Dịch vụ bảo mật website: chọn gói bảo mật và sao lưu cho shop nhỏ

Dịch vụ bảo mật website là phần việc bạn thuê ngoài để chặn tấn công, quét và dọn mã độc, sao lưu và khôi phục khi web gặp sự cố. Có 5 kiểu lựa chọn, từ tường lửa miễn phí đến đơn vị trực sự cố theo hợp đồng. Shop nhỏ thường chỉ cần kết hợp 2 trong số đó. Bài này đi sâu vào mục thuê dịch vụ trong bài bảo mật và sao lưu website.

Tóm tắt nhanh

• Web trên Haravan, Sapo đã có nền tảng lo máy chủ và SSL, thường không cần thuê thêm dịch vụ bảo mật kỹ thuật.
• Web WordPress có đơn hằng ngày nên có ít nhất tường lửa ứng dụng web và sao lưu ngoài máy chủ.
• Gói dọn mã độc tính tiền theo năm và cam kết thời gian phản hồi. Ví dụ Sucuri ghi 30 giờ ở gói rẻ nhất, 6 giờ ở gói cao nhất.
• Hợp đồng phải ghi rõ dữ liệu sao lưu nằm ở đâu, ai giữ, và tài khoản quản trị đứng tên ai.

Dịch vụ bảo mật website gồm những gì?

Gói này gồm bốn lớp việc.

Dịch vụ bảo mật website là tập hợp các việc kỹ thuật do bên ngoài làm thay chủ web, theo hợp đồng hoặc gói thuê bao. Bốn lớp thường gặp gồm: lọc truy cập xấu, quét và dọn mã độc, sao lưu và khôi phục, theo dõi và xử lý sự cố.

Tường lửa ứng dụng web là lớp lọc đứng trước máy chủ, chặn yêu cầu có dấu hiệu tấn công trước khi tới web. Sao lưu ngoài máy chủ là bản sao dữ liệu đặt ở nơi khác hẳn nơi đặt web. Bản này vẫn dùng được khi máy chủ hỏng hoặc bị chiếm quyền.

Một gói dịch vụ bảo mật website hiếm khi che đủ bốn lớp. Vì vậy cần đọc kỹ phạm vi trước khi so giá.

Cần dịch vụ bảo mật website khi nào?

Không phải web nào cũng cần thuê. Câu hỏi đầu tiên là ai đang lo máy chủ. Nếu nền tảng lo, phần còn lại của bạn chủ yếu là mật khẩu, xác thực 2 lớp và phân quyền nhân viên. Phần này tự làm được.

Nên thuê khi có ít nhất một trong các dấu hiệu sau:

• Web WordPress nhiều plugin và bán hằng ngày.
• Web từng bị hack mà chưa tìm ra lỗ hổng.
• Không ai theo được lịch sao lưu và khôi phục thử.
• Web lưu thông tin khách hàng và bạn cần chứng minh đã có biện pháp bảo vệ.

Các việc tự làm được trước khi thuê có trong bài bảo mật website.

So sánh 5 lựa chọn dịch vụ bảo mật website và sao lưu

Mỗi lựa chọn che một lớp khác nhau. Bảng dưới so sánh theo phạm vi, không xếp hạng nhà cung cấp.

Phân vai giữa nền tảng và chủ web đã có trong bài chủ đề. Ở đây cần nhớ: không dịch vụ bảo mật website nào thay được mật khẩu mạnh và xác thực 2 lớp.

Mỗi loại dịch vụ bảo mật website phù hợp với ai?

Chọn theo người đang giữ web, không chọn theo tên tuổi nhà cung cấp.

• Chủ shop tự quản lý web WordPress nhỏ. Tường lửa miễn phí cộng sao lưu tự động có bản ngoài máy chủ là điểm khởi đầu hợp lý.
• Shop có người làm web bán thời gian. Hosting có quản lý WordPress giúp giảm việc máy chủ. Người làm web lo cập nhật plugin.
• Shop không có ai kỹ thuật. Đơn vị bảo trì kèm bảo mật, có báo cáo tháng, là lựa chọn ít rủi ro nhất.
• Web vừa bị hack. Gói dọn mã độc có cam kết giờ phản hồi, dùng song song với việc tìm lỗ hổng gốc.
• Shop dùng Haravan, Sapo. Thường không cần thuê thêm, chỉ cần quản lý tài khoản nhân viên và ứng dụng.

Chi phí dịch vụ bảo mật website tham khảo

Giá dưới đây chép từ trang giá chính thức, đọc ngày 13/10/2026. Giá tính bằng USD và chưa gồm thuế tại Việt Nam.

