Tác giả: Đội ngũ ivi.vn

Bạn đã bấm đúng nút, bản ghi đã hiện trong bảng quản lý, mà mở tên miền lên vẫn ra trang cũ hoặc lỗi “không tìm thấy máy chủ”. Chín trên mười trường hợp như vậy không phải do landing page hỏng, mà do một trong bốn thứ ở tầng DNS: sai nameserver, sai loại bản ghi, còn bản ghi cũ chồng lên, hoặc đơn giản là chưa hết thời gian lưu đệm.

Bài này giải thích cơ chế bên dưới để bạn tự chẩn đoán được, thay vì thử ngẫu nhiên rồi chờ. Phần thao tác cụ thể trong dashboard ivi.vn nằm ở Bài 4 của loạt hướng dẫn sử dụng; ở đây ta nói về phần bên dưới cái nút đó.

Chuyện gì xảy ra trước khi trang hiện ra

Khi ai đó gõ tên miền của bạn, trình duyệt không biết máy chủ nào giữ nội dung. Nó hỏi một máy chủ phân giải, thường là của nhà mạng, và máy chủ đó đi hỏi lần lượt:

1. Hỏi nhóm máy chủ gốc: ai quản đuôi .com (hoặc .vn)?
2. Hỏi máy chủ của đuôi đó: tên miền này giao cho nameserver nào?
3. Hỏi chính nameserver đó: bản ghi cho tên này là gì?

Chỉ câu trả lời ở bước ba mới là thứ bạn sửa được trong bảng quản lý DNS. Và nó chỉ được hỏi tới nếu bước hai chỉ đúng về máy chủ bạn đang sửa. Đây là nguồn gốc của lỗi phổ biến nhất.

Nameserver quyết định ai được phép trả lời

Một tên miền có thể có bản ghi ở nhiều nơi cùng lúc: ở nhà đăng ký, ở một nhà cung cấp DNS cũ, ở hệ thống của ivi.vn. Nhưng chỉ nơi được nameserver chỉ đến mới thật sự phát ra câu trả lời. Mọi bản ghi bạn sửa ở những nơi còn lại đều nằm im, không ai hỏi tới.

Vì vậy màn quản lý tên miền của ivi.vn có một cảnh báo riêng: khi phát hiện nameserver đang trỏ về nơi khác, nó nói thẳng rằng bản ghi sửa ở đây chưa có tác dụng trên Internet, và mời bạn sang tab tên miền để chuyển nameserver về hệ thống DNS của ivi.vn. Đọc được cảnh báo đó là tiết kiệm được một buổi chiều.

Kiểm tra nameserver hiện hành bằng một lệnh:

dig NS tenmien.com +short
nslookup -type=NS tenmien.com

Kết quả trả về là danh sách nameserver đang có thẩm quyền. Nếu nó không phải bộ bạn nghĩ, dừng lại và xử lý bước này trước, đừng sửa bản ghi thêm nữa.

A hay CNAME: chọn đúng loại bản ghi

Hai loại bản ghi bạn dùng đến 95% thời gian:

	Bản ghi A	Bản ghi CNAME
Giá trị chứa gì	Một địa chỉ IPv4, ví dụ 203.0.113.10	Một tên miền khác, ví dụ dns.nhacungcap.io
Dùng khi	Bạn biết chắc địa chỉ IP của máy chủ và nó ổn định	Bên kia bảo bạn trỏ về tên miền của họ
Khi bên kia đổi máy chủ	Bạn phải tự vào sửa lại IP	Bạn không phải làm gì, họ sửa bên họ
Đặt ở gốc @ được không	Được	Theo chuẩn thì không, trừ khi nhà cung cấp DNS hỗ trợ cơ chế thay thế

Dòng cuối là chỗ hay gây bực. Theo quy định của DNS, một tên đã có bản ghi CNAME thì không được có bất kỳ bản ghi loại nào khác tại cùng tên đó. Trong khi gốc của tên miền bắt buộc luôn tồn tại bản ghi SOA và NS. Hai điều đó mâu thuẫn, nên CNAME ở gốc là sai chuẩn.

Hậu quả thực tế nếu bạn cố ép: bản ghi MX ở gốc cũng bị vô hiệu, tức là email theo tên miền của bạn ngừng nhận thư. Đây là kiểu hỏng âm thầm — website chạy ngon, còn thư khách gửi tới thì bật lại người gửi mà bạn không biết.

