Tên miền, DNS, HTTPS và lớp bảo vệ biên

Lớp 1 của sơ đồ. Mua tên miền ở đâu, chuyển về Cloudflare, bản ghi nào cần, vì sao HTTPS tự có, và WAF/CDN thật sự làm gì cho bạn.

Đây là lớp 1 trong sơ đồ Vibe Stack: mọi lượt truy cập đều đi qua đây trước khi chạm tới mã của bạn. Làm đúng một lần rồi quên luôn; làm sai thì web lúc vào được lúc không, và bạn mất cả ngày đoán.

Bốn thứ trong lớp này, nói bằng tiếng người

Mua tên miền ở đâu

Ba lựa chọn, và chúng khác nhau thật sự:

1. Cloudflare Registrar — mua thẳng trong dashboard. Bán đúng giá gốc, không phụ phí, không tăng giá năm thứ hai. DNS và HTTPS gắn sẵn, không phải cấu hình gì. Đây là lựa chọn mặc định cho .com, .net, .dev, .io.

2. Nhà đăng ký trong nước (P.A Việt Nam, Mắt Bão, Nhân Hòa…) — bắt buộc cho tên miền .vn, vì .vn do VNNIC quản lý và Cloudflare không bán. Cần giấy tờ: cá nhân thì căn cước, doanh nghiệp thì giấy đăng ký kinh doanh.

3. Nhà đăng ký quốc tế khác (Namecheap, GoDaddy…) — dùng được, nhưng để ý giá năm thứ hai thường cao hơn năm đầu nhiều lần.

Chuyển tên miền về Cloudflare quản lý DNS

Kể cả khi mua ở nơi khác, bạn vẫn nên để Cloudflare quản lý DNS — miễn phí, và nó mở ra toàn bộ lớp 1.

1. Dashboard → Add a site → gõ tên miền → chọn gói Free.
2. Cloudflare quét các bản ghi đang có và hiện ra. Đối chiếu kỹ bước này — nhất là bản ghi MX (email). Thiếu MX là mất email công ty, và đây là sự cố nặng nhất của bài này.
3. Cloudflare đưa cho bạn 2 nameserver kiểu xxx.ns.cloudflare.com.
4. Về trang nhà đăng ký → đổi nameserver sang 2 cái đó.
5. Chờ. Thường 5 phút – 2 giờ, đôi khi tới 24 giờ.

Các loại bản ghi bạn thật sự cần

Chỉ bốn loại, không cần học hết:

A      congty.com        →  203.0.113.10      (trỏ tới một địa chỉ IP)
CNAME  www               →  congty.com         (bí danh, trỏ tới tên khác)
MX     congty.com        →  máy chủ nhận thư
TXT    congty.com        →  "v=spf1 ..."       (chữ, dùng để xác minh/chống giả mạo)

Với app trên Cloudflare, bạn gần như không tự tạo A hay CNAME: vào Pages/Workers → Custom domains → nhập tên miền → Cloudflare tự thêm bản ghi đúng. Đây là cách ít sai nhất.

Đám mây màu cam bên cạnh mỗi bản ghi là nút quan trọng nhất của trang DNS:

• 🟠 Cam (Proxied) — lưu lượng đi qua Cloudflare: có CDN, có WAF, có HTTPS, ẩn IP thật của bạn. Dùng cho web.
• ⬜ Xám (DNS only) — Cloudflare chỉ trả lời danh bạ rồi đứng ngoài. Bắt buộc xám cho bản ghi MX và các bản ghi email.

HTTPS — tự có, nhưng biết một thiết lập

Khi tên miền đã ở Cloudflare, chứng chỉ HTTPS được cấp tự động và tự gia hạn. Không phải mua, không phải nhớ ngày hết hạn.

Hai việc cần bật, một lần, trong SSL/TLS:

1. Chế độ mã hóa: Full (strict). Đừng để Flexible — nó mã hóa đoạn từ khách tới Cloudflare nhưng để hở đoạn sau, mà thanh địa chỉ vẫn hiện ổ khóa. Với Pages/Workers thì phía sau luôn là HTTPS, nên Full (strict) chạy đúng.
2. Always Use HTTPS: bật. Ai gõ http:// sẽ được đẩy sang https://.

Kiểm bằng một lệnh:

curl -I http://congty.com
# phải thấy: HTTP/1.1 301 Moved Permanently  +  Location: https://congty.com/

CDN và WAF — bạn được gì mà không phải làm gì

CDN: file tĩnh (ảnh, CSS, JS) được giữ sẵn tại điểm mạng gần người dùng. Khách ở Thanh Hóa không phải chờ dữ liệu đi vòng qua Singapore. Đây là lý do web trên Cloudflare mở nhanh hơn hẳn hosting chia sẻ, mà bạn không viết thêm dòng mã nào.

Điều khiển bộ đệm bằng file public/_headers:

/assets/*
  Cache-Control: public, max-age=31536000, immutable

/*
  X-Content-Type-Options: nosniff
  Referrer-Policy: strict-origin-when-cross-origin

WAF và chống DDoS: gói Free đã có lớp lọc cơ bản, tự động, không cần cấu hình. Hai thứ nên bật thêm khi app có đăng nhập:

• Bot Fight Mode (Security → Bots) — chặn bot dò tự động.
• Một quy tắc WAF cho đường đăng nhập, nếu bạn bị dò mật khẩu. Nhưng đọc kỹ cảnh báo ở Bảo mật & rate limit trước: chặn theo IP ở Việt Nam dễ chặn oan hàng trăm người thật, vì mạng 4G gộp rất nhiều người vào cùng một IP.

Kiểm cả lớp 1 trong 2 phút

nslookup congty.com                 # DNS đã trả về chưa
curl -I https://congty.com          # 200 + có dòng server: cloudflare
curl -I http://congty.com           # 301 sang https
curl -I https://www.congty.com      # www cũng vào được

Và một việc thủ công không thay được: mở trên điện thoại dùng 4G, không phải Wi-Fi nhà. Nhà mạng Việt Nam có bộ nhớ đệm DNS riêng, và đôi khi bạn vào được còn khách thì chưa.

Đây là danh sách bản ghi DNS hiện tại của congty.com.
Tôi sắp chuyển nameserver sang Cloudflare.

Liệt kê giúp tôi theo 3 nhóm:
1. BẮT BUỘC chép sang, kèm hậu quả nếu quên (nhất là email: MX, SPF,
   DKIM, DMARC, và các bản ghi xác minh dịch vụ)
2. Nên để DNS only (xám), không bật proxy
3. Có thể bỏ, vì không còn dùng — nhưng nói rõ căn cứ

Không đoán. Bản ghi nào không rõ mục đích thì ghi "chưa rõ, giữ lại".