Bảo mật website cho chủ shop: 10 việc làm ngay hôm nay
Bảo mật website cho chủ shop: checklist 10 việc ưu tiên, từ mật khẩu, xác thực hai bước, HTTPS đến sao lưu và xử lý sự cố.
Một buổi sáng, bạn mở website và thấy trang chủ bị thay bằng một trang lạ, hoặc khách báo không vào được giỏ hàng. Với shop nhỏ, khoảnh khắc đó thường bắt đầu từ một mật khẩu yếu, một tài khoản cũ chưa xóa, hoặc một bản cập nhật bị trì hoãn. Bài này đưa ra 10 việc bảo mật website mà bạn có thể làm ngay, theo thứ tự ưu tiên, không cần biết code sâu.
Tóm tắt nhanh:
- Bảo mật website bắt đầu từ mật khẩu, xác thực hai bước và phân quyền, không phải từ một công cụ đắt tiền.
- Cập nhật phần mềm, bật HTTPS và sao lưu đều đặn giúp bạn khôi phục nhanh khi có sự cố.
- Giới hạn lần đăng nhập, gỡ thành phần không dùng và theo dõi thay đổi bất thường giúp phát hiện sớm.
- Khi có dấu hiệu xâm nhập, hãy tách website khỏi truy cập công khai, đổi mật khẩu, khôi phục bản sạch rồi mới mở lại.
Vì sao website nhỏ vẫn bị nhắm tới
Nhiều chủ shop nghĩ rằng website nhỏ thì không ai để ý. Thực tế, kẻ tấn công thường dùng công cụ tự động để quét hàng loạt website, tìm tài khoản dùng mật khẩu yếu hoặc phần mềm chưa cập nhật. Một website nhỏ, ít người trông, lại là mục tiêu dễ hơn một website lớn có đội kỹ thuật trực.
Thiệt hại cũng không chỉ nằm ở tiền. Khách có thể thấy cảnh báo không an toàn, mất niềm tin và không quay lại. Dữ liệu đơn hàng, thông tin liên hệ của khách và nội dung bạn đã xây dựng đều có thể bị thay đổi. Vì vậy, bảo mật website là việc duy trì hằng ngày, giống như khóa cửa hàng mỗi tối.
10 việc bảo mật website cần làm ngay
Bảng dưới đây sắp xếp 10 việc theo thứ tự bạn nên làm trước. Bạn không cần làm hết trong một ngày. Hãy làm ba việc đầu trong tuần này, rồi hoàn thành phần còn lại trong hai tuần tiếp theo.
| Việc | Làm gì | Kiểm tra lại khi nào |
|---|---|---|
| 1. Mật khẩu mạnh | Đặt mật khẩu dài, riêng cho từng tài khoản, lưu trong trình quản lý mật khẩu | Khi có nhân sự thay đổi |
| 2. Xác thực hai bước | Bật cho tài khoản quản trị và email quản trị | Ngay sau khi bật, thử đăng nhập lại |
| 3. Cập nhật phần mềm | Cập nhật nền tảng, giao diện và tiện ích mở rộng | Mỗi tuần một lần |
| 4. Bật HTTPS | Dùng chứng chỉ hợp lệ cho toàn bộ website, không để lẫn nội dung HTTP | Khi chứng chỉ sắp hết hạn |
| 5. Sao lưu đều đặn | Sao lưu tập tin và cơ sở dữ liệu, giữ một bản ở nơi khác | Mỗi tháng, thử khôi phục một lần |
| 6. Giới hạn đăng nhập | Khóa tạm tài khoản sau nhiều lần đăng nhập sai liên tiếp | Khi thấy nhiều lần đăng nhập lạ |
| 7. Phân quyền rõ ràng | Chỉ cấp quyền cần thiết cho từng người, xóa tài khoản không còn dùng | Mỗi quý một lần |
| 8. Gỡ thứ không dùng | Gỡ tiện ích, giao diện và tài khoản thử nghiệm không còn cần | Khi dọn website theo quý |
| 9. Theo dõi thay đổi | Xem cảnh báo từ hosting và Search Console, kiểm tra tập tin mới lạ | Mỗi tuần một lần |
| 10. Kế hoạch khi sự cố | Viết sẵn các bước xử lý, người liên hệ và cách khôi phục | Mỗi sáu tháng, rà lại một lần |
Ví dụ giả định: chị Mai bán đồ gia dụng, có ba người cùng dùng một tài khoản quản trị với mật khẩu là tên shop và năm thành lập. Sau khi đổi sang mật khẩu riêng cho từng người, bật xác thực hai bước và xóa một tài khoản cộng tác viên cũ, chị không còn thấy các lần đăng nhập lạ vào ban đêm. Ví dụ này chỉ minh họa cách sắp xếp quyền truy cập, không phải một trường hợp thật.
