Thiết Kế Website
Website giá rẻ có bảo mật không? Rủi ro thật và 9 bước tự kiểm tra
Giá thiết kế không quyết định website có an toàn hay không. Thứ quyết định là website được dựng từ đâu, chạy ở đâu và sau khi bàn giao có ai cập nhật hay không.
Website giá rẻ có thể an toàn ngang website đắt tiền nếu theme và plugin có nguồn gốc rõ ràng, hosting tách biệt từng website, có sao lưu tự động lưu ngoài máy chủ và có người cập nhật định kỳ. Rủi ro thật nằm ở những thứ gói rẻ hay cắt bớt: theme bẻ khóa, hosting dùng chung tài khoản, không ai theo dõi cập nhật sau bàn giao.
Website bị tấn công vì đâu, có phải vì rẻ?
Phần lớn website WordPress bị xâm nhập không phải do ai đó nhắm riêng vào doanh nghiệp bạn. Chúng bị các công cụ quét tự động tìm thấy vì đang chạy một plugin hoặc theme có lỗ hổng đã công bố mà chưa được vá. Báo cáo tình hình bảo mật WordPress năm 2026 của Patchstack ghi nhận 11.334 lỗ hổng mới trong năm 2025, 91% nằm ở plugin, 9% ở theme, chỉ 6 lỗ hổng ở lõi WordPress.
Điều đó có nghĩa: website 1 triệu hay 30 triệu đều bị quét như nhau. Khác biệt nằm ở việc lỗ hổng được vá kịp hay không và khi có sự cố thì có bản sao lưu sạch để khôi phục hay không.
Gói giá rẻ thường cắt bớt những gì liên quan đến bảo mật?
| Phần bị cắt | Cách cắt thường gặp | Hậu quả về bảo mật |
|---|---|---|
| Giấy phép theme, plugin | Dùng bản trả phí bị bẻ khóa (“nulled”) | Có thể chứa sẵn mã độc, cửa hậu; không nhận được bản vá |
| Hosting | Nhiều website khách đặt chung một tài khoản hosting của bên làm web | Một website bị nhiễm có thể lây sang các website khác cùng tài khoản |
| Phiên bản PHP, máy chủ | Dùng gói cũ, phiên bản PHP đã hết hỗ trợ | Không còn bản vá bảo mật cho chính ngôn ngữ chạy website |
| Sao lưu | Chỉ dựa vào sao lưu của hosting hoặc không có | Sự cố xảy ra thì không có bản sạch để quay lại |
| Tài khoản | Một tài khoản quản trị dùng chung, mật khẩu đơn giản | Dễ bị dò mật khẩu; không biết ai đã làm gì |
| Cập nhật sau bàn giao | Không có, hoặc chỉ “hỗ trợ khi cần” | Lỗ hổng được công bố nhưng website vẫn chạy bản cũ nhiều tháng |
Không phải gói rẻ nào cũng cắt hết các dòng trên. Bảng này dùng để hỏi lại từng điểm trước khi ký, hoặc để kiểm tra website bạn đã có.
Tự kiểm tra website của bạn trong 15 phút
Các bước dưới đây làm được trong trang quản trị WordPress, không cần biết lập trình. Nếu bạn không đăng nhập được với quyền quản trị cao nhất, đó đã là vấn đề đầu tiên cần giải quyết.
Kiểm tra quyền và danh sách người dùng. Vào mục Người dùng: tài khoản của bạn phải có vai trò Administrator. Xem có tài khoản quản trị nào lạ, không rõ của ai không.
Xem mục Cập nhật. Vào Bảng tin, mục Cập nhật: WordPress, plugin, theme có đang chờ cập nhật nhiều không. Hàng chục bản cập nhật tồn đọng cho thấy website không được chăm sóc.
Mở Công cụ, Tình trạng website (Site Health). Mục này báo phiên bản PHP, các khuyến nghị bảo mật và vấn đề nghiêm trọng mà WordPress tự phát hiện.
Đối chiếu danh sách plugin. Plugin nào không còn dùng thì tắt và xóa. Với plugin miễn phí, tìm tên trên thư viện WordPress.org: nếu trang plugin báo đã bị đóng hoặc lâu không cập nhật, cần thay thế.
Hỏi nguồn gốc theme và plugin trả phí. Theme, plugin trả phí phải có giấy phép, biết đứng tên ai, cập nhật được từ trang quản trị hoặc tài khoản nhà phát triển.
Xác định bản sao lưu nằm ở đâu. Có bản sao lưu tự động không, lưu ở máy chủ khác hay cùng hosting, giữ được bao nhiêu ngày, ai biết cách khôi phục.
Kiểm tra trang đăng nhập. Có giới hạn số lần đăng nhập sai hoặc xác thực hai bước cho tài khoản quản trị không.
Mở báo cáo Vấn đề bảo mật trong Google Search Console. Nếu Google đã phát hiện mã độc hoặc nội dung bị chèn, báo cáo này sẽ ghi rõ.
Xem chứng chỉ https. Bấm biểu tượng bên trái thanh địa chỉ để xem chứng chỉ còn hạn và website có tự chuyển từ http sang https. Chi tiết ở bài chứng chỉ SSL là gì.
Dấu hiệu website giá rẻ đã bị xâm nhập
- Tìm tên website trên Google thấy các trang lạ bằng tiếng Nhật, tiếng Anh về thuốc, cờ bạc, hàng hiệu.
