Nghiệm thu website sau bàn giao: Checklist quyền, chức năng và SEO

Ma trận nghiệm thu tổng quan

Nhóm	Bằng chứng cần có	Người xác nhận
Quyền sở hữu	Tài khoản, domain, hosting, CMS, license và dữ liệu	Doanh nghiệp
Chức năng	Kịch bản test, ảnh/video lỗi và kết quả end-to-end	Product/operation owner
Giao diện	Desktop, mobile, browser và accessibility checks	Design/QA
SEO kỹ thuật	Status, robots, canonical, sitemap, render và links	SEO/developer
Dữ liệu	Event, consent, analytics và CRM mapping	Marketing/data owner
Vận hành	Backup, restore, SLA, tài liệu và rollback	Admin/IT owner

Trước khi test, hãy đối chiếu với hợp đồng, sitemap, prototype và danh sách chức năng đã duyệt. Một lỗi ngoài scope vẫn cần được ghi nhận, nhưng không nên tự động biến thành lỗi bảo hành.

1. Quyền sở hữu và tài khoản

• Domain đứng tên doanh nghiệp hoặc tài khoản do doanh nghiệp kiểm soát.
• Hosting, CDN, email, CMS và tài khoản thanh toán có owner rõ.
• Mỗi người dùng có tài khoản riêng; không chia sẻ một mật khẩu quản trị.
• Quyền được cấp theo nguyên tắc tối thiểu cần thiết.
• MFA được bật khi nền tảng hỗ trợ.
• Plugin, theme, font, ảnh và dịch vụ bên thứ ba có license hợp lệ.
• Có danh sách vendor, ngày gia hạn và đầu mối hỗ trợ.

Không cần cấp “quyền cao nhất” cho mọi người. Doanh nghiệp cần có ít nhất một tài khoản chủ sở hữu hoặc quản trị phù hợp để không bị phụ thuộc nhà cung cấp, đồng thời vẫn kiểm soát rủi ro truy cập.

2. Backup và khả năng khôi phục

• Xác định phần được backup: database, media, code, cấu hình và email nếu liên quan.
• Tần suất phù hợp tốc độ thay đổi dữ liệu.
• Bản sao không nằm duy nhất trên cùng máy chủ.
• Thời gian lưu và quyền tải bản sao rõ.
• Có một lần thử restore trên môi trường phù hợp.
• Ghi thời điểm khôi phục dự kiến và mức dữ liệu có thể mất.
• Có người chịu trách nhiệm khi backup hoặc restore thất bại.

Thông báo “backup thành công” chưa chứng minh có thể khôi phục. Hãy yêu cầu một biên bản restore test hoặc ít nhất bằng chứng file/database có thể mở và quy trình đã được thực hiện.

3. Kiểm tra chức năng end-to-end

Form và liên hệ

• Trường bắt buộc, validation và thông báo lỗi rõ.
• Thông báo thành công chỉ xuất hiện khi dữ liệu thực sự được gửi.
• Email hoặc CRM nhận đúng dữ liệu, không bị gửi trùng.
• Spam protection không chặn người dùng hợp lệ quá mức.
• Dữ liệu nhạy cảm không xuất hiện trong URL hoặc log công khai.

Thanh toán, booking hoặc đơn hàng

• Giá, thuế, phí, tồn kho và điều kiện khuyến mãi đúng.
• Thử luồng thành công, thất bại, hủy và thanh toán lại.
• Đơn hàng/booking xuất hiện trong hệ thống quản trị.
• Email, hóa đơn và trạng thái giao dịch nhất quán.
• Không tạo đơn hoặc trừ tồn kho trùng khi người dùng tải lại trang.

Tìm kiếm, tài khoản và nội dung động

• Tìm kiếm trả kết quả phù hợp và xử lý trường hợp không có kết quả.
• Đăng ký, đăng nhập, quên mật khẩu và đăng xuất hoạt động.
• Phân quyền người dùng không để lộ dữ liệu hoặc chức năng sai.
• Filter, sort và pagination giữ URL/trạng thái hợp lý.
• Nội dung động hiển thị đúng trên desktop và mobile.

