TDDTech
Bảo mật website: SSL, sao lưu, cập nhật và rủi ro khi bỏ quên
Ba lớp bảo vệ cơ bản cho website doanh nghiệp: chứng chỉ SSL, sao lưu đúng cách và cập nhật định kỳ. Rủi ro khi bỏ quên, checklist bảo mật và 6 bước xử lý khi website bị tấn công.
Website không cần là mục tiêu lớn mới bị tấn công. Công cụ tự động quét hàng loạt website để tìm chỗ sơ hở: SSL hết hạn, phần mềm cũ, mật khẩu yếu. Đây là những việc cần làm để không trở thành mục tiêu dễ dàng.
Nhiều chủ doanh nghiệp nghĩ website của mình nhỏ, không có gì để mất nên chẳng ai tấn công. Thực tế phần lớn các vụ tấn công website không nhắm vào một doanh nghiệp cụ thể. Chúng được thực hiện bởi công cụ tự động quét hàng loạt để tìm website có phần mềm cũ, mật khẩu yếu hoặc cấu hình sai. Website bị chiếm có thể bị chèn quảng cáo cờ bạc, dùng để phát tán mã độc, gửi thư rác, hoặc bị xóa sạch dữ liệu. Tin tốt là ba lớp bảo vệ cơ bản giúp giảm đáng kể rủi ro: SSL, sao lưu và cập nhật.
Lớp 1: Chứng chỉ SSL và HTTPS
SSL mã hóa dữ liệu trao đổi giữa trình duyệt và website, để thông tin khách nhập vào form, mật khẩu hay địa chỉ giao hàng không bị đọc trộm trên đường truyền. Website có SSL chạy bằng giao thức https; website không có hoặc có chứng chỉ hết hạn sẽ bị trình duyệt cảnh báo không bảo mật, và rất ít khách chịu đi tiếp sau cảnh báo đó.
- Dùng chứng chỉ hợp lệ cho cả tên miền chính và bản có www.
- Bật gia hạn tự động. Thời hạn tối đa của chứng chỉ SSL đang được ngành rút ngắn dần, gia hạn thủ công rất dễ quên.
- Chuyển hướng toàn bộ http sang https, tránh tình trạng trang lúc có, lúc không có khóa bảo mật.
- Kiểm tra nội dung hỗn hợp: ảnh, script tải qua http trên trang https khiến trình duyệt hạ mức tin cậy.
Chứng chỉ miễn phí như Let's Encrypt đủ an toàn cho đa số website doanh nghiệp. Điều quan trọng không phải loại chứng chỉ, mà là nó luôn còn hiệu lực.
Lớp 2: Sao lưu đúng cách, không chỉ là có sao lưu
Sao lưu là lớp bảo vệ cuối cùng: khi mọi thứ khác thất bại, đó là thứ duy nhất giúp anh chị lấy lại website. Nhưng nhiều website “có sao lưu” mà lúc cần lại không dùng được, vì bản sao nằm chung máy chủ bị tấn công, thiếu cơ sở dữ liệu hoặc đã cũ nhiều tháng.
- Sao lưu đủ mã nguồn, cơ sở dữ liệu và tệp tải lên như ảnh, tài liệu, không chỉ một phần.
- Áp dụng nguyên tắc 3-2-1: ít nhất 3 bản sao, trên 2 loại lưu trữ khác nhau, 1 bản đặt ở nơi tách biệt khỏi máy chủ chính.
- Tần suất theo mức thay đổi: website bán hàng có đơn mỗi ngày cần sao lưu ít nhất hằng ngày; website giới thiệu ít thay đổi có thể thưa hơn.
- Giữ nhiều phiên bản: có khi mã độc nằm im vài tuần mới bị phát hiện, cần bản sao từ trước thời điểm đó.
- Thử khôi phục định kỳ để chắc chắn bản sao dùng được khi cần.
Lớp 3: Cập nhật phần mềm và quản lý tài khoản
Mỗi website chạy trên nhiều lớp phần mềm: hệ điều hành máy chủ, ngôn ngữ lập trình, mã nguồn, thư viện, theme, plugin. Lỗ hổng được phát hiện và công bố liên tục; khi bản vá đã có mà website không cập nhật, công cụ tấn công tự động sẽ tìm tới. Với website dùng WordPress, phần lớn lỗ hổng được công bố nằm ở plugin và theme, nên càng cài nhiều plugin không cần thiết, rủi ro càng cao.
- Cập nhật bản vá bảo mật sớm, nhưng thử trên bản sao trước để tránh lỗi giao diện.
- Gỡ plugin, theme, tài khoản không còn dùng. Không dùng theme hay plugin bẻ khóa, vốn rất hay bị cài sẵn mã độc.
