Phần lớn các vụ website nhỏ bị chiếm quyền không bắt đầu từ một kỹ thuật phức tạp, mà từ một mật khẩu bị lộ: dùng chung với tài khoản khác, gửi qua tin nhắn cho thợ sửa web, hay lưu trên một máy tính dùng chung. Xác thực hai lớp website (còn gọi là 2FA) giải quyết đúng chỗ đó: ngoài mật khẩu, người đăng nhập phải nhập thêm một mã chỉ có trên điện thoại của chủ tài khoản. Bài này không nói lại các nguyên tắc bảo mật chung, mà tập trung vào một việc: bật xác thực hai lớp cho trang quản trị sao cho an toàn mà không tự khóa mình ở ngoài.
Xác thực hai lớp hoạt động thế nào
"Hai lớp" nghĩa là hai thứ khác loại nhau: một thứ bạn biết (mật khẩu) và một thứ bạn có (điện thoại, khóa bảo mật). Kẻ gian lấy được mật khẩu qua một trang giả mạo vẫn không đăng nhập được nếu không cầm điện thoại của bạn. Đó là lý do các dịch vụ lớn như ngân hàng, email đều khuyến khích bật.
Chọn loại mã nào: SMS, email hay ứng dụng xác thực
Tùy hệ thống quản trị mà có một hoặc nhiều lựa chọn. So sánh nhanh:
Mã qua tin nhắn SMS
Dễ dùng nhất, ai cũng quen. Điểm yếu: phụ thuộc sóng điện thoại và sim; nếu sim bị chiếm hoặc bạn đổi số mà quên cập nhật thì mất đường vào.
Mã qua email
Tiện nhưng chỉ an toàn khi chính hộp thư đó được bảo vệ tốt. Nếu email và trang quản trị dùng cùng một mật khẩu, lớp thứ hai gần như vô nghĩa.
Ứng dụng xác thực trên điện thoại
Các ứng dụng như Google Authenticator hay Microsoft Authenticator tạo mã 6 số đổi sau mỗi khoảng thời gian ngắn, không cần sóng điện thoại. Đây thường là lựa chọn cân bằng nhất cho cửa hàng, doanh nghiệp nhỏ. Một số hệ thống còn hỗ trợ khóa bảo mật vật lý hoặc passkey; nếu có, đó là lựa chọn mạnh hơn nữa.
Các bước bật cho trang quản trị
Màn hình mỗi hệ thống khác nhau, nhưng trình tự gần như giống nhau:
- Đổi mật khẩu trước. Bật 2FA trên một mật khẩu yếu vẫn tốt hơn không, nhưng nên làm cả hai.
- Vào phần tài khoản hoặc bảo mật trong trang quản trị, tìm mục "Xác thực hai lớp" / "Two-factor".
- Quét mã QR bằng ứng dụng xác thực. Mã QR này là "chìa khóa gốc": đừng chụp màn hình lưu lại, đừng gửi cho ai.
- Nhập mã thử để xác nhận ứng dụng đã khớp.
- Lưu mã dự phòng (recovery code) mà hệ thống cung cấp. Đây là bước hay bị bỏ qua nhất.
- Đăng xuất và đăng nhập lại ngay để chắc chắn mọi thứ chạy, khi vẫn còn đang ngồi trước máy.
Nếu trang quản trị của bạn không có mục này, hãy hỏi đơn vị làm website xem hệ thống có hỗ trợ không, hoặc có cách bảo vệ thay thế nào (giới hạn số lần đăng nhập sai, thông báo khi có đăng nhập mới).
Mã dự phòng: cất ở đâu cho đúng
Mã dự phòng dùng khi bạn mất hoặc đổi điện thoại. Cất sai chỗ thì hoặc mất luôn, hoặc ai cũng lấy được. Gợi ý:
- In ra giấy, cất cùng giấy tờ quan trọng của cửa hàng.
- Hoặc lưu trong trình quản lý mật khẩu có khóa riêng.
- Không lưu trong ghi chú điện thoại, không gửi vào nhóm Zalo, không dán lên màn hình.
Khi nhiều người cùng quản trị
Lỗi phổ biến nhất ở cửa hàng nhỏ là cả chủ, nhân viên và thợ web dùng chung một tài khoản. Khi đó, bật 2FA sẽ gây rối: mã nằm trên điện thoại một người, người khác phải nhắn xin mã mỗi lần đăng nhập, và mã bị gửi qua lại trên tin nhắn. Cách đúng là mỗi người một tài khoản, mỗi người tự bật 2FA trên điện thoại của mình, và quyền hạn chỉ vừa đủ cho việc họ làm. Khi nhân viên nghỉ việc, chỉ cần khóa tài khoản của người đó. Bạn có thể đọc thêm về cách phân quyền khi nhiều người cùng quản trị website.
Mất điện thoại thì làm gì
- Dùng mã dự phòng để đăng nhập.
- Tắt 2FA cũ, bật lại trên điện thoại mới, lấy bộ mã dự phòng mới.
- Đổi mật khẩu, kiểm tra danh sách tài khoản quản trị xem có ai lạ không.
- Nếu không còn mã dự phòng: liên hệ đơn vị quản lý hosting hoặc đơn vị làm web để xác minh chủ sở hữu và mở lại. Việc này mất thời gian, nên hãy giữ mã dự phòng cẩn thận ngay từ đầu.
Khách hàng làm website với WebCut được bàn giao trang quản trị tiếng Việt kèm hướng dẫn; xem thêm ở trang dịch vụ website cho doanh nghiệp tại Quảng Ngãi.
Chưa chắc trang quản trị của mình đã an toàn? Nhắn Zalo 0947805184 hoặc gọi 0947588971, mô tả cách bạn đang đăng nhập để được gợi ý bước cần làm.
Câu hỏi thường gặp
Bật xác thực hai lớp có làm đăng nhập phiền hơn không?
Thêm vài giây mỗi lần. Nhiều hệ thống cho phép ghi nhớ thiết bị quen trong một thời gian, nên không phải nhập mã liên tục.
Website nhỏ ít người biết có cần bật không?
Cần. Các công cụ dò mật khẩu tự động không chọn website lớn hay nhỏ; chúng thử trên mọi trang đăng nhập tìm thấy.
Có nên bật 2FA cho cả email và tài khoản tên miền không?
Nên, và nên làm trước tiên. Ai chiếm được email hoặc tài khoản tên miền thì có thể lấy lại quyền mọi thứ khác.
Nhờ người khác sửa web thì đưa mã thế nào?
Không đưa mã. Tạo tài khoản riêng cho người đó với quyền vừa đủ và khóa lại khi xong việc. Tuyệt đối không gửi mật khẩu qua tin nhắn. Nếu chưa biết cách tạo tài khoản phụ, bạn có thể hỏi qua trang liên hệ của WebCut.
