เว็บไซต์ไม่ปลอดภัยแก้อย่างไร? สาเหตุและวิธีแก้ Not Secure อย่างถูกต้อง

เมื่อเปิดเว็บไซต์แล้วพบข้อความว่า “ไม่ปลอดภัย”, “Not Secure” หรือ “การเชื่อมต่อของคุณไม่เป็นส่วนตัว” เจ้าของเว็บไซต์ควรตรวจสอบทันที เพราะคำเตือนเหล่านี้อาจทำให้ผู้เข้าชมไม่กล้ากรอกข้อมูล ติดต่อธุรกิจ หรือสั่งซื้อสินค้า

อย่างไรก็ตาม คำว่าเว็บไซต์ไม่ปลอดภัยไม่ได้หมายความว่าเว็บไซต์ถูกแฮ็กเสมอไป ปัญหาอาจเกิดจากหลายสาเหตุ เช่น

• เว็บไซต์ยังใช้ HTTP
• ยังไม่ได้ติดตั้ง SSL Certificate
• ใบรับรอง SSL หมดอายุ
• ใบรับรองไม่ตรงกับชื่อโดเมน
• เว็บไซต์มี Mixed Content
• การเปลี่ยนเส้นทางจาก HTTP ไป HTTPS ไม่สมบูรณ์
• วันและเวลาของอุปกรณ์ไม่ถูกต้อง
• DNS หรือ CDN ตั้งค่าไม่ตรงกัน
• เว็บไซต์ถูกฝังโค้ดอันตรายหรือ Malware

บทความนี้จะอธิบายว่าเว็บไซต์ขึ้นไม่ปลอดภัยเกิดจากอะไร วิธีตรวจสอบแต่ละกรณี และควรแก้ไขอย่างไรโดยไม่ทำให้เว็บไซต์เสียหาย

เว็บไซต์ขึ้นไม่ปลอดภัยหมายถึงอะไร?

ข้อความ “Not Secure” มักหมายถึงเบราว์เซอร์ไม่สามารถยืนยันได้ว่าการเชื่อมต่อระหว่างผู้ใช้งานกับเว็บไซต์มีการเข้ารหัสและเชื่อถือได้อย่างสมบูรณ์

เว็บไซต์ที่ยังใช้ HTTP จะส่งข้อมูลโดยไม่มีการป้องกันแบบเดียวกับ HTTPS หากมีการกรอกชื่อ อีเมล รหัสผ่าน หรือข้อมูลอื่นบนการเชื่อมต่อที่ไม่เข้ารหัส ข้อมูลอาจมีความเสี่ยงต่อการถูกดักอ่านหรือแก้ไขระหว่างทาง

Chrome อาจแสดงคำเตือนเมื่อเว็บไซต์ไม่รองรับ HTTPS หรือเมื่อมีปัญหากับการเชื่อมต่อแบบปลอดภัย

สำหรับเว็บไซต์ WordPress คู่มือของ WordPress ระบุว่า WordPress รองรับ HTTPS เมื่อเซิร์ฟเวอร์มี TLS/SSL Certificate และแนะนำให้ใช้ HTTPS เพื่อช่วยปกป้องทั้งผู้เข้าชมและการเข้าสู่ระบบเว็บไซต์

HTTP และ HTTPS ต่างกันอย่างไร?

HTTP เป็นโปรโตคอลที่ใช้รับส่งข้อมูลระหว่างเบราว์เซอร์กับเว็บเซิร์ฟเวอร์ ส่วน HTTPS คือ HTTP ที่ทำงานร่วมกับระบบเข้ารหัส TLS

เมื่อเว็บไซต์ใช้ HTTPS อย่างถูกต้อง ข้อมูลระหว่างผู้ใช้งานกับเซิร์ฟเวอร์จะถูกเข้ารหัส ช่วยลดความเสี่ยงจากการดักอ่านหรือแก้ไขข้อมูลระหว่างทาง

สังเกตได้จาก URL ดังนี้

• ไม่เข้ารหัส: http://example.com
• เข้ารหัส: https://example.com

อย่างไรก็ตาม การมีคำว่า HTTPS ใน URL เพียงอย่างเดียวไม่ได้ยืนยันว่าเว็บไซต์สมบูรณ์ทุกด้าน เพราะยังอาจมีปัญหา Mixed Content, Certificate ไม่ตรงโดเมน หรือการตั้งค่าผิดพลาดได้

SSL Certificate คืออะไร?