Thời gian phản hồi của Sucuri là ước tính do nhà cung cấp ghi, có thể thay đổi theo độ phức tạp. Đơn vị bảo trì trong nước thường báo giá theo tháng hoặc theo lần xử lý. Không có bảng giá chung, nên lấy 2-3 báo giá và so theo phạm vi việc, không theo con số tổng.

Ví dụ giả định: cửa hàng trà dùng WordPress, bán hằng ngày. Phương án tiết kiệm gồm ba phần. Lớp ngoài dùng Cloudflare Free. Sao lưu tự động của hosting, cộng một bản tải về lưu trữ đám mây đứng tên cửa hàng. Một đơn vị bảo trì cập nhật plugin hằng tháng. Khi web bị hack, mới cân nhắc gói dọn mã độc trả theo năm.

Cách tách các khoản này trong ngân sách năm có ở bài chi phí bảo trì website.

8 tiêu chí chọn dịch vụ bảo mật website

Đặt 2-3 bên cạnh nhau và chấm theo checklist dưới đây.

• [ ] Phạm vi ghi bằng danh sách việc: lớp nào được che, việc nào không gồm.
• [ ] Thời gian phản hồi khi có sự cố ghi rõ bằng giờ, có trực ngoài giờ không.
• [ ] Dọn mã độc có giới hạn số lần, có tính thêm phí không.
• [ ] Sao lưu lưu ở đâu, giữ bao nhiêu bản, bao lâu khôi phục thử một lần.
• [ ] Có bản sao lưu nằm ngoài máy chủ web và ngoài tài khoản của bên cung cấp.
• [ ] Tài khoản quản trị, tên miền, hosting đứng tên doanh nghiệp.
• [ ] Có báo cáo tháng: đã cập nhật gì, phát hiện gì, đã chặn gì.
• [ ] Hợp đồng có điều khoản bảo mật dữ liệu khách hàng và bàn giao khi dừng.

Đừng bỏ qua tiêu chí thứ 5. Nếu bản sao lưu duy nhất nằm trong tài khoản của bên dịch vụ, đổi bên là mất lịch sử sao lưu.

Sao lưu website: quy tắc 3-2-1 khi thuê dịch vụ

Sao lưu là phần dễ bị hứa suông nhất.

Quy tắc 3-2-1 là cách giữ 3 bản dữ liệu, trên 2 thiết bị khác nhau, trong đó 1 bản ở nơi khác hẳn (Backblaze). Áp vào sao lưu website bán hàng: bản đang chạy trên hosting, bản sao lưu tự động của hosting. Bản thứ ba tải về lưu trữ đám mây đứng tên doanh nghiệp.

Khi thuê dịch vụ bảo mật website, hỏi ba câu về sao lưu website:

1. Sao lưu tự động bao lâu một lần, giữ bản của bao nhiêu ngày?
2. Bản ngoài máy chủ nằm ở tài khoản của ai?
3. Lần khôi phục thử gần nhất là khi nào, mất bao lâu?

Bên nào không trả lời được câu 3, nghĩa là sao lưu chưa từng được thử. Một bản sao lưu chưa khôi phục thử thì chưa thể coi là có.

Đọc hợp đồng dịch vụ bảo mật website

Hợp đồng là nơi giữ quyền của bạn khi có sự cố.

Bản sao lưu và nhật ký web thường chứa tên, số điện thoại, địa chỉ khách. Đây là dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15. Hợp đồng nên ghi bên dịch vụ được xử lý dữ liệu nào, cho mục đích gì, và phải báo ngay khi có sự cố.

Luật Bảo vệ quyền lợi người tiêu dùng 2023 cũng có quy định riêng về bảo vệ thông tin người tiêu dùng. Website bán hàng còn chịu quy định của Nghị định 248/2026/NĐ-CP về thương mại điện tử. Thuê ngoài không chuyển trách nhiệm của người bán sang bên dịch vụ.

Ba điều khoản nên có trong hợp đồng dịch vụ bảo mật website: phạm vi việc bằng danh sách, thời gian phản hồi tính bằng giờ. Cuối cùng là cách bàn giao tài khoản, sao lưu khi dừng hợp đồng.

5 bước thuê dịch vụ bảo mật website

Làm theo thứ tự để không trả tiền cho phần đã có sẵn.

1. Liệt kê những gì nền tảng, hosting đang lo sẵn: SSL, sao lưu, tường lửa.
2. Ghi lớp nào còn trống, đối chiếu với bảng so sánh 5 lựa chọn ở trên.
3. Xin 2-3 báo giá gói bảo mật cho đúng lớp còn trống, yêu cầu ghi phạm vi bằng danh sách việc.
4. Chấm từng báo giá theo 8 tiêu chí, ưu tiên bên trả lời được câu khôi phục thử.
5. Ký kỳ ngắn trước, nhận báo cáo tháng đầu rồi mới gia hạn dài.

