SSL คืออะไร? ทำไมเว็บไซต์ธุรกิจต้องใช้ HTTPS

SSL คือเทคโนโลยีที่คนทั่วไปใช้เรียกระบบรักษาความปลอดภัยของเว็บไซต์ ซึ่งช่วยเข้ารหัสข้อมูลระหว่างเว็บเบราว์เซอร์ของผู้ใช้งานกับเซิร์ฟเวอร์ของเว็บไซต์ ป้องกันไม่ให้บุคคลอื่นอ่านข้อความ แก้ไขข้อมูล หรือปลอมแปลงการเชื่อมต่อได้ง่าย

ในทางเทคนิค เว็บไซต์สมัยใหม่ไม่ได้ใช้โปรโตคอล SSL รุ่นเก่าแล้ว แต่ใช้ TLS หรือ Transport Layer Security ซึ่งเป็นเทคโนโลยีที่พัฒนาต่อจาก SSL อย่างไรก็ตาม คำว่า “SSL Certificate” ยังคงถูกใช้ในวงการเว็บไซต์ โฮสติ้ง และการตลาดเพื่อให้ผู้ใช้งานเข้าใจง่าย เว็บไซต์ที่ติดตั้งใบรับรองอย่างถูกต้องจะเปิดผ่าน https:// แทน http:// และข้อมูลระหว่างผู้ใช้งานกับเว็บไซต์จะถูกเข้ารหัสผ่าน TLS

สำหรับเว็บไซต์ธุรกิจ HTTPS ไม่ได้จำเป็นเฉพาะเว็บที่รับชำระเงินหรือเก็บข้อมูลบัตรเครดิตเท่านั้น เว็บไซต์บริษัท ร้านค้า คลินิก โรงแรม ร้านอาหาร เว็บบริการ และเว็บไซต์ที่มีแบบฟอร์มติดต่อก็ควรใช้ HTTPS เพราะผู้ใช้งานอาจส่งชื่อ เบอร์โทร อีเมล รหัสผ่าน หรือข้อมูลทางธุรกิจผ่านเว็บไซต์

บทความนี้จะอธิบายว่า SSL และ HTTPS คืออะไร ทำงานอย่างไร มีประโยชน์ต่อธุรกิจและ SEO อย่างไร รวมถึงวิธีติดตั้ง ตรวจสอบ และแก้ปัญหาที่พบบ่อยหลังเปลี่ยนเว็บไซต์จาก HTTP เป็น HTTPS

SSL คืออะไร?

SSL ย่อมาจาก Secure Sockets Layer เป็นชื่อของโปรโตคอลรักษาความปลอดภัยสำหรับการสื่อสารผ่านอินเทอร์เน็ต ปัจจุบัน SSL รุ่นเก่าถูกแทนที่ด้วย TLS แล้ว แต่ผู้ให้บริการจำนวนมากยังใช้คำว่า SSL เพื่อเรียกใบรับรองดิจิทัลและระบบ HTTPS โดยรวม

หน้าที่สำคัญของระบบ SSL/TLS คือ:

• เข้ารหัสข้อมูลระหว่างผู้ใช้งานกับเว็บไซต์
• ยืนยันว่าเว็บไซต์ที่ผู้ใช้งานเชื่อมต่อเป็นโดเมนที่ใบรับรองระบุ
• ช่วยป้องกันข้อมูลถูกแก้ไขระหว่างทาง
• ลดความเสี่ยงจากการดักฟังข้อมูล
• สนับสนุนการใช้งาน HTTPS

การติดตั้งใบรับรองเพียงอย่างเดียวไม่เพียงพอ เว็บไซต์ต้องตั้งค่าเซิร์ฟเวอร์ Redirect, Internal Link และทรัพยากรทั้งหมดให้ทำงานผ่าน HTTPS ด้วย

HTTPS คืออะไร?

HTTPS ย่อมาจาก Hypertext Transfer Protocol Secure เป็นเวอร์ชันที่มีการเข้ารหัสของ HTTP โดยใช้ TLS เพื่อปกป้องข้อมูลที่รับส่งระหว่างเว็บเบราว์เซอร์กับเซิร์ฟเวอร์

ตัวอย่าง URL แบบ HTTP:

http://example.com/

ตัวอย่าง URL แบบ HTTPS:

https://example.com/

ตัวอักษร S ที่เพิ่มเข้ามาหมายถึง Secure หรือการเชื่อมต่อที่ได้รับการปกป้องด้วยระบบเข้ารหัส

อย่างไรก็ตาม HTTPS ไม่ได้หมายความว่าเว็บไซต์ทั้งหมดปลอดภัยจาก Malware, Phishing หรือการแฮ็กโดยอัตโนมัติ HTTPS ปกป้องข้อมูลระหว่างการส่ง แต่เจ้าของเว็บไซต์ยังต้องอัปเดตระบบ ปลั๊กอิน ธีม รหัสผ่าน และมาตรการความปลอดภัยอื่นควบคู่กัน

SSL, TLS และ HTTPS ต่างกันอย่างไร?

Certificate Authority หรือ CA เป็นส่วนหนึ่งของโครงสร้างความน่าเชื่อถือที่ช่วยให้เว็บเบราว์เซอร์ตรวจสอบตัวตนของเว็บไซต์และสร้างการเชื่อมต่อแบบ TLS ได้อย่างปลอดภัย

ในทางปฏิบัติ เมื่อผู้ให้บริการโฮสติ้งบอกว่า “ติดตั้ง SSL” มักหมายถึงการออกใบรับรอง TLS และตั้งค่าเว็บไซต์ให้เปิดผ่าน HTTPS

SSL Certificate ทำงานอย่างไร?

