Thiết Kế Website
Plugin là gì? Cách plugin WordPress hoạt động và cách chọn an toàn
Hầu hết sự cố trên website WordPress mà chủ doanh nghiệp gặp, từ trắng trang, chậm, đến bị chèn mã lạ, đều có một plugin liên quan. Hiểu plugin hoạt động thế nào giúp bạn chọn ít hơn và chọn đúng hơn.
Plugin là gói mã cài thêm vào WordPress để bổ sung chức năng (form, SEO, cache, bán hàng) mà không sửa mã lõi. Plugin chạy với toàn quyền như chính WordPress, nên mỗi plugin vừa là một tính năng vừa là một điểm có thể lỗi hoặc bị tấn công. Số lượng ít quan trọng hơn chất lượng và việc cập nhật.
Plugin là gì trong WordPress?
WordPress gồm ba phần: lõi (core) do cộng đồng WordPress phát triển, giao diện (theme) quyết định hình thức, và plugin thêm chức năng. Tài liệu chính thức cho lập trình viên trên developer.wordpress.org nêu nguyên tắc: không sửa mã lõi, vì mọi bản cập nhật WordPress sẽ ghi đè các file lõi. Muốn thêm chức năng thì viết thành plugin.
Một plugin đơn giản nhất chỉ là một file PHP có phần mô tả ở đầu file. Plugin phức tạp như WooCommerce gồm hàng nghìn file, tạo bảng dữ liệu riêng và thêm cả một khu quản trị.
Plugin hoạt động như thế nào?
WordPress để sẵn hàng trăm “điểm móc” (hook) trong quá trình tạo một trang: lúc khởi động, lúc lưu bài, lúc in tiêu đề, lúc gửi email. Plugin đăng ký hàm của mình vào các điểm này:
- Action: chạy thêm một việc tại thời điểm nhất định, ví dụ gửi thông báo khi có đơn hàng mới.
- Filter: sửa dữ liệu trước khi hiển thị hoặc lưu, ví dụ plugin SEO sửa thẻ tiêu đề trang.
Hệ quả mà chủ website nên biết:
- Plugin chạy trên mọi lượt tải trang trừ khi được viết để chỉ chạy ở nơi cần. Một plugin slider có thể tải CSS, JavaScript cả ở trang không có slider.
- Plugin có toàn quyền: đọc, ghi cơ sở dữ liệu, tạo tài khoản, gửi dữ liệu ra ngoài. Không có cơ chế “cấp quyền” như ứng dụng điện thoại.
- Hai plugin cùng móc vào một chỗ có thể xung đột, ví dụ hai plugin cache, hai plugin SEO cùng in thẻ meta.
- Tắt plugin không xóa dữ liệu nó đã tạo; xóa plugin cũng chưa chắc dọn sạch bảng và tùy chọn trong cơ sở dữ liệu.
Plugin, theme và đoạn mã khác nhau ở đâu?
| Thành phần | Dùng cho | Khi đổi sang cái khác |
|---|---|---|
| Theme | Hình thức: bố cục, màu, font, mẫu trang | Chức năng nằm trong theme sẽ mất theo theme |
| Plugin | Chức năng cần giữ lại dù đổi giao diện: form, SEO, bán hàng, sao lưu | Vẫn hoạt động với theme mới |
| Đoạn mã trong child theme | Chỉnh nhỏ, gắn với giao diện hiện tại | Mất khi bỏ child theme; không cập nhật tự động |
Một quy tắc hay dùng khi làm website: chức năng mà bạn vẫn cần sau khi đổi giao diện thì để ở plugin, đừng nhét vào theme.
Plugin lấy từ đâu và rủi ro của từng nguồn
- Thư viện WordPress.org: miễn phí, mã nguồn công khai, có thông tin cập nhật, số lượt cài, diễn đàn hỗ trợ. Plugin có lỗ hổng không được vá có thể bị đóng tạm khỏi thư viện.
- Plugin trả phí từ nhà phát triển: cập nhật qua giấy phép. Hết hạn giấy phép thì vẫn chạy nhưng không nhận bản vá bảo mật.
- Plugin “crack”, “null”, chia sẻ giấy phép: nguồn chèn mã độc hay gặp nhất. Không có bản cập nhật chính thức, và đã có nhiều trường hợp bản crack chứa sẵn cửa hậu.
Cách chọn plugin an toàn: 7 điểm kiểm tra trước khi cài
- Cập nhật gần nhất: trên trang plugin ở WordPress.org, mục “Last updated”. Lâu không cập nhật là dấu hiệu bị bỏ rơi.
- Tương thích: mục “Tested up to” gần với phiên bản WordPress bạn đang dùng, và yêu cầu PHP khớp với hosting.
- Số lượt cài đang hoạt động: không quyết định chất lượng, nhưng plugin ít người dùng thì lỗi phát hiện chậm hơn.
- Diễn đàn hỗ trợ: tỷ lệ chủ đề được trả lời, có báo lỗi nghiêm trọng chưa xử lý không.
- Thông báo đóng: trang plugin hiện thông báo plugin đã bị đóng thì không cài, nếu đang dùng thì tìm cách thay.
- Lịch sử lỗ hổng: tra tên plugin trên các cơ sở dữ liệu lỗ hổng WordPress như Patchstack hoặc Wordfence Intelligence; điều quan trọng là lỗ hổng cũ có được vá nhanh không.
- Có cần thật không: nhiều chức năng (nút gọi điện, mã theo dõi, chuyển hướng) có sẵn trong theme hoặc plugin đang dùng.