SSL Certificate หรือชื่อที่ใช้ในทางเทคนิคปัจจุบันว่า TLS Certificate เป็นใบรับรองดิจิทัลที่ช่วยยืนยันตัวตนของโดเมนและใช้สร้างการเชื่อมต่อแบบเข้ารหัส

ใบรับรองจะมีข้อมูลสำคัญ เช่น

• ชื่อโดเมนที่ครอบคลุม
• หน่วยงานที่ออกใบรับรอง
• วันที่เริ่มใช้งาน
• วันที่หมดอายุ
• Public Key
• ลายเซ็นดิจิทัล

หาก Certificate หมดอายุ ไม่ตรงกับชื่อโดเมน หรือไม่ได้รับความเชื่อถือจากเบราว์เซอร์ ผู้เข้าชมอาจพบคำเตือนด้านความปลอดภัย

สาเหตุที่เว็บไซต์ขึ้นไม่ปลอดภัย

1. เว็บไซต์ยังใช้ HTTP

สาเหตุพื้นฐานที่สุดคือเว็บไซต์ยังเปิดผ่าน http:// และยังไม่มี SSL Certificate

กรณีนี้อาจเกิดกับ

• เว็บไซต์เก่าที่ยังไม่เคยติดตั้ง SSL
• เว็บไซต์ที่ย้ายโฮสติ้งแล้ว SSL ไม่ถูกย้าย
• เว็บไซต์ทดสอบที่นำขึ้นระบบจริงโดยไม่ได้เปิด HTTPS
• โดเมนใหม่ที่ยังไม่ได้ออก Certificate
• Subdomain ที่ไม่ได้รวมอยู่ใน Certificate

วิธีตรวจสอบ

ลองเปิดทั้งสอง URL

• http://ชื่อโดเมน.com
• https://ชื่อโดเมน.com

หาก HTTPS เปิดไม่ได้ หรือแสดง Certificate Error แสดงว่ายังต้องตรวจสอบการติดตั้ง SSL ที่เซิร์ฟเวอร์

วิธีแก้

1. ตรวจสอบว่าโฮสติ้งรองรับ SSL หรือไม่
2. ออกและติดตั้ง Certificate สำหรับโดเมน
3. ตรวจสอบให้ครอบคลุมทั้งแบบมีและไม่มี www
4. เปลี่ยน URL ของเว็บไซต์เป็น HTTPS
5. ตั้ง Redirect จาก HTTP ไป HTTPS
6. ตรวจสอบลิงก์ภายในและทรัพยากรทั้งหมด

ไม่ควรเปลี่ยน URL ใน WordPress เป็น HTTPS ก่อนที่ Certificate จะติดตั้งและทำงานได้จริง เพราะอาจทำให้เข้าเว็บไซต์และหน้าแอดมินไม่ได้

2. SSL Certificate หมดอายุ

ใบรับรอง SSL มีอายุการใช้งานและต้องต่ออายุ หากระบบต่ออายุอัตโนมัติทำงานผิดพลาด ผู้เข้าชมอาจเห็นข้อความ เช่น

• Your connection is not private
• Certificate expired
• NET::ERR_CERT_DATE_INVALID

สาเหตุที่ต่ออายุไม่สำเร็จ

• DNS ชี้ไปผิดเซิร์ฟเวอร์
• โดเมนหมดอายุ
• ระบบตรวจสอบโดเมนเข้าถึงไม่ได้
• Firewall บล็อกการยืนยัน
• Hosting ปิด Auto Renewal
• Certificate ถูกติดตั้งผิดตำแหน่ง
• CDN กับต้นทางใช้ Certificate คนละชุด

วิธีแก้

• ตรวจวันหมดอายุของ Certificate
• ต่ออายุหรือติดตั้งใบรับรองใหม่
• ตรวจ DNS Record
• ตรวจระบบ Auto Renewal
• ทดสอบทั้ง www และแบบไม่มี www
• ล้าง Cache ของ Server, CDN และ Browser
• ตรวจ Certificate Chain หลังติดตั้ง

ควรตั้งระบบแจ้งเตือนก่อน Certificate หมดอายุ แม้โฮสติ้งจะมีระบบต่ออายุอัตโนมัติก็ตาม

3. Certificate ไม่ตรงกับชื่อโดเมน

ปัญหานี้เกิดเมื่อชื่อเว็บไซต์ที่เปิดไม่อยู่ในรายชื่อโดเมนของ Certificate

ตัวอย่างเช่น Certificate รองรับเฉพาะ

example.com

แต่ผู้ใช้งานเปิด

www.example.com

หรือ Certificate ออกให้โดเมนหลัก แต่ไม่ได้ครอบคลุม Subdomain เช่น

shop.example.com

วิธีแก้

ออก Certificate ให้ครอบคลุมชื่อที่ใช้งานจริง ได้แก่

• โดเมนหลัก
• โดเมนแบบ www
• Subdomain ที่เปิดใช้งาน
• โดเมนเพิ่มเติมที่ชี้เข้าระบบเดียวกัน

จากนั้นตั้ง Redirect ให้ผู้ใช้งานเข้าสู่โดเมนหลักเพียงรูปแบบเดียว

4. เว็บไซต์มี Mixed Content

Mixed Content เกิดเมื่อหน้าเว็บเปิดผ่าน HTTPS แต่ยังโหลดไฟล์บางส่วนผ่าน HTTP เช่น

