Quản trị website: chuyện gì xảy ra nếu bỏ mặc sau bàn giao

Tháng 3/2021, Sucuri quét hơn 1,7 triệu website và phát hiện gần 60% các mã độc chèn vào chỉ khai thác qua plugin hoặc theme lỗi thời, không phải lỗ hổng máy chủ. Số liệu đó nói đúng một điều: website không cần ai tấn công trực diện mới gặp sự cố, chỉ cần không ai đụng tới trong vài tháng là đủ. Quản trị website là việc kiểm tra, cập nhật và giám sát định kỳ sau khi trang đã lên, và phần lớn doanh nghiệp bỏ qua đúng phần này.

Bài này không nói về việc xây trang mới. Nó nói về khoảng trống sau ngày bàn giao, khi đơn vị thiết kế đã rút, và không ai còn trách nhiệm nhìn vào bảng điều khiển admin mỗi tuần một lần. Bốn hậu quả lặp lại nhiều nhất khi bỏ mặc website: mã nguồn cũ thành cửa cho mã độc chui vào, tên miền hoặc hosting hết hạn mà không ai hay, nội dung lỗi thời làm khách nghi ngờ độ tin cậy, và lỗi kỹ thuật nhỏ như form liên hệ hỏng âm thầm cắt đứt kênh khách hàng liên hệ.

Khác với máy chủ vật lý hỏng đột ngột, các hậu quả này đến chậm và không kêu. Trang vẫn tải được, giao diện vẫn đẹp, nhưng phần khách hàng nhìn thấy chỉ là bề nổi. Phần nguy hiểm nằm ở lớp mã nguồn, cấu hình DNS và log lỗi mà không ai còn mở ra xem.

Plugin và mã nguồn cũ trở thành lỗ hổng như thế nào

Một plugin WordPress không cập nhật quá sáu tháng là mục tiêu quét tự động của bot, không cần ai chủ ý nhắm vào riêng trang của bạn. Báo cáo Sucuri Hacked Website Report các năm gần đây liên tục xếp plugin lỗi thời là nguyên nhân hàng đầu gây nhiễm mã độc trên nền tảng WordPress, vượt xa lỗi do mật khẩu yếu.

Cơ chế đơn giản: nhà phát triển plugin công bố bản vá kèm mô tả lỗ hổng (CVE), và đó vừa là hướng dẫn sửa cho người dùng, vừa là bản đồ tấn công cho kẻ xấu quét diện rộng những site chưa cập nhật. Trang càng để lâu không vá, thời gian bị quét trúng càng ngắn. Mã độc chèn vào thường không làm sập trang ngay, mà âm thầm chèn link spam, đào coin trong trình duyệt khách, hoặc gửi lưu lượng qua trang trung gian để đánh cắp dữ liệu thẻ.

Tên miền hoặc hosting hết hạn mà không ai biết thì sao

Trang đang chạy tốt có thể biến mất chỉ vì một email gia hạn rơi vào hộp thư của người đã nghỉ việc. Tên miền hết hạn bước vào giai đoạn ân hạn ngắn, sau đó rơi vào trạng thái chuộc lại (redemption) với phí cao hơn nhiều lần giá đăng ký gốc, và nếu bỏ qua luôn thì tên miền được thả ra cho người khác đăng ký, kể cả đối thủ.

Hosting cũng vậy: gói hết hạn thanh toán, dữ liệu bị khoá rồi xoá sau một khoảng thời gian giữ chỗ theo chính sách nhà cung cấp. Doanh nghiệp không có ai theo dõi lịch gia hạn thường chỉ phát hiện khi khách hàng gọi vào báo "web công ty không vào được", lúc đó việc khôi phục đã tốn thời gian và đôi khi tốn cả tiền chuộc.

Nội dung lỗi thời ảnh hưởng đến uy tín ra sao

Trang "Bảng giá" còn niêm yết mức phí của ba năm trước, hay mục "Tin tức" dừng lại ở bài cuối cùng đăng cách đây đã lâu, đều gửi một tín hiệu: doanh nghiệp này có còn hoạt động không. Khách hàng B2B khi thẩm định nhà cung cấp gần như luôn ghé website trước khi gọi điện, và nội dung đứng yên là lý do phổ biến khiến họ quay sang đối thủ có trang cập nhật hơn.

