Trả lời nhanh: Khi cần cho agency, developer hoặc nhân viên truy cập Hosting, đừng đưa luôn tài khoản quản trị chính. Thay vào đó, hãy tạo tài khoản riêng hoặc cấp quyền riêng cho từng người, chỉ ở mức cần thiết để họ hoàn thành công việc. Đồng thời, bảo vệ tài khoản chính bằng mật khẩu riêng và xác thực 2 lớp (2FA), đồng thời thu hồi quyền ngay khi họ không còn làm việc.
Cách này giúp bạn vừa cho người khác đủ quyền để làm việc, vừa giữ được quyền kiểm soát Hosting và có thể biết, quản lý hoặc thu hồi quyền truy cập khi cần.
Cho người khác truy cập Hosting là chuyện rất bình thường. Vấn đề nằm ở cách bạn cấp quyền.
Sai lầm phổ biến nhất là gửi luôn username và mật khẩu tài khoản chính vì nghĩ rằng “đưa một lần cho nhanh”. Nhưng nếu sau này có nhiều người cùng sử dụng tài khoản đó, bạn sẽ khó kiểm soát ai đã truy cập, ai thay đổi cấu hình hoặc ai xóa dữ liệu.
Chi tiết như thếnào, chúng ta cùng bắt đầu nhé!
Vì sao không nên đưa tài khoản Hosting chính cho người khác?
Tài khoản quản trị chính thường có quyền rất cao. Tùy hệ thống, người đăng nhập bằng tài khoản này có thể thay đổi cấu hình, quản lý website, tạo hoặc xóa tài khoản, thay đổi mật khẩu hoặc thực hiện những thao tác ảnh hưởng trực tiếp đến website.
Vì vậy, nếu đưa tài khoản chính cho agency hoặc nhân viên, bạn đang trao cho họ nhiều quyền hơn mức họ có thể thực sự cần.
Ví dụ:
Bạn thuê một developer chỉ để cài plugin WordPress. Công việc đó chỉ cần quyền quản trị WordPress.
Nếu bạn đưa luôn tài khoản Hosting chính, developer có thể được tiếp cận cả những khu vực không liên quan đến công việc như file website, Database, email hoặc các cấu hình khác tùy theo hệ thống.
Đây chính là lý do nên áp dụng nguyên tắc: Chỉ cấp quyền cần thiết cho công việc, không cấp nhiều hơn mức cần thiết.
Ngoài ra, dùng chung tài khoản còn có một vấn đề khác
Giả sử có 3 người cùng sử dụng một tài khoản Hosting:
- Bạn
- Developer
- Nhân viên kỹ thuật
Một ngày website bị lỗi hoặc mất dữ liệu.
Bạn kiểm tra lại thì biết tài khoản đã được đăng nhập, nhưng rất khó xác định chính xác ai đã thực hiện thay đổi.
Ngược lại, nếu mỗi người có một tài khoản riêng, việc quản lý sẽ rõ ràng hơn. Khi một người nghỉ việc hoặc ngừng hợp tác, bạn chỉ cần thu hồi tài khoản của người đó mà không ảnh hưởng đến những người khác.
Vì vậy, tài khoản riêng không chỉ giúp tăng bảo mật mà còn giúp việc quản lý quyền truy cập minh bạch hơn.
Nên cấp quyền Hosting như thế nào?
Không có một mức quyền cố định phù hợp với tất cả mọi người. Hãy bắt đầu từ câu hỏi: Người này cần truy cập vào đâu để hoàn thành công việc?
Sau đó chỉ cấp đúng phần quyền đó.
| Công việc | Quyền nên cấp |
|---|---|
| Đăng bài, chỉnh sửa nội dung | Tài khoản WordPress với vai trò Editor |
| Cài plugin, cập nhật theme, chỉnh cấu hình WordPress | WordPress Administrator riêng |
| Quản trị file và các chức năng kỹ thuật trên Hosting | Tài khoản/quyền riêng trên Control Panel nếu hệ thống hỗ trợ |
| Quản lý DNS | Quyền trên hệ thống DNS/CDN nếu có hỗ trợ phân quyền |
| Xem số liệu Analytics | Quyền xem hoặc quyền phù hợp trên Google Analytics |
| Quản trị kỹ thuật chuyên sâu | Chỉ cấp quyền cao khi thực sự cần và người nhận quyền đáng tin cậy |
Điểm quan trọng là không phải công việc nào cũng cần quyền Hosting.