• รูปภาพ
• JavaScript
• CSS
• วิดีโอ
• ฟอนต์
• iframe
• ไฟล์ดาวน์โหลด
• API ภายนอก

MDN อธิบายว่า Mixed Content คือหน้าเว็บที่โหลดอย่างปลอดภัย แต่เรียกทรัพยากรผ่าน HTTP หรือโปรโตคอลที่ไม่ปลอดภัย ทำให้ทรัพยากรเหล่านั้นอาจถูกมองเห็นหรือแก้ไขระหว่างทางได้

เบราว์เซอร์อาจพยายามอัปเกรดทรัพยากรบางประเภทเป็น HTTPS โดยอัตโนมัติ ขณะที่ทรัพยากรที่มีความเสี่ยง เช่น Script อาจถูกบล็อกจนทำให้หน้าเว็บแสดงผลหรือทำงานผิดปกติ

อาการของ Mixed Content

• มี HTTPS แต่ยังขึ้นคำเตือน
• รูปภาพบางรูปไม่แสดง
• Slider หรือเมนูไม่ทำงาน
• ฟอนต์ไม่โหลด
• แบบฟอร์มใช้งานไม่ได้
• Console แสดงข้อความ Mixed Content
• หน้าเว็บผิดรูปหลังเปลี่ยนเป็น HTTPS

วิธีตรวจสอบ

1. เปิดหน้าเว็บไซต์
2. กด F12 หรือเปิด Developer Tools
3. เลือกแท็บ Console
4. ค้นหาข้อความที่มีคำว่า Mixed Content
5. ตรวจสอบ URL ที่ยังเริ่มด้วย http://

ควรตรวจหลายหน้า ไม่ใช่เพียงหน้าแรก เพราะปัญหาอาจอยู่เฉพาะบทความเก่า หน้าสินค้า หรือ Template บางหน้า

วิธีแก้ Mixed Content ใน WordPress

• เปลี่ยน WordPress Address เป็น HTTPS
• เปลี่ยน Site Address เป็น HTTPS
• อัปเดต URL ในฐานข้อมูลจาก HTTP เป็น HTTPS
• แก้ URL ภายใน Page Builder
• แก้ URL รูปพื้นหลังใน CSS
• ตรวจไฟล์ Header และ Footer
• แก้ Script หรือ iframe จากบริการภายนอก
• ล้าง Cache ทั้งหมด
• สร้างไฟล์ CSS ใหม่ หากใช้ระบบ Generate CSS
• ตรวจ Theme และ Plugin ที่ฝัง URL แบบตายตัว

ระวังการ Search and Replace ฐานข้อมูล

ไม่ควรเปิดไฟล์ฐานข้อมูลแล้วใช้คำสั่งแทนที่ข้อความทั่วไปแบบไม่รองรับข้อมูล Serialized เพราะอาจทำให้ Widget, Theme Option หรือ Page Builder เสียหาย

ควรสำรองฐานข้อมูลก่อน และใช้เครื่องมือที่รองรับ WordPress Serialization

5. Redirect จาก HTTP ไป HTTPS ไม่สมบูรณ์

หลังติดตั้ง SSL ควรตั้งให้ URL แบบ HTTP เปลี่ยนไป HTTPS ด้วยสถานะ Redirect ที่เหมาะสม

ปัญหาที่พบบ่อย ได้แก่

• HTTP และ HTTPS เปิดได้ทั้งคู่
• Redirect วนซ้ำ
• หน้าแรกไป HTTPS แต่หน้าภายในยังเป็น HTTP
• www กับไม่มี www ชี้คนละที่
• CDN Redirect ซ้ำกับ Server
• Plugin บังคับ HTTPS ซ้ำกับ .htaccess
• Redirect ไป URL ผิด

ตัวอย่างโครงสร้างที่ควรได้

โดยเก็บ Path เดิมไว้

วิธีตรวจสอบ

ทดสอบ URL หลายรูปแบบ เช่น

• http://example.com
• http://www.example.com
• https://example.com
• https://www.example.com

ควรเลือกโดเมนหลักเพียงหนึ่งรูปแบบ และให้รูปแบบอื่น Redirect ไปยัง URL หลัก

วิธีแก้

ควรกำหนด Redirect เพียงชั้นที่จำเป็น และตรวจว่าระบบใดเป็นผู้ควบคุม ได้แก่

• Web Server
• Hosting Control Panel
• CDN
• WordPress Plugin
• Load Balancer

การตั้งซ้ำหลายชั้นอาจทำให้เกิด Redirect Loop

6. วันและเวลาของอุปกรณ์ไม่ถูกต้อง

บางครั้งปัญหาไม่ได้อยู่ที่เว็บไซต์ แต่อยู่ที่วัน เวลา หรือ Time Zone ของคอมพิวเตอร์และโทรศัพท์

