Bạn cần mua 1 CA của 1 tổ chức cung cấp CA nào đó, ví dụ: Viettel, Ban Cơ yếu chính phủ, ... CA từ openssl tự server theo mình biết thì không được trust, nhiều người ko tin tưởng.  

Hi all ! Mình có 1 website bán hàng qua mạng sử dụng php với webserver là apache. Hiện nay mình muốn tích hợp https cho phần thanh toán, tuy nhiên mình chưa biết cách làm như thế nào, mong muốn của mình là chỉ khi khách hàng login thanh toán thì mới sử dụng https, còn các trang khác thì vẫn sài http (giống phần thanh toán của trang www.lazada.vn ) Mong mọi người chỉ giúp Thanks. 

p.n.t wrote:

Hi all ! Mình có 1 website bán hàng qua mạng sử dụng php với webserver là apache. Hiện nay mình muốn tích hợp https cho phần thanh toán, tuy nhiên mình chưa biết cách làm như thế nào, mong muốn của mình là chỉ khi khách hàng login thanh toán thì mới sử dụng https, còn các trang khác thì vẫn sài http (giống phần thanh toán của trang www.lazada.vn ) Mong mọi người chỉ giúp Thanks. 

bạn google với từ khoá: force SSL URL Apache ví dụ: https://www.google.com/#hl=en&safe=off&sclient=psy-ab&q=apache+force+ssl+url&oq=apache+ssl+url&gs_l=hp.1.3.0i30l2j0i8i30l2.2461.5411.2.13620.4.4.0.0.0.0.246.576.2j1j1.4.0.les%3B..0.0...1c.-dz2lw5wNK4&pbx=1&bav=on.2,or.r_gc.r_pw.r_cp.r_qf.&fp=b6fbdf4e16b0ea8&biw=1241&bih=615 tham khảo: http://stackoverflow.com/questions/3307025/force-https-on-certain-urls-and-force-http-for-all-others  

Ý mình ở đây là cách cài đặt https chỉ cho phần thanh toán,ngoài ra các trang khác thì vẫn sài http.Bạn thử vào trang http://www.lazada.vn sẽ thấy: bình thường vẫn truy cập bằng http, nhưng khi đến phần thanh toán sẽ chuyển sang dùng https.Thanks  

Không nên làm như thế này, vì nó gần như phá vỡ những cam kết an toàn của SSL. Nếu đã làm SSL thì nên làm cho toàn bộ site. Xem thêm bài này http://www.troyhunt.com/2011/01/ssl-is-not-about-encryption.html. -m 

Tốc độ chậm lại là một cái myth đã được chứng minh là không có thật. Xem thêm http://www.imperialviolet.org/2010/06/25/overclocking-ssl.html. Còn HVA không áp dụng hết là HVA làm sai :-), nhưng mà thiệt ra HVA cũng không có chứa thông tin gì quan trọng đến mức phải sử dụng SSL. -m 

Với điểm thứ ba, firewall, IDS, logs check, alerts... không thể bảo đảm bảo mật nếu như bất cứ một việc làm nào, một thay đổi nào, một chỉnh sửa nào trên hệ thống mà không thoả mãn được câu hỏi: WHY? "weakest point" trong bảo mật hầu hết là những thiếu sót hoặc những tắc trách ngu xuẩn vì chủ quan hoặc vì không thoả mãn cái WHY kia.