Ví dụ, một nhân viên chỉ viết bài cho website thì chỉ cần quyền phù hợp trong WordPress. Không có lý do gì để người đó phải truy cập vào Hosting, Database hay DNS.
Tương tự, nếu một agency chỉ cần chỉnh DNS, bạn có thể cấp quyền trên hệ thống DNS/CDN nếu dịch vụ đó hỗ trợ phân quyền, thay vì đưa toàn bộ tài khoản quản trị tên miền.
Một nguyên tắc dễ nhớ: Công việc nào → cấp quyền cho đúng công việc đó.
Đừng bắt đầu bằng câu hỏi “Tôi có thể đưa tài khoản nào cho họ?”, mà hãy bắt đầu bằng “Họ cần làm gì?”.
Cách cấp quyền mà không cần chia sẻ tài khoản chính
Tùy Hosting và nền tảng bạn đang sử dụng, cách cấp quyền sẽ khác nhau. Không phải hệ thống nào cũng có cùng một cơ chế phân quyền, vì vậy bạn nên kiểm tra tính năng quản lý người dùng của dịch vụ mình đang sử dụng.
Với Hosting/Control Panel
Nếu Control Panel hỗ trợ tạo tài khoản phụ hoặc phân quyền người dùng, hãy tạo một tài khoản riêng cho người cần truy cập và chỉ bật những quyền cần thiết.
Với một số hệ thống, bạn cũng có thể sử dụng các tài khoản riêng cho từng dịch vụ như FTP, Database hoặc email thay vì chia sẻ tài khoản quản trị chính.
Nếu Control Panel bạn đang sử dụng không hỗ trợ mức phân quyền như mong muốn, hãy hỏi nhà cung cấp Hosting về phương án cấp quyền phù hợp. Không nên mặc định rằng mọi Control Panel đều có cùng một cơ chế tạo “sub-user”.
Với WordPress
WordPress cho phép tạo tài khoản riêng cho từng người và lựa chọn vai trò phù hợp.
Ví dụ:
- Người viết nội dung → Editor hoặc vai trò phù hợp.
- Người quản trị website → Administrator.
- Người chỉ cần viết bài → không cần quyền Administrator.
Nếu developer cần quyền Administrator để xử lý kỹ thuật, bạn cũng nên tạo một tài khoản Administrator riêng cho họ thay vì đưa tài khoản Administrator đang sử dụng của mình.
Với DNS/CDN
Nếu dịch vụ DNS/CDN hỗ trợ mời thành viên và phân quyền, hãy sử dụng tính năng này.
Ví dụ, agency chỉ cần quản lý DNS thì cấp quyền liên quan đến DNS, còn quyền sở hữu hoặc quyền quản trị cao nhất vẫn do bạn giữ.
Với Google Analytics và Search Console
Không nên đưa tài khoản Google cá nhân của bạn cho người khác.
Thay vào đó, hãy thêm email của họ vào tài sản tương ứng và cấp đúng mức quyền họ cần.
Ví dụ, người chỉ cần xem báo cáo thì không nhất thiết phải có quyền quản trị.
4 nguyên tắc quan trọng khi cấp quyền
Tạo tài khoản riêng mới chỉ là bước đầu. Để việc phân quyền thực sự an toàn, bạn nên duy trì 4 nguyên tắc sau.
1. Mỗi người một tài khoản
Không nên để nhiều người cùng sử dụng một username và mật khẩu.
Mỗi người có một tài khoản riêng sẽ giúp bạn dễ quản lý hơn và thuận tiện thu hồi quyền khi một người nghỉ việc hoặc ngừng hợp tác.
2. Cấp quyền vừa đủ
Nếu họ chỉ cần sửa nội dung, không cần cho quyền quản trị Hosting.
