Chính sách hạn chế cấp chứng chỉ SSL (khu vực, v.v.)

Việc hạn chế cấp chứng chỉ SSL chủ yếu được quyết định bởi các chính sách trừng phạt quốc tế, quy định quốc gia và yêu cầu tuân thủ của tổ chức phát hành chứng chỉ (CA). Dưới đây là phân tích các khu vực bị hạn chế cụ thể và nguyên nhân: hạn chế theo danh sách trừng phạt quốc tế, hạn chế theo quy định quốc gia và giải pháp.

1. Hạn chế theo danh sách trừng phạt quốc tế

Hầu hết các CA quốc tế chính thống (như DigiCert, Sectigo, Let's Encrypt) phải tuân thủ danh sách trừng phạt của Hoa Kỳ/Liên minh Châu Âu/Liên Hợp Quốc, các khu vực sau thường không thể cấp chứng chỉ:

Khu vực/Quốc gia	Lý do hạn chế
Iran	Chịu lệnh trừng phạt của Hoa Kỳ (danh sách OFAC)
Triều Tiên	Liên Hợp Quốc và nhiều quốc gia trừng phạt, cấm dịch vụ tài chính và công nghệ
Syria	Hoa Kỳ trừng phạt (danh sách tài trợ khủng bố)
Khu vực Crimea	Sau khi Nga sáp nhập, cộng đồng quốc tế không công nhận tính hợp pháp
Cuba	Hoa Kỳ cấm vận thương mại lâu dài (một số CA có thể nới lỏng hạn chế)

Ảnh hưởng

• Không thể đăng ký chứng chỉ: Tên miền hoặc tổ chức tại khu vực bị trừng phạt không thể nhận chứng chỉ từ CA quốc tế.
• Hạn chế truy cập: Khi người dùng truy cập trang web HTTPS tại các khu vực này, có thể gặp cảnh báo trình duyệt do thiếu chứng chỉ.

2. Hạn chế theo quy định quốc gia

Một số quốc gia thông qua luật pháp yêu cầu bắt buộc sử dụng CA nội địa hoặc tiêu chuẩn mã hóa cụ thể, gián tiếp hạn chế việc sử dụng chứng chỉ quốc tế:

Quốc gia	Yêu cầu pháp lý
Trung Quốc	Trang web trong nước cần sử dụng chứng chỉ nội địa (như CFCA, Shanghai CA) và hoàn tất ICP备案
Nga	Ngành trọng yếu (chính phủ, tài chính) cần sử dụng chứng chỉ tiêu chuẩn mã hóa GOST (như CryptoPro)
Ấn Độ	Một số dự án chính phủ bắt buộc sử dụng CA nội địa (như eMudhra)
Hàn Quốc	Lĩnh vực tài chính cần sử dụng chứng chỉ được quốc gia công nhận (như Crosscert)

Ảnh hưởng

• Rủi ro tuân thủ: Sử dụng chứng chỉ quốc tế có thể vi phạm luật pháp địa phương, dẫn đến dịch vụ bị chặn hoặc bị phạt. Hạn chế kỹ thuật: Một số chứng chỉ nội địa có thể không hỗ trợ tiêu chuẩn quốc tế (như GOST), cần cấu hình bổ sung.

3. Hạn chế ngành đặc biệt

Tên miền thuộc một số ngành nhạy cảm (như quân sự, cờ bạc, nội dung người lớn) có thể bị hạn chế cấp chứng chỉ do chính sách của CA:

Ngành	Lý do hạn chế
Cờ bạc/Xổ số	Vi phạm yêu cầu cơ bản của diễn đàn CA/Browser (một số CA cần thẩm định bổ sung)
Nội dung người lớn	Một số CA từ chối cấp hoặc yêu cầu xác minh danh tính thực nghiêm ngặt
Dark web/Hoạt động bất hợp pháp	Tất cả CA hợp pháp từ chối cấp (tên miền thường là .onion hoặc hậu tố bất hợp pháp khác)

4. Giải pháp khắc phục hạn chế

Tình huống	Giải pháp
Khu vực bị trừng phạt	Sử dụng CA nội địa hoặc chứng chỉ tự ký (cần người dùng tin cậy thủ công, phù hợp hệ thống nội bộ)
Cần tuân thủ quy định quốc gia	Chọn CA nội địa tuân thủ quy định của quốc gia đó (ví dụ: Trung Quốc dùng CFCA, Nga dùng CryptoPro)
Ngành đặc thù	Tìm CA chấp nhận ngành đó (ví dụ: Sectigo có chính sách cấp có điều kiện cho ngành cờ bạc)

5. Làm thế nào để xác minh có bị hạn chế hay không?

• Chính sách công khai của CA: Tra cứu danh sách quốc gia bị trừng phạt trên trang web chính thức của CA (ví dụ: chính sách trừng phạt của DigiCert).
• Tra cứu WHOIS: Kiểm tra mã quốc gia trong thông tin đăng ký tên miền (ví dụ: tên miền Iran .ir có thể bị CA chặn).
• Cố vấn pháp lý: Tư vấn về yêu cầu tuân thủ của quốc gia/ngành mục tiêu.

6. Câu hỏi thường gặp

Dưới đây là một số danh sách trừng phạt cụ thể của các khu vực bị hạn chế và CA hiện đang thường được hỏi đến. Nếu có tên công ty hoặc tên miền đặc biệt, bạn có thể liên hệ với người quản lý khách hàng để tra cứu.

1. Về quy tắc cấp chứng chỉ cho Nga:

   1. Tên miền kết thúc bằng .ru: Chỉ có GlobalSign hỗ trợ cấp chứng chỉ DV cho tên miền .ru, các CA khác đều không hỗ trợ

   2. Chứng chỉ OV của chủ thể Nga: (tên miền không chứa .ru, nhưng tên doanh nghiệp có liên quan đến Nga)

      • A. GlobalSign: DV hỗ trợ, OV không hỗ trợ
      • B. CFCA: không hỗ trợ
      • C. DigiCert: tiêu chí xét duyệt là nơi đăng ký doanh nghiệp có phải là Nga hay không
      • D. Certum: không hỗ trợ
      • E. Sectigo: tiêu chí xét duyệt là nơi đăng ký doanh nghiệp có phải là Nga hay không, doanh nghiệp cần được thẩm định riêng

2. Hướng dẫn chính thức về danh sách hạn chế phát hành của Sectigo: Chủ yếu là Cuba, Nga, Iran, Triều Tiên và các quốc gia khác. Nếu có thay đổi, vui lòng tham khảo giải thích trên trang web chính thức hoặc liên hệ với người quản lý khách hàng để tra cứu.