- Mật khẩu quản trị dài, riêng biệt, bật xác thực hai lớp cho tài khoản quản trị website, hosting, tên miền và email.
- Mỗi người một tài khoản, đúng quyền cần thiết. Thu hồi quyền ngay khi nhân viên nghỉ việc hoặc khi đổi đơn vị hỗ trợ.
- Bảo vệ form bằng cơ chế chống spam và kiểm tra dữ liệu đầu vào.
Rủi ro khi bỏ quên: bảng tổng hợp
| Hạng mục bị bỏ quên | Điều có thể xảy ra | Ảnh hưởng tới kinh doanh |
|---|
| SSL hết hạn | Trình duyệt chặn bằng cảnh báo không an toàn | Khách rời đi ngay, tiền quảng cáo trả cho những lượt nhấp vô ích |
| Không có bản sao lưu dùng được | Mất dữ liệu khi máy chủ lỗi hoặc bị tấn công | Phải làm lại website, mất đơn hàng và lịch sử khách |
| Phần mềm không cập nhật | Bị chèn mã độc, liên kết cờ bạc, trang lừa đảo | Google cảnh báo hoặc hạ hiển thị, uy tín thương hiệu bị ảnh hưởng |
| Tài khoản lỏng lẻo | Người cũ hoặc kẻ gian truy cập trang quản trị | Nội dung bị sửa, dữ liệu khách hàng bị lộ |
| Tên miền, hosting quên gia hạn | Website ngừng hoạt động, tên miền có thể bị người khác đăng ký | Mất địa chỉ đã xây dựng nhiều năm |
Website bị tấn công: 6 bước xử lý
- Ghi nhận hiện trạng: chụp màn hình, ghi lại thời điểm và hiện tượng bất thường.
- Đổi ngay mật khẩu quản trị website, hosting, cơ sở dữ liệu, tên miền và email liên quan.
- Cô lập website nếu cần: tạm đưa về trang bảo trì để không lây mã độc cho khách truy cập.
- Khôi phục từ bản sao lưu sạch trước thời điểm bị nhiễm, sau đó vá lỗ hổng đã bị khai thác. Khôi phục mà không vá thì sớm muộn sẽ bị lại.
- Kiểm tra Search Console, mục vấn đề bảo mật; xử lý xong thì gửi yêu cầu xem xét lại để gỡ cảnh báo.
- Rút kinh nghiệm: xác định nguyên nhân gốc và bổ sung lớp bảo vệ còn thiếu.
Bảo mật không phải việc làm một lần lúc bàn giao, mà là phần bảo vệ trong việc giữ gìn một tài sản số. Trong mô hình vận hành của TDDTech, gói Basic đã gồm quản lý hosting, tên miền, chứng chỉ SSL, sao lưu định kỳ và theo dõi website hoạt động. Xem các gói vận hành hằng tháng, chính sách bảo hành và bàn giao, checklist bảo trì website, hoặc liên hệ để trao đổi về tình trạng website hiện tại của anh chị.
Câu hỏi thường gặp
Website nhỏ có cần lo bảo mật không?
Có. Phần lớn các đợt tấn công được thực hiện tự động trên diện rộng, không phân biệt website lớn hay nhỏ. Website có phần mềm cũ, mật khẩu yếu hay không có SSL đều dễ bị khai thác.
Chứng chỉ SSL miễn phí có an toàn không?
Về mã hóa, chứng chỉ miễn phí như Let's Encrypt đủ an toàn cho đa số website doanh nghiệp. Điều cần chú ý là cấu hình gia hạn tự động để chứng chỉ không bao giờ hết hạn.
Hosting đã có sao lưu thì có cần sao lưu riêng không?
Nên có. Bản sao của nhà cung cấp hosting thường nằm cùng hạ tầng, có thể giới hạn số ngày lưu hoặc tính phí khi khôi phục. Một bản sao độc lập do doanh nghiệp kiểm soát là lớp an toàn quan trọng.
Bao lâu nên cập nhật website một lần?
Bản vá bảo mật nghiêm trọng nên được áp dụng sớm nhất có thể. Các bản cập nhật thông thường có thể gom lại làm hằng tháng, luôn thử trên bản sao trước khi đưa lên website thật.
Lỗi bảo mật do code của đơn vị làm web thì ai chịu trách nhiệm?
Tùy hợp đồng và chính sách bảo hành của từng đơn vị. Với TDDTech, lỗi do TDDTech gây ra được bảo hành trọn đời, bên cạnh cam kết chỉnh sửa miễn phí trong phạm vi đã nghiệm thu suốt 5 năm (60 tháng).
Đang tải trang…