เมื่อผู้ใช้งานเปิดเว็บไซต์ผ่าน HTTPS กระบวนการโดยย่อประกอบด้วยขั้นตอนต่อไปนี้:

1. เว็บเบราว์เซอร์เชื่อมต่อไปยังเซิร์ฟเวอร์
2. เซิร์ฟเวอร์ส่งใบรับรองดิจิทัลให้เบราว์เซอร์
3. เบราว์เซอร์ตรวจว่าใบรับรองออกโดยหน่วยงานที่เชื่อถือได้หรือไม่
4. ตรวจว่าโดเมนตรงกับชื่อในใบรับรองหรือไม่
5. ตรวจว่าใบรับรองยังไม่หมดอายุหรือถูกเพิกถอน
6. เบราว์เซอร์และเซิร์ฟเวอร์สร้างกุญแจสำหรับเข้ารหัสการสื่อสาร
7. ข้อมูลหลังจากนั้นจะถูกส่งผ่านการเชื่อมต่อที่เข้ารหัส

TLS ต้องใช้ใบรับรองดิจิทัลเพื่อยืนยันเซิร์ฟเวอร์ โดยใบรับรองมี Public Key ที่เชื่อมโยงกับ Private Key ซึ่งเก็บรักษาอยู่บนเซิร์ฟเวอร์

กระบวนการนี้มักเกิดขึ้นภายในเวลาอันสั้น ผู้ใช้งานจึงไม่ต้องดำเนินการด้วยตนเอง

SSL Certificate มีข้อมูลอะไรบ้าง?

ใบรับรองดิจิทัลโดยทั่วไปประกอบด้วยข้อมูล เช่น:

• ชื่อโดเมนที่ใบรับรองรองรับ
• หน่วยงานที่ออกใบรับรอง
• วันที่เริ่มใช้งาน
• วันที่หมดอายุ
• Public Key
• ลายเซ็นดิจิทัลของผู้ออกใบรับรอง
• หมายเลขประจำใบรับรอง
• รายละเอียดอัลกอริทึมที่ใช้

หากชื่อโดเมนไม่ตรงกับใบรับรอง ใบรับรองหมดอายุ หรือเว็บเบราว์เซอร์ไม่เชื่อถือผู้ออกใบรับรอง ผู้ใช้งานอาจเห็นคำเตือนด้านความปลอดภัยและไม่สามารถเข้าถึงเว็บไซต์ได้ตามปกติ

ทำไมเว็บไซต์ธุรกิจต้องใช้ HTTPS?

ปกป้องข้อมูลลูกค้า

เว็บไซต์ธุรกิจอาจรับข้อมูลผ่านแบบฟอร์ม เช่น:

• ชื่อและนามสกุล
• เบอร์โทรศัพท์
• อีเมล
• ที่อยู่
• ข้อความสอบถาม
• รหัสผ่าน
• รายละเอียดคำสั่งซื้อ
• ข้อมูลการจอง
• เอกสารที่อัปโหลด

HTTPS ช่วยเข้ารหัสข้อมูลเหล่านี้ระหว่างผู้ใช้งานกับเซิร์ฟเวอร์ ลดความเสี่ยงจากการดักฟังหรือแก้ไขข้อมูลระหว่างทาง

สร้างความน่าเชื่อถือให้ธุรกิจ

เมื่อผู้ใช้งานเปิดเว็บไซต์ที่ไม่มี HTTPS เว็บเบราว์เซอร์อาจแสดงคำเตือนว่าเว็บไซต์ไม่ปลอดภัย ซึ่งอาจทำให้ลูกค้าลังเลที่จะกรอกแบบฟอร์ม ติดต่อ หรือชำระเงิน

เว็บไซต์ธุรกิจควรแสดงให้เห็นว่าให้ความสำคัญกับการปกป้องข้อมูล แม้หน้าเว็บจะเป็นเพียงหน้าแนะนำบริษัทก็ตาม เพราะหน้าเหล่านั้นมักมีแบบฟอร์มติดต่อ ปุ่มเข้าสู่ระบบ ระบบวิเคราะห์ หรือการเชื่อมต่อกับบริการภายนอก

ป้องกันการแก้ไขข้อมูลระหว่างทาง

หากเว็บไซต์ใช้ HTTP ข้อมูลที่ส่งระหว่างผู้ใช้งานกับเว็บไซต์อาจถูกแก้ไขได้ง่ายกว่าในเครือข่ายที่ไม่น่าเชื่อถือ เช่น เครือข่าย Wi-Fi สาธารณะ

HTTPS ช่วยรักษาความถูกต้องของข้อมูล ป้องกันไม่ให้บุคคลอื่นแทรกโฆษณา เปลี่ยนลิงก์ หรือแก้เนื้อหาที่ผู้ใช้งานได้รับจากเว็บไซต์ได้ง่าย

รองรับระบบชำระเงินและบัญชีผู้ใช้

เว็บไซต์ที่มีระบบร้านค้า สมาชิก การจอง หรือการชำระเงินจำเป็นต้องใช้ HTTPS เพื่อปกป้องข้อมูลเข้าสู่ระบบและข้อมูลการทำรายการ