Mật khẩu, xác thực hai bước và phân quyền
Mật khẩu mạnh không cần khó nhớ một cách kỳ lạ. Một cụm từ dài, gồm nhiều từ không liên quan, thường khó đoán hơn một mật khẩu ngắn có ký tự đặc biệt. Điều quan trọng hơn là mỗi tài khoản dùng một mật khẩu riêng. Nếu một tài khoản bị lộ, các tài khoản còn lại vẫn an toàn.
Xác thực hai bước là lớp bảo vệ thứ hai. Ngay cả khi ai đó biết mật khẩu, họ vẫn cần mã xác thực từ điện thoại của bạn. Hãy bật xác thực hai bước cho tài khoản quản trị website và cho email dùng để khôi phục mật khẩu. Email quản trị thường là cửa ngõ quan trọng nhất, vì nhiều hệ thống cho phép đặt lại mật khẩu qua email.
Phân quyền giúp giảm rủi ro từ bên trong. Người viết bài chỉ cần quyền viết bài, người quản lý đơn hàng chỉ cần quyền xem đơn hàng. Khi một cộng tác viên nghỉ việc, hãy xóa hoặc khóa tài khoản ngay trong ngày. Bạn cũng nên rà lại danh sách tài khoản mỗi quý, vì tài khoản thử nghiệm và tài khoản cũ rất dễ bị quên.
Cập nhật, HTTPS và sao lưu
Cập nhật phần mềm là việc dễ bị trì hoãn nhất, vì shop sợ website lỗi sau khi cập nhật. Cách làm an toàn là sao lưu trước, cập nhật từng phần một, rồi kiểm tra trang chủ, trang sản phẩm và giỏ hàng. Nếu có lỗi, bạn vẫn có bản sao lưu để quay lại.
HTTPS mã hóa dữ liệu trao đổi giữa trình duyệt của khách và website của bạn. Google khuyến nghị website dùng HTTPS thay vì HTTP để cải thiện an toàn cho người dùng và cho chính website. Trang dùng HTTP có thể bị trình duyệt gắn nhãn không an toàn. Bạn có thể kiểm tra trong tài liệu của Google Search Central về việc dùng HTTPS và về báo cáo HTTPS trong Search Console.
Sao lưu chỉ có giá trị khi bạn đã thử khôi phục. Nhiều shop có sao lưu nhưng chưa từng khôi phục, đến khi cần mới phát hiện bản sao lưu thiếu dữ liệu hoặc không mở được. Hãy đặt lịch thử khôi phục mỗi tháng một lần, vào thời điểm ít đơn hàng. Giữ ít nhất một bản sao lưu ở nơi khác với máy chủ chính, để sự cố ở một nơi không kéo theo mất cả bản sao lưu.
Bạn có thể đọc thêm tài liệu Google Search Central về kỹ thuật SEO và HTTPS và tài liệu Google Search Central về chuyển đổi sang HTTPS để đối chiếu cách triển khai HTTPS và chứng chỉ.
Bạn cũng có thể đối chiếu với hướng dẫn an toàn thông tin trên Cổng thông tin điện tử tỉnh Hà Tĩnh. Hướng dẫn này nêu cập nhật phần mềm, cụm mật khẩu, xác thực hai yếu tố và sao lưu.
Giới hạn đăng nhập, gỡ thứ không dùng và theo dõi
Giới hạn số lần đăng nhập sai giúp chặn các công cụ thử mật khẩu tự động. Bạn có thể đặt khóa tạm tài khoản sau một số lần sai nhất định, rồi mở lại sau một khoảng thời gian ngắn. Cách này không gây khó cho khách mua hàng, vì nó chỉ áp dụng cho khu vực đăng nhập quản trị.
Thành phần không dùng là cửa ngõ hay bị bỏ quên. Một tiện ích đã ngừng phát triển, một giao diện cũ không còn dùng, hoặc một trang thử nghiệm vẫn mở công khai đều có thể chứa lỗ hổng. Hãy liệt kê toàn bộ tiện ích và giao diện đang cài, giữ lại thứ bạn thật sự dùng, gỡ phần còn lại. Sau khi gỡ, kiểm tra lại website để chắc không còn liên kết chết ở trang quan trọng.
Theo dõi thay đổi giúp bạn phát hiện sớm thay vì phát hiện muộn. Mỗi tuần, bạn nên xem cảnh báo từ nhà cung cấp hosting, kiểm tra tập tin mới xuất hiện bất thường và xem báo cáo trong Search Console nếu bạn đã xác minh website. Nếu thấy trang lạ, liên kết lạ hoặc nội dung bạn không đăng, hãy coi đó là dấu hiệu cần xử lý ngay, không chờ đến khi khách phản ánh.
