Bảo mật trang quản trị cửa hàng: đăng nhập và phân quyền

Trang đăng nhập quản trị là cửa chính dẫn đến mọi thứ: đơn hàng, thông tin khách hàng, cài đặt thanh toán và nội dung khách truy cập nhìn thấy. Phần lớn các vụ xâm nhập không cần đến thủ thuật hack cao siêu. Chúng bắt nguồn từ một mật khẩu dùng lại, một tài khoản dùng chung hoặc một tin nhắn lừa đảo (phishing) trông rất thuyết phục. Các bước dưới đây mất một hai giờ và tạo ra khác biệt thực sự. Các ví dụ theo tài liệu hướng dẫn của Shopify, nhưng nguyên tắc áp dụng được cho WordPress và hầu hết các nền tảng khác.

Bước 1: mỗi tài khoản một mật khẩu mạnh riêng

Dùng mật khẩu khác nhau cho từng tài khoản, kể cả những tài khoản có vẻ liên quan đến nhau.
Để trình quản lý mật khẩu (password manager) tạo và ghi nhớ giúp, để bạn chỉ cần nhớ một mật khẩu chính.
Shopify cho biết họ khóa các tài khoản có thông tin đăng nhập xuất hiện trong các vụ rò rỉ dữ liệu đã biết cho đến khi mật khẩu được đặt lại. Bạn có thể nhập địa chỉ email của mình vào website Have I Been Pwned để xem có nằm trong vụ rò rỉ nào không.
Không bao giờ đưa thông tin đăng nhập của bạn cho đồng nghiệp, freelancer hay người nhà.

Bước 2: bật đăng nhập hai bước cho bạn và đội ngũ

Xác thực hai bước (two-step authentication) yêu cầu thêm một bằng chứng danh tính sau mật khẩu, nên chỉ lộ mật khẩu thôi là chưa đủ. Theo tài liệu của Shopify, các phương thức được hỗ trợ gồm ứng dụng xác thực (authenticator app), khóa bảo mật (security key), trình xác thực tích hợp sẵn và passkey. Người dùng đang dùng mã qua tin nhắn SMS có thể giữ nguyên, nhưng các thiết lập mới dùng những phương thức còn lại. Bạn cũng có thể thêm một phương thức dự phòng.

Những điều đáng biết:

Mỗi nhân viên tự thiết lập trên tài khoản của mình. Là chủ cửa hàng, bạn không thể bật thay họ, nên hãy nhắc và kiểm tra.
Nếu bạn dùng Shopify Payments, xác thực hai bước phải đang bật, và nếu không có thì khoản thanh toán về (payout) có thể bị giữ lại.
Tải mã khôi phục (recovery codes) về và cất ở nơi an toàn mà bạn truy cập được từ thiết bị khác. Đó là đường quay lại nếu bạn mất điện thoại.
Bảo vệ tài khoản email theo cách tương tự. Việc đặt lại mật khẩu gửi về hộp thư của bạn, nên ai kiểm soát hộp thư thường có thể kiểm soát mọi thứ khác.

Bước 3: mỗi người một tài khoản

Tài khoản dùng chung khiến không thể biết ai đã thay đổi gì, và không thể gỡ quyền của một người mà không ảnh hưởng đến mọi người. Thay vào đó, hãy thêm từng người thành một nhân viên (staff member) riêng. Khi nhà thầu hoàn thành công việc, hãy xóa tài khoản của họ ngay trong ngày.

Bước 4: chỉ cấp quyền nhỏ nhất đủ để làm việc

Shopify mô tả một nhóm quyền nhạy cảm mở ra dữ liệu tài chính và dữ liệu khách hàng riêng tư, chẳng hạn chỉnh sửa phương thức thanh toán hóa đơn hoặc yêu cầu dữ liệu khách hàng. Lời khuyên của họ là chỉ cấp các quyền này cho những người bạn tin cậy nhất, và chia các tác vụ nhạy cảm cho nhiều vai trò để không có tài khoản đơn lẻ nào trở thành điểm yếu duy nhất. Một người trợ giúp bán thời gian trả lời email khách hàng không cần truy cập cài đặt thanh toán. Trên WordPress, thói quen tương đương là chọn vai trò người dùng thấp nhất vẫn cho phép ai đó làm được việc.

Hãy đặt lời nhắc định kỳ trong lịch, có thể là mỗi quý, để rà soát:

Hiện ai đang có tài khoản nhân viên hoặc cộng tác viên (collaborator)
Mỗi người được làm những gì
Những ứng dụng và tích hợp tùy chỉnh nào đang được cài, và bạn có còn nhận ra từng cái không

Bước 5: học cách nhận biết phishing

Hướng dẫn của Shopify nêu rằng đội ngũ hỗ trợ của họ sẽ không bao giờ hỏi mật khẩu của bạn. Hãy coi mọi tin nhắn yêu cầu điều đó, dù qua email, điện thoại hay SMS, là đáng ngờ. Cũng cần cẩn thận với các đơn hàng bất thường và đơn nháp (draft order). Shopify gợi ý xác nhận với khách hàng trước khi giao hàng để tránh bị hoàn tiền cưỡng chế (chargeback) về sau.

Hiểu các cảnh báo đăng nhập

Bạn có thể nhận được email kèm mã mười chữ số nếu có lần đăng nhập trông bất thường, hoặc email báo có thiết bị mới đã đăng nhập. Trang trợ giúp của Shopify giải thích rằng nếu bạn trả lời “this wasn’t me” thì cần đặt lại mật khẩu trước khi đăng nhập lại. Đừng bỏ qua những email này, và đừng chấp thuận một yêu cầu mà bạn không thực hiện.

Nếu bạn nghĩ tài khoản đã bị xâm nhập

Liên hệ ngay với bộ phận hỗ trợ của nền tảng.
Bảo vệ tài khoản email của bạn trước, rồi mới đổi mật khẩu cửa hàng.
Bật lại xác thực hai bước, dùng thiết bị khác nếu thiết bị cũ có thể đã bị vượt qua.
Rà soát hoạt động đăng nhập, tài khoản nhân viên và quyền hạn.
Kiểm tra activity log để tìm các thay đổi bạn không nhận ra, cùng với thông tin liên hệ của cửa hàng, tệp đã tải lên, ứng dụng đã cài, mã giảm giá và mọi chiến dịch marketing bạn không khởi tạo.
Xác minh các đơn hàng đáng ngờ với khách hàng.

Khi nào nên gọi lập trình viên

Hãy tìm hỗ trợ chuyên môn nếu bạn phát hiện những thay đổi không giải thích được, như ứng dụng lạ, mã mới trong theme, redirect bất thường hoặc mã giảm giá bạn không tạo. Tương tự nếu bạn cần kiểm toán kỹ từng tích hợp có quyền truy cập dữ liệu cửa hàng, hoặc cần vai trò tùy chỉnh được xây dựng cho khớp cách đội ngũ làm việc. Bạn có thể đọc về những việc chúng tôi hỗ trợ tại trang dịch vụ của chúng tôi.