Chi phí bảo mật website gồm những khoản nào? Cách đọc báo giá

Hỏi “bảo mật website giá bao nhiêu” thường nhận về những con số chênh nhau vài chục lần, vì mỗi bên gọi một nhóm việc khác nhau là “bảo mật”. Muốn so được báo giá, trước hết cần tách chi phí ra từng khoản.

“Dịch vụ bảo mật website” thực ra gồm những gì?

Thị trường dùng chung một cái tên cho ít nhất bốn loại việc rất khác nhau. Khi nhận báo giá, hỏi ngay bên kia đang bán loại nào:

Hai báo giá “bảo mật website” một bên vài trăm nghìn mỗi tháng, một bên vài chục triệu một lần có thể đều hợp lý, vì chúng không phải cùng một việc.

Năm khoản chi phí và mức thường gặp

1. Nền tảng: phần lớn miễn phí

Chứng chỉ SSL DV của Let’s Encrypt miễn phí và được đa số hosting tích hợp sẵn. Gói miễn phí của Cloudflare có chống tấn công từ chối dịch vụ ở mức mạng và một số quy tắc tường lửa. Các plugin bảo mật WordPress phổ biến đều có bản miễn phí với giới hạn đăng nhập, 2FA và tường lửa cơ bản. Ai báo giá riêng cho “cài SSL” trên hosting đã hỗ trợ sẵn thì nên hỏi lại họ làm thêm việc gì.

2. Công cụ trả phí: tùy nhu cầu

Bản trả phí của plugin bảo mật, tường lửa trên đám mây, dịch vụ lưu sao lưu ngoài hosting thường tính theo năm hoặc theo tháng, bằng USD. Giá thay đổi theo thời điểm nên xem trên trang giá chính thức của từng công cụ. Câu hỏi đúng không phải “có nên mua không” mà là “bản miễn phí thiếu đúng thứ gì mình cần”: thường là quy tắc tường lửa cập nhật sớm hơn, quét theo lịch, hỗ trợ dọn mã độc.

3. Nhân công định kỳ: khoản lớn nhất, đáng tiền nhất

Phần lớn vụ hack website doanh nghiệp nhỏ đến từ plugin chưa cập nhật và tài khoản bỏ quên, tức là thiếu người làm đều việc, chứ không thiếu công cụ. Tại Marketing SEO Top, phần này nằm trong gói bảo trì WordPress: Basic 900.000đ/tháng (sao lưu 2 lần/tháng), Pro 1.800.000đ/tháng (sao lưu hằng tuần, kiểm tra bảo mật nền tảng), Business 3.000.000đ/tháng (thêm sao lưu trước cập nhật lớn, ưu tiên xử lý sự cố).

4. Xử lý sự cố: trả khi đã muộn

Gỡ mã độc được báo giá sau khi kiểm tra mức nhiễm. Mức tham khảo tại Marketing SEO Top là 1.500.000đ cho trường hợp nhiễm nhẹ và 3.000.000đ khi có cửa hậu, trang spam đã bị lập chỉ mục hoặc Google đang cảnh báo; hệ thống nhiều website báo giá riêng (chi tiết ở trang xử lý mã độc WordPress). Chi phí thật của sự cố còn gồm những khoản không nằm trên hóa đơn: những ngày website bị cảnh báo, đơn hàng mất, thời gian lấy lại thứ hạng.

5. Kiểm thử chuyên sâu: chỉ khi đúng loại hệ thống

Pentest có ý nghĩa với hệ thống có chức năng riêng: cổng khách hàng, đặt lịch có thanh toán, ứng dụng kết nối API. Giá phụ thuộc phạm vi và số ngày công của chuyên gia, nên chỉ so sánh được khi các bên báo trên cùng một danh sách chức năng. Website giới thiệu 5–7 trang dùng theme và plugin phổ biến thường không cần pentest; tiền nên dành cho bảo trì đều.

Chi phí theo loại website

Chi phí khi không chi cho bảo mật

Phép so sánh hay bị bỏ qua là giữa phí phòng ngừa và cái giá của một sự cố. Ngoài phí làm sạch, một vụ hack thường kéo theo:

• Thời gian bị cảnh báo trên Google và trình duyệt. Google tự quyết định thời gian xem xét lại sau khi website đã sạch; trong lúc đó khách thấy cảnh báo và rời đi.
• Thứ hạng giảm do trang spam bị lập chỉ mục hoặc trang thật bị chèn nội dung lạ, cần thời gian để phục hồi.
• Email công ty vào hộp thư rác khi máy chủ hoặc tên miền bị dùng để gửi thư rác.
• Nghĩa vụ pháp lý nếu dữ liệu khách hàng bị lộ: từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân yêu cầu thông báo cho cơ quan chuyên trách trong 72 giờ kể từ khi phát hiện vi phạm.
• Chi phí dựng lại nội dung, đơn hàng khi không có bản sao lưu dùng được; khoản này không gói nào bao trọn được.
• Thời gian của chủ doanh nghiệp trả lời khách, làm việc với hosting, đối tác trong những ngày xử lý.

Những khoản này không cố định nên không quy được thành một con số, nhưng với website đang mang về khách hàng, chúng thường lớn hơn nhiều so với phí bảo trì một năm.

Đọc báo giá bảo mật: 7 câu nên hỏi

• Sao lưu bao lâu một lần, lưu ở đâu, giữ bao nhiêu bản, đã khôi phục thử chưa?
• Cập nhật plugin theo cách nào: bấm cập nhật tất cả hay có kiểm tra sau từng nhóm?
• Nếu website bị hack trong thời gian dùng dịch vụ, việc làm sạch tính trong gói hay tính riêng?
• Thời gian phản hồi khi có sự cố là bao lâu, trong giờ làm việc hay cả ngoài giờ?
• Có báo cáo hằng tháng ghi rõ đã làm gì không?
• Tài khoản quản trị, hosting có còn do doanh nghiệp đứng tên và giữ mật khẩu không?
• Khi ngừng dịch vụ, bàn giao lại những gì?

Dấu hiệu báo giá cần cẩn trọng

• “Cam kết không bao giờ bị hack” hoặc “an toàn tuyệt đối”. Không bên nào kiểm soát được lỗ hổng chưa công bố của plugin.
• Chỉ bán phần mềm, không có người làm. Công cụ không tự gỡ plugin bỏ hoang hay xóa tài khoản nhân viên cũ.
• Yêu cầu chuyển tên miền, hosting sang tên bên cung cấp để “dễ quản lý bảo mật”. Bạn có thể cấp quyền truy cập mà vẫn giữ quyền sở hữu.
• Không nói gì về sao lưu. Bảo mật không có sao lưu khôi phục được là thiếu lớp cuối cùng.

Nếu đang phân vân nên tự làm phần nào và thuê phần nào, xem bài nên tự bảo mật website hay thuê dịch vụ. Danh sách việc phòng ngừa tự làm được có trong bài cách bảo mật website tránh bị hack.

Câu hỏi thường gặp