Cách xử lý phổ biến:

• Dùng một tên miền con cho landing page, ví dụ lp.tenmien.com hoặc www.tenmien.com, rồi đặt CNAME ở đó. Gốc để chuyển hướng sang tên miền con.
• Hoặc dùng nhà cung cấp DNS có hỗ trợ bản ghi kiểu ALIAS: bên ngoài trông như CNAME, nhưng máy chủ tự phân giải sẵn rồi trả về địa chỉ IP, nên không vi phạm quy tắc trên. Trong màn Landing Page của ivi.vn, phần này hệ thống tự lo khi bạn bấm kích hoạt; còn khi tự khai báo ở nơi khác thì phải kiểm tra trước.

Vùng DNS trên ivi.vn nhận sáu loại bản ghi: A, AAAA, CNAME, MX, TXT, CAA. AAAA là bản IPv6 của A. TXT giữ các chuỗi xác thực như SPF hay DKIM cho email. CAA khai báo tổ chức nào được phép cấp chứng chỉ bảo mật cho tên miền của bạn.

TTL: vì sao đổi xong không thấy ngay

Mỗi bản ghi đi kèm một con số TTL tính bằng giây. Nó là lời cho phép: máy chủ phân giải nào nhận được câu trả lời này thì được giữ lại và dùng lại trong chừng ấy giây, không cần hỏi lại.

Điểm hầu hết mọi người hiểu ngược: khi bạn sửa một bản ghi, thứ quyết định bạn phải chờ bao lâu là TTL của bản ghi cũ, không phải TTL của bản ghi mới. Các máy chủ đã lưu bản cũ vẫn trả bản cũ cho tới khi hết hạn lưu đệm của chính nó. Đặt TTL mới xuống 300 giây không rút ngắn được lần chờ này — nó chỉ giúp cho lần đổi sau.

Vì vậy quy trình chuyên nghiệp là: biết trước sẽ đổi thì hạ TTL xuống mức thấp một hai ngày trước, đổi bản ghi, kiểm tra xong rồi nâng TTL trở lại. Trên ivi.vn, ô thời gian lưu đệm nhận giá trị trong khoảng 300 đến 86400 giây; đặt ngoài khoảng đó thì hệ thống tự kẹp về biên, nên số bạn nhìn thấy có thể lệch số thật sự được lưu.

Có một dạng lưu đệm nữa ít người biết: lưu đệm câu trả lời phủ định. Nếu bạn mở thử tên miền trước khi tạo bản ghi, máy chủ phân giải nhận được câu trả lời “không tồn tại” và nó cũng lưu câu trả lời đó lại một khoảng thời gian. Đó là lý do việc nôn nóng kiểm tra sớm lại làm bạn phải chờ lâu hơn. Tạo bản ghi trước, kiểm tra sau.

Kiểm tra bằng công cụ tra cứu

Đừng dùng trình duyệt làm công cụ chẩn đoán: trình duyệt và hệ điều hành đều giữ bộ nhớ đệm riêng nên không phản ánh trạng thái DNS thật. Hỏi thẳng bằng lệnh:

dig +short lp.tenmien.com CNAME
dig +short lp.tenmien.com A
dig NS tenmien.com +short
dig @8.8.8.8 lp.tenmien.com

Trên Windows không có dig sẵn thì dùng:

nslookup -type=CNAME lp.tenmien.com
nslookup -type=A lp.tenmien.com
ipconfig /flushdns

Cách đọc kết quả:

• Trả về đúng giá trị bạn vừa đặt: tầng DNS xong việc. Nếu trang vẫn lỗi thì vấn đề nằm ở phía máy chủ đích, không phải ở đây.
• Trả về giá trị cũ: còn trong thời gian lưu đệm. Chờ hết TTL cũ.
• Không trả về gì: bản ghi chưa tồn tại ở nameserver có thẩm quyền, hoặc bạn đang sửa ở sai nơi. Quay lại kiểm tra nameserver.
• Hỏi thẳng một máy chủ phân giải công cộng ra kết quả đúng, còn máy bạn ra kết quả cũ: bản ghi đã lan rồi, chỉ máy hoặc nhà mạng của bạn còn giữ bản cũ. Xoá đệm máy rồi thử lại.

Ngoài dòng lệnh còn có các trang tra cứu DNS nhiều điểm, hỏi cùng lúc từ nhiều quốc gia. Chúng hữu ích để trả lời câu hỏi “chỉ mình tôi thấy sai hay cả thế giới đều sai”.

