Bảo mật website cơ bản cho người không rành kỹ thuật

Phần lớn khách hỏi mình về bảo mật website cơ bản chỉ sau khi đã có chuyện. Web bị chèn link cờ bạc, trang chủ hiện chữ lạ, hoặc tự dưng Google báo "trang này có thể gây hại". Lúc đó ai cũng cuống, mà cuống thì khó xử lý gọn. Mình viết bài này để bạn làm ngược lại: chặn từ đầu, khi mọi thứ còn yên. Bảo mật nghe có vẻ là chuyện của dân kỹ thuật, nhưng phần nền tảng thì một người chủ web bình thường hoàn toàn tự lo được, không cần biết một dòng mã nào.

Mình nói thẳng một điều cho dễ hình dung: kẻ tấn công web bây giờ phần lớn là máy, không phải người. Chúng dò hàng triệu web một lúc, gặp cái nào sơ hở thì vào. Web của bạn dù nhỏ, dù chỉ bán vài món hàng, vẫn lọt vào tầm quét đó như mọi web khác. Tin tốt là chính vì kẻ tấn công lười, nên bạn chỉ cần khoá những cửa dễ nhất là đã loại được gần hết rủi ro. Phòng bệnh ở đây rẻ và dễ hơn chữa bệnh rất nhiều.

Khoá kết nối bằng HTTPS và SSL

Việc đầu tiên, cũng dễ nhất, là đảm bảo web của bạn chạy trên HTTPS (kết nối có mã hoá giữa trình duyệt và web). Bạn nhận ra nó qua ổ khoá nhỏ trên thanh địa chỉ và phần https:// đứng đầu tên web. Cái khiến HTTPS hoạt động là chứng chỉ SSL (giấy chứng thực mã hoá cho tên miền), thường được cấp miễn phí và gắn sẵn khi làm web.

Vì sao quan trọng? Vì không có HTTPS thì mọi thứ khách gõ vào web — số điện thoại, mật khẩu, thông tin đặt hàng — đều truyền đi dưới dạng chữ trần, ai chen ngang giữa đường cũng đọc được. Ngoài ra trình duyệt giờ dán thẳng nhãn "Không bảo mật" lên web không có HTTPS, khách nhìn vào là mất tin ngay. Google cũng ưu tiên web có HTTPS hơn khi xếp hạng.

Phần lớn web làm trọn gói hiện nay đã bật sẵn SSL cho bạn, nên việc của bạn chỉ là kiểm tra. Mở web ra, nhìn lên thanh địa chỉ xem có ổ khoá và chữ https không. Nếu thấy báo "Không bảo mật" hoặc ổ khoá bị gạch, đó là dấu hiệu SSL chưa bật hoặc đã hết hạn — nhắn ngay cho bên làm web để họ xử lý, đây là việc của họ chứ không phải của bạn.

Mật khẩu mạnh và xác thực hai lớp

Đây là chỗ yếu nhất của gần như mọi web bị chiếm quyền mà mình từng gặp. Không phải hacker giỏi đột nhập, mà đơn giản là mật khẩu quá dễ đoán. Máy dò mật khẩu thử hàng nghìn kiểu mỗi giây, những cái như 123456, admin, tenshop2026 hay số điện thoại của bạn thì nó phá trong tích tắc.

Một mật khẩu tốt không cần phức tạp đến mức bạn không nhớ nổi. Cách mình hay khuyên là ghép ba bốn từ không liên quan lại với nhau cộng thêm con số, kiểu caosu-mua-thang-bay-2026. Dài, dễ nhớ với bạn nhưng máy dò thì mỏi. Quan trọng hơn cả độ phức tạp là đừng dùng chung một mật khẩu cho nhiều nơi — lỡ một chỗ lộ là sập cả dây.

Lớp khoá thứ hai mình rất muốn bạn bật là xác thực hai lớp (2FA — đăng nhập cần thêm một mã gửi về điện thoại). Khi bật, dù kẻ xấu có biết đúng mật khẩu của bạn, không có cái điện thoại trong tay bạn thì vẫn không vào được. Đây là một trong những thứ hiệu quả nhất so với công sức bỏ ra — bật một lần, yên tâm dài lâu. Phần lớn nền tảng web đều hỗ trợ, chỉ cần bật trong phần cài đặt tài khoản.

