Bảo mật website bán hàng: 10 việc tối thiểu và cách sao lưu cho doanh nghiệp nhỏ

Bảo mật website thường chỉ được nghĩ tới vào một buổi sáng khó chịu. Khách nhắn rằng bấm vào web từ Google thì bị chuyển sang một trang cờ bạc. Hoặc trình duyệt bỗng hiện chữ “Không bảo mật” ngay cạnh tên miền. Có nơi còn phát hiện nhân viên đã nghỉ ba tháng vẫn đăng nhập sửa giá được.

Bảo mật website là giữ cho web không bị người lạ chiếm quyền, chèn mã độc hay lấy dữ liệu khách, và có bản sao lưu để dựng lại khi có sự cố. Doanh nghiệp nhỏ không cần đội kỹ thuật riêng. Phần lớn rủi ro đến từ mật khẩu yếu, phần mềm cũ và không có bản sao lưu dùng được.

Bài này dành cho chủ shop, hộ kinh doanh đang tự quản lý web, thuộc cụm hạ tầng, thanh toán và bảo trì website. Bài gom ý chính của 4 bài chi tiết: SSL là gì, lỗi không bảo mật trang web, dịch vụ bảo mật và sao lưu, và cách xử lý khi web bị hack. Mỗi phần có đường dẫn để bạn đọc sâu hơn.

Tóm tắt nhanh

• Ba việc làm ngay hôm nay: bật xác thực 2 lớp, xóa tài khoản của người đã nghỉ, mở thử bản sao lưu gần nhất.
• Web trên Haravan, Sapo do nền tảng lo máy chủ; chủ web vẫn lo tài khoản, phân quyền và ứng dụng cài thêm.
• Sao lưu theo quy tắc 3-2-1: 3 bản dữ liệu, trên 2 thiết bị khác nhau, 1 bản để ngoài nơi đặt web.
• Chứng chỉ SSL có loại miễn phí, Let’s Encrypt cấp và tự gia hạn.
• Web bị hack thì cô lập, khóa truy cập, giữ bằng chứng trước, dọn dẹp sau.
• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 1/1/2026, áp dụng cả với dữ liệu khách đặt hàng trên web.

Dấu hiệu website đang gặp vấn đề bảo mật

Sự cố bảo mật website ít khi báo trước. Nó lộ ra qua những chuyện tưởng nhỏ. Bảng dưới gom các dấu hiệu chủ shop hay gặp, mỗi dấu hiệu ứng với một câu hỏi và một bài đọc sâu hơn.

Nếu web của bạn rơi vào từ hai dòng trở lên, đừng chỉ vá chỗ đang lỗi. Hãy rà lại cả bốn lớp: tài khoản, kết nối, sao lưu và kế hoạch xử lý sự cố.

Gốc rễ: bảo mật bị bỏ quên vì không có người giữ

Ở shop nhỏ, việc bảo mật website thường không thuộc về ai. Người làm web bàn giao xong là đi. Chủ shop lo hàng và đơn. Nhân viên dùng chung một tài khoản quản trị cho tiện.

Thế là mật khẩu không đổi suốt hai năm. Plugin báo cập nhật nhưng không ai bấm. Bản sao lưu nằm ngay trên hosting đang chạy web. Không việc nào trong số đó gây lỗi ngay, nên không ai thấy cần làm.

Vì vậy, bài này đi theo thứ tự ưu tiên trên công sức. Trước hết là mười việc tối thiểu, rồi phân rõ nền tảng lo gì, bạn lo gì. Sau đó đến SSL, sao lưu, kế hoạch 24 giờ khi bị hack, và cuối cùng mới tính chuyện thuê ngoài.

Bảo mật website là gì và doanh nghiệp nhỏ mất gì nếu bỏ qua?

Bảo mật website gồm hai phần. Phần phòng là khóa tài khoản, cập nhật phần mềm, mã hóa kết nối. Phần dự phòng là sao lưu và kế hoạch xử lý sự cố.

Thiệt hại hay gặp là web bị chèn trang cờ bạc làm mất thứ hạng, khách bị chuyển sang trang lạ, nhân viên cũ vẫn vào sửa giá. Nặng nhất là mất hết sản phẩm và đơn vì không có bản sao lưu. Theo web.dev của Google, mã độc trên web bị hack còn có thể ghi lại thao tác bàn phím và lấy thông tin đăng nhập của khách.