Bảng lỗi hay gặp

Hiện tượng	Nguyên nhân	Cách sửa
Sửa bản ghi mãi không ăn	Nameserver đang trỏ về nơi khác	Chuyển nameserver về nơi bạn đang sửa, rồi chờ hết TTL
Ra trang cũ dù đã đổi	Bản ghi A cũ vẫn còn, nằm song song với bản ghi mới	Xoá bản ghi cũ; một tên chỉ nên có một đích
Gốc chạy, thêm www thì lỗi	Chỉ tạo bản ghi ở gốc, quên tên miền con www	Tạo thêm bản ghi cho www, thường là CNAME trỏ về gốc
Web chạy nhưng email chết	Đặt CNAME ở gốc làm vô hiệu bản ghi MX	Chuyển landing page sang tên miền con, trả gốc về bản ghi A
Trình duyệt báo kết nối không an toàn	Chứng chỉ chưa cấp xong; bên cấp phải xác thực quyền kiểm soát qua HTTP hoặc qua bản ghi DNS, nên phải trỏ đúng trước đã	Chờ chứng chỉ được cấp, đừng đổi lại DNS giữa chừng. Chi tiết ở bài về chứng chỉ SSL
Đổi cả buổi vẫn chưa lan	TTL cũ đặt ở mức một ngày	Chờ hết chu kỳ; lần sau hạ TTL trước khi đổi
Máy này vào được, máy kia không	Hai máy dùng máy chủ phân giải khác nhau, lan chưa đều	Bình thường, chờ thêm; kiểm tra bằng công cụ tra cứu nhiều điểm

Ba thói quen tránh được phần lớn rắc rối

• Ghi lại cấu hình trước khi sửa. Chụp màn hình bảng bản ghi hiện tại. Khi có sự cố, biết trạng thái cũ giúp quay lui trong hai phút thay vì dựng lại từ trí nhớ.
• Đổi một thứ mỗi lần. Đổi nameserver, đổi bản ghi gốc và đổi bản ghi www cùng lúc thì khi hỏng bạn không biết cái nào gây ra.
• Đừng đụng vào bản ghi MX và TXT khi chỉ định trỏ web. Chúng phục vụ email. Xoá nhầm một bản ghi TXT xác thực người gửi là thư của bạn bắt đầu rơi vào hộp thư rác, mà triệu chứng lộ ra rất muộn.

Tóm lại

Trỏ tên miền về landing page thực chất là bốn câu hỏi theo thứ tự: nameserver có đúng chỗ không, loại bản ghi có đúng không, còn bản ghi cũ nào chồng lên không, và TTL cũ đã hết chưa. Trả lời được bốn câu đó bằng công cụ tra cứu là bạn không còn phải đoán. Riêng chuyện CNAME ở gốc thì nhớ một điều: nó có thể lấy đi email của bạn mà không báo trước.

Nếu bạn muốn phần thao tác cụ thể trên dashboard thay vì phần lý thuyết, xem hướng dẫn trỏ tên miền về Landing Page trong dashboard. Còn nếu bạn đang cần một tên miền để bắt đầu, tra thử tại ivi.vn/search.

Chứng chỉ SSL giờ không còn là hạng mục “nên có”. Trình duyệt gắn nhãn cảnh báo cho trang không mã hoá, biểu mẫu bị chặn, và mọi tính năng hiện đại của trình duyệt đều yêu cầu kết nối an toàn. Let’s Encrypt cấp chứng chỉ miễn phí, tự động, nhưng chỉ tự động khi bạn cấu hình đúng ngay từ đầu.

Bài này giải thích cơ chế đằng sau — giao thức ACME, các kiểu xác minh, chu kỳ 90 ngày — rồi mới tới thao tác. Hiểu cơ chế là cách duy nhất để xử lý được lúc gia hạn tự động im lặng thất bại lúc 2 giờ sáng.

ACME: chứng chỉ được cấp bằng cách nào

Let’s Encrypt là một tổ chức cấp chứng chỉ hoạt động hoàn toàn tự động qua giao thức ACME (Automatic Certificate Management Environment). Không có biểu mẫu để điền, không có nhân viên duyệt. Trình tự luôn là:

1. Phần mềm trên máy bạn (ACME client) tạo một cặp khoá tài khoản và đăng ký với tổ chức cấp chứng chỉ.
2. Bạn yêu cầu chứng chỉ cho một danh sách tên miền.
3. Tổ chức cấp chứng chỉ trả về các thử thách (challenge) — mỗi tên miền một thử thách — để chứng minh bạn có quyền kiểm soát tên miền đó.
4. Client đáp ứng thử thách, rồi báo đã sẵn sàng.
5. Máy chủ của tổ chức cấp chứng chỉ đi kiểm tra từ nhiều điểm mạng khác nhau. Đạt thì ký và trả về chứng chỉ.