Cập nhật mã nguồn và tiện ích đều đặn

Mỗi nền tảng web và mỗi tiện ích (plugin — phần mở rộng thêm tính năng) đều có những lỗ hổng bị phát hiện theo thời gian. Khi nhà phát triển vá xong, họ tung ra bản cập nhật. Vấn đề là kẻ xấu cũng đọc được thông báo vá lỗi đó, và chúng đi tìm những web chưa kịp cập nhật để khai thác đúng lỗ hổng vừa công bố. Web để cũ lâu ngày giống cái khoá ai cũng biết cách mở.

Cho nên cập nhật không phải chuyện làm cho có, mà là việc bịt lỗ thật sự. Mình khuyên bạn dành ít phút mỗi tháng vào trang quản trị xem có gì cần cập nhật không, và cập nhật những bản vá lỗi bảo mật càng sớm càng tốt. Riêng các tiện ích, có cái nào bạn cài rồi không dùng nữa thì gỡ hẳn đi — tiện ích nằm im không dùng vẫn là một cửa hở, gỡ bớt là bớt rủi ro.

Có một lưu ý mình luôn nhắc: sao lưu trước khi cập nhật bản lớn. Đôi khi bản mới không ăn khớp hoàn toàn với phần khác của web, làm một mục chạy sai. Có bản dự phòng trong tay thì lỡ trục trặc cũng quay lui được trong vài phút. Chuyện sao lưu này mình nói kỹ hơn ở bài cách sao lưu website đúng cách, bạn nên đọc để làm cho chắc.

Hạn chế tài khoản quản trị và phân quyền

Một sai lầm rất phổ biến là cả nhà, cả nhân viên dùng chung một tài khoản chủ để vào web. Mỗi người biết mật khẩu quản trị là thêm một điểm rò rỉ, và khi có chuyện bạn cũng chẳng biết ai đã làm gì. Nguyên tắc gọn là: mỗi người một tài khoản, và mỗi tài khoản chỉ có đúng quyền cần thiết cho việc của họ.

Nếu bạn thuê người viết bài, hãy tạo cho họ một tài khoản với quyền chỉ đủ đăng bài, không phải tài khoản chủ có thể đụng tới mọi thứ. Lỡ tài khoản đó bị lộ thì thiệt hại cũng giới hạn trong phần đăng bài, chứ kẻ xấu không xoá được cả web hay đổi được thông tin thanh toán. Bớt quyền không phải vì nghi ngờ ai, mà là giảm bề mặt rủi ro một cách tự nhiên.

Thêm vài thói quen nhỏ mà hiệu quả: tài khoản chủ nên đặt tên đăng nhập khác admin cho khó đoán, ai nghỉ việc thì xoá tài khoản của họ ngay, và đừng đăng nhập quản trị từ máy tính công cộng hay wifi lạ. Chuyện phân quyền và quản trị an toàn này gắn liền với việc vận hành web hằng ngày, mình có nói thêm trong bài cách quản trị website sau bàn giao nếu bạn muốn tìm hiểu trọn vẹn.

Sao lưu định kỳ để luôn có đường lui

Mình xếp sao lưu (backup — lưu lại bản dự phòng toàn bộ web) vào nhóm bảo mật, dù nghe có vẻ không liên quan. Lý do đơn giản: phòng thủ nào cũng có lúc thủng, và khi điều tệ nhất xảy ra — web bị mã hoá tống tiền, bị xoá sạch, bị chèn mã độc khắp nơi — thì thứ cứu bạn không phải là tường lửa, mà là một bản sao lưu sạch gần nhất. Có nó, bạn khôi phục lại trạng thái lành trong ít phút. Không có nó, bạn làm lại từ đầu.

Cách làm có hai hướng và mình khuyên dùng cả hai. Một là tự động: nhiều hosting có sẵn tính năng sao lưu định kỳ, bạn bật lên rồi thỉnh thoảng kiểm tra nó còn chạy. Hai là thủ công: tự bấm tạo một bản trước mỗi lần làm việc lớn. Điều quan trọng ít người để ý là giữ bản sao lưu ở nơi khác với web — nếu chính hosting gặp sự cố hay bị tấn công, bản sao lưu nằm cùng chỗ cũng mất theo.

