TLS 1.3: thay đổi điều gì và cách kiểm tra
Cập nhật 2026-11-03 · 6 phút đọc
TLS 1.3 là bản sửa đổi giao thức đầu tiên trong một thập kỷ loại bỏ tính năng thay vì thêm vào. Đó là lý do nó nhanh hơn và khó cấu hình sai hơn — và cũng là lý do một máy chủ chỉ nói TLS 1.2 không thể đạt điểm cao nhất.
Điều gì đã thay đổi so với TLS 1.2
TLS 1.3 giảm bắt tay từ hai vòng xuống một, và bằng không khi nối lại phiên. Nó loại bỏ trao đổi khóa RSA và Diffie-Hellman tĩnh, nên bí mật chuyển tiếp trở thành bắt buộc thay vì tùy chọn. Nó bỏ hoàn toàn bộ mật mã chế độ CBC, RC4, SHA-1 và nén, đồng thời mã hóa nhiều phần hơn của bắt tay — gồm cả chứng chỉ — để trung gian biết ít hơn.
Hệ quả thực tế là gần như mọi điểm yếu cũ từng cần cấu hình cẩn thận nay đều bất khả thi. Bạn không thể vô tình thương lượng bộ mật mã yếu trên TLS 1.3, vì giao thức chỉ định nghĩa các bộ AEAD với hàm băm hiện đại.
Vì sao nó ảnh hưởng điểm
CertH yêu cầu TLS 1.3 cho A+ bất kể mọi thứ khác. Một site có chứng chỉ hoàn hảo, mật mã mạnh và HSTS vẫn dừng ở 95 và A nếu thiếu nó. Chính dòng này là lý do phổ biến nhất khiến một site vận hành tốt chững lại ở A.
Lý do khác là bản thân bắt tay. Trên kết nối di động độ trễ cao, tiết kiệm một vòng là hàng chục đến hàng trăm mili giây cho mỗi kết nối mới — tác động trực tiếp, đo được lên tốc độ cảm nhận.
Bật nó
Trên nginx, hỗ trợ TLS 1.3 phụ thuộc phiên bản OpenSSL mà binary được build cùng. Cần OpenSSL 1.1.1 trở lên; kiểm tra bằng nginx -V với chuỗi built with OpenSSL trước khi sửa gì.
Trên Apache, SSLProtocol là đủ miễn httpd liên kết với OpenSSL hiện đại. Trên Cloudflare, TLS 1.3 là công tắc cấp zone trong SSL/TLS → Edge Certificates và đã bật mặc định cho hầu hết zone từ 2021.
# nginx: does this binary even support TLS 1.3?
nginx -V 2>&1 | tr ' ' '\n' | grep -i openssl
# negotiate TLS 1.3 explicitly and print the protocol
openssl s_client -connect example.com:443 -tls1_3 -servername example.com </dev/null 2>/dev/null | grep -E "Protocol|Cipher"Những điều ít ai nói
Nối lại 0-RTT nhanh nhưng có thể phát lại: kẻ tấn công bắt được flight đầu có thể gửi lại nguyên vẹn. Đừng bao giờ cho phép 0-RTT trên endpoint thay đổi trạng thái ngay ở request đầu, như bất cứ thứ gì thực hiện ghi.
Một số thiết bị trung gian doanh nghiệp vẫn hỏng với TLS 1.3. Giữ TLS 1.2 song song là thỏa hiệp chuẩn — vẫn tương thích và vẫn đạt yêu cầu A+, vì bộ chấm tìm việc TLS 1.3 có được cung cấp, chứ không tìm việc TLS 1.2 bị tắt.
Cuối cùng, CDN hoặc bộ cân bằng tải kết thúc TLS sẽ che hoàn toàn origin. Đổi origin mà không đổi edge thì không thay đổi gì mà một scanner bên ngoài nhìn thấy.
FAQ
Có nên tắt TLS 1.2 sau khi bật TLS 1.3?
Không. Giữ TLS 1.2 bảo toàn tương thích với client cũ và thiết bị trung gian, và không mất điểm. Tắt nó chỉ loại bỏ các lựa chọn dự phòng.
TLS 1.3 có thay đổi yêu cầu chứng chỉ không?
Nó khiến một số thuật toán cũ không dùng được. Chứng chỉ khóa RSA vẫn ổn, nhưng chuỗi phải dùng thuật toán chữ ký mà giao thức cho phép — ví dụ chữ ký SHA-1 không dùng được trong TLS 1.3.