Điểm mấu chốt: xác minh là quyền kiểm soát tên miền, không phải danh tính doanh nghiệp. Đây là chứng chỉ loại DV. Nó mã hoá đường truyền và xác nhận bạn đang nói chuyện đúng với tên miền đó, chứ không chứng thực công ty phía sau là ai.

HTTP-01 và DNS-01: chọn kiểu xác minh nào

	HTTP-01	DNS-01
Bạn phải làm gì	Đặt một tệp tạm tại /.well-known/acme-challenge/	Tạo bản ghi TXT tên _acme-challenge
Điều kiện	Máy chủ phải mở cổng 80 và truy cập được từ Internet	Có quyền sửa DNS, tốt nhất là sửa được bằng API
Cấp được chứng chỉ ký tự đại diện	Không	Có
Dùng được khi máy chủ nằm sau tường lửa	Không	Có
Độ khó tự động hoá	Rất dễ, client làm hết	Cần trình cắm tương ứng với nơi quản lý DNS

Còn một kiểu thứ ba là TLS-ALPN-01, xác minh ngay trong quá trình bắt tay TLS trên cổng 443. Nó hữu ích khi cổng 80 bị chặn hoàn toàn, nhưng cần phần mềm máy chủ hỗ trợ và ít khi cần tới trong tình huống thông thường.

Quy tắc chọn cho gọn:

• Website bình thường, có IP công khai, mở cổng 80: dùng HTTP-01.
• Cần chứng chỉ ký tự đại diện dạng *.tenmien.com: bắt buộc DNS-01, không có ngoại lệ.
• Máy chủ nội bộ, môi trường thử nghiệm, hoặc muốn cấp chứng chỉ trước khi trỏ tên miền: DNS-01.

Lưu ý về chứng chỉ ký tự đại diện: *.tenmien.com chỉ phủ một cấp tên miền con. Nó bao blog.tenmien.com nhưng không bao a.b.tenmien.com, và cũng không bao chính tenmien.com — muốn đủ thì phải liệt kê cả hai trong cùng một chứng chỉ.

Cách nhanh nhất: hosting có sẵn cơ chế cấp tự động

Nếu bạn dùng hosting chia sẻ với cPanel hoặc bảng điều khiển tương đương, gần như chắc chắn đã có sẵn tính năng cấp chứng chỉ tự động. Vào mục SSL/TLS Status, chọn tên miền, chạy lệnh cấp tự động. Toàn bộ phần gia hạn do máy chủ lo.

Điều kiện để nó chạy được, và cũng là ba lý do phổ biến khiến nó thất bại:

• Tên miền phải đang phân giải về đúng IP máy chủ đó. Chưa trỏ xong thì thử thách không thể đạt. Xem Hướng dẫn trỏ tên miền về Hosting cPanel trước khi bấm cấp chứng chỉ.
• Đường dẫn /.well-known/acme-challenge/ phải truy cập được. Một quy tắc chuyển hướng “bắt tất cả” trong .htaccess hoặc một trình cắm bảo mật chặn thư mục ẩn là đủ để phá hỏng bước này.
• Tên miền con nào không phân giải về máy chủ thì phải loại khỏi danh sách, vì một tên hỏng làm hỏng cả yêu cầu.

Cấp bằng certbot trên máy chủ tự quản

Certbot là client chính thức, phổ biến nhất trên Linux. Hai kiểu dùng:

# Kiểu 1: certbot tự sửa cấu hình máy chủ web
sudo certbot --nginx -d tenmien.com -d www.tenmien.com
# Kiểu 2: chỉ lấy chứng chỉ, bạn tự khai báo trong cấu hình
sudo certbot certonly --webroot -w /var/www/tenmien.com/public 
     -d tenmien.com -d www.tenmien.com
# Thử nghiệm trước bằng môi trường staging để không đụng giới hạn cấp phát
sudo certbot certonly --staging --webroot -w /var/www/tenmien.com/public -d tenmien.com
# Xem các chứng chỉ đang có và ngày hết hạn
sudo certbot certificates

Chứng chỉ được lưu ở /etc/letsencrypt/live/tenmien.com/. Trong cấu hình máy chủ web hãy trỏ tới fullchain.pem (chứng chỉ của bạn kèm chuỗi trung gian) và privkey.pem (khoá riêng). Dùng nhầm cert.pem thay cho fullchain.pem là lỗi kinh điển: trình duyệt máy tính vẫn xanh, nhưng một số ứng dụng di động và công cụ dòng lệnh báo chuỗi chứng chỉ không đầy đủ.