Tường lửa và lớp chặn bot phía trước

Trên cùng các lớp bên trong, bạn nên dựng thêm một lớp lọc ngay trước cửa web — đây là vai trò của tường lửa ứng dụng web (WAF — bộ lọc chặn truy cập độc hại trước khi chúng chạm tới web) và dịch vụ chống bot. Hình dung nó như anh bảo vệ đứng cổng: chặn bớt đám đông đáng ngờ trước khi chúng kịp gõ cửa.

Cách dễ và phổ biến nhất cho người không chuyên là dùng một dịch vụ trung gian như Cloudflare. Bạn trỏ tên miền qua nó, và nó tự lọc lưu lượng độc hại, chặn các đợt dò mật khẩu dồn dập, đỡ cho web khi có lượng truy cập bất thường. Bản miễn phí của các dịch vụ kiểu này đã đủ tốt cho phần lớn web nhỏ và vừa. Việc cài đặt có dính tới chuyện trỏ tên miền, nên nếu bạn chưa quen thì cứ nhờ bên làm web làm giúp một lần.

Nếu muốn tự hiểu phần trỏ tên miền để chủ động hơn, mình có hướng dẫn riêng ở bài trỏ tên miền về hosting. Còn nếu thấy phức tạp quá thì không sao — đây đúng là loại việc nên để người có chuyên môn lo, làm một lần rồi chạy mãi.

Dấu hiệu web bị hack và cách xử lý

Càng phát hiện sớm thì xử lý càng nhẹ. Có vài dấu hiệu mà bạn nên để ý: web tự dưng chậm hẳn hoặc đổ vỡ giao diện, xuất hiện những trang lạ hay chữ quảng cáo cờ bạc, thuốc mà bạn không hề tạo, khách báo bị chuyển hướng sang web khác khi bấm vào link của bạn, hoặc Google gắn cảnh báo "trang này có thể gây hại" ngay trong kết quả tìm kiếm. Một dấu hiệu kín hơn là bạn nhận email báo có lần đăng nhập lạ từ địa điểm bạn chưa từng ở.

Nếu nghi web bị hack, điều quan trọng nhất là đừng hoảng và đừng xoá lung tung. Việc đầu tiên nên làm là đổi ngay toàn bộ mật khẩu liên quan: tài khoản quản trị, hosting, email. Sau đó liên hệ ngay bên làm web hoặc người có chuyên môn — họ sẽ dò xem mã độc nằm ở đâu, bóc nó ra, vá lỗ hổng đã bị lợi dụng, rồi khôi phục từ bản sao lưu sạch nếu cần. Đây không phải việc nên tự mò, vì bóc sót một mẩu mã độc là nó mọc lại.

Đây cũng là lúc bạn thấy rõ giá trị của những việc nhỏ làm từ trước. Có bản sao lưu sạch thì khôi phục nhanh gọn. Đã bật phân quyền thì thiệt hại bị giới hạn. Có tường lửa thì nhiều khả năng đã chặn từ đầu. Tất cả những việc đời thường ở các phần trên, đến lúc này gộp lại thành tấm lưới đỡ cho bạn.

Bảo mật nhẹ nhàng hơn khi có người đứng sau

Đọc tới đây bạn sẽ thấy bảo mật cơ bản không có gì quá đáng sợ. Bật HTTPS, đặt mật khẩu mạnh, bật xác thực hai lớp, cập nhật đều, phân quyền gọn, sao lưu định kỳ và đặt một lớp chặn bot — chừng đó thôi đã loại được tuyệt đại đa số rủi ro mà một web nhỏ và vừa gặp phải. Phần khó còn lại chủ yếu là khâu kỹ thuật như cài tường lửa hay xử lý khi có sự cố, mà những việc đó nếu có đơn vị đứng sau thì bạn gần như không phải gánh.

Bên mình — Thiết Kế Web Giá Rẻ — làm web trọn gói từ 1.990.000đ gói Cơ bản, 3.990.000đ gói Pro, từ 7.990.000đ gói VIP. Mọi gói tặng tên miền, hosting và chứng chỉ bảo mật SSL năm đầu, bàn giao trong 3 đến 7 ngày, và mình hướng dẫn bạn cách đặt mật khẩu, bật sao lưu, giữ web an toàn ngay tại buổi bàn giao. Mời xem bảng giá trọn gói, còn muốn tư vấn riêng thì cứ nhắn qua trang liên hệ hoặc Zalo 0777 716 863. Web an toàn bắt đầu từ vài thói quen nhỏ làm sớm, và mình ở đây để lo phần khó giúp bạn.