thể bổ sung Authenticated Origin Pulls — yêu cầu mọi request đến origin phải được xác thực trước khi nhận phản hồi. Tính năng này chỉ khả dụng cho gói Enterprise.
💡 Khuyến nghị: Nếu origin server của bạn đã có chứng chỉ SSL hợp lệ (hoặc dùng Cloudflare Origin CA), hãy chọn Full (strict) để vừa mã hoá toàn trình, vừa ngăn chặn các kết nối giả mạo đến server gốc.
📋 Các bước cấu hình SSL/TLS trên Cloudflare
Bước 1 — Kiểm tra điều kiện trước khi cấu hình
Trước khi đổi chế độ mã hoá, hãy chắc chắn 2 điều sau:
- Vào DNS → Records, kiểm tra các bản ghi A/AAAA/CNAME cần bảo vệ đang ở trạng thái Proxied (icon mây màu cam)
- Vào SSL/TLS → Edge Certificates, kiểm tra cột Status của chứng chỉ đang là Active
Nếu muốn chọn Full hoặc Full (strict), origin server cần có chứng chỉ SSL hợp lệ — được cấp bởi CA công khai hoặc Cloudflare Origin CA, còn hạn, và Common Name/SAN khớp với hostname.
Bước 2 — Chọn chế độ mã hoá
Đăng nhập Cloudflare dashboard → chọn domain → SSL/TLS → Overview → chọn chế độ mã hoá Full (strict).
Dashboard sẽ hiển thị trực quan sơ đồ Browser → Cloudflare → Origin Server kèm biểu tượng khoá ở từng đoạn, giúp bạn xác nhận đúng chế độ vừa chọn.
Bước 3 — Bật Always Use HTTPS
Vào SSL/TLS → Edge Certificates, tìm mục Always Use HTTPS và chuyển nút gạt sang bật. Cài đặt này tự động redirect mọi request có scheme http sang https cho toàn bộ zone — đảm bảo người dùng không bao giờ vô tình truy cập bản HTTP không mã hoá.
📜 3 loại Edge Certificate — Chọn loại nào cho phù hợp?
1️⃣ Universal SSL
Chứng chỉ miễn phí, Cloudflare tự cấp và tự gia hạn cho mọi domain kích hoạt. Loại Domain Validated (DV), bao phủ cả zone apex và các subdomain cấp một.
- Full DNS Setup: tự động cấp trong 15 phút – 24 giờ
- Partial DNS Setup: chỉ cấp khi record được Proxied, hoặc xác thực ngay nếu thêm DCV record vào DNS gốc
2️⃣ Custom Certificate
Chỉ dành cho gói Business và Enterprise. Áp dụng khi doanh nghiệp muốn dùng chứng chỉ SSL riêng đã mua từ một CA khác (thay vì chứng chỉ do Cloudflare cấp).
Lưu ý: Cloudflare không tự gia hạn — bạn phải tự theo dõi và thay mới trước khi hết hạn để tránh downtime.
3️⃣ Advanced Certificate
Lựa chọn linh hoạt hơn Universal SSL nhưng vẫn được Cloudflare cấp và gia hạn tự động. Yêu cầu mua thêm gói Advanced Certificate Manager Add-on.
Phù hợp khi cần tuỳ chỉnh nhiều hostname, validation method hoặc certificate authority cụ thể.
🔧 Hướng dẫn nhanh: Tải lên Custom Certificate
Vào Cloudflare dashboard → chọn Account → chọn domain → SSL/TLS → Edge Certificates → Upload Custom SSL Certificate. Dán nội dung SSL Certificate và Private Key vào 2 ô tương ứng (định dạng PEM, bắt đầu bằng -----BEGIN CERTIFICATE-----).
Ở Bundle Method, chọn một trong 3 tuỳ chọn:
- Compatible (recommended): tương thích với hầu hết trình duyệt và thiết bị, bao gồm cả thiết bị cũ
- Modern: chỉ tương thích các thiết bị/trình duyệt hiện đại, bảo mật cao hơn
- User Defined: tự định nghĩa chuỗi chứng chỉ trung gian theo yêu cầu riêng
Nếu gặp lỗi liên quan đến key không khớp với chứng chỉ, hãy liên hệ CA đã cấp chứng chỉ để kiểm tra lại cặp key/certificate.