Luôn trỏ tới đường dẫn trong thư mục live/, đừng trỏ vào tệp trong archive/. Thư mục live/ là các liên kết luôn chỉ vào bản mới nhất, nên sau khi gia hạn bạn không phải sửa cấu hình.

acme.sh khi cần DNS-01 tự động

acme.sh là client viết bằng shell, không phụ thuộc môi trường ngôn ngữ khác, và mạnh nhất ở chỗ hỗ trợ rất nhiều nhà quản lý DNS qua API — nghĩa là nó tự tạo và tự xoá bản ghi TXT giúp bạn.

# Cấp chứng chỉ ký tự đại diện bằng DNS-01 (thay dns_xxx bằng trình cắm tương ứng)
acme.sh --issue --dns dns_xxx -d tenmien.com -d '*.tenmien.com'
# Cài chứng chỉ vào đúng chỗ và nạp lại dịch vụ sau mỗi lần gia hạn
acme.sh --install-cert -d tenmien.com 
  --key-file       /etc/ssl/tenmien/privkey.pem 
  --fullchain-file /etc/ssl/tenmien/fullchain.pem 
  --reloadcmd      "systemctl reload nginx"

Nếu nơi quản lý DNS của bạn không có API, vẫn có chế độ tạo bản ghi TXT thủ công — nhưng khi đó bạn phải làm lại bằng tay ở mỗi kỳ gia hạn. Với chứng chỉ 90 ngày, cách thủ công chỉ nên dùng một lần cho tình huống đặc biệt.

Chu kỳ 90 ngày và chuyện gia hạn tự động

Chứng chỉ Let’s Encrypt có hiệu lực 90 ngày. Đây là lựa chọn có chủ đích: vòng đời ngắn buộc mọi người phải tự động hoá, và giới hạn thiệt hại nếu khoá riêng bị lộ. Thông lệ là gia hạn khi còn khoảng 30 ngày, tức vào khoảng ngày thứ 60 — như vậy bạn còn cả tháng đệm để xử lý nếu có trục trặc.

Cả certbot lẫn acme.sh đều tự cài sẵn tác vụ định kỳ khi cài đặt, và lệnh gia hạn chỉ thực sự làm việc khi chứng chỉ đã tới ngưỡng. Vì vậy chạy lệnh gia hạn hằng ngày là bình thường và không hề lãng phí.

# Diễn tập gia hạn: chạy toàn bộ quy trình nhưng không thay chứng chỉ thật
sudo certbot renew --dry-run
# Kiểm tra tác vụ định kỳ có đang bật không
systemctl list-timers | grep -i certbot
# Xem ngày hết hạn thực tế mà máy chủ đang phục vụ
echo | openssl s_client -servername tenmien.com -connect tenmien.com:443 2>/dev/null 
  | openssl x509 -noout -dates

Câu lệnh cuối quan trọng hơn hai câu trên: nó hỏi thẳng cổng 443 xem chứng chỉ đang được phục vụ hết hạn ngày nào. Tình huống hay gặp nhất không phải là gia hạn thất bại, mà là gia hạn thành công nhưng dịch vụ chưa được nạp lại nên vẫn giữ chứng chỉ cũ trong bộ nhớ. Luôn khai báo lệnh nạp lại dịch vụ trong móc sau gia hạn.

Đừng trông chờ vào email nhắc hết hạn từ bên cấp chứng chỉ. Hãy tự đặt một phép giám sát định kỳ kiểm tra số ngày còn lại và báo cho bạn khi xuống dưới ngưỡng — đó là cách duy nhất bạn biết trước thay vì biết khi khách gọi điện.

Bảy lỗi khiến việc cấp hoặc gia hạn thất bại

• Cổng 80 bị đóng. HTTP-01 cần cổng 80. Bạn có thể chuyển hướng toàn bộ sang HTTPS, vì quy trình xác minh đi theo chuyển hướng, nhưng không được chặn hẳn cổng 80 ở tường lửa.
• Chặn nhầm thư mục thử thách. Quy tắc viết lại đường dẫn của ứng dụng nuốt luôn /.well-known/acme-challenge/. Hãy thêm ngoại lệ cho đường dẫn này trước mọi quy tắc khác.
• Chặn theo vùng địa lý. Máy chủ xác minh đi từ nhiều điểm trên thế giới. Nếu bạn chỉ cho phép truy cập từ Việt Nam, phần lớn các điểm kiểm tra sẽ bị chặn và thử thách trượt.
• Bản ghi DNS chưa lan truyền. Với DNS-01, TTL cao khiến bản ghi TXT mới chưa thấy được lúc kiểm tra. Hạ TTL của vùng DNS xuống thấp trước khi tự động hoá.
• Đụng giới hạn cấp phát. Mỗi tên miền có hạn mức số lần cấp trong một khoảng thời gian. Khi đang thử cấu hình, luôn dùng môi trường staging; chỉ chuyển sang thật khi đã chạy trơn.
• Đồng hồ hệ thống sai. Lệch giờ nhiều làm chứng chỉ bị coi là chưa có hiệu lực hoặc đã hết hạn. Bật đồng bộ thời gian trên máy chủ.
• Bật HSTS quá sớm. HSTS ra lệnh cho trình duyệt chỉ được kết nối bằng HTTPS trong khoảng thời gian dài. Bật khi chứng chỉ chưa ổn định là tự khoá mình ra ngoài. Hãy chạy HTTPS trơn tru vài tuần rồi mới bật, và bắt đầu bằng thời hạn ngắn.