เบราว์เซอร์ใช้วันที่ปัจจุบันตรวจว่า Certificate เริ่มใช้งานแล้วหรือหมดอายุหรือยัง หากเวลาของเครื่องผิดมาก อาจแสดง Certificate Error แม้เว็บไซต์ไม่มีปัญหา

วิธีตรวจสอบ

• เปิดเว็บไซต์จากอุปกรณ์อีกเครื่อง
• ตรวจวันและเวลา
• เปิดการตั้งเวลาอัตโนมัติ
• ตรวจ Time Zone
• รีสตาร์ตเบราว์เซอร์

หากเกิดเฉพาะเครื่องเดียว มีโอกาสเป็นปัญหาที่อุปกรณ์มากกว่าเซิร์ฟเวอร์

7. DNS หรือ CDN ตั้งค่าไม่ตรงกัน

เว็บไซต์ที่ใช้ CDN หรือ Proxy อาจมี Certificate มากกว่าหนึ่งจุด ได้แก่

1. Certificate ระหว่างผู้ใช้งานกับ CDN
2. Certificate ระหว่าง CDN กับ Origin Server

หากตั้งค่าไม่สอดคล้องกัน อาจเกิดปัญหา เช่น

• SSL Handshake Failed
• Too Many Redirects
• Certificate ไม่ตรงโดเมน
• เว็บไซต์เปิดได้บางเครือข่าย
• หน้าเว็บโหลดไม่ครบ
• Origin Certificate หมดอายุ

วิธีแก้

• ตรวจ DNS ว่าชี้ไปยังระบบที่ถูกต้อง
• ตรวจ SSL Mode ของ CDN
• ตรวจ Certificate ที่ Origin
• ตรวจว่า CDN ส่ง Hostname ถูกต้อง
• ล้าง CDN Cache
• ตรวจ Redirect ที่ CDN และ Server
• หลีกเลี่ยงการใช้โหมดที่เข้ารหัสไม่ครบระหว่าง CDN กับ Origin

8. ฟอร์มส่งข้อมูลไปยัง HTTP

บางเว็บไซต์เปิดผ่าน HTTPS แต่แบบฟอร์มกลับส่งข้อมูลไปยัง URL แบบ HTTP

กรณีนี้อาจเกิดจาก

• Form Action เก่า
• Plugin แบบฟอร์มตั้ง URL ตายตัว
• ระบบชำระเงินเชื่อม Endpoint เก่า
• API ภายนอกไม่รองรับ HTTPS
• Code ที่พัฒนาขึ้นเองยังใช้ HTTP

วิธีแก้

• ตรวจ form action
• ตรวจ Webhook
• ตรวจ API Endpoint
• ตรวจ Return URL
• ตรวจ Callback URL
• ทดสอบส่งแบบฟอร์มจริง
• ตรวจ Network Log ใน Developer Tools

เว็บไซต์ที่มีระบบสมาชิก ร้านค้า หรือชำระเงินควรตรวจส่วนนี้อย่างละเอียด

9. เว็บไซต์ถูกแฮ็กหรือมี Malware

คำเตือนด้านความปลอดภัยบางประเภทไม่ได้เกิดจาก SSL แต่เกิดจากเว็บไซต์ถูกฝังโค้ดอันตราย

อาการที่อาจพบ ได้แก่

• เว็บไซต์เด้งไปเว็บอื่น
• มีหน้าแปลกเพิ่มขึ้น
• มีโฆษณาหรือ Pop-up ที่ไม่ได้สร้าง
• Search Result แสดงข้อความผิดปกติ
• มีผู้ดูแลระบบที่ไม่รู้จัก
• ไฟล์ Theme หรือ Plugin ถูกแก้
• มีคำเตือน Deceptive Site Ahead
• ลูกค้าถูกส่งไปหน้าดาวน์โหลดไฟล์
• Hosting แจ้งพบ Malware

กรณีนี้การติดตั้ง SSL ใหม่ไม่สามารถแก้ปัญหาได้ เพราะ SSL ทำหน้าที่เข้ารหัสการเชื่อมต่อ ไม่ได้ตรวจว่าเนื้อหาภายในเว็บไซต์ปลอดภัยหรือไม่

วิธีจัดการเบื้องต้น

1. สำรองหลักฐานและไฟล์ที่จำเป็น
2. เปลี่ยนรหัสผ่าน Hosting, WordPress, FTP และฐานข้อมูล
3. ตรวจผู้ดูแลระบบทั้งหมด
4. สแกนไฟล์เว็บไซต์
5. ตรวจไฟล์ที่แก้ไขล่าสุด
6. อัปเดต WordPress, Theme และ Plugin
7. ลบ Plugin หรือ Theme ที่ไม่ใช้งาน
8. เปลี่ยน Security Keys
9. ตรวจฐานข้อมูล
10. ตรวจ Scheduled Task หรือ Cron
11. ล้าง Cache
12. ขอให้ผู้เชี่ยวชาญตรวจหาช่องโหว่ต้นเหตุ

ไม่ควรลบไฟล์แบบสุ่ม เพราะอาจทำลายหลักฐานและทำให้เว็บไซต์ใช้งานไม่ได้ โดยที่ Malware ยังหลงเหลืออยู่ในตำแหน่งอื่น

“Not Secure” กับ “Your Connection Is Not Private” ต่างกันอย่างไร?