🔄 Cập nhật Custom Certificate đã tồn tại
Vào SSL/TLS → Edge Certificates, tìm chứng chỉ cần thay → bấm icon cờ lê → chọn Replace SSL certificate and key → thực hiện lại các bước upload như trên.
⚠️ Khi nào nên tắt Universal SSL?
Chỉ tắt Universal SSL khi doanh nghiệp đã có Custom Certificate được tải lên thành công, hoặc đã mua Advanced Certificate Manager. Nếu tắt mà không có chứng chỉ thay thế hợp lệ, khách truy cập sẽ không thể vào website qua HTTPS.
Thao tác: SSL/TLS → Edge Certificates → Disable Universal SSL → đọc kỹ cảnh báo tại mục Acknowledgement (ảnh hưởng đến HSTS, Always Use HTTPS, Opportunistic Encryption, Page Rules redirect HTTPS) → tick I understand → Confirm.
🛠️ Đặt mua và tạo Advanced Certificate
Advanced Certificate phù hợp khi bạn cần nhiều quyền tuỳ chỉnh hơn Universal SSL nhưng vẫn muốn Cloudflare tự động cấp và gia hạn. Trước tiên cần mua thêm tiện ích Advanced Certificate Manager Add-on, sau đó vào SSL/TLS → Edge Certificates → Order Advanced Certificate.
Nếu thông tin thanh toán của tài khoản chưa có sẵn trên hệ thống Cloudflare, bạn sẽ cần nhập bổ sung trước khi tiếp tục.
Bạn cần điền 4 thông tin: Certificate Authority (CA cấp chứng chỉ), Certificate Hostnames (tối đa 50 hostname/wildcard), Validation method (chỉ TXT validation hỗ trợ wildcard và CA đã chọn) và Certificate Validity Period (3 tháng hoặc 1 tháng, tự gia hạn trước khi hết hạn). Sau khi điền đủ, bấm Save để hoàn tất.
🗑️ Xoá một chứng thư số khỏi Cloudflare
Vào Cloudflare dashboard → chọn Account → chọn domain → SSL/TLS → Edge Certificates. Tại danh sách chứng thư hiện có (hiển thị Hosts, Type, Status, Expires on), chọn chứng thư cần xoá → bấm Delete Certificate. Hành động này không thể hoàn tác, nên cần chắc chắn không còn dịch vụ nào phụ thuộc vào chứng thư đó trước khi xoá.
🏗️ Origin Certificate Authority (CA) — Mã hoá chặng Cloudflare ↔ Origin
Nếu các chế độ Full (strict) hoặc Strict yêu cầu origin phải có chứng chỉ hợp lệ, thì Origin CA chính là cách nhanh nhất để có chứng chỉ đó miễn phí — do Cloudflare tự ký, chỉ dùng riêng cho việc mã hoá giữa Cloudflare và server gốc, giúp giảm tải băng thông xử lý mã hoá tại origin.
Bước 1 — Tạo Origin Certificate
Đăng nhập Cloudflare dashboard → chọn domain → SSL/TLS → Origin Server → Create Certificate.
Chọn 1 trong 2 cách tạo private key/CSR: để Cloudflare tự sinh (chọn loại key RSA hoặc ECC), hoặc dán CSR tự tạo nếu bạn đã có sẵn.
Bước 2 — Khai báo hostname và thời hạn
Liệt kê các hostname (kể cả wildcard) mà chứng chỉ cần bảo vệ — mặc định đã bao gồm zone apex và wildcard *.example.com. Thêm thủ công các hostname con không nằm trong wildcard nếu cần.
Chọn thời hạn hiệu lực (mặc định 15 năm, có thể giảm xuống 7 ngày, 30 ngày, 90 ngày, 1-3 năm…) rồi bấm Create.