Trách nhiệm với dữ liệu khách

Phần dữ liệu khách kéo theo trách nhiệm pháp lý. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP có hiệu lực từ 1/1/2026 (VCCI).

Theo Điều 8 của Luật, tổ chức vi phạm bị phạt tối đa 3 tỷ đồng. Mức 5% doanh thu năm trước chỉ áp cho vi phạm chuyển dữ liệu ra nước ngoài (Hệ thống pháp luật, Điều 8). Toàn văn Luật có trên Thư viện Pháp luật.

Cách bảo mật website: 10 việc tối thiểu

Mười việc bảo mật website dưới đây xếp theo hiệu quả trên công sức. Ba việc đầu không tốn đồng nào mà chặn được phần lớn rủi ro.

Tài khoản: mật khẩu, xác thực 2 lớp, phân quyền

1. Đổi mật khẩu quản trị thành chuỗi dài, không dựa trên tên hay từ trong từ điển, không dùng lại ở nơi khác.
2. Bật xác thực 2 lớp cho mọi tài khoản quản trị và email gắn với web.
3. Mỗi nhân viên một tài khoản riêng, chỉ cấp quyền đủ làm việc. Ai nghỉ việc thì khóa trong ngày.

Xác thực 2 lớp là bước xác minh thứ hai sau mật khẩu, như mã trên điện thoại. Theo CISA, khi mật khẩu bị lộ, người lạ vẫn không qua được bước này. Nhân viên đăng sản phẩm không cần quyền cài ứng dụng.

HTTPS, cập nhật, gỡ phần thừa

4. Bật HTTPS cho toàn bộ web, không chỉ trang thanh toán.
5. Cập nhật lõi WordPress, plugin, giao diện khi có bản mới.
6. Gỡ plugin, giao diện, ứng dụng không dùng; không dùng bản “bẻ khóa”.
7. Bỏ tên đăng nhập kiểu “admin”.

Tài liệu WordPress ghi rõ các bản cũ không còn được vá lỗi bảo mật. Plugin chỉ nên cài từ nguồn tin cậy.

Tường lửa, giới hạn đăng nhập, sao lưu

8. Bật tường lửa ứng dụng web hoặc plugin bảo mật có giới hạn số lần đăng nhập sai.
9. Tắt chức năng sửa tệp mã nguồn ngay trong trang quản trị WordPress.
10. Sao lưu tự động và khôi phục thử định kỳ.

Sai lầm hay gặp khi tự bảo mật website

• Cả cửa hàng dùng chung một tài khoản quản trị cho tiện.
• Lưu mật khẩu trong nhóm chat hoặc file không khóa.
• Cài plugin bảo mật nhưng không ai đọc cảnh báo nó gửi.
• Có sao lưu nhưng chưa bao giờ thử khôi phục.

Bốn sai lầm này đều không cần tiền để sửa, chỉ cần một người nhận việc và một lịch kiểm tra.

Nền tảng có sẵn và WordPress: ai lo phần nào?

Câu hỏi đầu tiên khi bàn chuyện bảo mật trang web là ai đang lo máy chủ. Trả lời đúng câu này giúp bạn không trả tiền cho việc nền tảng đã làm.

Trên Haravan, Sapo, nhà cung cấp lo máy chủ. Haravan ghi rõ hosting và SSL miễn phí cho mọi gói có website (Haravan). Trên WordPress tự cài, gần như mọi lớp do chủ web và đơn vị hosting chịu.

Nhìn bảng sẽ thấy: dù dùng nền tảng nào, tài khoản và phân quyền luôn là việc của bạn. Đây cũng là chỗ hay bị bỏ quên nhất trong bảo mật trang web.

SSL là gì và vì sao web bán hàng cần HTTPS?

Chủ shop hay nghe “web cần SSL” mà không rõ đó là gì.

SSL là giao thức mã hóa kết nối giữa trình duyệt của khách và website, để người ngoài không đọc hay sửa được mật khẩu, địa chỉ, số điện thoại. Giao thức đang dùng thật ra là TLS, nhưng người ta vẫn quen gọi SSL (Cloudflare). Web có chứng chỉ hợp lệ sẽ chạy bằng HTTPS, hiện ổ khóa trên thanh địa chỉ.

