Bảo mật website cho doanh nghiệp nhỏ: 10 việc tối thiểu nên làm

Phần lớn sự cố bảo mật ở website doanh nghiệp nhỏ không đến từ tấn công tinh vi, mà từ những lỗ hổng cơ bản: phần mềm lâu không cập nhật, mật khẩu yếu, tài khoản quản trị dùng chung. Mười việc dưới đây giảm đáng kể rủi ro mà không đòi hỏi đội ngũ kỹ thuật lớn.

1. Chạy toàn bộ website bằng HTTPS

Cài chứng chỉ SSL, chuyển hướng mọi trang từ http sang https. Chứng chỉ miễn phí như Let's Encrypt có thời hạn ngắn, nên cần cấu hình tự động gia hạn và kiểm tra định kỳ.

2. Cập nhật phần mềm thường xuyên

Mã nguồn nền tảng, theme, plugin, thư viện và cả phiên bản PHP/máy chủ. Gỡ bỏ plugin không dùng. Trước khi cập nhật lớn, sao lưu và thử trên bản sao (staging) nếu có.

3. Mật khẩu mạnh và xác thực hai lớp

Mỗi người một tài khoản, mật khẩu dài và không dùng lại ở nơi khác; dùng trình quản lý mật khẩu. Bật xác thực hai lớp cho trang quản trị website, hosting, tên miền và email.

4. Phân quyền tối thiểu

Nhân viên viết bài chỉ cần quyền biên tập, không cần quyền quản trị toàn bộ. Thu hồi tài khoản ngay khi nhân sự nghỉ việc hoặc đơn vị đối tác kết thúc hợp đồng.

5. Sao lưu theo nguyên tắc 3-2-1

Giữ 3 bản sao dữ liệu, trên 2 loại lưu trữ khác nhau, 1 bản ở ngoài máy chủ website. Sao lưu cả mã nguồn, cơ sở dữ liệu và file tải lên. Quan trọng nhất: thử khôi phục định kỳ — bản sao lưu chưa từng khôi phục thử thì chưa chắc dùng được.

6. Bảo vệ biểu mẫu và trang đăng nhập

• Giới hạn số lần đăng nhập sai, dùng captcha hoặc bộ lọc chống bot cho biểu mẫu công khai.
• Kiểm tra và làm sạch mọi dữ liệu người dùng nhập vào.
• Không yêu cầu khách gửi mật khẩu, số thẻ hay thông tin nhạy cảm qua form liên hệ.

7. Tách môi trường và giới hạn truy cập máy chủ

Dùng SSH key thay cho mật khẩu, tắt đăng nhập root trực tiếp, chỉ mở những cổng cần thiết. Không để file sao lưu, file cấu hình hoặc thư mục .git truy cập được từ web.

8. Giám sát

• Theo dõi website có hoạt động không (uptime) và nhận cảnh báo khi ngừng.
• Theo dõi thay đổi file bất thường, nhật ký lỗi và đăng nhập quản trị.
• Đăng ký nhận thông báo bảo mật từ Google Search Console — Google báo khi phát hiện website bị chèn mã độc.

9. Bảo vệ dữ liệu khách hàng

Chỉ thu thập thông tin thật sự cần, ghi rõ mục đích trong chính sách bảo mật, giới hạn người được xem dữ liệu khách hàng. Tuân thủ quy định về bảo vệ dữ liệu cá nhân hiện hành.

10. Có kế hoạch khi sự cố xảy ra

Chuẩn bị sẵn một trang ghi: ai liên hệ nhà cung cấp hosting, cách đưa website về chế độ bảo trì, nơi lấy bản sao lưu gần nhất, cách đổi toàn bộ mật khẩu, cách thông báo cho khách nếu dữ liệu bị ảnh hưởng. Khi sự cố xảy ra, bình tĩnh làm theo danh sách sẽ nhanh hơn nhiều.

Checklist hằng tháng

• [Cập nhật] nền tảng, plugin, theme.
• [Sao lưu] kiểm tra bản sao lưu mới nhất và thử khôi phục mỗi quý.
• [Tài khoản] rà danh sách người có quyền quản trị.
• [SSL] kiểm tra ngày hết hạn chứng chỉ.

Nếu website của bạn từng bị tấn công hoặc có dấu hiệu lạ (chuyển hướng sang trang khác, xuất hiện nội dung không rõ nguồn gốc), hãy đăng câu hỏi trong chuyên mục này. Không đăng mật khẩu hoặc thông tin truy cập trong bài viết.