Sau khi có chứng chỉ thì làm gì tiếp

1. Chuyển hướng toàn bộ HTTP sang HTTPS bằng mã 301, trừ đường dẫn thử thách ACME.
2. Soát nội dung hỗn hợp: ảnh, tệp CSS và JavaScript còn gọi bằng http:// sẽ làm mất biểu tượng an toàn. Công cụ dành cho nhà phát triển của trình duyệt liệt kê đủ danh sách này.
3. Kiểm tra chuỗi chứng chỉ bằng một công cụ đánh giá cấu hình TLS trực tuyến, xem có thiếu chứng chỉ trung gian không.
4. Đặt giám sát ngày hết hạn cho mọi tên miền, kể cả tên miền phụ ít dùng — chúng chính là những cái hết hạn mà không ai biết.
5. Có HTTPS rồi thì tính tiếp tới chuyện chịu tải và chống lạm dụng: xem Kỹ thuật chống DDoS cơ bản khi quản trị Web.

Kết

Let’s Encrypt cấp chứng chỉ DV miễn phí qua giao thức ACME, xác minh bằng HTTP-01 hoặc DNS-01, hiệu lực 90 ngày và mặc định là phải tự động hoá. Chọn HTTP-01 cho website thông thường, DNS-01 khi cần chứng chỉ ký tự đại diện hoặc máy chủ không lộ ra Internet. Việc quan trọng nhất không phải lần cấp đầu tiên mà là chứng minh được rằng lần gia hạn thứ hai sẽ tự chạy: hãy diễn tập gia hạn, khai báo lệnh nạp lại dịch vụ, và giám sát ngày hết hạn từ bên ngoài.

Đang tìm tên miền cho dự án mới và muốn chạy HTTPS ngay từ ngày đầu? Tra và đăng ký tại ivi.vn/search, sửa bản ghi DNS ngay trong dashboard rồi cấp chứng chỉ theo đúng các bước ở trên.

Ngân sách cho công cụ SEO thường là khoản bị cắt đầu tiên, trong khi công việc thì vẫn phải làm: biết trang nào đang có thứ hạng, trang nào rớt, link nào hỏng, tốc độ tải ra sao. Tin tốt là những dữ liệu quan trọng nhất — dữ liệu do chính công cụ tìm kiếm ghi nhận — đều miễn phí.

Danh sách dưới đây được viết lại cho bối cảnh hiện nay. Các bản miễn phí thay đổi liên tục: có công cụ từng rất hào phóng nay chỉ còn vài lượt tra mỗi ngày. Vì vậy bài này mô tả bản miễn phí làm được việc gì và giới hạn nằm ở đâu, thay vì hứa những con số có thể sai vào tháng sau.

Tiêu chí chọn

• Miễn phí thật, không phải bản dùng thử. Bản dùng thử 7 ngày không giúp bạn theo dõi một website suốt cả năm.
• Dữ liệu gốc được ưu tiên hơn dữ liệu ước lượng. Số lần hiển thị trong công cụ của chính máy tìm kiếm là ghi nhận thật; “lượng tìm kiếm hàng tháng” ở các công cụ bên thứ ba là mô hình ước lượng.
• Còn được cập nhật. Một công cụ ngừng phát triển sẽ dần trả về số liệu lệch mà không báo cho bạn.

1. Google Search Console

Bắt buộc phải có, và nếu chỉ được chọn một công cụ thì chọn cái này. Đây là nơi duy nhất cho bạn biết website thật sự xuất hiện với truy vấn nào, ở vị trí trung bình bao nhiêu, được nhấp bao nhiêu lần.