Thử plugin mới trên bản sao (staging) trước, hoặc ít nhất sao lưu trước khi cài trên website đang bán hàng. Sau khi cài, mở vài trang quan trọng, gửi thử form, thêm thử sản phẩm vào giỏ, và đo lại tốc độ trang chủ để biết plugin có làm chậm website không. Ghi tên plugin, ngày cài và lý do cài vào sổ theo dõi website; sau vài tháng, đó là căn cứ để quyết định giữ hay gỡ.
Website cài quá nhiều plugin có sao không?
Không có con số giới hạn. Website 30 plugin nhẹ, được cập nhật đều có thể nhanh và an toàn hơn website 8 plugin nặng, bỏ lâu không cập nhật. Thứ cần đếm không phải số plugin mà là:
- Bề mặt tấn công: báo cáo State of WordPress Security in 2026 của Patchstack ghi nhận 11.334 lỗ hổng mới trong hệ sinh thái WordPress năm 2025; 91% nằm ở plugin, 9% ở theme, lõi WordPress chỉ có 6 lỗ hổng mức thấp. Báo cáo cũng cho biết 46% lỗ hổng chưa được vá kịp lúc công bố. Mỗi plugin thêm vào là thêm một phần phải theo dõi.
- Tài nguyên tải trên trang: plugin tải CSS, JavaScript ở mọi trang làm chậm và ảnh hưởng chỉ số INP. Cách đo và xử lý có trong trang tối ưu tốc độ website.
- Truy vấn cơ sở dữ liệu: plugin thống kê, plugin tìm kiếm, plugin ghi nhật ký có thể làm phình cơ sở dữ liệu.
- Chồng chéo chức năng: hai plugin bảo mật, hai plugin cache, plugin SEO cùng với theme có sẵn SEO.
Mỗi quý, mở danh sách plugin và hỏi từng cái: còn dùng không, còn được cập nhật không, có cái nào làm trùng việc không. Plugin đã tắt mà không dùng nữa thì xóa, vì file của nó vẫn nằm trên máy chủ.
Cập nhật plugin: tự động hay thủ công?
Từ WordPress 5.5, bạn bật được cập nhật tự động cho từng plugin. Cách cân bằng thường dùng:
- Bật tự động cho plugin nhỏ, ít ảnh hưởng giao diện và có lịch sử cập nhật ổn định.
- Cập nhật thủ công, có sao lưu và kiểm tra sau đó cho plugin lớn: WooCommerce, trình dựng trang, plugin thanh toán, plugin đa ngôn ngữ.
- Với bản vá bảo mật được công bố là đang bị khai thác, cập nhật ngay, không chờ lịch định kỳ.
Quy trình cập nhật an toàn từng bước có trong bài cập nhật WordPress an toàn. Nếu muốn có người làm việc này định kỳ, gói bảo trì WordPress bao gồm cập nhật plugin có kiểm soát và sao lưu.
Cần những plugin nào?
Website doanh nghiệp thường cần một số nhóm: SEO, cache, sao lưu, bảo mật đăng nhập, form liên hệ. Danh sách cụ thể kèm cách chọn trong từng nhóm có trong bài các plugin WordPress cần thiết. Bài này không lặp lại danh sách đó; điều quan trọng là áp dụng 7 điểm kiểm tra ở trên cho bất kỳ plugin nào bạn định cài.
Nếu website đã bị chèn mã lạ, chuyển hướng sang trang khác hoặc xuất hiện tài khoản quản trị lạ, nguyên nhân thường là một plugin có lỗ hổng chưa vá; xem xử lý mã độc WordPress.
Câu hỏi thường gặp
Plugin miễn phí có an toàn không?
Có thể an toàn, nếu lấy từ thư viện WordPress.org hoặc trang chính thức của nhà phát triển và được cập nhật đều. Miễn phí hay trả phí không quyết định độ an toàn; việc plugin còn được bảo trì mới quyết định. Plugin trả phí bản crack thì không nên dùng.
Tắt plugin và xóa plugin khác nhau thế nào?
Tắt (Deactivate) dừng plugin chạy nhưng file vẫn nằm trên máy chủ và dữ liệu cài đặt vẫn còn. Xóa (Delete) gỡ file plugin; một số plugin dọn cả dữ liệu, số khác để lại bảng trong cơ sở dữ liệu. Plugin không dùng nữa nên xóa hẳn.
Cài plugin xong website bị trắng trang thì làm sao?
Vào File Manager hoặc FTP, đổi tên thư mục của plugin vừa cài trong wp-content/plugins để WordPress tự tắt nó. Sau đó vào lại trang quản trị, kiểm tra yêu cầu PHP của plugin hoặc tìm plugin thay thế.
Có nên dùng plugin để làm mọi thứ thay vì nhờ lập trình?
Không phải mọi thứ. Plugin hợp với chức năng phổ biến có nhiều người dùng và được bảo trì. Chức năng đặc thù của doanh nghiệp, hoặc chỉ vài dòng mã, thường gọn và ít rủi ro hơn khi viết riêng trong một plugin nhỏ của website.
Plugin bị đóng trên WordPress.org nghĩa là gì?
Nghĩa là plugin tạm thời hoặc vĩnh viễn không còn tải về được từ thư viện, thường do lỗ hổng bảo mật chưa vá, vi phạm hướng dẫn hoặc tác giả ngừng phát triển. Nếu đang dùng, hãy theo dõi lý do đóng và chuẩn bị thay plugin khác.
Cần người làm giúp phần này?
Mô tả ngắn nhu cầu hoặc gửi link website. Chúng tôi phản hồi bằng đánh giá cụ thể trước khi báo giá.
