Trước khi phát hành bất kỳ chứng chỉ website nào, đơn vị cấp phải kiểm tra rằng người xin đang kiểm soát tên miền đó. Ba cách phổ biến là: nhận thư tại một hộp thư quy ước của tên miền, thêm một bản ghi do đơn vị cấp đưa vào hệ thống phân giải tên miền (DNS), hoặc đặt một tệp có nội dung cho trước lên máy chủ web. Cách nào cũng hợp lệ; chọn cách nào phụ thuộc vào việc trong công ty ai đang giữ quyền gì.
Bước này áp dụng cho cả chứng chỉ xác minh tên miền lẫn loại xác minh tổ chức. Phần lớn đơn bị treo ở khâu này không phải vì kỹ thuật khó mà vì người xin không có quyền vào chỗ cần làm: hộp thư quản trị không ai đọc, tài khoản quản lý tên miền nằm trong tay bên gia công cũ, máy chủ đứng sau một lớp tường lửa chặn truy cập từ ngoài. Bài giúp bạn chọn đúng cách ngay lần đầu và giữ quyền kiểm soát này lâu dài.
So sánh ba cách xác minh quyền kiểm soát tên miền
Cách gọi tên trên trang của đơn vị cấp có thể khác, nhưng gần như bên nào cũng đưa ra ba nhóm này. Một số bên có thêm vài biến thể ít dùng hơn.
| Cách | Cần quyền gì | Hợp với | Hay vướng ở đâu |
|---|---|---|---|
| Thư tới hộp thư quy ước của tên miền | Đọc được một trong các hộp thư quản trị theo quy ước như admin, administrator, webmaster, hostmaster, postmaster tại chính tên miền | Công ty nhỏ, xin thủ công vài lần một năm | Hộp thư đó chưa từng được tạo, hoặc thư rơi vào thư rác |
| Bản ghi trong DNS | Thêm bản ghi vào vùng tên miền trên dịch vụ DNS | Xin cho nhiều tên miền con, tên miền đại diện dạng ký tự đại diện, gia hạn tự động | Người xin không có quyền vào nơi quản lý DNS |
| Tệp đặt trên máy chủ web | Ghi tệp vào thư mục quy ước trên máy chủ đang phục vụ tên miền | Máy chủ web công khai do chính đội kỹ thuật quản lý | Tên miền chưa trỏ về máy chủ, tường lửa chặn, có lớp chuyển hướng ở giữa |
Với chứng chỉ ký tự đại diện, bao phủ mọi tên miền con ở một cấp, đơn vị cấp thường chỉ nhận cách xác minh qua DNS. Nếu doanh nghiệp định dùng loại này, việc đầu tiên là xác định ai đang giữ quyền DNS.
Xác minh qua email: đơn giản nhưng dễ kẹt nhất
Cách qua thư nghe dễ nhất: đơn vị cấp gửi một đường dẫn hoặc mã tới hộp thư quy ước của tên miền, người nhận bấm xác nhận là xong. Vướng mắc thường nằm ở chỗ những hộp thư như admin hay webmaster tại tên miền công ty chưa từng được tạo, hoặc có nhưng chuyển tiếp vào hộp thư của một nhân viên đã nghỉ. Thư xác nhận nằm đó mà không ai thấy.
Trước đây một số đơn vị cấp còn gửi thư tới địa chỉ liên hệ ghi trong dữ liệu chủ thể tên miền. Cách này đã bị siết lại vì dữ liệu đó thường bị che hoặc không đáng tin, nên đừng trông vào thư liên hệ của nhà đăng ký tên miền. Hãy chủ động tạo một hộp thư quản trị theo quy ước, cho vào một nhóm nhận thư có ít nhất hai người, và kiểm tra bộ lọc thư rác của hệ thống email công ty không chặn thư từ đơn vị cấp.
Một lưu ý về an toàn: thư xác nhận là chìa khoá để người khác được cấp chứng chỉ cho tên miền của bạn. Nếu công ty cho phép nhân viên tự đặt địa chỉ email tuỳ ý, ai đó có thể tự tạo đúng các tên quy ước ấy. Quy chế quản trị email nên giữ lại các tên này cho bộ phận quản trị, không cấp cho cá nhân.
Xác minh qua DNS: cách bền nhất cho doanh nghiệp
Với cách này, đơn vị cấp đưa cho bạn một chuỗi ký tự ngẫu nhiên; bạn thêm một bản ghi chứa chuỗi đó vào vùng DNS của tên miền, thường là bản ghi văn bản hoặc bản ghi bí danh tại một tên con quy ước. Đơn vị cấp truy vấn DNS từ bên ngoài, thấy đúng chuỗi là coi như bạn kiểm soát tên miền. Sau khi xác minh xong, bản ghi có thể xoá đi nếu không dùng cho gia hạn tự động.