Ví dụ minh họa: một web WordPress đã có SSL và sao lưu của hosting. Lớp còn trống là tường lửa và bản sao lưu ngoài máy chủ. Khi đó chỉ cần dịch vụ bảo mật website che hai lớp này, không cần gói bảo mật trọn bộ.

Ghi kết quả 5 bước vào một trang tính. Lần sau gia hạn, bạn chỉ cần mở lại để so dịch vụ bảo mật website cũ với báo giá mới.

Sai lầm khi chọn dịch vụ bảo mật website

Ba sai lầm hay gặp ở shop nhỏ:

1. Mua chứng chỉ SSL đắt tiền vì nghĩ đó là bảo mật web. SSL chỉ mã hóa đường truyền. Chứng chỉ miễn phí loại DV đủ cho web bán hàng, giải thích trong bài SSL là gì.
2. Cài cùng lúc nhiều plugin bảo mật, gây xung đột và làm web chậm. Tài liệu WordPress khuyên cài từ nguồn tin cậy và gỡ thứ không dùng.
3. Thuê dịch vụ nhưng vẫn dùng chung một tài khoản quản trị cho cả nhóm. Khi một người nghỉ việc, không ai biết mật khẩu đã đi đâu.

Nếu web đang báo "Không an toàn", xử lý lỗi đó trước khi thuê gì thêm. Cách sửa có trong bài lỗi không bảo mật trang web.

Gợi ý dịch vụ bảo mật website theo quy mô

Dù chọn mức nào, 10 việc bảo mật tối thiểu vẫn là nền. Web đã bị hack thì làm theo bài website bị hack trước, rồi mới chọn dịch vụ.

ZoneWeb: website bán hàng trên tên miền của bạn

ZoneTech làm website bán hàng trên Haravan, Sapo hoặc WordPress với gói 3 triệu, 6 triệu và 10 triệu đồng, giá chưa gồm VAT. Tài khoản và dữ liệu là của khách, có biên bản cho mọi bàn giao. Xem gói thiết kế website giá rẻ để biết phạm vi từng gói.

Cần người cùng đọc báo giá dịch vụ bảo mật website, gọi hoặc nhắn Zalo 0976.179.886 để nhận tư vấn làm website từ 3 triệu. Thông tin đơn vị có ở trang giới thiệu ZoneTech, các kênh khác có ở trang liên hệ.

Câu hỏi thường gặp

Web trên Haravan có cần mua thêm dịch vụ bảo mật website không?

Thường không cần phần máy chủ vì nền tảng đã lo. Việc nên làm là bật xác thực 2 lớp, phân quyền nhân viên và định kỳ xuất dữ liệu sản phẩm, khách, đơn.

Tường lửa miễn phí có đủ không?

Đủ cho lớp lọc truy cập xấu ở web nhỏ. Nó không dọn được mã độc đã nằm trong web và không thay sao lưu. Vì vậy vẫn cần cập nhật plugin và sao lưu ngoài máy chủ.

Dịch vụ sao lưu website nên giữ bao nhiêu bản?

Áp dụng quy tắc 3-2-1 như phần trên. Với web bán hằng ngày, nên giữ ít nhất bản của 7 ngày gần nhất. Như vậy mới quay lại được trước thời điểm bị nhiễm mã độc. Quan trọng là đã khôi phục thử thành công ít nhất một lần.

Dịch vụ bảo mật trả bằng USD có cần hóa đơn gì không?

Nhà cung cấp nước ngoài thường gửi hóa đơn điện tử bằng tiếng Anh. Hỏi kế toán cách hạch toán và nghĩa vụ thuế với dịch vụ mua từ nước ngoài trước khi thanh toán bằng thẻ công ty.

Thuê dịch vụ rồi thì có còn chịu trách nhiệm khi lộ dữ liệu khách không?

Doanh nghiệp vẫn là bên giữ dữ liệu khách, nên vẫn chịu trách nhiệm chính. Hợp đồng với bên dịch vụ cần ghi rõ phạm vi xử lý dữ liệu và nghĩa vụ báo ngay khi có sự cố.

Dịch vụ bảo mật website có cần ký hợp đồng dài hạn?

Không bắt buộc. Gói quốc tế thường trả theo tháng hoặc theo năm. Với đơn vị trong nước, nên ký kỳ ngắn trước để thử chất lượng báo cáo tháng.

Làm sao biết dịch vụ bảo mật website đang làm việc thật?

Yêu cầu báo cáo tháng ghi rõ đã cập nhật gì, chặn gì, sao lưu ngày nào. Mỗi quý, đề nghị khôi phục thử một bản sao lưu lên môi trường thử.

Đọc tiếp: lỗi không bảo mật trang web

Cập nhật lần cuối: 27/10/2026 · Biên soạn: Đỗ Hữu Thuận