Lỗi SSL Handshake Failed: Nguyên nhân và 8 cách sửa nhanh chóng

Lỗi SSL Handshake Failed khiến trình duyệt hoặc ứng dụng không thể thiết lập kết nối HTTPS an toàn với server. Sự cố này có thể liên quan đến SSL Certificate, TLS version, cipher suite, trình duyệt hoặc cấu hình SNI. Cùng Viettel IDC tìm hiểu nguyên nhân và các cách xử lý lỗi trong bài viết dưới đây.

Lỗi SSL Handshake Failed là gì?

Lỗi SSL Handshake Failed là lỗi xảy ra khi quá trình bắt tay SSL/TLS giữa client và server không thể hoàn tất. Đây là giai đoạn hai bên trao đổi và xác thực các thông tin cần thiết trước khi thiết lập một kết nối HTTPS được mã hóa. Khi handshake thất bại, kết nối bảo mật không được tạo và trình duyệt hoặc ứng dụng có thể hiển thị SSL handshake error thay vì tải nội dung website.

Nguyên nhân xảy ra lỗi SSL Handshake Failed

Lỗi SSL Handshake Failed có thể xuất phát từ cả phía client và server. Khi một trong hai bên không đáp ứng đúng các điều kiện cần thiết để hoàn tất quá trình SSL/TLS handshake, kết nối HTTPS sẽ bị gián đoạn.

Nguyên nhân từ phía client

- Ngày và giờ trên thiết bị không chính xác: Thời gian hệ thống sai có thể khiến SSL Certificate bị đánh giá là chưa có hiệu lực hoặc đã hết hạn.

- Trình duyệt quá cũ: Phiên bản trình duyệt cũ có thể không hỗ trợ TLS version hoặc cipher suite mà server đang sử dụng.

- Extension trình duyệt can thiệp: Một số tiện ích mở rộng có thể tác động đến lưu lượng HTTPS và làm gián đoạn quá trình handshake.

- Firewall hoặc antivirus chặn kết nối: Phần mềm bảo mật có thể kiểm tra hoặc giới hạn lưu lượng SSL/TLS, khiến kết nối không thể hoàn tất.

Nguyên nhân từ phía server

- TLS version không tương thích: Client và server không có phiên bản TLS chung để thiết lập kết nối bảo mật.

- Cipher suite không phù hợp: Hai phía không hỗ trợ cùng bộ thuật toán mã hóa, xác thực và trao đổi khóa.

- SSL Certificate không hợp lệ: Chứng chỉ có thể đã hết hạn, sai tên miền, thiếu intermediate certificate hoặc certificate chain cấu hình chưa đầy đủ.

- Server không hỗ trợ hoặc cấu hình sai SNI: Server có thể trả về SSL Certificate không đúng với hostname mà client yêu cầu.

Hướng dẫn 8 cách sửa lỗi SSL Handshake Failed

Lỗi SSL Handshake Failed có thể xuất phát từ thiết bị người dùng, trình duyệt hoặc cấu hình SSL/TLS trên server. Bạn nên kiểm tra lần lượt từ các yếu tố đơn giản đến cấu hình kỹ thuật để xác định đúng nguyên nhân và xử lý nhanh hơn.

1. Kiểm tra ngày và giờ trên thiết bị

Ngày giờ hệ thống không chính xác có thể khiến trình duyệt đánh giá SSL Certificate chưa có hiệu lực hoặc đã hết hạn, từ đó làm quá trình SSL/TLS handshake thất bại. Trường hợp này dễ xảy ra khi thiết bị vừa thay đổi múi giờ nhưng chưa đồng bộ thời gian.

- Trên macOS: Truy cập System Settings → General → Date & Time → Bật Set time and date automatically và kiểm tra múi giờ hiện tại.

- Trên Windows: Truy cập Settings → Time & language → Date & time → Bật Set time automatically và Set time zone automatically.

Sau khi cập nhật, tải lại website để kiểm tra lỗi SSL Handshake Failed đã được xử lý hay chưa.

2. Cập nhật trình duyệt lên phiên bản mới

Các phiên bản trình duyệt mới thường bổ sung hỗ trợ cho TLS version, cipher suite và tiêu chuẩn mã hóa hiện hành. Nếu trình duyệt quá cũ, client có thể không tìm được giao thức hoặc thuật toán mã hóa tương thích với server và phát sinh SSL handshake error.

- Bước 1: Mở Google Chrome → Nhấn menu ba chấm ở góc trên bên phải.

- Bước 2: Chọn Settings → About Chrome.

- Bước 3: Kiểm tra phiên bản trình duyệt và cài đặt bản cập nhật nếu hệ thống yêu cầu.

- Bước 4: Khởi động lại Chrome → Truy cập lại website để kiểm tra SSL handshake error.

3. Kiểm tra phiên bản SSL/TLS mà client và server hỗ trợ

SSL/TLS handshake chỉ có thể hoàn tất khi client và server thống nhất được phiên bản giao thức phù hợp. Ví dụ, nếu server chỉ hỗ trợ một phiên bản TLS mới nhưng trình duyệt hoặc ứng dụng client không tương thích, kết nối HTTPS có thể bị từ chối.

Bạn có thể kiểm tra theo hai phía:

- Client: Sử dụng SSL Client Test của Qualys để xác định các phiên bản SSL/TLS mà trình duyệt đang hỗ trợ.