Việc nên làm ngay sau khi xác minh quyền sở hữu:

• Mở báo cáo hiệu suất, lọc các truy vấn có nhiều lần hiển thị nhưng ít lượt nhấp — đó là những trang chỉ cần sửa tiêu đề và mô tả là có thêm lượt truy cập, không cần viết bài mới.
• Mở báo cáo lập chỉ mục để xem trang nào bị loại và vì lý do gì. “Đã thu thập dữ liệu nhưng chưa lập chỉ mục” là tín hiệu về chất lượng nội dung, không phải lỗi kỹ thuật.
• Nộp sơ đồ trang (sitemap) và kiểm tra ngày đọc gần nhất.
• Dùng công cụ kiểm tra URL để xem máy tìm kiếm nhìn thấy phiên bản nào của trang — thường khác với thứ bạn thấy trên trình duyệt.

Giới hạn: dữ liệu lưu trong khoảng thời gian nhất định và bảng kết quả bị giới hạn số dòng khi xem trực tiếp. Muốn giữ lịch sử dài hơn, hãy xuất dữ liệu định kỳ.

2. Google Analytics 4

Search Console trả lời “người ta tìm gì để tới”, Analytics trả lời “tới rồi thì họ làm gì”. Hai công cụ này liên kết được với nhau và nên liên kết ngay từ đầu.

Với bản miễn phí, ba việc đáng làm trước tiên: đánh dấu các hành động quan trọng thành sự kiện chuyển đổi (gửi biểu mẫu, bấm nút gọi, bấm nút mua); tạo báo cáo so sánh nhóm truy cập từ tìm kiếm tự nhiên với nhóm từ quảng cáo; và gắn tham số theo dõi chiến dịch cho mọi đường dẫn bạn đem đi phát tán, nếu không mọi thứ sẽ dồn hết vào một mục chung chung.

3. Bing Webmaster Tools

Bị bỏ qua một cách vô lý. Nó miễn phí, xác minh nhanh (có thể nhập cấu hình sẵn từ Search Console), và cho vài thứ mà công cụ của Google không cho: gợi ý từ khoá kèm ước lượng lưu lượng, so sánh với đối thủ ở mức cơ bản, và một trình quét kỹ thuật ngay trong giao diện.

Thêm một lý do rất thời sự: nhiều trợ lý trả lời bằng AI lấy kết quả từ chỉ mục của Bing. Có mặt trong chỉ mục đó không còn là chuyện phụ.

4. PageSpeed Insights và dữ liệu trải nghiệm thực

Công cụ này cho hai loại số liệu và đừng nhầm chúng: phần phòng thí nghiệm là một lần đo mô phỏng, còn phần dữ liệu trải nghiệm người dùng thực là tổng hợp từ người truy cập thật trong nhiều tuần. Khi quyết định ưu tiên sửa gì, hãy nhìn phần dữ liệu thực; khi kiểm tra một thay đổi vừa triển khai, hãy nhìn phần mô phỏng vì nó phản hồi ngay.

Ba chỉ số cần nhớ: thời điểm khối nội dung lớn nhất hiển thị xong, độ trễ phản hồi khi người dùng tương tác, và mức xê dịch bố cục trong lúc tải. Website nào cũng nên đo cả bản di động lẫn bản máy tính, vì kết quả thường lệch nhau rất xa.

5. Screaming Frog SEO Spider (bản miễn phí)

Phần mềm cài trên máy, quét website giống cách bot đi và trả về bảng: trang lỗi, chuyển hướng dây chuyền, tiêu đề trùng, thẻ mô tả trống, ảnh thiếu thuộc tính mô tả, thẻ canonical mâu thuẫn. Đây vẫn là cách nhanh nhất để tìm lỗi kỹ thuật trên một website vừa và nhỏ.

Giới hạn của bản miễn phí là số URL quét được trong một lần và một số tính năng nâng cao bị khoá; con số giới hạn có thể thay đổi theo phiên bản nên hãy kiểm tra trước khi lên kế hoạch quét một website lớn. Mẹo dùng: quét theo từng thư mục thay vì cả website, bạn sẽ nằm trong giới hạn mà vẫn đủ dữ liệu để sửa.

6. Google Trends

Không cho con số tuyệt đối, nhưng cho thứ quan trọng hơn với người làm nội dung: hình dạng nhu cầu theo thời gian. Dùng nó để biết chủ đề của bạn có tính mùa vụ không, để so hai cách gọi tên cùng một sản phẩm xem người Việt thực sự gõ cách nào, và để phát hiện một chủ đề đang đi lên hay đã thoái trào trước khi bạn bỏ công viết cả cụm bài.

Nhớ đặt phạm vi về Việt Nam và mở rộng khung thời gian ít nhất 12 tháng, nếu không bạn sẽ đọc nhầm một biến động ngắn hạn thành xu hướng.