วิธีแก้จึงต้องเริ่มจากอ่านข้อความแจ้งเตือนและ Error Code ให้ถูกต้อง ไม่ควรติดตั้ง Plugin SSL เพิ่มทันทีโดยไม่ทราบสาเหตุ

วิธีตรวจสอบเว็บไซต์ไม่ปลอดภัยด้วยตัวเอง

ขั้นตอนที่ 1 ตรวจ URL

ดูว่า URL เริ่มด้วย http:// หรือ https://

หากยังเป็น HTTP แสดงว่าเว็บไซต์ยังไม่ได้บังคับใช้ HTTPS หรือไม่มี SSL ที่พร้อมใช้งาน

ขั้นตอนที่ 2 เปิดรายละเอียดการเชื่อมต่อ

กดไอคอนด้านซ้ายของ Address Bar แล้วตรวจข้อมูลการเชื่อมต่อและ Certificate

ตรวจอย่างน้อย

• Certificate ถูกต้องหรือไม่
• ออกให้โดเมนใด
• หมดอายุเมื่อใด
• เบราว์เซอร์เชื่อถือหรือไม่

ขั้นตอนที่ 3 ทดสอบแบบมีและไม่มี www

เปิดทั้ง

• https://example.com
• https://www.example.com

หากรูปแบบหนึ่งมีปัญหา อาจเป็นเพราะ Certificate หรือ DNS ไม่ครอบคลุม

ขั้นตอนที่ 4 ตรวจ Developer Console

ค้นหา Error เช่น

• Mixed Content
• Failed to load resource
• Certificate Error
• CORS Error
• Blocked insecure content

ขั้นตอนที่ 5 ทดสอบหลายหน้า

ตรวจ

• หน้าแรก
• หน้าติดต่อ
• หน้าสินค้า
• หน้าบทความเก่า
• หน้า Login
• หน้า Checkout
• หน้าที่มีแบบฟอร์ม
• หน้าที่ฝังวิดีโอหรือแผนที่

ขั้นตอนที่ 6 ทดสอบหลายอุปกรณ์และเครือข่าย

หากเกิดเฉพาะเครื่องเดียว ให้ตรวจเวลา Cache, Extension, Antivirus หรือเครือข่ายของอุปกรณ์

ขั้นตอนที่ 7 ตรวจระบบหลังบ้านและ Hosting

ตรวจ

• SSL Status
• DNS
• Error Log
• PHP Error
• CDN
• Firewall
• Certificate Renewal
• Redirect Rule

วิธีแก้เว็บไซต์ WordPress ขึ้นไม่ปลอดภัย

1. สำรองเว็บไซต์ก่อนแก้ไข

ควรสำรองทั้ง

• ไฟล์เว็บไซต์
• ฐานข้อมูล
• .htaccess
• การตั้งค่า DNS
• การตั้งค่า CDN
• รายชื่อ Plugin
• Version ปัจจุบัน

อย่าแก้ฐานข้อมูลหรือ Redirect ก่อนมี Backup ที่สามารถกู้คืนได้จริง

2. ติดตั้ง SSL ที่ Hosting

ติดตั้ง Certificate ให้ครอบคลุมโดเมนที่ใช้งานทั้งหมด และทดสอบ HTTPS โดยตรงก่อนเปลี่ยน WordPress URL

3. เปลี่ยน WordPress URL

ไปที่

Settings → General

แล้วตรวจ

• WordPress Address (URL)
• Site Address (URL)

ให้เป็น HTTPS ทั้งคู่

ควรทำเมื่อ HTTPS ที่เซิร์ฟเวอร์ทำงานแล้วเท่านั้น

4. อัปเดต URL เก่าในฐานข้อมูล

เปลี่ยน URL จาก HTTP เป็น HTTPS โดยใช้วิธีที่รองรับ Serialized Data และสำรองข้อมูลก่อนดำเนินการ

5. แก้ Mixed Content

ตรวจและแก้

• รูปภาพเก่า
• Background Image
• CSS
• JavaScript
• iframe
• Font
• Logo
• Widget
• Theme Option
• Page Builder
• External Script

