Defaults.Exposed › Báo cáo

Ai cấp chứng chỉ TLS cho web? Hai CA miễn phí hiện chiếm 75% (2026)

Đã xuất bản 2026-06-29

Số liệu tính đến 2026-06-29 · phương pháp luận v7. Dữ liệu khảo sát tổng hợp: tổ chức CA phát hành của mọi chứng chỉ chúng tôi quan sát được, gộp theo họ (ví dụ các chứng chỉ trung gian được gập vào tổ chức mẹ của chúng), trên 197 triệu chứng chỉ. Xem cách chúng tôi chấm điểm.

Chứng chỉ miễn phí, tự động đã chiếm lĩnh web: hai CA miễn phí hiện phát hành 74.7% tổng số chứng chỉ TLS. Trên 197 triệu chứng chỉ, Let's Encrypt một mình chiếm 57.2% và Google Trust Services chiếm 17.6%. Thị trường chứng chỉ trả phí từng định hình hai thập kỷ đầu của HTTPS đã bị thay thế bởi các chứng chỉ miễn phí, phát hành qua API — một sự dịch chuyển âm thầm nhưng to lớn về việc ai đang nâng đỡ mã hóa của web.

Bảng xếp hạng các tổ chức chứng thực

Thị phần chứng chỉ được quan sát theo CA phát hành, tính đến 2026-06-29:

Hai vị trí dẫn đầu — đều miễn phí — cùng nhau phát hành 74.7%. Cộng thêm các chứng chỉ đi kèm nhà đăng ký/máy chủ ở vị trí thứ ba, một đa số rõ rệt của web được mã hóa đang chạy trên những chứng chỉ mà không ai trực tiếp trả tiền.

Vì sao điều này xảy ra

Hai động lực hội tụ: Let’s Encrypt đã làm cho chứng chỉ trở nên miễn phí và có thể tự động hóa bằng script vào năm 2015, và giao thức ACME cho phép máy chủ tự phát hành và tự gia hạn chúng mà không cần con người can thiệp. Sau đó Google, Cloudflare, Amazon và các nền tảng lưu trữ lớn đã tích hợp việc phát hành miễn phí vào hệ thống của họ. Kết quả là với phần lớn chủ sở hữu website, một chứng chỉ giờ đây là một mặc định vô hình — được cấp phát và gia hạn tự động — thay vì một khoản mua hằng năm.

Sự tập trung này có ý nghĩa gì

• Về độ tin cậy thì hầu như là một thắng lợi. Tự động gia hạn chính là lý do ít chứng chỉ hết hạn hơn so với thời thủ công — dù 8.57% chứng chỉ vẫn không hợp lệ, thường ở những nơi tự động hóa chưa được thiết lập.
• Đó cũng là sự tập trung. Một thị phần rất lớn về niềm tin của web giờ đây chảy qua một số ít tổ chức phát hành; một sự cố ngừng hoạt động hoặc sự kiện về niềm tin ở một CA hàng đầu có tầm ảnh hưởng lớn bất tương xứng. Đó là tiếng vọng ở tầng chứng chỉ của sự tập trung máy chủ tên mà chúng ta thấy trong DNS.
• Chứng chỉ tự ký và mặc định vẫn còn rơi rớt ở phần đuôi dài — những tên tổ chức phát hành như “Internet Widgits Pty Ltd” (mặc định của OpenSSL) xuất hiện trên hàng trăm nghìn tên miền, mỗi cái đều là một cảnh báo trên trình duyệt.

Câu hỏi thường gặp

Tổ chức chứng thực nào được dùng nhiều nhất? Let's Encrypt, với 57.2% tổng số chứng chỉ được quan sát tính đến 2026-06-29 — theo sau là Google Trust Services với 17.6%.

Chứng chỉ miễn phí có an toàn như chứng chỉ trả phí không? Đối với TLS xác thực tên miền — phần mã hóa và niềm tin của trình duyệt — thì có; một chứng chỉ Let’s Encrypt miễn phí và một chứng chỉ DV trả phí là tương đương về mặt mật mã. Các CA trả phí khác biệt ở việc xác thực tổ chức, bảo hành và hỗ trợ, chứ không phải ở độ mạnh của mã hóa.

Việc hai CA phát hành phần lớn chứng chỉ có rủi ro không? Nó tập trung hóa niềm tin và rủi ro vận hành, nhưng cả hai đơn vị dẫn đầu đều được điều hành tốt và tự động hóa đã cải thiện đo lường được vệ sinh chứng chỉ trên toàn web. Lo ngại về rủi ro hệ thống là có thật nhưng cho đến nay vẫn được bù đắp bởi những lợi ích về độ tin cậy.

CA của chứng chỉ có ảnh hưởng đến điểm bảo mật của tôi không? Không — điểm số xem xét chứng chỉ của bạn có hợp lệ và được tin cậy hay không, chứ không phải ai phát hành nó. Một chứng chỉ miễn phí, hợp lệ đạt điểm như một chứng chỉ trả phí.

Kiểm tra chứng chỉ của bạn có hợp lệ và được tin cậy

Tổ chức phát hành không quan trọng đối với điểm số của bạn — tính hợp lệ mới quan trọng. Kiểm tra tên miền của bạn miễn phí và riêng tư.

Kiểm tra tên miền của bạn → · Báo cáo lỗi chứng chỉ → · Vì sao trang của tôi báo “Không bảo mật”? → · Chỉ dữ liệu tổng hợp. Dữ liệu được lưu trữ và xử lý tại EU.