Ngoài cảm nhận của khách, nội dung tĩnh cũng ảnh hưởng công cụ tìm kiếm. Google ưu tiên trang có tín hiệu cập nhật thường xuyên trong hệ thống Helpful Content, đặc biệt với các trang dịch vụ, giá cả, chính sách dễ thay đổi theo thời gian.

Việc quản trị website tối thiểu cần làm theo tháng và quý

Danh sách tối thiểu gồm sáu nhóm việc: cập nhật plugin và mã nguồn, sao lưu dữ liệu, kiểm tra chứng chỉ SSL, theo dõi hạn tên miền và hosting, kiểm tra các form và liên kết, rà log lỗi máy chủ. Mỗi việc có tần suất riêng, gộp chung một lịch quý là không đủ vì một số việc cần làm hàng tuần.

Form liên hệ hỏng là hậu quả dễ bị xem nhẹ nhất nhưng gây thiệt hại trực tiếp nhất: khách điền form, bấm gửi, nhận thông báo thành công, nhưng email không bao giờ tới nơi vì cấu hình SMTP hoặc plugin mail bị lỗi sau một lần cập nhật WordPress. Doanh nghiệp mất khách trong im lặng, không log, không báo lỗi, chỉ có doanh số giảm dần mà không rõ nguyên nhân.

Tự làm hay thuê ngoài chăm sóc website, chọn thế nào

Tự làm phù hợp khi doanh nghiệp có người rành kỹ thuật, thời gian rảnh cố định mỗi tuần và website ít thay đổi. Thuê ngoài hợp lý hơn khi không ai trong công ty theo dõi được lịch vá bảo mật, hoặc khi một lần website sập đã từng gây thiệt hại đủ lớn để thấy chi phí thuê ngoài nhỏ hơn nhiều so với rủi ro bỏ mặc.

Gói quản trị website của BizMaC hiện áp dụng hình thức báo giá theo yêu cầu, tuỳ quy mô trang và tần suất cập nhật nội dung, không có mức phí cố định niêm yết sẵn. Với các trang dùng chung hạ tầng Linux Hosting tại BizMaC, việc xử lý sự cố nhanh hơn vì đội kỹ thuật đã nắm sẵn cấu hình máy chủ, không mất thời gian dò lại từ đầu như khi thuê một bên vận hành hoàn toàn độc lập với nhà cung cấp hosting.

Danh sách kiểm tra nhanh trước khi bỏ website tự vận hành

Trước khi quyết định để website chạy một mình, tự trả lời năm câu hỏi sau. Thiếu quá hai câu là dấu hiệu nên có người quản trị định kỳ, dù tự làm hay thuê ngoài.

• Có ai trong công ty biết đăng nhập vào bảng quản trị CMS không.
• Lần cập nhật plugin hoặc mã nguồn gần nhất là khi nào.
• Chứng chỉ SSL của trang còn hạn bao lâu nữa.
• Tên miền và hosting gia hạn tự động hay cần thao tác tay mỗi năm.
• Lần cuối có ai thử gửi thử form liên hệ để kiểm tra là khi nào.

Trả lời được cả năm câu là tín hiệu tốt. Không trả lời được câu nào là lúc nên sắp xếp một lịch chăm sóc website định kỳ, kể cả chỉ ở mức kiểm tra cơ bản hàng tháng.

Câu hỏi thường gặp về quản trị website

Điều cần nhớ

Website không phải sản phẩm làm một lần rồi để yên vĩnh viễn. Nó giống một cửa hàng vật lý: cần quét dọn, kiểm hàng, sửa cửa hỏng theo lịch, không phải xây xong khoá cửa rồi bỏ đi. Ba việc cần thiết lập ngay hôm nay: chọn người chịu trách nhiệm cập nhật, ghi lại ngày hết hạn tên miền và hosting, và đặt lịch kiểm tra tối thiểu mỗi tháng một lần.