Gia hạn chứng chỉ SSL: Tự động và thủ công

Cách gia hạn chứng chỉ SSL: cài tự động gia hạn Let's Encrypt, gia hạn chứng chỉ trả phí từng bước và chuẩn bị cho thời hạn chứng chỉ ngắn hơn.

Câu hỏi thường gặp

Làm thế nào để gia hạn chứng chỉ Let's Encrypt?

Chạy `sudo certbot renew`. Lệnh này chỉ gia hạn các chứng chỉ sắp hết hạn nên có thể yên tâm đặt chạy theo lịch. Hầu hết bản cài Certbot đã có sẵn tác vụ định kỳ làm việc này, còn `sudo certbot renew --dry-run` sẽ chạy thử quy trình trên máy chủ staging của Let's Encrypt mà không lưu các chứng chỉ thử nghiệm.

Chứng chỉ SSL có hiệu lực bao lâu trong năm 2026?

Theo ballot SC-081v3 của CA/Browser Forum, chứng chỉ được tin cậy công khai bị giới hạn ở 398 ngày cho đến ngày 15/3/2026. Từ ngày đó, mức tối đa là 200 ngày. Mức này giảm còn 100 ngày vào 15/3/2027 và 47 ngày vào 15/3/2029. Một số tổ chức cấp chứng chỉ (CA) cấp thời hạn ngắn hơn mức trần một chút, và Let's Encrypt có lộ trình rút ngắn riêng.

Điều gì xảy ra nếu chứng chỉ SSL của tôi hết hạn?

Trình duyệt sẽ hiện cảnh báo bảo mật toàn trang cho khách truy cập, và nhiều người sẽ không thể tiếp tục nếu không tự bỏ qua cảnh báo. Các ứng dụng gọi API hoặc tích hợp thanh toán, đăng nhập kiểm tra chứng chỉ nghiêm ngặt có thể báo lỗi hoàn toàn. Gia hạn và cài chứng chỉ mới là xử lý được, khách truy cập không cần làm gì khi chứng chỉ mới đã hoạt động.

Gia hạn có giống với mua chứng chỉ mới không?

Với đa số chứng chỉ trả phí, gia hạn thực chất là cấp một chứng chỉ mới cho cùng tên miền, thường kèm xác thực lại và một CSR mới hoặc dùng lại CSR cũ. Một số nhà cung cấp giảm giá hoặc gộp gói cho việc gia hạn, số khác coi đó là một lần mua bình thường. Hãy xem chính sách gia hạn của nhà cung cấp thay vì mặc định sẽ được giảm giá.

Vì sao tự động gia hạn Let's Encrypt của tôi ngừng hoạt động?

Nguyên nhân thường gặp là timer hoặc cron job bị xóa hay tắt, máy chủ web không còn phản hồi yêu cầu xác thực HTTP trên cổng 80, DNS đã thay đổi, hoặc chứng chỉ được tạo bằng tùy chọn manual mà không có authentication hook. Chứng chỉ wildcard cần plugin DNS để tự động gia hạn. Hãy chạy `sudo certbot renew --dry-run` và đọc lỗi được in ra.

Trả lời nhanh: Nếu chứng chỉ của bạn đến từ Let's Encrypt, hãy chạy sudo certbot renew (hoặc để tác vụ định kỳ mà bản cài Certbot đã tạo sẵn tự làm). Nếu bạn mua từ một tổ chức cấp chứng chỉ hoặc nhà bán lại, hãy gia hạn trong trang quản lý của nhà cung cấp đó, xác thực lại tên miền, rồi cài các tệp chứng chỉ mới lên máy chủ hoặc host của bạn. Sau đó kiểm tra ngày hết hạn mới trong trình duyệt. Thời hạn tối đa của chứng chỉ cũng đang ngắn dần, nên bạn tự động hóa càng sớm thì càng ít phải làm thủ công.

Trước tiên: kiểm tra chứng chỉ hết hạn khi nào và ở đâu

Trước khi gia hạn bất cứ thứ gì, hãy xác nhận bạn đang có chứng chỉ nào.

  1. Mở trang web trong Chrome, bấm vào biểu tượng ổ khóa hoặc biểu tượng thông tin trang, mở chi tiết chứng chỉ và ghi lại ngày "Valid to" (có hiệu lực đến) cùng đơn vị cấp (issuer).
  2. Hoặc kiểm tra từ terminal: echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer
  3. Nếu đơn vị cấp là Let's Encrypt, hãy làm theo phần tự động gia hạn bên dưới. Nếu là một đơn vị khác, nhiều khả năng bạn đang dùng chứng chỉ trả phí và cần làm theo các bước gia hạn chứng chỉ trả phí.
  4. Nếu website của bạn chạy trên host được quản lý hoặc trình tạo website, nền tảng thường tự lo việc gia hạn. Hãy tìm mục cài đặt SSL hoặc bảo mật tên miền trước khi động đến các tệp.

