Giữa năm 2025, Google thông báo hai nhà cấp chứng chỉ sẽ không còn được Chrome tin mặc định. Hai đơn vị đó là Chunghwa Telecom của Đài Loan và Netlock của Hungary. Ranh giới được đặt rất cụ thể. Mọi chứng chỉ xác thực máy chủ do hai bên này cấp sau ngày 31/7/2025, tính theo giờ quốc tế, đều mất hiệu lực tin cậy. Quy định bắt đầu áp từ Chrome phiên bản 139.
Chứng chỉ cấp trước mốc đó vẫn được chấp nhận cho tới ngày hết hạn. Cách chia này giúp các site đang chạy không sập ngay, nhưng cũng đặt một hạn chót lặng lẽ cho mỗi chứng chỉ cũ.
Không phải một sự cố, mà là một chuỗi
Lý do Google đưa ra không gắn với một vụ cấp sai cụ thể nào. Hãng mô tả đó là những mẫu hành vi đáng lo quan sát được suốt năm trước. Bản giải thích nêu ba thứ đi cùng nhau. Các lần không tuân thủ lặp lại, và những cam kết cải thiện không được thực hiện. Thứ ba là thiếu tiến bộ đo đếm được sau các báo cáo sự cố đã công khai.
Cách diễn đạt đó nghe ngoại giao, nhưng ý thì rõ. Chương trình kho gốc của Chrome không đánh giá một nhà cấp chứng chỉ bằng một lần vấp, mà bằng cách họ phản ứng sau khi vấp. Bên nào báo cáo chậm, hứa rồi để đó, hoặc lặp lại cùng một lỗi thì mất điểm dần. Tới một ngưỡng, hãng rút hẳn niềm tin thay vì tiếp tục nhắc.
Hậu quả với trang web dùng chứng chỉ bị loại
Khi người dùng mở một trang phục vụ chứng chỉ thuộc diện bị loại, Chrome dựng trang cảnh báo nguy cơ an ninh chiếm trọn màn hình. Không phải biểu tượng nhỏ ở thanh địa chỉ, mà là một rào chặn thật sự. Người dùng bình thường sẽ quay ra chứ không bấm tiếp. Với một trang bán hàng, đó là mất khách chứ không phải phiền toái nhỏ.
Cảnh báo xuất hiện trên Chrome bản Windows, Linux, macOS, Android và ChromeOS. Bản iOS nằm ngoài danh sách, vì trên nền tảng đó Chrome mượn kho gốc của hệ điều hành. Chi tiết nhỏ ấy nói lên một điều lớn hơn: cùng một chứng chỉ có thể bị chặn ở máy này và lọt ở máy kia.
Ba mốc trong cùng một hướng siết
Việc loại hai nhà cấp chứng chỉ chỉ là một phần. Từ ngày 15/6/2026, Chrome ngừng tin các chứng chỉ lá cấp mới mang đồng thời hai mục đích sử dụng, xác thực máy chủ và xác thực máy khách. Cùng mốc đó, mọi chứng chỉ trung gian mới khai báo dưới một gốc trong kho của Chrome cũng phải mang duy nhất mục đích xác thực máy chủ.
Từ ngày 1/7/2026, một số gốc tin cậy cũ của DigiCert bị gỡ khỏi kho gốc Chrome. Lý do là chúng không phải gốc chuyên dụng cho TLS. Ngoài chứng chỉ trung gian cho TLS, chúng còn từng cấp chứng chỉ ký mã và chứng chỉ đóng dấu thời gian. Chứng chỉ phát hành từ các gốc này trước mốc đó vẫn dùng được tới khi hết hạn.
Nấc cuối rơi vào ngày 15/3/2027. Từ đó, mọi chứng chỉ lá cấp mới nối về một gốc được Chrome tin đều phải mang duy nhất mục đích xác thực máy chủ, không còn ngoại lệ. Ba mốc, một hướng: mỗi gốc tin cậy chỉ làm một việc, và nhà cấp phải giữ kỷ luật tuân thủ chặt hơn trước.
Mua qua đại lý thì ít ai biết chuỗi tin cậy
Doanh nghiệp Việt phần lớn mua chứng chỉ qua đại lý trong nước. Không phải lúc nào cũng biết chứng chỉ mình đang dùng thuộc chuỗi tin cậy của ai. Câu hỏi chứng chỉ này do gốc nào cấp thường không có trong quy trình mua, dù nó quyết định trang có mở được hay không. Người mua nhìn giá và thời hạn, hết.
Trường hợp đáng lo hơn là các chứng chỉ mang cả hai mục đích sử dụng. Chúng khá phổ biến trong môi trường doanh nghiệp, vì tiện. Cùng một chứng chỉ dùng cho máy chủ web và cho xác thực thiết bị đầu cuối, đỡ phải quản hai bộ. Mốc 15/6/2026 sẽ khiến những chứng chỉ cấp mới theo kiểu đó vô dụng trên Chrome, nên việc tách làm hai nên tính từ bây giờ.
Cũng nên nhớ rằng mỗi trình duyệt giữ một kho gốc riêng. Chrome, các trình duyệt của Apple và Firefox không nhất thiết quyết định giống nhau, và cũng không quyết định cùng lúc. Một chứng chỉ bị Chrome loại vẫn có thể còn được chấp nhận ở nơi khác thêm một thời gian. Kiểm thử vì thế phải chạy trên nhiều trình duyệt; thử trên máy của mình là chưa đủ.
Chứng chỉ hợp lệ về mặt kỹ thuật mà trình duyệt không tin thì với khách hàng vẫn là trang hỏng. Mọi mốc kể trên đều đã công bố trước hàng tháng trời. Loại rủi ro có lịch sẵn như vậy thì nên biết trước, đừng để khách báo lại.
