WordPress đang chạy phần lớn website doanh nghiệp vừa và nhỏ tại Việt Nam — và cũng là nền tảng có nhiều điểm thu thập dữ liệu cá nhân “mặc định” mà chủ website ít khi để ý: comment, form liên hệ có sẵn trong theme, plugin thành viên, cookie đăng nhập. Bài viết liệt kê cụ thể những gì cần kiểm tra và điều chỉnh.
📌 Trả lời nhanh: Website WordPress cần: (1) plugin Consent Management (CMP) có tính năng Script Blocking thực sự, (2) tắt/ẩn danh hóa comment IP logging mặc định, (3) thêm checkbox đồng ý vào mọi form (Contact Form 7, WPForms, Gravity Forms…), (4) cấu hình WooCommerce/plugin thành viên hiển thị đúng Chính sách Bảo mật, (5) đảm bảo backup không public trên internet.
5 điểm WordPress cần kiểm tra và điều chỉnh
1. Plugin Consent Management (CMP)
Không nên tự code cookie consent từ đầu (như kỹ thuật ở Cookie Consent Banner Đúng Luật: 5 Bước Cài Đặt Cho WordPress & Web Code) nếu không có đội dev riêng — dùng plugin CMP có sẵn nhanh hơn nhiều, miễn chọn đúng loại có Script Blocking thực sự, không chỉ hiển thị banner hình thức.
| Plugin | Có Script Blocking? | Ghi chú |
|---|---|---|
| CookieYes | Có | Free tier đủ dùng cho website nhỏ |
| Complianz | Có | Tích hợp tốt với Google Consent Mode v2 |
| GDPR Cookie Consent (WebToffee) | Có (bản trả phí) | Bản free chỉ hiển thị banner, chưa chặn script |
| Cookie Notice (đời cũ, nhiều theme tích hợp sẵn) | Không | Chỉ hiển thị thông báo, không chặn — cần thay thế ngay nếu đang dùng |
Cách kiểm tra nhanh: vào Developer Tools, xóa cookie, tải lại trang, xem tab Network có request tới google-analytics.com hay facebook.com trước khi bấm nút đồng ý không. Nếu có → plugin đang dùng chưa đạt chuẩn.
Lưu ý cho website phục vụ cả khách hàng Mỹ: nếu doanh nghiệp của bạn (hoặc khách hàng agency bạn đang làm) có website nhắm thị trường Mỹ, cần phân biệt rõ 2 mô hình consent khác nhau. Luật Việt Nam (Nghị định 356/2025) yêu cầu opt-in — mặc định từ chối, phải có hành động chủ động đồng ý trước khi cookie/script chạy. Trong khi đó luật các bang Mỹ như CCPA/TDPSA theo mô hình opt-out — mặc định cho phép, người dùng chủ động từ chối qua cơ chế “Do Not Sell/Share My Info”. Đây là 2 kiến trúc kỹ thuật khác nhau, không thể dùng chung 1 plugin cho cả 2 mà không cấu hình riêng theo từng thị trường. Với website nhắm riêng thị trường Mỹ, plugin chuyên biệt như ComplyState được xây đúng theo mô hình opt-out và các yêu cầu đặc thù của luật bang (CCPA, TDPSA…) — không nên dùng thay thế cho nhu cầu tuân thủ luật Việt Nam.
2. Comment WordPress — tắt lưu IP mặc định nếu không cần thiết
WordPress mặc định lưu địa chỉ IP của người bình luận — đây là 1 dạng dữ liệu cá nhân. Nếu website không cần chức năng này cho mục đích chống spam, cân nhắc:
// functions.php - Ẩn danh hóa IP khi lưu comment
add_filter('pre_comment_user_ip', function($ip) {
$parts = explode('.', $ip);
if (count($parts) === 4) {
$parts[3] = '0'; // Xóa octet cuối, giữ IP dạng khu vực
return implode('.', $parts);
}
return $ip;
});Nếu vẫn cần IP đầy đủ cho mục đích chống spam/bảo mật, nên nêu rõ trong Chính sách Bảo mật (Điều 1 — phạm vi thu thập) thay vì âm thầm thu thập không công khai.