แม้เว็บไซต์จะส่งผู้ใช้ไปชำระเงินกับ Payment Gateway ภายนอก หน้าตะกร้า Checkout และหน้าบัญชีลูกค้าก็ควรใช้ HTTPS ทั้งหมด

รองรับเทคโนโลยีเว็บไซต์สมัยใหม่

ความสามารถบางอย่างของเว็บเบราว์เซอร์และ API สมัยใหม่อาจกำหนดให้เว็บไซต์ทำงานใน Secure Context หรือ HTTPS เช่น ระบบระบุตำแหน่ง การเข้าถึงอุปกรณ์บางประเภท และ Service Worker

การใช้ HTTPS จึงไม่ใช่เพียงการป้องกันข้อมูล แต่เป็นพื้นฐานของเว็บไซต์สมัยใหม่ด้วย

HTTPS มีผลต่อ SEO หรือไม่?

Google ประกาศใช้ HTTPS เป็นสัญญาณหนึ่งในการจัดอันดับมาตั้งแต่ปี 2014 โดยระบุว่าเป็นสัญญาณที่มีน้ำหนักเบากว่าปัจจัยสำคัญอย่างคุณภาพเนื้อหา นอกจากนี้ Google ยังแนะนำให้เว็บไซต์ใช้ HTTPS เพื่อเพิ่มความปลอดภัยแก่ผู้ใช้งานและเว็บไซต์

ดังนั้น HTTPS มีประโยชน์ต่อ SEO แต่ไม่ควรเข้าใจว่าเพียงติดตั้ง SSL แล้วอันดับจะเพิ่มขึ้นทันที

อันดับยังขึ้นอยู่กับปัจจัยอื่น เช่น:

• คุณภาพและความครบถ้วนของเนื้อหา
• ความตรงกับ Search Intent
• โครงสร้างเว็บไซต์
• Internal Link
• Backlink
• ประสบการณ์ผู้ใช้งาน
• ความเร็วเว็บไซต์
• ความเหมาะสมกับอุปกรณ์มือถือ
• ความน่าเชื่อถือของเว็บไซต์

HTTPS เป็นพื้นฐานด้าน Technical SEO ที่เว็บไซต์ธุรกิจควรมี ไม่ใช่เทคนิคที่ใช้ทดแทนเนื้อหาและโครงสร้าง SEO

HTTP กับ HTTPS ต่างกันอย่างไร?

SSL Certificate มีกี่ประเภท?

ใบรับรองสามารถแบ่งตามจำนวนโดเมนที่รองรับและระดับการตรวจสอบตัวตน

ใบรับรองแบบ Single Domain

รองรับโดเมนหนึ่งชื่อ เช่น:

example.com

ควรตรวจด้วยว่าใบรับรองครอบคลุมทั้งเวอร์ชันที่มีและไม่มี www หรือไม่ เช่น:

example.com
www.example.com

เหมาะกับเว็บไซต์ธุรกิจทั่วไปที่มีโดเมนหลักเพียงชื่อเดียว

ใบรับรองแบบ Wildcard

รองรับ Subdomain หลายชื่อภายใต้โดเมนเดียว เช่น:

*.example.com

อาจใช้กับ:

shop.example.com
blog.example.com
member.example.com

เหมาะกับธุรกิจที่มีระบบย่อยหลาย Subdomains แต่ควรวางแผนการรักษา Private Key อย่างรอบคอบ เพราะใบรับรองเดียวอาจครอบคลุมหลายระบบ

ใบรับรองแบบ Multi-Domain

รองรับหลายชื่อโดเมนในใบรับรองเดียว เช่น:

example.com
example.co.th
example.net

เหมาะกับบริษัทที่มีหลายแบรนด์ หลายโดเมน หรือหลายระบบที่ต้องดูแลร่วมกัน

DV, OV และ EV ต่างกันอย่างไร?

Domain Validation หรือ DV

ตรวจสอบว่าผู้ขอใบรับรองควบคุมโดเมนนั้นได้

เหมาะกับ:

• เว็บไซต์บริษัททั่วไป
• บล็อก
• Landing Page
• เว็บไซต์ขนาดเล็ก
• เว็บไซต์ WordPress

DV สามารถออกใบรับรองได้รวดเร็วและมีทั้งแบบฟรีและเสียค่าใช้จ่าย

Organization Validation หรือ OV

นอกจากตรวจสอบโดเมนแล้ว ผู้ออกใบรับรองจะตรวจข้อมูลขององค์กรเพิ่มเติม

เหมาะกับองค์กรที่ต้องการให้ข้อมูลบริษัทเชื่อมโยงกับใบรับรองมากขึ้น แต่ไม่ได้หมายความว่า OV จะเข้ารหัสข้อมูลได้ “แรงกว่า” DV หากใช้มาตรฐาน TLS และการกำหนดค่าที่เทียบเท่ากัน

Extended Validation หรือ EV

มีขั้นตอนตรวจสอบองค์กรเข้มงวดกว่า แต่เว็บเบราว์เซอร์สมัยใหม่ไม่ได้แสดงชื่อองค์กรในแถบที่อยู่เด่นชัดเหมือนในอดีต

การเลือก DV, OV หรือ EV ควรพิจารณาจากนโยบายองค์กร ความต้องการด้านการยืนยันตัวตน งบประมาณ และระบบกำกับดูแล ไม่ควรเลือกจากความเชื่อว่าใบรับรองราคาแพงจะทำให้อันดับ SEO สูงกว่า

SSL ฟรีกับ SSL เสียเงินต่างกันอย่างไร?