Chưa chắc mình đang dùng loại nào? Hướng dẫn về các loại chứng chỉ SSL giải thích chứng chỉ xác thực tên miền, xác thực tổ chức và xác thực mở rộng, còn mục thuật ngữ chứng chỉ SSL là gì trình bày kiến thức cơ bản.

Cách gia hạn phù hợp với bạn

Tình huống của bạnCần làm gìMức công sức
Let's Encrypt qua Certbot trên máy chủ của bạnXác nhận tác vụ định kỳ certbot renew đang chạy, rồi kiểm tra bằng --dry-runThấp, chủ yếu làm một lần
Chứng chỉ từ CA trả phí hoặc nhà bán lạiGia hạn trong trang quản lý của nhà cung cấp, xác thực, cài các tệp mớiThủ công, lặp lại mỗi kỳ
Host được quản lý hoặc trình tạo website có sẵn SSLKiểm tra cài đặt SSL; việc gia hạn thường tự độngRất ít
Chứng chỉ nằm sau CDN hoặc load balancerGia hạn tại CDN hoặc load balancer, không phải ở máy chủ gốcTùy cách thiết lập

Gia hạn chứng chỉ Let's Encrypt (tự động gia hạn)

Chứng chỉ Let's Encrypt được thiết kế để phần mềm tự gia hạn. Tài liệu của Certbot cho biết hầu hết bản cài đặt đã được cấu hình sẵn tính năng tự động gia hạn, thông qua một tác vụ định kỳ chạy certbot renew.

Từng bước thực hiện

  1. Kiểm tra tác vụ định kỳ có tồn tại. Trên máy dùng systemd, chạy systemctl list-timers và tìm timer của Certbot. Trên các hệ thống khác, hãy xem crontab. Tài liệu của Certbot mô tả cả hai nơi này.
  2. Chạy thử (dry run). sudo certbot renew --dry-run kiểm tra việc gia hạn trên máy chủ staging của Let's Encrypt. Lệnh này lấy chứng chỉ thử nhưng không lưu vào ổ đĩa, nên an toàn với website đang chạy.
  3. Sửa những gì nó báo lỗi. Lỗi thường gặp là tường lửa chặn cổng 80, cấu hình máy chủ web không còn phục vụ đường dẫn xác thực, hoặc DNS trỏ sang nơi khác.
  4. Gia hạn ngay nếu cần. sudo certbot renew chỉ động đến các chứng chỉ sắp hết hạn, nên chạy nhiều lần cũng không sao.
  5. Tải lại máy chủ web sau khi gia hạn nếu hệ thống của bạn không tự làm. Certbot hỗ trợ deploy hook, chỉ chạy khi chứng chỉ thực sự được gia hạn.
  6. Xác minh ngày hết hạn mới bằng trình duyệt hoặc lệnh openssl ở trên.

Những trường hợp tự động gia hạn sẽ không tự hoạt động

  • Chứng chỉ tạo bằng tùy chọn --manual của Certbot sẽ không tự gia hạn, trừ khi bạn kết hợp với một script authentication hook.
  • Chứng chỉ wildcard bắt buộc xác thực qua DNS, nên bạn cần plugin DNS cho nhà cung cấp DNS của mình nếu muốn chúng tự gia hạn không cần giám sát.
  • Máy chủ đã được di chuyển, dựng lại hoặc nhân bản thường mất timer hoặc dòng cron dù các tệp chứng chỉ vẫn còn.

Gia hạn theo lịch vẫn dùng được khi thời hạn ngắn lại

Let's Encrypt đã thông báo sẽ chuyển profile "classic" mặc định sang chứng chỉ 64 ngày vào ngày 10/2/2027, rồi sang chứng chỉ 45 ngày vào ngày 16/2/2028. Hướng dẫn của họ là các client không dùng ACME Renewal Information (ARI) không nên gia hạn theo lịch cố định, và việc gia hạn theo chu kỳ cố định 60 ngày sẽ không còn đủ. Lệnh renew của Certbot quyết định dựa trên thời hạn còn lại, đây là cách an toàn hơn. Hãy giữ Certbot luôn được cập nhật và tránh bọc nó trong script chạy theo chu kỳ cố định của riêng bạn. Chi tiết có trong thông báo của Let's Encrypt về thời hạn chứng chỉ.