Nếu họ chỉ cần xem Analytics, không cần cấp quyền quản trị toàn bộ tài khoản.
Đây là nguyên tắc “ít quyền nhất có thể” (least privilege): người dùng chỉ nên có những quyền cần thiết để hoàn thành công việc.
3. Bảo vệ tài khoản chính
Tài khoản quản trị chính nên được bảo vệ bằng:
- Mật khẩu mạnh và riêng biệt.
- Xác thực 2 lớp (2FA) nếu dịch vụ hỗ trợ.
- Email khôi phục thuộc quyền kiểm soát của bạn.
- Không sử dụng chung mật khẩu với các dịch vụ khác.
Đặc biệt, không nên dùng tài khoản chính để làm tài khoản đăng nhập hàng ngày cho nhiều người.
4. Thường xuyên kiểm tra danh sách người có quyền
Không phải ai từng được cấp quyền cũng cần giữ quyền mãi mãi.
Hãy định kỳ kiểm tra:
- Ai đang có quyền?
- Họ còn làm việc không?
- Họ đang có những quyền gì?
- Có tài khoản nào không còn sử dụng không?
Nếu một nhân viên nghỉ việc hoặc agency kết thúc hợp đồng, hãy thu hồi quyền ngay.
Khi nhân viên hoặc agency nghỉ, cần thu hồi quyền thế nào?
Đây là bước rất dễ bị bỏ quên.
Nhiều doanh nghiệp chỉ quan tâm đến việc “cấp quyền cho người mới” nhưng lại quên mất những tài khoản đã cấp cho người cũ.
Khi một người nghỉ việc hoặc ngừng hợp tác, bạn nên thực hiện lần lượt:
- Xóa hoặc vô hiệu hóa tài khoản phụ của họ.
- Kiểm tra quyền truy cập trên WordPress.
- Kiểm tra thành viên trên Hosting/Control Panel.
- Kiểm tra quyền trên DNS/CDN.
- Kiểm tra quyền trên Google Analytics, Search Console và các công cụ liên quan.
- Nếu người đó từng biết tài khoản chính, hãy đổi mật khẩu ngay.
- Kiểm tra lại 2FA và email khôi phục của các tài khoản quan trọng.
- Kiểm tra các tài khoản hoặc API key khác mà họ từng được cấp nếu có.
Nếu trước đây đã lỡ đưa tài khoản chính thì sao?
Không cần quá lo, nhưng nên xử lý ngay.
Hãy:
- Đổi mật khẩu tài khoản chính.
- Đổi mật khẩu ở những dịch vụ khác nếu bạn từng dùng chung mật khẩu.
- Bật lại 2FA.
- Kiểm tra danh sách người dùng.
- Xóa các tài khoản hoặc quyền không còn cần thiết.
- Kiểm tra các thay đổi quan trọng gần đây.
Nếu không chắc tài khoản chính đã được sử dụng như thế nào, hãy kiểm tra log hoạt động hoặc liên hệ nhà cung cấp Hosting để được hỗ trợ kiểm tra trong phạm vi hệ thống cho phép.
Có nên cho developer quyền quản trị Hosting toàn bộ không?
Thông thường là không nên nếu công việc của họ không cần đến toàn bộ quyền.
Ví dụ:
- Sửa nội dung → WordPress Editor.
- Cài plugin → WordPress Administrator.
- Sửa file website → quyền truy cập file/Hosting phù hợp.
- Quản lý DNS → quyền trên hệ thống DNS/CDN.
- Quản trị toàn bộ Server → chỉ cấp quyền cao nhất khi thực sự cần.
Tuy nhiên, với một số công việc kỹ thuật chuyên sâu, developer hoặc kỹ sư hệ thống có thể thực sự cần quyền cao hơn.
Trong trường hợp đó, vấn đề không phải là “tuyệt đối không được cấp quyền cao”, mà là: Chỉ cấp quyền cao khi có lý do rõ ràng, cho đúng người và trong thời gian cần thiết.
Nếu hệ thống hỗ trợ quyền tạm thời hoặc phân quyền chi tiết, hãy ưu tiên sử dụng những tính năng đó.