ใบรับรองฟรีสามารถให้การเข้ารหัสที่เชื่อถือได้เช่นเดียวกับใบรับรองเชิงพาณิชย์ หากติดตั้งและกำหนดค่าอย่างถูกต้อง

Let’s Encrypt เป็น Certificate Authority แบบไม่แสวงหากำไรที่ออกใบรับรอง TLS ฟรีโดยอัตโนมัติผ่านโปรโตคอล ACME โดยผู้ขอต้องพิสูจน์ว่าสามารถควบคุมโดเมนได้

ความแตกต่างที่มักพบ ได้แก่:

สำหรับเว็บไซต์ธุรกิจทั่วไป ใบรับรองฟรีที่ติดตั้งผ่านโฮสติ้งที่น่าเชื่อถือมักเพียงพอ สิ่งสำคัญกว่าราคาใบรับรองคือการต่ออายุอัตโนมัติ การตั้งค่าที่ถูกต้อง และการปกป้อง Private Key

เว็บไซต์มี SSL แล้ว ทำไมยังขึ้นว่าไม่ปลอดภัย?

การมีใบรับรองไม่ได้รับประกันว่าเว็บไซต์ทุกหน้าจะปลอดภัย หากยังมีทรัพยากรบางส่วนโหลดผ่าน HTTP อาจเกิดปัญหา Mixed Content

ตัวอย่างเช่น หน้าเปิดผ่าน:

https://example.com/

แต่รูปภาพถูกโหลดจาก:

http://example.com/image.jpg

เว็บเบราว์เซอร์อาจบล็อกไฟล์บางรายการหรือแสดงคำเตือน เพราะหน้า HTTPS กำลังร้องขอทรัพยากรผ่าน HTTP

ทรัพยากรที่อาจทำให้เกิด Mixed Content ได้แก่:

• รูปภาพ
• JavaScript
• CSS
• Font
• Video
• iframe
• Tracking Script
• ไฟล์ดาวน์โหลด
• URL ที่ฝังใน Page Builder
• URL เก่าภายในฐานข้อมูล WordPress

การบังคับ Redirect เป็น HTTPS อย่างเดียวไม่ได้แก้ Mixed Content หากโค้ดของหน้ายังอ้างถึงไฟล์ HTTP อยู่

Mixed Content คืออะไร?

Mixed Content คือสถานการณ์ที่หน้าเว็บหลักเปิดผ่าน HTTPS แต่ยังโหลดทรัพยากรบางส่วนผ่าน HTTP

Mixed Content แบ่งได้กว้าง ๆ เป็น:

Passive Mixed Content

มักเป็นไฟล์ที่แสดงผล เช่น:

• รูปภาพ
• เสียง
• วิดีโอ

แม้ความเสี่ยงอาจต่ำกว่า Script แต่ยังเปิดโอกาสให้ทรัพยากรถูกแก้ไขระหว่างทาง

Active Mixed Content

เป็นทรัพยากรที่สามารถเปลี่ยนพฤติกรรมของหน้าได้ เช่น:

• JavaScript
• iframe
• Stylesheet
• Font บางรูปแบบ

เว็บเบราว์เซอร์มักบล็อก Active Mixed Content เพราะมีความเสี่ยงสูงกว่า

วิธีแก้ Mixed Content

1. เปลี่ยน URL ภายในเว็บไซต์จาก http:// เป็น https://
2. ตรวจว่าไฟล์ภายนอกรองรับ HTTPS หรือไม่
3. อัปเดต URL ในฐานข้อมูล WordPress
4. แก้ URL ที่ฝังใน Theme และ Page Builder
5. แก้ CSS ที่อ้างถึง Background Image ผ่าน HTTP
6. ล้าง Cache ของเว็บไซต์ CDN และ Browser
7. ตรวจ Console ใน Browser Developer Tools
8. เปลี่ยนหรือถอด Third-Party Script ที่ไม่รองรับ HTTPS
9. ตรวจไฟล์ Sitemap และ Canonical
10. ตรวจหน้าเว็บหลายภาษาและ Subdomain

ไม่ควรแก้ปัญหาด้วยการซ่อนคำเตือนโดยไม่แก้ URL ต้นเหตุ

วิธีติดตั้ง SSL บนเว็บไซต์

ขั้นตอนอาจแตกต่างกันตามโฮสติ้งและระบบเว็บไซต์ แต่ภาพรวมประกอบด้วย:

1. ตรวจว่าโฮสติ้งรองรับ SSL หรือไม่

โฮสติ้งสมัยใหม่จำนวนมากมีใบรับรองฟรีและระบบต่ออายุอัตโนมัติ

ควรถามผู้ให้บริการว่า:

• มี SSL ฟรีหรือไม่
• รองรับ Let’s Encrypt หรือไม่
• ต่ออายุอัตโนมัติหรือไม่
• รองรับ Wildcard หรือไม่
• ต้องตั้งค่า DNS อย่างไร
• มีระบบ Redirect HTTPS หรือไม่

2. ออกใบรับรองให้ตรงกับโดเมน

ใบรับรองควรครอบคลุมชื่อโดเมนทั้งหมดที่ใช้งาน เช่น:

example.com
www.example.com

หากมี Subdomain ต้องตรวจว่าใบรับรองรองรับด้วยหรือไม่

3. ติดตั้งใบรับรองบนเซิร์ฟเวอร์

อาจติดตั้งผ่าน:

• Control Panel ของโฮสติ้ง
• cPanel
• Plesk
• Cloud Platform
• Reverse Proxy
• CDN
• ระบบจัดการเซิร์ฟเวอร์
• ACME Client

Let’s Encrypt และ ACME ถูกออกแบบมาให้ระบบสามารถขอและต่ออายุใบรับรองที่ Browser เชื่อถือได้โดยอัตโนมัติ

4. เปลี่ยน URL เว็บไซต์เป็น HTTPS

สำหรับ WordPress ควรตรวจ:

• WordPress Address
• Site Address
• URL ในฐานข้อมูล
• URL ภายในบทความ
• Media URL
• Theme Setting
• Page Builder Setting
• Plugin Setting

5. ทำ 301 Redirect จาก HTTP ไป HTTPS

ทุก URL แบบ HTTP ควร Redirect ไปยังหน้า HTTPS ที่ตรงกัน

ตัวอย่าง:

http://example.com/service/

ควร Redirect ไป:

https://example.com/service/

ไม่ควร Redirect ทุกหน้าไปหน้าแรก เพราะทำให้ผู้ใช้งานและ Search Engine สูญเสียบริบทของ URL เดิม

6. แก้ Internal Link

แม้ Redirect จะทำงานได้ แต่ Internal Link ควรชี้ไป HTTPS โดยตรง เพื่อลด Redirect และทำให้สัญญาณ URL สอดคล้องกัน

7. ตรวจ Canonical URL

Canonical ของแต่ละหน้าควรใช้ HTTPS เช่น:

<link rel="canonical" href="https://example.com/service/" />

ไม่ควรให้หน้า HTTPS มี Canonical กลับไป HTTP

8. อัปเดต XML Sitemap

Sitemap ควรมีเฉพาะ URL แบบ HTTPS และไม่ควรมี URL ที่ Redirect จาก HTTP

9. ตรวจ Robots.txt

ควรตรวจว่า Robots.txt เปิดผ่าน HTTPS และไม่บล็อกส่วนสำคัญของเว็บไซต์โดยไม่ตั้งใจ

10. ตรวจ Google Search Console

Google Search Console มีรายงาน HTTPS เพื่อช่วยแสดงสัดส่วน URL ที่ให้บริการผ่าน HTTPS และปัญหาที่เกี่ยวข้อง

ควรตรวจ:

• HTTPS Report
• Page Indexing
• Sitemap
• URL Inspection
• Canonical
• Redirect Error
• Crawl Status

Checklist ย้ายเว็บไซต์จาก HTTP ไป HTTPS

ก่อนย้าย

• สำรองไฟล์และฐานข้อมูล
• ตรวจ URL ปัจจุบัน
• ตรวจจำนวนหน้าที่ Index
• เก็บข้อมูลอันดับและ Traffic
• ตรวจใบรับรองว่าครอบคลุมทุกโดเมน
• ตรวจวันหมดอายุและระบบต่ออายุ
• วางแผน Redirect
• ตรวจ CDN และ Proxy

ระหว่างย้าย

• ติดตั้งใบรับรอง
• เปิด HTTPS
• เปลี่ยน URL หลักของเว็บไซต์
• ทำ 301 Redirect
• อัปเดต Internal Link
• อัปเดต Canonical
• อัปเดต Sitemap
• แก้ Mixed Content
• ตรวจหน้า Login และ Checkout
• ตรวจ API และ Webhook

หลังย้าย

• เปิด URL HTTP และตรวจ Redirect
• ตรวจใบรับรองทุกโดเมน
• ตรวจ Status Code
• ตรวจ Mixed Content
• ส่ง Sitemap ใหม่
• ตรวจ URL สำคัญใน Search Console
• ตรวจ Analytics และ Conversion
• ตรวจฟอร์มและอีเมล
• ตรวจระบบชำระเงิน
• ตรวจ PageSpeed
• ติดตามหน้า 404 และ Redirect Error
• ตรวจว่า HTTPS ถูกเลือกเป็น Canonical

SSL Certificate หมดอายุเกิดอะไรขึ้น?

เมื่อใบรับรองหมดอายุ ผู้ใช้งานอาจเห็นคำเตือนความปลอดภัยรุนแรงและอาจไม่สามารถเปิดเว็บไซต์ได้ตามปกติ ส่งผลต่อ:

• ความน่าเชื่อถือ
• จำนวนการติดต่อ
• ยอดขาย
• ระบบสมาชิก
• ระบบชำระเงิน
• Conversion Tracking
• API
• การเชื่อมต่อกับระบบภายนอก
• การ Crawl ของ Search Engine

ควรใช้ระบบต่ออายุอัตโนมัติและตั้งระบบแจ้งเตือนก่อนหมดอายุ ไม่ควรพึ่งการจดจำของผู้ดูแลเพียงอย่างเดียว

หลังต่ออายุควรตรวจว่าเซิร์ฟเวอร์ได้ติดตั้งใบรับรองฉบับใหม่จริง เพราะบางกรณีระบบออกใบรับรองใหม่แล้วแต่เซิร์ฟเวอร์ยังใช้ใบเดิมอยู่

HSTS คืออะไร?