Lợi thế của cách DNS là không phụ thuộc máy chủ web đang chạy ở đâu và hợp với tự động hoá: phần mềm gia hạn có thể thêm và xoá bản ghi qua giao diện lập trình của dịch vụ DNS. Đổi lại, nó đòi người làm có quyền sửa vùng DNS, mà quyền này lại là quyền nặng nhất với một tên miền: ai sửa được DNS có thể chuyển hướng cả website và email của công ty. Không nên giao toàn quyền DNS cho mọi người cần xin chứng chỉ.
Cách dung hoà là uỷ quyền riêng một tên con chỉ dùng cho việc xác minh, hoặc cấp khoá truy cập giới hạn chỉ sửa được loại bản ghi xác minh nếu dịch vụ DNS hỗ trợ. Dù làm cách nào, hãy ghi lại ai có quyền gì trên DNS và rà định kỳ, nhất là sau khi đổi nhân sự hoặc đổi đơn vị làm website.
Xác minh bằng tệp trên máy chủ: những chỗ hay hỏng
Tên miền chưa trỏ về máy chủ mới. Khi chuyển website sang máy chủ mới, nhiều người đặt tệp xác minh lên máy chủ mới trong khi tên miền vẫn trỏ về máy chủ cũ. Đơn vị cấp truy cập theo tên miền nên tìm không thấy tệp. Hoặc trỏ tên miền trước, hoặc dùng cách DNS cho lần chuyển này.
Có lớp trung gian ở giữa. Website đứng sau dịch vụ phân phối nội dung hoặc tường lửa ứng dụng có thể chặn, lưu đệm hay chuyển hướng đường dẫn tới thư mục quy ước. Cần cấu hình cho đường dẫn đó đi thẳng tới máy chủ gốc, hoặc chọn cách xác minh khác.
Chuyển hướng sang trang khác. Website ép mọi đường dẫn về trang chủ hoặc trang đăng nhập làm tệp xác minh không bao giờ tới tay đơn vị cấp. Kiểm bằng cách mở đường dẫn tới tệp từ một mạng bên ngoài trước khi bấm xác minh.
Máy chủ chỉ mở trong mạng nội bộ. Đơn vị cấp đứng ngoài Internet, nên máy chủ chỉ truy cập được trong công ty thì cách đặt tệp không dùng được. Chứng chỉ cho hệ thống nội bộ là một bài toán riêng, xem bài về máy chủ nội bộ.
Nhiều tên miền con, nhiều máy chủ. Mỗi tên trong chứng chỉ phải xác minh riêng. Nếu các tên con nằm trên những máy chủ khác nhau, đặt tệp trên từng máy rất dễ sót; cách DNS gọn hơn.
Bản ghi CAA: chỉ định ai được cấp chứng chỉ cho tên miền của bạn
Bản ghi CAA là một loại bản ghi DNS cho phép chủ tên miền khai báo những đơn vị cấp nào được phép phát hành chứng chỉ cho tên miền đó. Theo quy tắc chung của ngành, đơn vị cấp phải kiểm tra bản ghi này trước khi phát hành; nếu tên của họ không có trong danh sách, họ phải từ chối. Đây là một lớp chặn đơn giản trước việc người khác xin chứng chỉ cho tên miền của bạn qua một đơn vị cấp mà bạn không dùng.
Bản ghi CAA cũng là lý do một số đơn bị từ chối mà người xin không hiểu vì sao: bộ phận kỹ thuật cũ từng đặt bản ghi chỉ cho phép một đơn vị cấp, giờ công ty đổi sang đơn vị khác mà quên sửa. Khi đổi đơn vị cấp, hãy coi việc cập nhật bản ghi CAA là một bước trong kế hoạch chuyển.
Bản ghi này còn có thể kèm địa chỉ nhận báo cáo khi có yêu cầu bị từ chối, giúp bộ phận quản trị biết có ai đang thử xin chứng chỉ cho tên miền của mình. Không có bản ghi CAA thì mặc định đơn vị cấp nào cũng được phát hành, sau khi xác minh xong.
Theo dõi ai đang xin chứng chỉ cho tên miền của bạn
Mọi chứng chỉ website được trình duyệt tin hiện nay đều phải được ghi vào các nhật ký minh bạch chứng chỉ, là những sổ công khai chỉ cho ghi thêm, không cho sửa. Ai cũng tra được trong các sổ này những chứng chỉ đã cấp cho một tên miền: cấp lúc nào, đơn vị nào cấp, bao gồm những tên con nào. Doanh nghiệp có thể dùng đúng cơ chế đó để kiểm tra xem có chứng chỉ nào được cấp cho tên miền của mình mà mình không hề đặt.