6. ตั้ง Redirect

ตั้งให้ HTTP ไป HTTPS และเลือกโดเมนหลักหนึ่งรูปแบบ

7. ล้าง Cache

ล้าง

• WordPress Cache
• Server Cache
• CDN Cache
• Browser Cache
• Page Builder CSS Cache
• Object Cache

8. ตรวจระบบสำคัญ

ทดสอบ

• แบบฟอร์ม
• Login
• Reset Password
• Cart
• Checkout
• Payment
• Email
• Webhook
• Analytics
• Pixel
• API
• Sitemap

9. อัปเดตลิงก์ภายนอกและเครื่องมือ

ตรวจ URL ที่ตั้งไว้ใน

• Google Analytics
• Google Search Console
• Google Business Profile
• Social Media
• ระบบโฆษณา
• Payment Gateway
• Email Template
• QR Code
• Directory หรือเว็บไซต์พันธมิตร

10. ตรวจ Canonical และ Sitemap

หลังย้ายเป็น HTTPS ควรให้

• Canonical ใช้ HTTPS
• XML Sitemap ใช้ HTTPS
• Internal Link ใช้ HTTPS
• Open Graph URL ใช้ HTTPS
• Structured Data ใช้ URL ที่ถูกต้อง

เว็บไซต์ไม่ปลอดภัยมีผลต่อ SEO หรือไม่?

HTTPS ถูกใช้เป็นหนึ่งในสัญญาณของระบบจัดอันดับ Google แม้จะเป็นเพียงหนึ่งในหลายปัจจัยและไม่สำคัญเท่าคุณภาพของเนื้อหา

ปัญหา HTTPS อาจกระทบ SEO ในทางอ้อมหรือทางเทคนิค เช่น

• ผู้เข้าชมออกจากเว็บไซต์เพราะคำเตือน
• HTTP และ HTTPS ถูกเปิดเป็นคนละ URL
• Canonical ผิด
• Redirect ไม่สมบูรณ์
• Googlebot เข้าถึงทรัพยากรไม่ได้
• รูปหรือ Script ถูกบล็อก
• Sitemap ยังเป็น HTTP
• Backlink ชี้ผ่าน Redirect หลายชั้น
• Conversion ลดลง

ไม่ควรแก้ SSL เพียงเพื่อหวังให้อันดับสูงขึ้นทันที แต่ควรแก้เพื่อความปลอดภัย ความน่าเชื่อถือ และโครงสร้างเว็บไซต์ที่ถูกต้อง

เว็บไซต์ไม่ปลอดภัยมีผลต่อธุรกิจอย่างไร?

ลูกค้าไม่กล้ากรอกข้อมูล

คำเตือนของเบราว์เซอร์อาจทำให้ผู้ใช้งานไม่มั่นใจในการส่งชื่อ เบอร์โทร อีเมล หรือรายละเอียดการสั่งซื้อ

Conversion ลดลง

ผู้เข้าชมอาจปิดหน้าเว็บก่อนติดต่อหรือชำระเงิน

ภาพลักษณ์เสียหาย

เว็บไซต์ที่แสดงคำเตือนอาจทำให้ธุรกิจดูไม่ได้รับการดูแล แม้สาเหตุจะเป็นเพียง Certificate หมดอายุ

โฆษณาเสียประสิทธิภาพ

ผู้ใช้งานที่คลิกโฆษณาแล้วพบคำเตือนอาจออกจากหน้าเว็บ ทำให้งบโฆษณาไม่สร้างผลลัพธ์ตามที่ควร

ระบบบางส่วนหยุดทำงาน

Mixed Content หรือ Certificate Error อาจทำให้ Script, Payment, Form และ API ถูกบล็อก

สิ่งที่ไม่ควรทำเมื่อเว็บไซต์ขึ้นไม่ปลอดภัย

อย่ากดข้ามคำเตือนแล้วคิดว่าไม่มีปัญหา

การเปิดผ่านปุ่ม Advanced ไม่ได้แก้ปัญหาให้ลูกค้าหรือผู้ใช้งานคนอื่น

อย่าติดตั้ง Plugin SSL หลายตัวพร้อมกัน

Plugin หลายตัวอาจตั้ง Redirect และแก้ URL ซ้ำกันจนเกิด Loop หรือหน้าเว็บเสีย

อย่าเปลี่ยน WordPress URL ก่อนติดตั้ง Certificate

อาจทำให้เข้าเว็บไซต์และหน้าแอดมินไม่ได้

อย่าแก้ฐานข้อมูลโดยไม่มี Backup

การแทนที่ URL ผิดวิธีอาจทำให้ข้อมูล Serialized เสียหาย

อย่าปิดระบบความปลอดภัยเพื่อซ่อนคำเตือน

การลดระดับความปลอดภัยไม่ได้แก้สาเหตุและอาจเพิ่มความเสี่ยง

อย่าคิดว่า SSL ป้องกันการแฮ็กทั้งหมด

HTTPS ปกป้องข้อมูลระหว่างทาง แต่เว็บไซต์ยังต้องอัปเดตระบบ ตั้งรหัสผ่านที่ดี จำกัดสิทธิ์ และป้องกันช่องโหว่อื่น

กรณีใดควรติดต่อผู้เชี่ยวชาญ?