HSTS ย่อมาจาก HTTP Strict Transport Security เป็น HTTP Header ที่แจ้งเว็บเบราว์เซอร์ว่าเว็บไซต์ควรถูกเข้าถึงผ่าน HTTPS เท่านั้น

ตัวอย่าง:

Strict-Transport-Security: max-age=31536000; includeSubDomains

เมื่อ Browser จดจำ HSTS แล้ว การพยายามเปิดเว็บไซต์ผ่าน HTTP ในอนาคตจะถูกเปลี่ยนไป HTTPS และข้อผิดพลาดของใบรับรองจะถูกบังคับใช้อย่างเข้มงวดขึ้น

ก่อนเปิด HSTS ควรตรวจให้แน่ใจว่า:

• HTTPS ใช้งานได้ทุกหน้า
• ใบรับรองต่ออายุได้
• Subdomain ทุกแห่งรองรับ HTTPS หากใช้ includeSubDomains
• ไม่มีระบบเก่าที่ต้องใช้ HTTP
• ทีมงานเข้าใจผลกระทบ
• มีแผนแก้ปัญหาใบรับรอง

ไม่ควรเปิด HSTS แบบระยะเวลายาวหรือส่งโดเมนเข้า HSTS Preload โดยไม่ได้ตรวจระบบทั้งหมด เพราะอาจทำให้ผู้ใช้งานเข้าเว็บไซต์ไม่ได้หาก HTTPS มีปัญหา

HTTPS ทำให้เว็บไซต์ช้าลงหรือไม่?

การเข้ารหัสมีขั้นตอนเพิ่มเติม แต่เว็บไซต์และโปรโตคอลสมัยใหม่ได้รับการออกแบบให้รองรับ HTTPS อย่างมีประสิทธิภาพ ความเร็วจริงขึ้นอยู่กับหลายปัจจัย เช่น:

• ประสิทธิภาพเซิร์ฟเวอร์
• TLS Configuration
• HTTP Version
• CDN
• Cache
• ขนาดไฟล์
• JavaScript
• รูปภาพ
• Third-Party Script
• ระยะทางระหว่างผู้ใช้กับเซิร์ฟเวอร์

ในหลายกรณี ปัญหาความเร็วไม่ได้เกิดจาก SSL แต่เกิดจากรูปภาพขนาดใหญ่ ปลั๊กอินจำนวนมาก Hosting ช้า หรือ Script ภายนอก

HTTPS ป้องกันการแฮ็กได้ทั้งหมดหรือไม่?

ไม่ได้ HTTPS ป้องกันข้อมูลระหว่างการรับส่ง แต่ไม่สามารถป้องกันปัญหาทั้งหมด เช่น:

• รหัสผ่านอ่อน
• Malware
• Plugin มีช่องโหว่
• Theme ไม่ได้รับการอัปเดต
• SQL Injection
• Cross-Site Scripting
• Phishing
• บัญชีผู้ดูแลถูกขโมย
• Server ตั้งค่าผิด
• Backup รั่วไหล
• สิทธิ์ไฟล์ไม่เหมาะสม

เว็บไซต์ธุรกิจควรใช้ HTTPS ร่วมกับ:

• อัปเดต WordPress และปลั๊กอิน
• ใช้รหัสผ่านที่แข็งแรง
• เปิด Two-Factor Authentication
• สำรองข้อมูล
• ใช้ Firewall
• จำกัดสิทธิ์ผู้ใช้งาน
• ตรวจ Malware
• ลบ Plugin ที่ไม่ใช้งาน
• ป้องกันหน้า Login
• ตรวจ Log และการเปลี่ยนแปลงไฟล์

ข้อผิดพลาดหลังติดตั้ง SSL ที่พบบ่อย

Redirect Loop

เกิดเมื่อระบบหลายชั้นพยายาม Redirect HTTP และ HTTPS ขัดแย้งกัน เช่น WordPress, Hosting, CDN และปลั๊กอินต่างตั้ง Redirect พร้อมกัน

ควรตรวจเส้นทางการเชื่อมต่อทั้งหมดและใช้การตั้งค่าที่เหมาะกับสถาปัตยกรรมเว็บไซต์

Too Many Redirects

อาจเกิดจาก:

• HTTP ไป HTTPS แล้วกลับ HTTP
• www ไปไม่มี www แล้วกลับ www
• CDN ใช้โหมดเข้ารหัสไม่ตรงกับ Origin
• WordPress URL ไม่ตรงกับ Server
• Plugin บังคับ Redirect ซ้ำ

Certificate Name Mismatch

ใบรับรองไม่ครอบคลุมชื่อโดเมนที่เปิด เช่น ใบรับรองครอบคลุม example.com แต่ไม่ครอบคลุม www.example.com

Mixed Content

หน้า HTTPS ยังโหลดภาพ Script หรือ CSS ผ่าน HTTP

Canonical ยังเป็น HTTP

ทำให้สัญญาณ SEO ขัดแย้งและ Google อาจเลือก URL ที่ไม่ตรงกับโครงสร้างใหม่

Sitemap ยังมี HTTP

Sitemap ควรอัปเดตเป็น HTTPS ทั้งหมด

ระบบภายนอกหยุดทำงาน

Webhook, API, Payment Gateway หรือ Callback URL อาจยังอ้าง URL แบบ HTTP จึงควรตรวจระบบเชื่อมต่อหลังย้าย

วิธีตรวจสอบว่า SSL ทำงานถูกต้องหรือไม่

ตรวจจาก Browser

เปิดเว็บไซต์และตรวจว่า:

• ไม่มีคำเตือน Certificate
• URL เป็น HTTPS
• หน้าโหลดครบ
• Form ส่งได้
• รูปภาพและ Script ไม่ถูกบล็อก

ไม่ควรดูเพียงสัญลักษณ์บนแถบที่อยู่ เพราะ Browser รุ่นใหม่อาจเปลี่ยนรูปแบบการแสดงผล

ตรวจ Certificate

ตรวจ:

• ชื่อโดเมน
• ผู้ออกใบรับรอง
• วันหมดอายุ
• Certificate Chain
• Subject Alternative Names
• Algorithm และ Protocol

ตรวจ Developer Console

ดูข้อความ Mixed Content, Failed Request และ Security Error

ตรวจ HTTP Response

ตรวจว่า HTTP Redirect ไป HTTPS ด้วย Status Code ที่เหมาะสม และหน้า HTTPS ตอบกลับด้วย 200 OK

ตรวจ Search Console

ตรวจ HTTPS Report, Page Indexing และ URL Inspection เพื่อดูว่า Google พบปัญหากับ URL แบบ HTTPS หรือไม่

SSL และ HTTPS สำหรับ WordPress

เว็บไซต์ WordPress ควรตรวจมากกว่าการเปิด SSL ในโฮสติ้ง เพราะ URL อาจถูกบันทึกอยู่ในฐานข้อมูลหลายตำแหน่ง

Checklist สำหรับ WordPress:

• เปลี่ยน WordPress Address เป็น HTTPS
• เปลี่ยน Site Address เป็น HTTPS
• อัปเดต URL ภายในฐานข้อมูล
• ตรวจ Media Library
• ตรวจ Elementor หรือ Page Builder
• ตรวจ Theme Options
• ตรวจเมนูและ Widget
• ตรวจ Custom CSS
• ตรวจ Script ภายนอก
• ตรวจ Redirect
• ล้าง Cache
• ล้าง CDN
• สร้าง Sitemap ใหม่
• ตรวจ Canonical
• ตรวจ Schema Markup
• ตรวจ WooCommerce Checkout
• ตรวจ Login และ Admin
• ตรวจอีเมลและ Webhook

การ Search and Replace ในฐานข้อมูลควรใช้เครื่องมือที่รองรับ Serialized Data และควรสำรองฐานข้อมูลก่อนเสมอ

SSL กับเว็บไซต์ที่ใช้ Cloudflare

หากเว็บไซต์ใช้ Cloudflare จะมีการเชื่อมต่อสองช่วง:

1. ผู้ใช้งานเชื่อมต่อกับ Cloudflare
2. Cloudflare เชื่อมต่อกับ Origin Server

ควรเข้ารหัสทั้งสองช่วง ไม่ใช่เพียงระหว่างผู้ใช้งานกับ Cloudflare

Cloudflare มีโหมด SSL/TLS หลายแบบ โหมดที่ตรวจสอบใบรับรองของ Origin อย่างเข้มงวดเหมาะกว่าเมื่อเซิร์ฟเวอร์ต้นทางมีใบรับรองที่ถูกต้อง ส่วนโหมดที่เชื่อมต่อ Origin ผ่าน HTTP ไม่ได้ปกป้องข้อมูลตลอดเส้นทาง

การตั้งค่าที่ไม่ตรงกับ Origin อาจทำให้เกิด Redirect Loop, Mixed Content หรือ Certificate Error

คำถามที่พบบ่อยเกี่ยวกับ SSL และ HTTPS

SSL คืออะไร?

SSL เป็นชื่อเดิมของเทคโนโลยีเข้ารหัสการเชื่อมต่อระหว่างผู้ใช้งานกับเว็บไซต์ ปัจจุบันระบบจริงใช้ TLS แต่คำว่า SSL ยังนิยมใช้เรียกใบรับรองและระบบ HTTPS โดยรวม

HTTPS คืออะไร?

HTTPS คือ HTTP ที่รับส่งข้อมูลผ่านการเชื่อมต่อแบบ TLS ทำให้ข้อมูลถูกเข้ารหัสและช่วยยืนยันเซิร์ฟเวอร์ที่ผู้ใช้งานกำลังเชื่อมต่อ

เว็บไซต์ไม่มีระบบชำระเงินต้องใช้ SSL หรือไม่?

ควรใช้ เพราะเว็บไซต์อาจมีแบบฟอร์มติดต่อ ระบบ Analytics, Login, Cookie หรือข้อมูลอื่นที่ควรได้รับการปกป้อง และ HTTPS เป็นมาตรฐานพื้นฐานของเว็บไซต์ธุรกิจ

SSL ฟรีปลอดภัยหรือไม่?

ปลอดภัยได้หากออกโดย Certificate Authority ที่ Browser เชื่อถือ ติดตั้งถูกต้อง และต่ออายุสม่ำเสมอ Let’s Encrypt ให้บริการใบรับรอง TLS ฟรีและอัตโนมัติ

SSL ช่วยให้ติดอันดับ Google หรือไม่?

Google ใช้ HTTPS เป็นสัญญาณหนึ่งในการจัดอันดับ แต่เป็นเพียงส่วนหนึ่งและไม่สำคัญกว่าคุณภาพเนื้อหา

ติดตั้ง SSL แล้วต้องเปลี่ยน URL หรือไม่?