3. Form plugin — thêm checkbox đồng ý
Với Contact Form 7, WPForms, Gravity Forms — hầu hết đều hỗ trợ thêm trường checkbox, nhưng mặc định không có sẵn, cần tự thêm vào từng form:
<!-- Contact Form 7 - thêm vào cuối form -->
[acceptance consent-checkbox]
Tôi đồng ý cho phép [Tên doanh nghiệp] thu thập và xử lý thông tin theo
<a href="/chinh-sach-bao-mat" target="_blank">Chính sách Bảo mật</a>.
[/acceptance]Checkbox này cần để trống mặc định (không tự động tick sẵn) và bắt buộc phải tick mới submit được — nếu để tick sẵn, đây là “đồng ý ngầm định”, không hợp lệ theo Nghị định 356/2025.
4. WooCommerce & plugin thành viên
Nếu website có WooCommerce (bán hàng) hoặc plugin quản lý thành viên:
Kiểm tra trang tài khoản khách hàng có link rõ ràng tới Chính sách Bảo mật
Rà soát email tự động (order confirmation, newsletter) có tuân thủ đúng mục đích đã khai báo không (vd nếu khách chỉ đặt hàng, không đăng ký nhận tin, thì không tự động thêm vào danh sách email marketing)
Cân nhắc plugin quản lý yêu cầu DSAR tự động (một số plugin WooCommerce Extension hỗ trợ export/xóa dữ liệu khách hàng theo yêu cầu — hữu ích để rút ngắn thời gian xử lý DSAR đã nêu ở DSAR là gì?)
5. Backup — nguyên nhân rò rỉ dữ liệu ít ai ngờ tới
Nhiều website WordPress dùng plugin backup (UpdraftPlus, All-in-One WP Migration…) lưu file backup vào thư mục /wp-content/uploads/ — nếu thư mục này không chặn truy cập trực tiếp, file backup chứa toàn bộ database (bao gồm dữ liệu khách hàng) có thể bị tải công khai qua URL trực tiếp. Kiểm tra:
# .htaccess - Chặn truy cập trực tiếp file backup trong uploads
<FilesMatch "\.(sql|zip|tar|gz)$">
Order Allow,Deny
Deny from all
</FilesMatch>Tốt hơn nữa: cấu hình plugin backup lưu trực tiếp vào cloud storage riêng (Google Drive, S3…) thay vì để trong thư mục web-accessible.
Checklist nhanh cho WordPress
☐ Plugin CMP có Script Blocking thực sự (không chỉ hiển thị banner)
☐ Comment không lưu IP đầy đủ không cần thiết, hoặc đã công khai trong chính sách
☐ Mọi form có checkbox đồng ý, không tick sẵn
☐ WooCommerce/plugin thành viên không tự ý thêm email vào danh sách marketing
☐ File backup không truy cập được trực tiếp qua URL công khai
☐ Theme/plugin cũ không còn dùng đã gỡ bỏ (giảm bề mặt tấn công)
Câu hỏi thường gặp
Có cần thay toàn bộ theme/plugin đang dùng không? Không cần thay toàn bộ — chỉ cần rà soát và điều chỉnh cấu hình theo 5 điểm trên. Phần lớn theme/plugin phổ biến đều hỗ trợ tùy chỉnh đủ để tuân thủ mà không cần đổi nền tảng.
Plugin miễn phí có đủ dùng không hay bắt buộc phải mua bản trả phí? Với website nhỏ, bản free của Complianz hoặc CookieYes thường đã đủ tính năng Script Blocking cơ bản. Doanh nghiệp lớn hơn, nhiều tích hợp phức tạp nên cân nhắc bản trả phí để có thêm tính năng quản lý DSAR, log lưu trữ consent.
WordPress.com (hosted) có khác WordPress.org (self-hosted) về vấn đề này không? WordPress.com hosted có thể giới hạn khả năng cài plugin bên thứ 3 tùy gói dịch vụ — cần kiểm tra gói đang dùng có hỗ trợ cài plugin CMP hay không. WordPress.org self-hosted có toàn quyền kiểm soát nên linh hoạt hơn.
Làm sao biết website đang dùng plugin nào để rà soát? Vào WordPress Admin → Plugins, liệt kê toàn bộ plugin đang active, đối chiếu với plugin nào liên quan trực tiếp tới thu thập dữ liệu (form, comment, thành viên, analytics, backup) để ưu tiên rà soát trước.
Nguồn tham khảo
Nghị định số 356/2025/NĐ-CP, Chương II (yêu cầu về cơ chế đồng ý và bảo vệ dữ liệu trong xử lý)