4. Mobile, trình duyệt và accessibility

• Thông tin và chức năng quan trọng tương đương về ý nghĩa trên mobile.
• Menu, modal, dropdown, form và CTA dùng được bằng cảm ứng.
• Text không bị cắt, chồng hoặc quá nhỏ.
• Ảnh, video và bảng không làm tràn viewport ngoài ý muốn.
• Keyboard focus có thể nhìn thấy; thứ tự focus hợp lý.
• Form có label, thông báo lỗi và hướng dẫn rõ.
• Contrast, alt text và heading được kiểm tra theo nội dung thực tế.
• Test trên các browser/device đại diện cho người dùng mục tiêu.

Accessibility không chỉ là điểm từ một plugin. Một số lỗi chỉ xuất hiện khi dùng bàn phím, screen reader, zoom hoặc hoàn thành nhiệm vụ thật. Xem checklist website chuyên nghiệp để mở rộng phạm vi trải nghiệm và tuân thủ.

5. SEO kỹ thuật và khả năng khám phá

• URL quan trọng trả status dự kiến, thường là 200.
• Redirect không tạo vòng lặp hoặc chuỗi không cần thiết.
• Robots.txt không chặn nhầm nội dung hoặc tài nguyên cần render.
• Robots meta/X-Robots-Tag và canonical đúng với mục tiêu index.
• Sitemap chỉ chứa URL preferred, indexable và trả 200.
• Title, H1, heading, nội dung và link chính xuất hiện sau render.
• Mobile giữ nội dung, metadata, links và structured data tương đương về ý nghĩa.
• Internal links dùng URL cuối, anchor rõ và phần tử <a href>.
• Không có template tạo title, canonical hoặc schema sai diện rộng.

HTTP 200, sitemap hoặc schema validation không bảo đảm Google index hoặc hiển thị rich result. Xem checklist Technical SEO và hướng dẫn thiết kế website chuẩn SEO.

6. Hiệu suất và Core Web Vitals

Dùng dữ liệu lab để chẩn đoán và field data để theo dõi trải nghiệm thực khi có đủ dữ liệu. Không nên dùng một điểm PageSpeed cố định làm tiêu chí duy nhất, vì điểm có thể thay đổi theo thiết bị, mạng, vị trí và thời điểm.

• Kiểm tra LCP, INP và CLS theo page type quan trọng.
• Ảnh hero có kích thước và định dạng phù hợp.
• Font, CSS và JavaScript không chặn nội dung chính quá mức.
• Third-party scripts có owner và lý do kinh doanh.
• Không hy sinh chức năng hoặc accessibility chỉ để tăng điểm.
• Ghi baseline và điều kiện test để so sánh sau thay đổi.

7. Bảo mật vận hành cơ bản

• HTTPS hoạt động và không có mixed content nghiêm trọng.
• Tài khoản dùng mật khẩu mạnh, MFA và quyền tối thiểu.
• Theme, plugin, CMS và dependency có quy trình cập nhật.
• Thành phần không dùng được gỡ hoặc vô hiệu hóa.
• Log, cảnh báo và đầu mối xử lý sự cố được xác định.
• Có quy trình đổi quyền truy cập khi nhân sự/vendor rời dự án.
• Backup nằm ngoài hệ thống và đã thử khôi phục.
• Không tuyên bố “bảo mật tuyệt đối”; nêu biện pháp, phạm vi và trách nhiệm.

Bảo mật chuyên sâu như pentest, rà mã nguồn hoặc giám sát SOC cần scope riêng. Bài thiết kế website có gồm SEO, bảo trì và bảo mật không giúp phân biệt bảo hành, bảo trì và ứng cứu sự cố.

8. Tracking, consent và dữ liệu

• Analytics, tag manager, ad pixels và Search Console thuộc tài khoản doanh nghiệp.
• Event chỉ kích hoạt khi hành động thực sự xảy ra.
• Không đếm trùng form, giao dịch hoặc key event.
• UTM, source/medium và referral được kiểm tra.
• CRM nhận đúng trường và trạng thái lead.
• Consent và chính sách dữ liệu phù hợp với phạm vi triển khai.
• Có data dictionary: tên event, trigger, tham số và owner.
• Ghi rõ khoảng trống dữ liệu thay vì suy đoán.