Bước 3 — Chọn Key Format và lưu lại Certificate/Private Key
Chọn định dạng key phù hợp với hệ điều hành máy chủ:
- PEM: dùng cho máy chủ chạy OpenSSL như Apache, Nginx (cũng tương thích file DER nhị phân)
- PKCS#7 (.p7b): dùng cho Windows và Apache Tomcat
- DER: định dạng nhị phân thay thế cho PEM
Sao chép nội dung Origin Certificate và Private Key ra 2 file riêng biệt và lưu lại ngay — vì lý do an toàn, Cloudflare sẽ không lưu trữ và không hiển thị lại Private Key sau khi bạn thoát khỏi màn hình này.
Bấm OK để hoàn tất tạo chứng chỉ.
🖥️ Cài đặt Origin CA Certificate trên Windows IIS
Sau khi có file chứng chỉ .cer, tiến hành cài lên Windows Server (ví dụ IIS 10) theo các bước sau:
Mở Internet Information Services (IIS) Manager từ Windows Start menu → tại cây Connections, click vào tên server → ở trang Homepage, mục IIS, double-click Server Certificates → tại khung Actions bên phải, chọn Complete Certificate Request.
Khai báo lần lượt: File name containing the certification authority’s response (đường dẫn tới file .cer) → Friendly name (tên gợi nhớ cho chứng chỉ) → Select a certificate store chọn Web Hosting → bấm OK.
🔗 Gán chứng chỉ vào website (Assign SSL Certificate)
Tại IIS Manager, mở rộng Sites → chọn website cần bảo mật → ở khung Actions bên phải, mục Edit Site, click Bindings… → trong cửa sổ Site Bindings, bấm Add.
Trong cửa sổ Add Site Binding, cấu hình: Type = https, IP address chọn IP cụ thể hoặc All Unassigned, Port = 443 (cổng chuẩn cho HTTPS), SSL certificate chọn chứng chỉ vừa cài (ví dụ yourdomain.com) → bấm OK.
Sau bước này, danh sách Site Bindings sẽ hiển thị thêm dòng https — 443 bên cạnh dòng http — 80 có sẵn, nghĩa là website đã được cấu hình chấp nhận kết nối an toàn.
🔄 Cập nhật chế độ mã hoá sau khi cài Origin CA
Sau khi origin server đã được bảo vệ bởi chứng chỉ Origin CA (hoặc chứng chỉ được tin cậy công khai), quay lại Cloudflare dashboard → SSL/TLS và chuyển chế độ mã hoá sang Full (strict) để tận dụng tối đa lớp bảo vệ end-to-end vừa thiết lập.
🚫 Thu hồi một chứng chỉ Origin CA
Nếu thất lạc private key hoặc không còn muốn một chứng chỉ Origin CA nào đó được tin cậy nữa, bạn có thể thu hồi (revoke) nó — nhưng không thể hoàn tác hành động này.
Quan trọng: trước khi thu hồi, hãy chuyển chế độ mã hoá SSL/TLS sang Full hoặc Flexible (toàn zone, hoặc riêng hostname đó qua Page Rule) — để tránh khách truy cập gặp cảnh báo chứng chỉ không an toàn ngay sau khi thu hồi.
Thao tác: vào SSL/TLS → Origin Server, tại mục Origin Certificates, chọn chứng chỉ cần thu hồi → bấm Revoke.
💡 Tổng kết nhanh từ Next Step
- Mặc định nên dùng Full (strict) nếu origin có chứng chỉ hợp lệ — bảo mật cao nhất mà không cần thêm chi phí
- Luôn bật Always Use HTTPS để tránh người dùng vô tình truy cập bản không mã hoá
- Dùng Origin CA Certificate miễn phí nếu chưa có chứng chỉ SSL ở origin — đủ điều kiện để bật Full (strict)
- Chỉ chuyển sang Custom/Advanced Certificate khi có yêu cầu nghiệp vụ cụ thể (CA riêng, nhiều hostname, gói Business/Enterprise)
- Trước khi Disable Universal SSL hoặc Revoke Origin CA, đảm bảo chứng chỉ thay thế đã hoạt động — tránh downtime ngoài kế hoạch
Cần hỗ trợ cấu hình SSL/TLS?
Đội ngũ Next Step hỗ trợ cấu hình chế độ mã hoá, chứng chỉ Edge và Origin phù hợp với hạ tầng của bạn — liên hệ (+84) 933 810 688 hoặc [email protected].