ควรให้ผู้ดูแลระบบหรือผู้เชี่ยวชาญตรวจ หากพบว่า

• เข้า WordPress Admin ไม่ได้หลังเปลี่ยน HTTPS
• Redirect วนซ้ำ
• เว็บไซต์ล่มหลังแก้ .htaccess
• Mixed Content อยู่ในฐานข้อมูลจำนวนมาก
• เว็บไซต์ใช้ CDN หรือ Load Balancer
• Certificate Chain ผิด
• เว็บไซต์ถูกแฮ็ก
• มีระบบร้านค้าและชำระเงิน
• มีระบบสมาชิก
• มี API ภายนอก
• ไม่ทราบว่าใครเป็นเจ้าของ Domain หรือ Hosting
• ไม่มี Backup
• Error เกิดเฉพาะบางอุปกรณ์และวิเคราะห์ไม่ได้
• แก้ SSL แล้วแต่คำเตือนยังไม่หาย

วิธีป้องกันไม่ให้เกิดซ้ำ

• เปิด Auto Renewal ของ SSL
• ตั้งแจ้งเตือนวันหมดอายุ
• ต่ออายุโดเมนล่วงหน้า
• สำรองเว็บไซต์เป็นประจำ
• อัปเดต WordPress, Theme และ Plugin
• ลบระบบที่ไม่ใช้งาน
• ใช้ Plugin จากแหล่งที่เชื่อถือได้
• ตรวจ HTTPS หลังย้าย Hosting
• ตรวจ Certificate หลังเปลี่ยน DNS
• ตรวจ Mixed Content หลังแก้เว็บไซต์
• ใช้ Staging ก่อนแก้ระบบใหญ่
• จำกัดบัญชี Administrator
• ใช้รหัสผ่านที่รัดกุม
• เปิด Two-Factor Authentication หากระบบรองรับ
• ตรวจ Log และกิจกรรมผิดปกติ
• มีผู้ดูแลเว็บไซต์อย่างต่อเนื่อง

สรุป เว็บไซต์ไม่ปลอดภัยแก้อย่างไร?

เว็บไซต์ที่ขึ้น Not Secure อาจเกิดจากหลายสาเหตุ ไม่ใช่เพียงไม่มี SSL

แนวทางตรวจสอบที่ถูกต้องคือ

1. อ่านข้อความและ Error Code
2. ตรวจว่าเว็บไซต์ใช้ HTTP หรือ HTTPS
3. ตรวจวันหมดอายุและชื่อโดเมนใน Certificate
4. ตรวจ Mixed Content
5. ตรวจ Redirect
6. ตรวจ DNS, Hosting และ CDN
7. ตรวจแบบฟอร์มและระบบภายนอก
8. ตรวจ Malware หากมีอาการผิดปกติ
9. สำรองเว็บไซต์ก่อนแก้ไข
10. ทดสอบเว็บไซต์ทุกส่วนหลังแก้

หากปัญหาเกิดจาก WordPress, ฐานข้อมูล, Redirect, CDN หรือเว็บไซต์ถูกโจมตี ควรหลีกเลี่ยงการแก้แบบสุ่ม เพราะอาจทำให้เว็บล่มหรือทำให้ตรวจหาสาเหตุได้ยากขึ้น

ต้องการให้ช่วยตรวจเว็บไซต์ขึ้นไม่ปลอดภัย?

Moon Knight Creator ให้บริการตรวจสอบและดูแลเว็บไซต์ WordPress โดยสามารถช่วยวิเคราะห์ปัญหาเบื้องต้น เช่น

• เว็บไซต์ขึ้น Not Secure
• SSL หรือ HTTPS ใช้งานไม่ได้
• SSL หมดอายุ
• Certificate ไม่ตรงโดเมน
• Mixed Content
• Redirect ผิดพลาด
• เว็บไซต์เปิดไม่ได้หลังเปลี่ยน HTTPS
• ปัญหาจาก Hosting หรือ CDN
• เว็บไซต์ WordPress แสดงผลผิดปกติ
• ตรวจระบบก่อนย้ายหรือปรับปรุงเว็บไซต์

ก่อนติดต่อ ควรส่งข้อมูลต่อไปนี้

• URL เว็บไซต์
• ภาพหน้าจอคำเตือน
• Error Code
• วันที่เริ่มเกิดปัญหา
• การเปลี่ยนแปลงล่าสุด
• ชื่อ Hosting หรือ CDN
• ระบุว่าเข้า WordPress Admin ได้หรือไม่

ดูบริการเว็บโฮสติ้ง WordPress:
https://www.moonknightcreator.com/services/wordpress-web-hosting/

ดูบริการรับทำเว็บไซต์ WordPress:
https://www.moonknightcreator.com/services/wordpress-website/

ติดต่อเพื่อตรวจสอบเว็บไซต์:
https://www.moonknightcreator.com/contact-us/

คำถามที่พบบ่อย

เว็บไซต์ขึ้น Not Secure แปลว่าถูกแฮ็กหรือไม่?