Gia hạn chứng chỉ SSL trả phí

Chứng chỉ trả phí sẽ không tự gia hạn trừ khi nhà cung cấp hoặc host của bạn đã thiết lập tự động gia hạn. Tên các nút và menu khác nhau tùy nhà cung cấp, nên hãy xem đây là trình tự chung và tra tài liệu của nhà cung cấp để biết chính xác từng màn hình.

  1. Bắt đầu gia hạn trong tài khoản nhà cung cấp. Tìm chứng chỉ gần đến ngày hết hạn và chọn gia hạn (renew), cấp lại (reissue) hoặc đặt mua lại.
  2. Tạo CSR. Nhiều máy chủ và bảng điều khiển có thể tạo yêu cầu ký chứng chỉ (CSR). Một số nhà cung cấp cho phép dùng lại CSR cũ, nhưng tạo cặp khóa mới thường là thói quen tốt hơn.
  3. Hoàn tất xác thực tên miền. Bạn thường được yêu cầu chứng minh quyền kiểm soát qua email gửi đến một địa chỉ được chấp nhận, một bản ghi DNS hoặc một tệp trên website. Chứng chỉ xác thực tổ chức và xác thực mở rộng còn có thể yêu cầu kiểm tra giấy tờ, nên hãy bắt đầu sớm hơn.
  4. Tải các tệp đã được cấp. Thường bạn nhận được chứng chỉ cùng một gói trung gian (chuỗi chứng chỉ).
  5. Cài đặt chúng lên máy chủ, host hoặc CDN, rồi khởi động lại hoặc tải lại máy chủ web.
  6. Kiểm tra. Mở website trong một cửa sổ trình duyệt mới, xem ngày hết hạn và đảm bảo không có cảnh báo "incomplete chain" (chuỗi chứng chỉ không đầy đủ) hay mixed content (nội dung hỗn hợp).
  7. Cập nhật lời nhắc và tắt tự động gia hạn của chứng chỉ cũ nếu bạn đã chuyển nhà cung cấp.

Nếu bạn đang so sánh các nhà cung cấp hoặc muốn biết chi phí gia hạn hợp lý, hãy xem hướng dẫn chi phí chứng chỉ SSL. Tên miền cũng được gia hạn riêng, nội dung này nằm trong hướng dẫn chi phí gia hạn tên miền.

Thời hạn chứng chỉ đang ngắn dần (đã xác minh tháng 11/2026)

CA/Browser Forum đã thông qua ballot SC-081v3 vào tháng 4/2025. Ballot này giảm dần thời hạn tối đa của chứng chỉ TLS được tin cậy công khai:

Cấp vào hoặc sau ngàyThời hạn tối đa
Trước 15/3/2026398 ngày
15/3/2026200 ngày
15/3/2027100 ngày
15/3/202947 ngày

Trên thực tế, bất cứ thứ gì bạn gia hạn thủ công giờ phải xử lý khoảng hai lần mỗi năm, rồi khoảng bốn lần mỗi năm từ tháng 3/2027, và khoảng tám lần mỗi năm vào năm 2029. Thời gian được phép dùng lại kết quả xác thực tên miền cũng ngắn lại, nên bạn không thể dựa vào lần xác thực cũ để bỏ qua một bước. Các giới hạn này áp dụng cho chứng chỉ được tin cậy công khai, còn CA riêng hoặc nội bộ theo quy tắc của họ.

Nếu bạn vẫn đang gia hạn thủ công, các lựa chọn thực tế là chuyển sang CA hoặc host hỗ trợ cấp chứng chỉ tự động (ACME), hoặc đặt một lớp được quản lý như host của bạn hay CDN phía trước website.

Checklist gia hạn SSL

Hãy sao chép danh sách này vào công cụ theo dõi của nhóm bạn:

`` [ ] Liệt kê mọi chứng chỉ: tên miền, đơn vị cấp, ngày hết hạn, nơi đã cài [ ] Ghi rõ ai phụ trách từng lần gia hạn (tên người, không dùng bí danh nhóm) [ ] Đặt nhắc việc trước ngày hết hạn 30 và 14 ngày [ ] Let's Encrypt: xác nhận timer hoặc cron job của Certbot tồn tại [ ] Let's Encrypt: chạy certbot renew --dry-run và xử lý lỗi [ ] Wildcard: xác nhận đã cấu hình plugin hoặc hook DNS [ ] Chứng chỉ trả phí: xác nhận email liên hệ xác thực hoặc quyền truy cập DNS vẫn dùng được [ ] Tạo CSR và khóa mới nếu nhà cung cấp yêu cầu hoặc khuyến nghị [ ] Cài chứng chỉ VÀ cả chuỗi trung gian [ ] Tải lại máy chủ web, CDN hoặc load balancer [ ] Kiểm tra website trong trình duyệt mới và xem ngày hết hạn mới [ ] Kiểm tra các subdomain, www và không www, cùng mọi endpoint API [ ] Xóa chứng chỉ đã hết hạn và gỡ các lời nhắc cũ [ ] Lên kế hoạch cho 200 ngày hiện nay, 100 ngày từ 15/3/2027 ``