ต้องตั้งเว็บไซต์ให้ใช้ URL แบบ HTTPS และทำ 301 Redirect จาก HTTP รวมถึงอัปเดต Internal Link, Canonical และ Sitemap

ทำไมติดตั้ง SSL แล้วรูปภาพหาย?

มักเกิดจาก Mixed Content หรือไฟล์ภาพยังอ้างผ่าน HTTP Browser อาจบล็อกทรัพยากรดังกล่าว

ใบรับรองหมดอายุมีผลต่อ SEO หรือไม่?

อาจกระทบการเข้าถึงเว็บไซต์ ประสบการณ์ผู้ใช้ Traffic และ Conversion หาก Browser ป้องกันผู้ใช้งานไม่ให้เปิดหน้า จึงควรต่ออายุอัตโนมัติและตรวจสอบสม่ำเสมอ

SSL ป้องกันเว็บไซต์ถูกแฮ็กหรือไม่?

ไม่ทั้งหมด SSL/TLS ป้องกันข้อมูลระหว่างการรับส่ง แต่ไม่ได้แก้ช่องโหว่ใน WordPress, Plugin, Server หรือรหัสผ่าน

HTTPS กับสัญลักษณ์กุญแจเหมือนกันหรือไม่?

การเชื่อมต่อ HTTPS ที่ไม่มีปัญหาหมายถึง Browser สามารถสร้างการเชื่อมต่อแบบเข้ารหัสได้ แต่ Browser แต่ละรุ่นอาจใช้สัญลักษณ์หรือรูปแบบการแสดงผลต่างกัน ไม่ควรใช้สัญลักษณ์เพียงอย่างเดียวตัดสินความน่าเชื่อถือของธุรกิจ

ต้องซื้อ SSL ราคาแพงหรือไม่?

เว็บไซต์ธุรกิจทั่วไปจำนวนมากสามารถใช้ใบรับรอง DV ฟรีได้ แต่บางองค์กรอาจเลือกใบรับรองเสียเงินเพราะต้องการ Support, OV, EV หรือเงื่อนไขเพิ่มเติม

SSL Checklist สำหรับเว็บไซต์ธุรกิจ

ใบรับรอง

• ใบรับรองยังไม่หมดอายุ
• ครอบคลุมโดเมนและ Subdomain ที่ใช้
• Browser เชื่อถือผู้ออกใบรับรอง
• Certificate Chain สมบูรณ์
• เปิดระบบต่ออายุอัตโนมัติ
• มีระบบแจ้งเตือนก่อนหมดอายุ

HTTPS

• ทุกหน้าเปิดผ่าน HTTPS
• HTTP Redirect ไป HTTPS
• ไม่มี Redirect Loop
• ไม่มี Mixed Content
• API และ Webhook ใช้ HTTPS
• หน้า Login และ Checkout ใช้งานได้

SEO

• Canonical เป็น HTTPS
• Sitemap เป็น HTTPS
• Internal Link เป็น HTTPS
• Structured Data ใช้ HTTPS
• Hreflang ใช้ HTTPS
• Search Console พบ URL แบบ HTTPS
• ไม่มี URL HTTP ที่ Index แยกโดยไม่จำเป็น

WordPress

• WordPress Address เป็น HTTPS
• Site Address เป็น HTTPS
• Media URL เป็น HTTPS
• Page Builder ไม่มี URL เก่า
• Plugin และ Theme ไม่มี Mixed Content
• Cache และ CDN ถูกล้าง
• Form และ Email ทำงาน
• WooCommerce ทำงานครบ

ความปลอดภัยเพิ่มเติม

• WordPress และ Plugin เป็นเวอร์ชันปัจจุบัน
• มี Backup
• ใช้รหัสผ่านแข็งแรง
• เปิด Two-Factor Authentication
• จำกัดสิทธิ์ผู้ใช้งาน
• มี Firewall หรือระบบป้องกัน
• ตรวจ Malware เป็นระยะ

สรุป

SSL คือคำที่นิยมใช้เรียกระบบใบรับรองและการเข้ารหัสเว็บไซต์ แม้เทคโนโลยีที่ใช้งานจริงในปัจจุบันจะเป็น TLS เมื่อเว็บไซต์ติดตั้งและตั้งค่าอย่างถูกต้อง ผู้ใช้งานจะเชื่อมต่อผ่าน HTTPS และข้อมูลระหว่าง Browser กับ Server จะถูกเข้ารหัส

เว็บไซต์ธุรกิจควรใช้ HTTPS เพราะช่วยปกป้องข้อมูลลูกค้า ลดความเสี่ยงจากการดักฟังและแก้ไขข้อมูล สร้างความน่าเชื่อถือ รองรับระบบสมัยใหม่ และเป็นพื้นฐาน Technical SEO ที่ Google แนะนำ

อย่างไรก็ตาม การเปิด SSL เพียงอย่างเดียวยังไม่เพียงพอ เจ้าของเว็บไซต์ควรทำ Redirect จาก HTTP อัปเดต Internal Link, Canonical และ Sitemap แก้ Mixed Content ตั้งระบบต่ออายุ และตรวจระบบภายนอกทั้งหมด

Moon Knight Creator ให้บริการตรวจสอบและแก้ไขปัญหาเว็บไซต์ไม่ปลอดภัย การติดตั้ง SSL การย้ายจาก HTTP ไป HTTPS การแก้ Mixed Content, Redirect, Canonical และ Sitemap รวมถึงตรวจ Technical SEO และความพร้อมของเว็บไซต์ WordPress สำหรับธุรกิจ