- Khách vào từ Google bị chuyển sang trang khác, trong khi bạn gõ địa chỉ trực tiếp thì vẫn bình thường.
- Xuất hiện tài khoản quản trị lạ, plugin lạ, hoặc tệp tin lạ trong thư mục website.
- Hosting báo vượt tài nguyên hoặc gửi thư hàng loạt dù lượng khách không đổi.
- Trình duyệt hiện cảnh báo trang nguy hiểm khi mở website.
Khi thấy một trong các dấu hiệu trên, đừng chỉ cài một plugin quét rồi bấm “xóa”. Mã độc trên WordPress thường để lại cửa hậu để quay lại. Quy trình làm sạch, đóng lỗ hổng và gửi yêu cầu xem xét lại cho Google được mô tả ở trang xử lý mã độc WordPress; chi phí xử lý ở Marketing SEO Top là 1,5 triệu hoặc 3 triệu tùy mức độ nhiễm.
Đưa yêu cầu bảo mật vào báo giá trước khi ký
Với website sắp làm, cách rẻ nhất để an toàn là ghi rõ các điểm sau vào báo giá hoặc hợp đồng. Chúng hầu như không làm tăng chi phí thiết kế.
- Theme và plugin trả phí có giấy phép hợp lệ, nêu tên và nơi mua; không dùng bản bẻ khóa.
- Website chạy trên hosting riêng đứng tên bạn, không đặt chung tài khoản với website khách khác.
- Phiên bản PHP đang được hỗ trợ và đạt yêu cầu WordPress hiện hành.
- Bàn giao tài khoản Administrator, tài khoản hosting, tài khoản quản lý tên miền.
- Một bản sao lưu đầy đủ (mã nguồn và cơ sở dữ liệu) tại thời điểm bàn giao.
- Nói rõ sau bàn giao ai chịu trách nhiệm cập nhật, và nếu không có gói chăm sóc thì bạn tự làm.
Danh sách câu hỏi đầy đủ hơn khi chọn gói thấp có trong bài website giá rẻ 1–2 triệu nhận được gì. Cách tự đánh giá một plugin trước khi cài có ở bài plugin là gì.
Giữ website an toàn mỗi năm tốn bao nhiêu công sức?
Bảo mật không phải việc làm một lần khi thiết kế. Một website WordPress nhỏ cần các việc định kỳ sau:
| Việc | Tần suất gợi ý | Tự làm được không |
|---|---|---|
| Cập nhật WordPress, plugin, theme | Hằng tuần đến hằng tháng, sau khi có bản sao lưu | Được, nếu biết cách kiểm tra lại website sau cập nhật |
| Kiểm tra bản sao lưu khôi phục được | Vài tháng một lần | Khó với người không làm kỹ thuật |
| Rà người dùng, plugin không dùng | Hằng quý | Được |
| Nâng phiên bản PHP khi bản đang dùng sắp hết hỗ trợ | Khi cần | Nên có người kỹ thuật, dễ gây lỗi trắng trang |
Nếu không có ai trong công ty làm các việc này, gói bảo trì website WordPress từ 900.000đ/tháng gồm sao lưu, cập nhật và kiểm tra bảo mật. Với website đang chạy bản cũ lâu năm, nên xem trước bài nâng cấp website giá rẻ: sửa tiếp hay làm lại.
Câu hỏi thường gặp
Website giá rẻ có dễ bị hack hơn website đắt tiền không?
Không nhất thiết. Công cụ tấn công tự động không phân biệt giá website, chúng tìm phiên bản plugin, theme có lỗ hổng. Website rẻ thường rủi ro hơn vì hay dùng theme bẻ khóa và không ai cập nhật sau bàn giao, không phải vì giá thấp.
Cài plugin bảo mật có đủ để website an toàn không?
Không đủ. Plugin bảo mật giúp chặn dò mật khẩu và quét tệp đáng ngờ, nhưng không vá được plugin khác đang có lỗ hổng. Cập nhật đều đặn, xóa plugin không dùng và có bản sao lưu ngoài máy chủ quan trọng hơn việc cài thêm một plugin.
Làm sao biết theme website của mình có phải bản bẻ khóa không?
Hỏi bên làm web tên theme, nơi mua và giấy phép đứng tên ai. Bản có giấy phép thường cập nhật được từ trang quản trị hoặc tài khoản nhà phát triển. Nếu theme không bao giờ nhận được bản cập nhật, hoặc bên làm web không trả lời rõ nguồn gốc, nên nhờ người kỹ thuật kiểm tra.
Website chỉ giới thiệu công ty, không bán hàng thì có cần lo bảo mật không?
Có. Website bị chèn mã độc có thể bị Google cảnh báo, bị chèn trang rác ảnh hưởng thứ hạng và tên miền bị dùng để gửi thư rác. Website giới thiệu ít dữ liệu khách hàng hơn, nhưng uy tín thương hiệu vẫn bị ảnh hưởng.
Hosting đã có sao lưu thì có cần tự sao lưu thêm không?
Nên có thêm một bản lưu ở nơi khác. Sao lưu của hosting nằm cùng nhà cung cấp, có thể bị ảnh hưởng nếu tài khoản hosting gặp sự cố hoặc hết hạn. Một bản sao lưu định kỳ lưu ra kho lưu trữ đám mây riêng giúp bạn chủ động khôi phục.
Cần người làm giúp phần này?
Mô tả ngắn nhu cầu hoặc gửi link website. Chúng tôi phản hồi bằng đánh giá cụ thể trước khi báo giá.