7. Bộ công cụ kiểm tra dữ liệu có cấu trúc và kết quả nhiều định dạng

Trình kiểm tra kết quả nhiều định dạng của Google và trình kiểm tra lược đồ của cộng đồng schema.org đều miễn phí, không cần đăng nhập. Dán URL hoặc dán trực tiếp mã, chúng chỉ ra khai báo nào hợp lệ, khai báo nào thiếu trường bắt buộc.

Đây là loại lỗi mắt thường không thấy: trang vẫn hiển thị bình thường, nhưng phần đánh dấu sản phẩm thiếu giá hoặc tình trạng còn hàng thì kết quả tìm kiếm sẽ không hiện phần mở rộng. Sau mỗi lần đổi giao diện hoặc đổi plugin, chạy lại kiểm tra cho một trang đại diện của mỗi loại (trang sản phẩm, bài viết, trang liên hệ).

Bảng tra nhanh: cần gì thì mở cái gì

Bạn cần biết	Mở công cụ
Trang nào đang lên, đang rớt thứ hạng	Google Search Console
Người vào rồi có làm việc bạn muốn không	Google Analytics 4
Ý tưởng từ khoá và mặt trận ngoài Google	Bing Webmaster Tools
Web chậm ở đâu, người dùng thật thấy thế nào	PageSpeed Insights
Link hỏng, thẻ trùng, chuyển hướng vòng	Screaming Frog bản miễn phí
Chủ đề đang lên hay đang xuống	Google Trends
Dữ liệu có cấu trúc còn hợp lệ không	Trình kiểm tra kết quả nhiều định dạng

Những cái tên cũ và lý do không còn nằm trong danh sách

Vài công cụ từng xuất hiện trong mọi bài “SEO miễn phí” nay đã siết bản miễn phí xuống mức chỉ đủ để xem thử: giới hạn vài lượt tra mỗi ngày, che phần lớn dữ liệu, hoặc chuyển hẳn sang thu phí. Chúng vẫn dùng được nếu bạn trả tiền, nhưng không nên là xương sống cho một quy trình miễn phí.

Nguyên tắc chung khi đọc bất kỳ danh sách công cụ nào, kể cả bài này: hãy tự mở trang chủ công cụ và xem bảng gói hiện hành trước khi xây quy trình phụ thuộc vào nó. Số liệu về giới hạn miễn phí là thứ hết hạn nhanh nhất trong mọi bài viết về SEO.

Quy trình 30 phút mỗi tuần với bộ công cụ miễn phí

1. 5 phút: mở Search Console, so sánh 28 ngày gần nhất với kỳ trước. Ghi lại 3 trang giảm mạnh nhất.
2. 10 phút: với 3 trang đó, kiểm tra bằng công cụ kiểm tra URL xem còn được lập chỉ mục không, nội dung có bị thay đổi hay bị trùng với trang khác không.
3. 5 phút: lọc truy vấn nhiều hiển thị ít nhấp, chỉnh lại tiêu đề và mô tả cho 2 trang.
4. 5 phút: chạy PageSpeed Insights cho trang quan trọng nhất ở chế độ di động, ghi lại chỉ số so với tuần trước.
5. 5 phút: mỗi tháng một lần, quét một thư mục bằng Screaming Frog để bắt link hỏng phát sinh.

Việc đều đặn 30 phút quan trọng hơn một buổi tổng rà soát mỗi quý. Phần lớn sự cố SEO đều có dấu hiệu sớm trong Search Console trước khi lưu lượng tụt hẳn.

Kết

Bảy công cụ trên phủ gần hết công việc SEO thường ngày mà không tốn đồng nào: dữ liệu thứ hạng gốc, hành vi người dùng, sức khoẻ kỹ thuật, tốc độ và nhu cầu thị trường. Thứ bạn cần trả không phải tiền mà là thói quen mở chúng đều đặn và ghi lại thay đổi. Khi nào bộ miễn phí bắt đầu chật, đó là lúc doanh thu từ tìm kiếm đã đủ để bạn trả tiền cho công cụ chuyên sâu.

Một điều kiện nền mà không công cụ nào bù được: website phải chạy trên tên miền của chính bạn thì mọi dữ liệu tích luỹ mới thuộc về bạn. Nếu vẫn đang dùng địa chỉ mượn của nền tảng khác, hãy đọc thêm Tại sao Thương hiệu cá nhân cần Tên miền riêng? và tra tên miền tại ivi.vn/search. Nếu bạn đang phân vân giữa một trang bán hàng đơn lẻ và một website nhiều trang, bài So sánh Landing Page và Website truyền thống sẽ giúp bạn chọn trước khi đầu tư công sức SEO.