Vì sao web bán hàng cần SSL?

Lý do đầu tiên là bảo vệ khách. Form đặt hàng, đăng nhập, thanh toán đều gửi thông tin cá nhân qua mạng. Lý do thứ hai là trình duyệt: Chrome gắn nhãn cảnh báo cho trang không dùng HTTPS, và khách thấy nhãn đó thường không dám điền số điện thoại. Google cũng nhắc HTTPS trong nhóm tín hiệu trải nghiệm trang (Google Search Central). Vì vậy, SSL là lớp bảo mật website đầu tiên mà khách nhìn thấy được.

Ba loại chứng chỉ và thời hạn ngày càng ngắn

Chứng chỉ có ba loại DV, OV, EV. Chúng khác nhau ở mức kiểm tra người xin, không khác nhau ở độ mạnh của mã hóa. Với web bán hàng nhỏ, chứng chỉ DV miễn phí của Let’s Encrypt là đủ. Điểm cần lo là chứng chỉ có tự động gia hạn hay không.

Các tổ chức cấp chứng chỉ và hãng trình duyệt đã thông qua lộ trình rút ngắn thời hạn tối đa của chứng chỉ công khai, tới mức 47 ngày (SectigoStore). Gia hạn bằng tay sẽ ngày càng dễ quên, nên hãy để hệ thống tự làm.

Bảng phân biệt SSL, TLS, HTTPS và cách kiểm tra chứng chỉ trong 5 phút có trong bài SSL là gì.

Lỗi không bảo mật trang web: 6 nguyên nhân

Lỗi này là dấu hiệu bảo mật website dễ thấy nhất, xuất hiện khi trình duyệt không xác nhận được kết nối tới web là kết nối được mã hóa và đúng chủ.

Theo Trợ giúp Google Chrome, nhãn “Không an toàn” cho biết trang không dùng kết nối riêng tư, người khác có thể xem hoặc sửa dữ liệu. Cách sửa là chuyển web sang HTTPS và giữ chứng chỉ hợp lệ, việc nền tảng của bảo mật website.

Lỗi do máy khách hay do website?

Làm phép thử này trước khi sửa gì. Mở web bằng điện thoại dùng 4G, không qua wifi cửa hàng. Nếu thiết bị khác vào bình thường, lỗi nằm ở máy bị báo, ví dụ đồng hồ máy sai. Nếu mọi thiết bị đều báo lỗi, lỗi nằm ở website.

Sáu nguyên nhân phía website

• Web chưa cài chứng chỉ, vẫn chạy bằng HTTP.
• Chứng chỉ hết hạn vì không tự gia hạn.
• Chứng chỉ không khớp tên miền, ví dụ có www mà không có bản không www.
• Trang có HTTPS nhưng còn ảnh, mã nhúng gọi bằng “http://”.
• Chuyển hosting mà chứng chỉ chỉ còn trên hosting cũ.
• Kết nối tên miền với nền tảng chưa hoàn tất.

Lỗi thứ tư gọi là nội dung hỗn hợp, được giải thích trong bài mixed content của web.dev. Cách sửa từng lỗi theo nền tảng và checklist tự kiểm có trong bài lỗi không bảo mật trang web.

Sao lưu website đúng cách

Trong bảo mật website, bản sao lưu chỉ có giá trị khi khôi phục được. Bản nằm cùng máy chủ với web thì máy chủ hỏng là mất cả hai.

Quy tắc 3-2-1

Quy tắc 3-2-1 là giữ 3 bản dữ liệu gồm bản gốc và 2 bản sao, trên 2 thiết bị khác nhau, trong đó 1 bản đặt ở nơi khác hẳn (Backblaze). Với web nhỏ, cách làm đơn giản là bản gốc trên hosting, bản sao tự động của hosting, và một bản tải về lưu trữ đám mây đứng tên doanh nghiệp.

Lịch sao lưu và khôi phục thử

Lịch bảo trì chung như cập nhật, đo tốc độ, dọn ứng dụng nằm ở bài tối ưu tốc độ website và lịch bảo trì.