Những lỗi thường gặp khi gia hạn

  • Gia hạn nhầm lớp. Nếu CDN hoặc load balancer là nơi kết thúc TLS, việc gia hạn chứng chỉ ở máy chủ gốc sẽ không thay đổi những gì khách truy cập thấy.
  • Quên chuỗi chứng chỉ. Chỉ cài chứng chỉ lá có thể chạy được ở trình duyệt này nhưng lỗi ở trình duyệt khác hoặc ở ứng dụng gọi API.
  • Không tải lại máy chủ. Các tệp mới có thể nằm trên ổ đĩa trong khi máy chủ vẫn phục vụ chứng chỉ cũ.
  • Email xác thực gửi đến nhân viên đã nghỉ việc. Hãy đảm bảo địa chỉ liên hệ luôn có người theo dõi.
  • Chỉ tin vào một lời nhắc. Thông báo lịch dễ bị bỏ qua. Tự động hóa cộng với một công cụ giám sát hết hạn bên ngoài sẽ vững chắc hơn.

Nếu bạn vẫn đang chọn nơi lưu trữ

Dịch vụ lưu trữ đã bao gồm gia hạn SSL sẽ loại bỏ hoàn toàn công việc này. Gói miễn phí của We.Inc cho phép bạn xuất bản tối đa ba website từ các mẫu có sẵn, chẳng hạn Nora Kessler Studio hoặc Greenfield Renewables; trình tạo website bằng AI soạn website từ một lời nhắc bắt đầu ở gói Starter với giá $20 mỗi tháng. Bạn có thể đăng ký tại đây.

Câu hỏi thường gặp

Làm thế nào để gia hạn chứng chỉ Let's Encrypt?

Chạy sudo certbot renew. Lệnh này chỉ gia hạn các chứng chỉ sắp hết hạn nên có thể đặt chạy theo lịch an toàn. Hầu hết bản cài Certbot đã có sẵn tác vụ định kỳ, và sudo certbot renew --dry-run kiểm tra mà không lưu chứng chỉ.

Chứng chỉ SSL có hiệu lực bao lâu trong năm 2026?

Mức trần là 398 ngày cho đến ngày 15/3/2026 và hiện nay là 200 ngày. Mức này sẽ thành 100 ngày vào 15/3/2027 và 47 ngày vào 15/3/2029. Một số tổ chức cấp chứng chỉ cấp thời hạn ngắn hơn mức trần một chút.

Điều gì xảy ra nếu chứng chỉ SSL của tôi hết hạn?

Trình duyệt hiện cảnh báo bảo mật toàn trang, và các ứng dụng gọi API kiểm tra nghiêm ngặt có thể bị lỗi. Cài chứng chỉ đã gia hạn là khắc phục được cho khách truy cập mà họ không cần làm gì.

Gia hạn có giống với mua chứng chỉ mới không?

Thông thường gia hạn là cấp một chứng chỉ mới cho cùng tên miền, kèm xác thực lại. Giá và mức giảm giá khác nhau tùy nhà cung cấp, nên hãy kiểm tra với nhà cung cấp của bạn.

Vì sao tự động gia hạn Let's Encrypt của tôi ngừng hoạt động?

Hãy kiểm tra xem có thiếu timer hoặc dòng cron, cổng 80 bị chặn, DNS thay đổi, chứng chỉ ở chế độ manual không có hook, hoặc wildcard không có plugin DNS hay không. certbot renew --dry-run sẽ hiển thị lỗi cụ thể.

Bắt đầu miễn phí · Không cần thẻ tín dụng

Umair Ali Sadaqat

Nhà sáng lập We.Inc

Umair là nhà sáng lập We.Inc. Anh viết về xây dựng website bằng AI, các agency và việc kinh doanh, vận hành một studio web.

Sẵn sàng tạo nên điều tuyệt vời?

Tham gia cùng 15,000+ doanh nghiệp đang dùng We.Inc để ra mắt, phát triển và tự động hóa, tất cả trên một nền tảng.

Bắt đầu miễn phí

Không cần thẻ tín dụng · Liên hệ bộ phận kinh doanh

Liên quan: Blog

Sản phẩm

Dành cho ai

Tính năng

Tài nguyên

Công ty

Sơ đồ trang