ไม่เสมอไป สาเหตุส่วนใหญ่อาจเกี่ยวกับ HTTP, SSL, Certificate หรือ Mixed Content แต่หากมีการ Redirect ไปเว็บแปลก มีหน้าไม่รู้จัก หรือมีคำเตือน Malware ควรตรวจเรื่องการถูกแฮ็กเพิ่มเติม

ติดตั้ง SSL แล้วทำไมยังขึ้นไม่ปลอดภัย?

อาจเกิดจาก Mixed Content, Certificate ไม่ครอบคลุมโดเมน, Redirect ไม่สมบูรณ์, Cache เก่า หรือไฟล์บางส่วนยังโหลดผ่าน HTTP

SSL ฟรีปลอดภัยหรือไม่?

Certificate ฟรีและแบบเสียเงินสามารถใช้การเข้ารหัสตามมาตรฐานได้ ความแตกต่างมักอยู่ที่รูปแบบการยืนยันตัวตน การรับประกัน บริการสนับสนุน และการจัดการ ไม่ควรพิจารณาความปลอดภัยจากราคาเพียงอย่างเดียว

แก้ Not Secure ด้วย Plugin ได้หรือไม่?

Plugin อาจช่วยเปลี่ยน URL หรือ Redirect ในบางกรณี แต่ไม่สามารถแทนการติดตั้ง Certificate ที่เซิร์ฟเวอร์ และไม่สามารถแก้ Certificate หมดอายุ DNS ผิด หรือ Malware ได้ทุกกรณี

Mixed Content คืออะไร?

คือหน้า HTTPS ที่ยังโหลดรูป Script, CSS, Font หรือทรัพยากรบางรายการผ่าน HTTP ทำให้การป้องกันของหน้าเว็บไม่สมบูรณ์และอาจทำให้เบราว์เซอร์บล็อกไฟล์บางประเภท

เปลี่ยนจาก HTTP เป็น HTTPS แล้วอันดับจะตกหรือไม่?

หากตั้ง Redirect, Canonical, Sitemap และ Internal Link ถูกต้อง โดยทั่วไปเป็นการย้าย URL ที่จัดการได้ แต่ช่วงเปลี่ยนผ่านอาจมีความผันผวนชั่วคราว ควรตรวจ Indexing และ Redirect อย่างต่อเนื่อง

SSL หมดอายุแก้เองได้หรือไม่?

หากเข้าถึง Hosting Control Panel และระบบรองรับการออก Certificate อัตโนมัติ อาจต่ออายุได้เอง แต่หากใช้ CDN, VPS หรือ Server ที่ตั้งค่าเฉพาะ ควรให้ผู้ดูแลระบบตรวจ

ต้องซื้อ SSL ทุกเว็บไซต์หรือไม่?

ขึ้นอยู่กับผู้ให้บริการ Hosting หลายแพ็กเกจมี Certificate รวมอยู่แล้ว ควรตรวจสิ่งที่รวมก่อนซื้อเพิ่ม

เว็บไซต์ไม่มีแบบฟอร์มยังต้องใช้ HTTPS หรือไม่?

ควรใช้ เพราะ HTTPS ช่วยปกป้องการรับส่งข้อมูล เพิ่มความน่าเชื่อถือ และเป็นมาตรฐานพื้นฐานของเว็บไซต์ปัจจุบัน

แก้ HTTPS แล้วต้องแจ้ง Google หรือไม่?

ควรตรวจว่าเว็บไซต์ใช้ HTTPS เป็น URL หลัก อัปเดต Sitemap, Canonical และ Internal Link จากนั้นส่ง Sitemap ผ่าน Google Search Console และติดตามสถานะการจัดทำดัชนี

แหล่งอ้างอิง

• https://developer.wordpress.org/advanced-administration/security/https/
• https://developer.mozilla.org/en-US/docs/Web/Security/Defenses/Mixed_content
• https://developer.mozilla.org/en-US/docs/Web/HTTP/Guides/CSP
• https://support.google.com/chrome/answer/95617
• https://developers.google.com/search/blog/2014/08/https-as-ranking-signal

ติดต่อเรา

• Facebook: Moon Knight Creator
• LINE: @moonknightcreator
• เว็บไซต์: www.moonknightcreator.com
• แผนที่: Moon Knight Creator