Website bị hack: xử lý trong 24 giờ đầu

Dấu hiệu hay gặp là Google hiện trang lạ dưới tên miền của bạn. Bấm từ Google vào web thì bị chuyển sang trang khác. Xuất hiện tài khoản quản trị không ai tạo, hoặc Search Console báo vấn đề bảo mật. Thấy một dấu hiệu là đủ lý do để kiểm tra ngay (WordPress.org).

Năm việc theo thứ tự

Mục tiêu của 24 giờ đầu là chặn thiệt hại, chưa phải tìm thủ phạm. Đừng vội xóa tệp, vì có thể mất dấu vết cần cho bước dọn dẹp.

1. Cô lập web: tạm đóng hoặc báo đơn vị hosting (web.dev).
2. Khóa truy cập: đổi mật khẩu quản trị, hosting, email; xóa tài khoản lạ.
3. Giữ bằng chứng: chụp màn hình, lưu nhật ký truy cập trước khi sửa.
4. Khôi phục từ bản sao lưu tạo trước lúc bị hack, rồi vá lỗ hổng gốc.
5. Xử lý lộ dữ liệu khách nếu kẻ xấu đã vào được cơ sở dữ liệu.

Dọn dẹp và xin Google gỡ cảnh báo

Một kiểu hack phổ biến là chèn hàng loạt trang rác. Ví dụ là dạng được mô tả trong bài hack từ khóa tiếng Nhật. Dọn xong trên toàn web mới gửi yêu cầu xem xét trong Search Console (Trợ giúp Search Console). Yêu cầu nên nêu rõ vấn đề, các bước đã làm và kết quả.

Sau khi web chạy lại: tránh bị hack lần hai

Trước khi mở lại web, hãy rà bốn điểm. Việc lộ dữ liệu đã được xử lý. Phần mềm đã cập nhật, plugin thừa đã gỡ. Lỗ hổng gốc đã vá. Không vá lỗ hổng thì kẻ xấu quay lại bằng đúng đường cũ, và lần dọn dẹp thứ hai thường tốn hơn lần đầu.

Nếu kẻ xấu đã vào được cơ sở dữ liệu, hãy coi như tên, số điện thoại, địa chỉ của khách đã bị lộ. Khi đó, làm theo nghĩa vụ thông báo của Luật Bảo vệ dữ liệu cá nhân. Các bước chi tiết, cách chọn bản khôi phục và cách tránh bị hack lần hai có trong bài website bị hack: dấu hiệu và xử lý 24 giờ đầu.

Khi nào nên thuê dịch vụ bảo mật website?

Không phải web nào cũng cần thuê dịch vụ bảo mật website. Nếu nền tảng lo máy chủ, phần còn lại của bạn chủ yếu là mật khẩu, xác thực 2 lớp và phân quyền.

Dịch vụ bảo mật website là phần việc bạn thuê ngoài để chặn tấn công, quét và dọn mã độc, sao lưu và khôi phục khi web gặp sự cố. Có 5 kiểu lựa chọn, từ tường lửa miễn phí như gói của Cloudflare đến đơn vị trực sự cố theo hợp đồng như Sucuri. Shop nhỏ thường chỉ cần kết hợp 2 trong số đó.

Nên thuê khi web đã bị hack mà không ai tìm ra lỗ hổng. Web WordPress nhiều plugin, có đơn hằng ngày cũng nên thuê. Trường hợp thứ ba là không ai theo được lịch sao lưu.

Phạm vi cần hỏi trước khi ký

• Gói gồm theo dõi thường xuyên hay chỉ xử lý khi có sự cố.
• Sao lưu lưu ở đâu, giữ bao lâu, ai khôi phục thử.
• Khi bị hack, bao lâu phản hồi, có tính thêm phí dọn dẹp không.
• Tài khoản quản trị, tên miền, hosting có đứng tên doanh nghiệp không.
• Có biên bản bàn giao và nhật ký công việc mỗi tháng không.

Gợi ý theo quy mô

Gợi ý dưới đây mang tính tham khảo, chưa thay cho việc rà web thực tế. Web Haravan, Sapo ít ứng dụng thường tự làm được phần bảo mật trang web, chỉ cần xác thực 2 lớp và xuất dữ liệu hằng tháng. Web WordPress bán ít có thể kết hợp tường lửa miễn phí với sao lưu của hosting, cộng một bản để ngoài. Web WordPress có đơn hằng ngày nên cân nhắc thêm dịch vụ bảo mật website có cam kết thời gian phản hồi khi sự cố.