Khi website có dấu hiệu bị xâm nhập
Khi nghi ngờ website bị xâm nhập, bước đầu tiên là giảm thiệt hại. Hãy tạm dừng truy cập công khai nếu bạn có thể, hoặc nhờ nhà cung cấp hosting hỗ trợ tách website ra khỏi môi trường đang chạy. Đừng vội xóa mọi thứ, vì bạn cần giữ lại dấu vết để biết điểm vào và phạm vi ảnh hưởng.
Sau đó, đổi mật khẩu của tài khoản quản trị, email quản trị và cơ sở dữ liệu. Việc này cần làm trước khi khôi phục, để tài khoản bị lộ không tiếp tục được dùng. Khôi phục từ bản sao lưu sạch, là bản được tạo trước thời điểm nghi ngờ bị xâm nhập. Sau khi khôi phục, kiểm tra lại các trang quan trọng, biểu mẫu liên hệ và giỏ hàng.
Cuối cùng, rà lại nguyên nhân. Nguyên nhân thường nằm ở mật khẩu yếu, tài khoản cũ, hoặc một thành phần chưa cập nhật. Hãy ghi lại nguyên nhân và cách khắc phục, rồi cập nhật kế hoạch xử lý sự cố của bạn. Nếu bạn không chắc mình đã dọn sạch hay chưa, hãy nhờ đơn vị kỹ thuật có kinh nghiệm kiểm tra lại trước khi mở website trở lại hoàn toàn.
Đọc tiếp theo nhu cầu của bạn
- Nếu bạn lo tên miền bị mất khi quên gia hạn, hãy đọc 6 việc cần làm để bảo vệ tên miền khỏi hết hạn và bị mất.
- Nếu website đã lâu không hoạt động và bạn muốn đưa nó trở lại an toàn, hãy đọc phục hồi website đã lâu không hoạt động.
- Nếu bạn đang chuẩn bị chuyển website sang hosting mới mà không muốn mất dữ liệu, hãy đọc không mất dữ liệu khi chuyển website sang hosting mới.
Câu hỏi thường gặp
Shop nhỏ có cần làm đủ 10 việc không?
Bạn nên làm đủ 10 việc, nhưng không cần làm cùng lúc. Ba việc đầu là mật khẩu, xác thực hai bước và sao lưu. Khi ba việc này đã ổn, các việc còn lại sẽ dễ duy trì hơn và ít tốn thời gian hơn bạn nghĩ.
Mật khẩu mạnh là mật khẩu như thế nào?
Mật khẩu mạnh là mật khẩu dài, riêng cho từng tài khoản và không dùng lại ở nơi khác. Bạn nên lưu mật khẩu trong trình quản lý mật khẩu thay vì ghi ra giấy hoặc gửi qua tin nhắn. Nếu bạn phải chia sẻ quyền truy cập, hãy tạo tài khoản riêng cho người đó thay vì đưa mật khẩu của mình.
Bật HTTPS có đủ để website an toàn không?
HTTPS chỉ bảo vệ dữ liệu khi truyền đi, không thay thế mật khẩu mạnh, cập nhật phần mềm hay sao lưu. Một website có HTTPS nhưng dùng mật khẩu yếu vẫn có thể bị truy cập trái phép. Vì vậy, HTTPS là một lớp trong nhiều lớp bảo vệ, không phải là lớp duy nhất.
Bao lâu nên kiểm tra bảo mật một lần?
Bạn nên kiểm tra nhanh mỗi tuần và rà toàn diện mỗi quý. Kiểm tra nhanh gồm cập nhật, cảnh báo hosting và tài khoản lạ. Rà toàn diện gồm phân quyền, tiện ích không dùng, sao lưu và kế hoạch xử lý sự cố. Lịch này đủ đều để phát hiện sớm mà không chiếm quá nhiều thời gian vận hành.
Việc nên làm hôm nay
- Đổi mật khẩu tài khoản quản trị và email quản trị sang mật khẩu riêng, dài, lưu trong trình quản lý mật khẩu.
- Bật xác thực hai bước cho tài khoản quản trị và email quản trị, rồi thử đăng nhập lại để chắc mã xác thực hoạt động.
- Sao lưu toàn bộ website ngay hôm nay, ghi rõ ngày sao lưu và nơi lưu bản sao.
- Rà danh sách tài khoản, xóa tài khoản thử nghiệm và tài khoản của người đã nghỉ việc.
- Kiểm tra website có đang dùng HTTPS cho toàn bộ trang hay không, và ghi lại ngày hết hạn chứng chỉ.
Nguồn đã xem ngày 30/10/2026: Google Search Central (HTTPS, chuyển đổi sang HTTPS); Cổng thông tin điện tử tỉnh Hà Tĩnh (an toàn thông tin).
Nội dung mang tính tham khảo. Hãy kiểm tra thông tin mới nhất từ nguồn chính thức trước khi áp dụng.