Cách làm đơn giản nhất là định kỳ tra tên miền chính trên một công cụ tra nhật ký minh bạch, hoặc đăng ký nhận cảnh báo khi có chứng chỉ mới, tính năng mà nhiều dịch vụ giám sát cung cấp. Thấy một chứng chỉ lạ, việc đầu tiên là hỏi nội bộ và đơn vị gia công xem có ai xin không; nếu không ai nhận, liên hệ đơn vị đã cấp qua kênh báo cáo sự cố của họ và rà lại ai đang giữ quyền DNS, hộp thư quản trị và máy chủ web.
Mặt trái của sự minh bạch này là tên các tên miền con cũng trở thành công khai. Một tên như máy chủ thử nghiệm hay cổng quản trị nội bộ, một khi đã có chứng chỉ công cộng, sẽ hiện trong nhật ký cho bất kỳ ai tra. Khi đặt tên con cho hệ thống nhạy cảm, hãy nhớ điều này trước khi xin chứng chỉ.
Thiết lập để công ty luôn tự xác minh được tên miền của mình
Mục tiêu là bất kể ai nghỉ việc hay đổi đơn vị gia công, doanh nghiệp vẫn tự xin được chứng chỉ cho tên miền của mình trong một buổi.
- Kiểm tra chủ thể tên miền đứng tên doanh nghiệp, tài khoản tại nhà đăng ký tên miền dùng email chung của công ty, không phải email cá nhân.
- Lập danh sách nơi quản lý DNS cho từng tên miền, ai có quyền quản trị, ai có quyền hạn chế; tối thiểu hai người phía doanh nghiệp có quyền quản trị.
- Tạo hộp thư quản trị theo quy ước cho mỗi tên miền chính, gom về một nhóm nhận thư; giữ các tên đó không cấp cho cá nhân.
- Quyết định cách xác minh mặc định cho từng loại chứng chỉ, ghi vào quy trình nội bộ.
- Đặt bản ghi CAA phù hợp với đơn vị cấp đang dùng, ghi chú lý do để người sau không xoá nhầm.
- Rà lại danh sách quyền mỗi khi có người nghỉ việc hoặc khi kết thúc hợp đồng với đơn vị làm website.
Sáu việc trên không tốn tiền, nhưng thiếu chúng thì đến ngày chứng chỉ sắp hết hạn, doanh nghiệp phải đi xin lại quyền của chính mình từ người khác.
Câu hỏi thường gặp
Xác minh tên miền xong rồi, lần gia hạn sau có phải làm lại không?
Đơn vị cấp được dùng lại kết quả xác minh trong một khoảng thời gian giới hạn theo quy tắc ngành, và khoảng này đang được rút ngắn dần. Vì vậy nên dự tính mỗi lần gia hạn đều có thể phải xác minh lại, và chọn cách xác minh tự động hoá được như DNS.
Không có quyền DNS vì tên miền do đơn vị gia công cũ quản lý thì làm sao?
Nếu doanh nghiệp đứng tên chủ thể tên miền, bạn có quyền yêu cầu nhà đăng ký chuyển tài khoản quản lý về doanh nghiệp theo thủ tục của họ. Trong lúc chờ, có thể dùng cách đặt tệp trên máy chủ web nếu máy chủ do bạn kiểm soát.
Thư xác minh không tới hộp thư admin thì kiểm tra gì trước?
Kiểm tra hộp thư đó có thật sự tồn tại và nhận được thư từ ngoài không, xem mục thư rác, xem quy tắc chuyển tiếp có đẩy thư sang người đã nghỉ việc không. Nếu vẫn không thấy, đổi sang cách xác minh qua DNS thay vì yêu cầu gửi lại nhiều lần.
Có nên để bản ghi xác minh trong DNS mãi không?
Bản ghi xác minh một lần thì xoá sau khi chứng chỉ đã cấp cho gọn vùng DNS. Riêng cấu hình cho gia hạn tự động, ví dụ bản ghi bí danh trỏ sang một tên con dành riêng, có thể giữ lâu dài nhưng phải ghi chú rõ mục đích để người sau không xoá nhầm.
Bản ghi CAA đặt sai có làm website ngừng chạy không?
Không, bản ghi CAA chỉ được kiểm tra lúc đơn vị cấp phát hành chứng chỉ, không ảnh hưởng chứng chỉ đang dùng. Nhưng nếu đặt sai, lần gia hạn tới sẽ bị từ chối, và nếu không ai theo dõi thì chứng chỉ có thể hết hạn trước khi ai đó nhận ra.
Ai trong công ty nên giữ quyền xác minh tên miền?
Nên là bộ phận quản trị hoặc IT của doanh nghiệp, có ít nhất hai người. Đơn vị gia công có thể được cấp quyền hạn chế theo hợp đồng, nhưng quyền quản trị cao nhất với tên miền và DNS luôn phải nằm trong tay doanh nghiệp.