9. Tài liệu, SLA và rollback

• Sơ đồ tài khoản, quyền và đầu mối liên hệ.
• Tài liệu cập nhật nội dung, sản phẩm, form hoặc menu.
• Danh sách plugin, license, integration và ngày gia hạn.
• Quy trình backup, restore, update và rollback.
• Thời hạn bảo hành và lỗi được bảo hành.
• Phân biệt thời gian phản hồi với thời gian xử lý.
• Điều kiện tính phí change request ngoài scope.
• Biên bản bàn giao, danh sách lỗi mở và ngày kiểm tra lại.

Mẫu nhật ký lỗi nghiệm thu

ID	URL/chức năng	Bước tái hiện	Kết quả mong đợi	Severity	Owner	Trạng thái
WEB-001	[URL hoặc chức năng]	[Các bước]	[Kết quả đúng]	P0/P1/P2/P3	[Vai trò]	Open/Fixed/Verified

Mỗi lỗi nên có bằng chứng, môi trường, thời điểm và tiêu chí đóng. “Không đẹp” hoặc “chưa ổn” khó xử lý nếu không mô tả nhiệm vụ và kết quả mong đợi.

Chấp nhận, chấp nhận có điều kiện hay từ chối?

Quyết định	Điều kiện tham khảo
Chấp nhận	Tiêu chí chính đạt; lỗi nhỏ có owner và không cản vận hành
Chấp nhận có điều kiện	Còn lỗi đã ghi, có deadline, giữ lại thanh toán hoặc biện pháp bảo đảm theo hợp đồng
Từ chối bàn giao	Lỗi nghiêm trọng về quyền, dữ liệu, thanh toán, bảo mật hoặc chức năng cốt lõi

Quyết định cuối cùng phải dựa trên hợp đồng và mức ảnh hưởng thực tế. Không nên trì hoãn toàn bộ dự án vì lỗi thẩm mỹ nhỏ, nhưng cũng không nên ký nghiệm thu khi chưa giữ quyền hoặc chưa thể khôi phục dữ liệu.

Câu hỏi thường gặp

Có cần test mọi trình duyệt và thiết bị?

Không thể test mọi cấu hình. Hãy chọn browser, thiết bị và kích thước đại diện từ audience, dữ liệu hiện có và phạm vi hợp đồng.

Điểm PageSpeed bao nhiêu mới đạt?

Không có một điểm chung cho mọi website. Nên dùng Core Web Vitals, task completion, lỗi chức năng và baseline đã chốt thay vì chỉ một điểm lab.

Ai nên ký biên bản nghiệm thu?

Người có thẩm quyền kinh doanh nên ký, dựa trên xác nhận của owner kỹ thuật, nội dung, dữ liệu và vận hành theo phạm vi dự án.

Sau khi ký nghiệm thu, doanh nghiệp chuyển từ kiểm tra bàn giao sang vận hành liên tục. Xem Quản trị website là gì? Checklist vận hành sau bàn giao để thiết lập owner, quyền truy cập, backup, lịch update, changelog và rollback.

Kết luận

Nghiệm thu website là kiểm tra khả năng sở hữu và vận hành, không chỉ xem giao diện. Hãy dùng test case, bằng chứng, owner và tiêu chí đóng lỗi; giữ tài khoản, backup và tài liệu trước khi ký bàn giao cuối.

Nếu đang ở giai đoạn chọn phạm vi triển khai trước khi ký hợp đồng hoặc bàn giao, xem dịch vụ thiết kế website tại TP.HCM để đối chiếu đầu ra, quy trình, quyền sở hữu và tiêu chí nghiệm thu.

---

Nguồn tham khảo: Google Core Web Vitals; Google SEO Starter Guide; WCAG 2.2 Quick Reference; Updating WordPress; CISA Secure by Design.