So sánh 5 lựa chọn, giá tham khảo từ trang chính thức và 8 tiêu chí chọn có trong bài dịch vụ bảo mật website.

Lộ trình 30 ngày siết bảo mật website

Đừng dồn mọi việc bảo mật website vào một buổi. Mỗi tuần một việc chính là nhịp vừa sức với shop nhỏ, và mỗi tuần có một kết quả kiểm được.

Sau 30 ngày, giữ bảo mật website bằng cách rà lại tài khoản mỗi tháng và khôi phục thử mỗi quý. Bảo mật trang web là việc lặp lại, không phải việc làm một lần.

Khi nào nên có người đi cùng?

Bạn hoàn toàn có thể tự làm theo lộ trình trên. Nhưng nếu web đang bán mà không ai rành phần hosting, hoặc bạn đang làm web mới, một người đi cùng sẽ giúp dựng đúng từ đầu.

ZoneTech làm website bán hàng trên Haravan, Sapo hoặc WordPress qua dịch vụ thiết kế website ZoneWeb. Tài khoản và dữ liệu đứng tên bạn, mọi bàn giao có biên bản. Giá từng gói có ở bảng giá.

ZoneTech làm website bán hàng trên Haravan, Sapo hoặc WordPress qua dịch vụ ZoneWeb. Giá từng gói có ở bảng giá.

Chúng tôi không cam kết doanh thu, chỉ cam kết làm đủ đầu việc đã ghi trong hợp đồng. Gọi hoặc nhắn Zalo 0976.179.886 để nhận tư vấn làm website từ 3 triệu. Bạn có thể đọc thêm ở trang giới thiệu ZoneTech hoặc để lại thông tin ở trang liên hệ.

Câu hỏi thường gặp về bảo mật website

Web làm trên Haravan, Sapo có cần tự lo bảo mật website không?

Có, nhưng ít việc hơn. Nền tảng lo máy chủ và phần mềm lõi. Chủ web lo mật khẩu, xác thực 2 lớp, phân quyền, ứng dụng cài thêm và xuất dữ liệu dự phòng.

Chứng chỉ SSL có miễn phí không?

Có. Let’s Encrypt cấp miễn phí và tự gia hạn, mức mã hóa giống chứng chỉ trả phí. Haravan kèm SSL cho các gói có website.

Bao lâu nên sao lưu website một lần?

Web bán hằng ngày nên sao lưu cơ sở dữ liệu mỗi ngày, web ít đơn có thể hằng tuần. Với bảo mật website, quan trọng hơn là khôi phục thử định kỳ và giữ một bản ngoài máy chủ.

Web bị chèn link lạ, chuyển hướng sang trang khác thì làm gì?

Đổi mật khẩu, xóa tài khoản lạ, khôi phục từ bản sạch, cập nhật plugin. Sau đó gửi yêu cầu xem xét lại trong Search Console nếu web bị gắn cờ.

Bị hack có mất thứ hạng Google vĩnh viễn không?

Thường là không, nếu dọn sạch và được Google xác nhận. Trang rác trả về 404 sẽ rơi khỏi chỉ mục, trang thật được thu thập lại.

Nhân viên nghỉ việc cần làm gì với tài khoản quản trị web?

Khóa tài khoản của người đó trong ngày, đổi mật khẩu dùng chung họ biết. Kiểm tra email cá nhân của họ có gắn vào tên miền, hosting không.

Rò rỉ dữ liệu khách hàng thì doanh nghiệp có trách nhiệm gì?

Luật Bảo vệ dữ liệu cá nhân 2025 áp dụng từ 1/1/2026, tổ chức vi phạm có thể bị phạt tới 3 tỷ đồng. Theo Điều 41 Nghị định 356/2025, doanh nghiệp nhỏ được ân hạn 5 năm. Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn một số nghĩa vụ, trừ khi xử lý dữ liệu nhạy cảm hoặc làm dịch vụ xử lý dữ liệu.

Đọc tiếp: thủ tục thông báo website Bộ Công Thương cho web bán hàng.

Cập nhật lần cuối: 26/10/2026 · Biên soạn: Đỗ Hữu Thuận