Bài viết này do AI tạo ra dựa trên thông báo kỹ thuật chính thức của Cloudflare ngày 29/09/2026. Số liệu và tính năng có thể thay đổi theo gói dịch vụ, khu vực và cấu hình tài khoản.
Cloudflare bổ sung khả năng quan sát mật mã hậu lượng tử (post-quantum cryptography, PQC) ở cấp tên miền. Quản trị viên nay có thể xem thuật toán trao đổi khóa TLS đã thương lượng cho traffic thực tế trong HTTP Traffic Analytics, Log Explorer và Logpush, thay vì chỉ xem số liệu tổng hợp trên Radar.
ClientTLSKeyExchangeGroup; chặng Cloudflare-to-origin có OriginTLSKeyExchangeGroup.X25519MLKEM768 kết hợp X25519 và ML-KEM-768 trong TLS 1.3.Domain bật TLS 1.3 không đồng nghĩa mọi phiên truy cập đều dùng PQC. Trước đây, người vận hành biết phiên dùng TLS 1.2 hay 1.3 nhưng không có dữ liệu per-domain để đo tỷ lệ traffic dùng PQC, nhận diện client cũ hoặc kiểm tra chặng origin.
Tính năng mới biến bắt tay TLS thành telemetry. Dashboard phù hợp theo dõi tỷ lệ và xu hướng; Logpush/Log Explorer phù hợp lọc request, điều tra client hoặc xuất dữ liệu vào SIEM. Đây là khả năng quan sát, không phải nút bật PQC riêng.
X25519MLKEM768 là trao đổi khóa lai: TLS thực hiện ECDHE trên X25519 cùng ML-KEM-768, sau đó kết hợp hai shared secret để mã hóa phiên. Mô hình lai giữ lớp bảo vệ nếu một trong hai cơ chế còn an toàn. Cloudflare nêu đây là nhóm PQC được khuyến nghị cho TLS 1.3 và được đa số trình duyệt lớn ưu tiên.
PQC trong tính năng này là mã hóa/trao đổi khóa, chưa phải chuyển đổi hoàn chỉnh phần xác thực. Chứng chỉ và chữ ký TLS vẫn là hạng mục khác; thấy X25519MLKEM768 không có nghĩa domain đã hoàn tất toàn bộ migration hậu lượng tử.
Đội vận hành nên: bật TLS 1.3; lấy baseline tỷ lệ X25519MLKEM768; phân đoạn traffic không PQC theo ứng dụng/client; kiểm tra chặng origin; đưa các trường mới vào SIEM. Với origin cũ, Cloudflare đề xuất Cloudflare Tunnel để có chặng TLS 1.3 với X25519MLKEM768 mà không phải nâng cấp trực tiếp origin legacy.
Giá trị chính là đo khoảng cách giữa “đã bật” và “đang được dùng”. Chênh lệch Cloudflare công bố — khoảng 70% traffic browser tại edge dùng PQC lai, nhưng chỉ khoảng 15% origin dùng — cho thấy migration không dừng ở CDN. Application server, reverse proxy và origin legacy thường là nơi nợ kỹ thuật còn lại.
Nguy cơ “harvest now, decrypt later” khiến dữ liệu có vòng đời bí mật 3–10 năm như tài chính, y tế, viễn thông và khu vực công cần kiểm kê sớm. Tuy vậy, tỷ lệ PQC không nên là KPI an toàn duy nhất: API client, thiết bị cũ và ứng dụng non-browser có thể chưa hỗ trợ TLS 1.3/PQC. Phân loại traffic trước khi áp deadline migration là cần thiết.
Cloudflare Blog, “Is your domain using post-quantum encryption? Now you can see for yourself”, 29/09/2026; tài liệu Cloudflare về HTTP Traffic Analytics, Logpush và post-quantum cryptography.
