Nội dung hợp tác · 13/11/2026

Thuật ngữ về cấu trúc URL người đọc nên biết — Thế giới gầm đọc kỹ từng phần

Thế giới gầm đọc kỹ từng phần của một địa chỉ web, vì tách đúng cấu trúc một URL là kỹ năng nền để phân biệt liên kết thật với liên kết giả. Một địa chỉ không phải chuỗi liền mạch mà gồm nhiều mảnh ghép, mỗi mảnh nói một điều khác nhau và có mức đáng tin khác nhau khi dùng để nhận diện. Bài này mổ xẻ một địa chỉ mẫu thành từng phần, rồi chỉ ra nên đọc các phần đó theo thứ tự nào để khỏi bị đánh lừa.

Mổ xẻ một địa chỉ mẫu

Lấy một địa chỉ giả định dạng https://tin.vidu.com/bai-viet?id=10#phan-2, ta tách được các thành phần sau.

Đọc theo thứ tự ưu tiên, không đọc từ trái sang

Sai lầm phổ biến là thấy một cái tên quen ở đầu chuỗi liền tin. Cách đọc an toàn đi theo thứ tự khác:

1. Bỏ qua phần giao thức ở đầu, nhảy thẳng tới host.
2. Đọc host từ phải sang trái để tìm miền chính — hai thành phần cuối ngay trước dấu gạch chéo đầu tiên. Đây mới là nơi quyết định bạn nối tới máy chủ của ai.
3. Mọi thứ đứng trước miền chính chỉ là tên miền phụ, do chủ miền tự đặt, nên không nói lên điều gì về độ tin cậy.
4. Xác nhận host xong mới nhìn tới path để biết mình ở trang nào, rồi tới query và fragment nếu cần.

Trình tự này quan trọng vì các chiêu đánh lừa gần như luôn nhắm vào chỗ người ta đọc ẩu: nhét tên một ngân hàng quen vào tên miền phụ hoặc vào path, khiến người liếc nhanh tưởng đã tới đúng nơi, trong khi miền chính lại hoàn toàn xa lạ.

Lớp bảo mật đứng sau chữ "s"

Chữ "s" trong https dựa trên giao thức TLS, và phần lớn web nay đã chạy phiên bản mới: theo Cloudflare Radar quý 3 năm 2025, TLS 1.3 chiếm 73% số lượt bắt tay, phần còn lại chủ yếu là TLS 1.2. Bản thân https cũng đã thành mặc định — W3Techs tháng 10 năm 2025 ghi nhận 95,2% trang trong nhóm một triệu trang phổ biến nhất dùng https. Chống lưng thêm cho scheme là cơ chế HSTS, buộc trình duyệt luôn dùng https với các miền đã đăng ký; danh sách HSTS nạp sẵn theo Chromium 2025 đã vượt 120.000 miền. Ba con số này cùng nói một điều: kết nối mã hóa giờ là nền chung của web, nên sự hiện diện của https không còn là bằng chứng để tin một trang.

Khi ký tự trong tên miền đánh lừa mắt

Một dạng giả mạo tinh vi là dùng chữ cái trông giống hệt để dựng tên miền na ná thật, chẳng hạn thay một chữ bằng ký tự từ bảng chữ khác nhìn gần như y nguyên. Trình duyệt hiện đại chống lại bằng cách hiển thị những miền đáng ngờ dưới dạng mã hóa bắt đầu bằng "xn--" thay vì chữ đẹp, nhưng cảnh báo không phải lúc nào cũng rõ. Vì vậy với các địa chỉ hệ trọng như ngân hàng hay email, cách chắc nhất vẫn là tự gõ địa chỉ đã biết hoặc mở từ dấu trang đã lưu một lần cho đúng, thay vì bấm theo liên kết người khác gửi. Thói quen này bù cho giới hạn của mắt người, vốn khó bắt một ký tự bị tráo trong chuỗi dài, nhất là trên màn hình nhỏ.

Để luyện tách địa chỉ, bạn có thể lấy một URL gọn làm mẫu như X8 và tự chỉ ra đâu là scheme, đâu là host, phần nào là path. Làm quen với vài link quen thuộc, bạn sẽ đọc được gần như mọi địa chỉ gặp sau đó, kể cả những chuỗi dài trông rối mắt.

Đọc thử một địa chỉ rút gọn

Khó hơn một địa chỉ đầy đủ là các liên kết rút gọn, loại chỉ có vài ký tự sau một tên miền dịch vụ và không để lộ đích thật. Với dạng này, việc tách scheme hay host không giúp được gì, vì phần bạn thấy chỉ là một cửa trung chuyển. Cách an toàn là dùng một công cụ xem trước đích của link rút gọn trước khi mở, hoặc nhấn giữ để trình duyệt hiện địa chỉ cuối cùng mà nó sẽ dẫn tới. Chỉ khi thấy được miền chính ở đích thật, bạn mới áp lại cách đọc host như với một địa chỉ thường. Một liên kết rút gọn giấu đích là lý do để thận trọng thêm một bước, không phải để bỏ qua bước kiểm.

Vì sao đuôi miền không phải giấy bảo chứng

Nhiều người gán cho các đuôi miền một mức tin cậy mặc định, chẳng hạn cho rằng một đuôi "trông chính thống" thì hẳn là trang thật. Thực tế, phần đuôi chỉ cho biết nhóm đăng ký mà miền đó thuộc về, không nói gì về ý định của chủ sở hữu. Kẻ gian hoàn toàn có thể đăng ký một miền với đuôi bất kỳ rồi dựng trang giả trên đó. Vì vậy điều đáng soi vẫn là toàn bộ miền chính — cả phần tên lẫn phần đuôi đi liền nhau — xem có đúng là miền của tổ chức bạn định tới hay không, chứ không phải chỉ nhìn mỗi cái đuôi rồi yên tâm.

Thói quen gói lại từ hai phần trên rất đơn giản: với mọi địa chỉ hệ trọng, đừng đánh giá qua vẻ ngoài của chuỗi ký tự, mà hãy lần tới miền chính ở đích thật rồi đối chiếu với miền bạn đã biết. Vẻ ngoài của một URL — dài hay ngắn, đuôi quen hay lạ, có ổ khóa hay không — đều có thể bị dàn dựng; chỉ miền chính ở điểm đến cuối cùng mới khó giả.