Cấp quyền Hosting cho agency có làm mất quyền kiểm soát không?
Không, nếu bạn vẫn giữ tài khoản chính và quyền sở hữu các tài sản quan trọng.
Bạn hoàn toàn có thể để agency quản trị Hosting, website hoặc DNS thay mình. Điều quan trọng là:
- Bạn biết ai đang có quyền.
- Mỗi người sử dụng tài khoản riêng.
- Quyền được cấp đúng phạm vi.
- Bạn có thể thu hồi quyền.
- Tài khoản chính vẫn do bạn kiểm soát.
Nói cách khác: Cho người khác quyền làm việc không có nghĩa là trao quyền sở hữu.
Đây cũng là nguyên tắc quan trọng khi thuê bên ngoài quản trị Hosting. Bạn có thể xem thêm bài Thuê quản trị Hosting: Công việc, chi phí & những điều cần biết và Thuê làm website xong cần bàn giao những tài khoản gì?.
Câu hỏi thường gặp
Có nên cho developer quyền quản trị Hosting toàn bộ không?
Không nên nếu công việc của họ không cần đến toàn bộ quyền. Hãy xác định họ cần làm gì rồi cấp quyền phù hợp. Nếu họ thực sự cần quyền cao để xử lý một công việc kỹ thuật cụ thể, bạn có thể cấp quyền đó nhưng nên kiểm soát thời gian, phạm vi và khả năng thu hồi sau khi hoàn thành.
Có thể cấp quyền Hosting mà không chia sẻ tài khoản chính không?
Có, nếu Hosting hoặc Control Panel bạn sử dụng hỗ trợ tạo tài khoản phụ hoặc cơ chế phân quyền phù hợp. Với những dịch vụ không hỗ trợ phân quyền trực tiếp, có thể sử dụng các tài khoản riêng cho từng dịch vụ như FTP, Database hoặc email tùy nhu cầu, thay vì chia sẻ tài khoản quản trị chính.
Nên cấp quyền Hosting cho agency như thế nào?
Hãy bắt đầu từ công việc agency cần thực hiện. Nếu họ chỉ quản trị WordPress, cấp tài khoản WordPress phù hợp. Nếu cần thao tác trên Hosting, cấp tài khoản hoặc quyền tương ứng trên Control Panel nếu hệ thống hỗ trợ. Nếu cần quản lý DNS, cấp quyền trên hệ thống DNS/CDN nếu có. Trong mọi trường hợp, nên giữ tài khoản quản trị chính và quyền sở hữu của mình.
Bật 2FA cho tài khoản chính có ảnh hưởng đến agency không?
Thông thường không. Agency sử dụng tài khoản riêng của họ, còn 2FA bảo vệ tài khoản chính của bạn. Thậm chí đây là cách nên làm vì nếu mật khẩu của tài khoản chính bị lộ, 2FA sẽ tạo thêm một lớp bảo vệ.
Nhân viên nghỉ việc thì có cần đổi mật khẩu Hosting không?
Nếu nhân viên chỉ sử dụng tài khoản riêng, bạn chỉ cần vô hiệu hóa hoặc xóa tài khoản đó. Nếu họ từng biết hoặc sử dụng tài khoản chính, bạn nên đổi mật khẩu ngay và kiểm tra lại 2FA, email khôi phục cùng các quyền truy cập liên quan.
Kết luận
Bạn hoàn toàn có thể cho agency, developer hoặc nhân viên truy cập Hosting để làm việc. Điều quan trọng không phải là “có cho quyền hay không”, mà là “cho quyền như thế nào”.
Cách an toàn nhất là:
Tạo tài khoản riêng → cấp đúng quyền → bảo vệ tài khoản chính → theo dõi người có quyền → thu hồi khi không còn cần.
Bạn không cần tự mình làm tất cả, cũng không cần giữ mọi quyền và ngăn người khác truy cập.
Chỉ cần nhớ một nguyên tắc: Giao quyền để người khác làm việc, nhưng đừng giao luôn quyền kiểm soát.
Leave a Reply