- Server: Dùng công cụ kiểm tra TLS để xác định các phiên bản giao thức được website chấp nhận.

Sau đó, đối chiếu kết quả của hai phía. Nếu client và server không có TLS version tương thích, cần cập nhật trình duyệt hoặc điều chỉnh cấu hình SSL/TLS trên web server. Nếu cả hai cùng hỗ trợ ít nhất một phiên bản TLS phù hợp, có thể loại trừ nguyên nhân này và tiếp tục kiểm tra cipher suite.

4. Kiểm tra khả năng tương thích của cipher suite

Cipher suite quy định các thuật toán được sử dụng để trao đổi khóa, mã hóa và xác thực dữ liệu trong phiên kết nối SSL/TLS. Khi client và server không có cipher suite chung, quá trình handshake sẽ không thể hoàn tất.

- Bước 1: Truy cập Qualys SSL Server Test.

- Bước 2: Nhập domain cần kiểm tra → Nhấn Submit.

- Bước 3: Trong kết quả phân tích, tìm đến Configuration → Cipher Suites.

- Bước 4: Đối chiếu các cipher suite mà server hỗ trợ với khả năng của client.

- Bước 5: Nếu không có bộ mã hóa chung, điều chỉnh cấu hình SSL/TLS để hai phía sử dụng cipher suite tương thích → Kiểm tra lại kết nối.

5. Tắt tạm thời các extension trên trình duyệt

Một số extension có khả năng can thiệp vào request, HTTPS hoặc lưu lượng mạng của trình duyệt, từ đó ảnh hưởng đến quá trình SSL handshake. Để kiểm tra, nên vô hiệu hóa từng extension rồi thử truy cập lại website.

- Bước 1: Trên Chrome, mở menu ba chấm → Chọn Extensions → Manage Extensions.

- Bước 2: Tắt lần lượt các extension đang hoạt động → Sau mỗi lần tắt, tải lại website để kiểm tra.

- Bước 3: Nếu xác định được extension gây lỗi, hãy cập nhật hoặc gỡ bỏ extension đó → Bật lại các extension còn lại.

6. Kiểm tra firewall và phần mềm antivirus

Firewall hoặc antivirus có thể áp dụng cơ chế lọc HTTPS quá nghiêm ngặt và chặn một phần quá trình trao đổi SSL/TLS giữa client với server. Đây cũng là một nguyên nhân có thể dẫn đến SSL Handshake Failed.

Để xác định, bạn có thể tạm thời vô hiệu hóa firewall hoặc antivirus rồi truy cập lại website. Nếu kết nối hoạt động bình thường, cần kiểm tra lại quy tắc bảo mật và thêm domain cần truy cập vào danh sách cho phép. Lưu ý không nên tắt firewall hoặc antivirus lâu dài. Sau khi kiểm tra, hãy bật lại các cơ chế bảo vệ và chỉ điều chỉnh rule cần thiết.

7. Kiểm tra tính hợp lệ của SSL Certificate

SSL Certificate bị thiếu, hết hạn, không hợp lệ hoặc cấu hình sai có thể khiến client từ chối thiết lập kết nối mã hóa. Vì vậy, kiểm tra certificate là bước quan trọng khi sửa lỗi SSL Handshake Failed.

- Bước 1: Truy cập SSL Checker → Nhập domain cần kiểm tra.

- Bước 2: Kiểm tra thời hạn, trạng thái chứng chỉ, Common Name/SAN và certificate chain.

- Bước 3: Nếu phát hiện certificate hết hạn hoặc cấu hình sai, tiến hành gia hạn hoặc cài đặt lại → Sau đó kiểm tra lại kết nối HTTPS.

8. Kiểm tra server có hỗ trợ SNI hay không

SNI (Server Name Indication) cho phép một web server sử dụng nhiều SSL Certificate cho nhiều hostname trên cùng một địa chỉ IP. Nếu SNI không hoạt động đúng, server có thể trả về certificate của một website khác, khiến client không thể hoàn tất quá trình handshake.

Có thể kiểm tra bằng Terminal trên macOS hoặc môi trường hỗ trợ OpenSSL như sau:

- Bước 1: Mở Terminal trên macOS hoặc môi trường có cài đặt OpenSSL.

- Bước 2: Chạy lệnh openssl s_client -connect yourwebsite.com:443 -servername yourwebsite.com.

- Bước 3: Thay yourwebsite.com bằng domain cần kiểm tra → Xem thông tin SSL Certificate mà server trả về.

- Bước 4: Đối chiếu Subject hoặc SAN với hostname đang truy cập.

- Bước 5: Chạy lại lệnh nhiều lần để kiểm tra tính nhất quán của certificate.

- Bước 6: Nếu server trả về certificate của hostname khác, rà soát cấu hình SNI và virtual host → Sau khi chỉnh sửa, chạy lại lệnh OpenSSL để xác nhận.

Kết luận

Lỗi SSL Handshake Failed có thể xuất phát từ nhiều yếu tố ở cả phía client và server, từ ngày giờ hệ thống, trình duyệt cho đến SSL Certificate và cấu hình TLS. Thông qua bài viết, hy vọng bạn đã xác định được các nguyên nhân chính và lựa chọn cách xử lý phù hợp để khôi phục kết nối HTTPS ổn định.