Trả lời nhanh: quản lý tài khoản WordPress nên theo nguyên tắc mỗi người một tài khoản, chỉ cấp quyền cần cho công việc, hạn chế Administrator, rà quyền định kỳ và thu hồi ngay khi nhân sự hoặc nhà cung cấp rời dự án. Doanh nghiệp cũng cần biết ai đang giữ quyền với domain, hosting, Analytics và các dịch vụ liên quan.
Phân quyền là một lớp quan trọng của quản trị website. WordPress dùng Roles (vai trò) và Capabilities (các quyền cụ thể) để xác định người dùng được làm gì. Vì vậy không phải mọi tài khoản nội bộ đều cần quyền Administrator.
Các vai trò WordPress dùng để làm gì?
| Vai trò | Phạm vi điển hình | Khi phù hợp |
|---|---|---|
| Administrator | Quản trị website và nhiều thiết lập hệ thống | Chủ website hoặc quản trị kỹ thuật được ủy quyền |
| Editor | Quản lý và xuất bản nội dung của nhiều tác giả | Người phụ trách nội dung |
| Author | Viết và xuất bản nội dung của chính mình | Tác giả có quyền tự xuất bản |
| Contributor | Viết và chỉnh nội dung của mình nhưng không tự xuất bản | Tác giả cần người khác duyệt |
| Subscriber | Quản lý hồ sơ và quyền cơ bản | Người dùng đăng nhập không cần biên tập |
Plugin hoặc hệ thống tùy biến có thể tạo thêm vai trò và quyền riêng. Vì vậy khi kiểm tra phân quyền, cần xem cấu hình thực tế thay vì chỉ nhìn tên vai trò.
Nguyên tắc cấp quyền tối thiểu
- Mỗi người dùng một tài khoản riêng; không chia sẻ chung tài khoản quản trị.
- Chỉ cấp những quyền cần để hoàn thành nhiệm vụ.
- Tách quyền viết/xuất bản nội dung khỏi quyền cài hoặc cập nhật plugin nếu không cần.
- Nhà cung cấp chỉ giữ quyền trong thời gian và phạm vi hợp đồng.
- Tài khoản ở môi trường thử nghiệm không nên tự động có quyền trên website đang hoạt động.
- Mọi quyền cao cần có người phê duyệt và lý do rõ.
Danh sách quyền truy cập nên ghi những gì?
| Trường | Ví dụ |
|---|---|
| Người/đơn vị | Nhân sự, agency, developer |
| Hệ thống | WordPress, hosting, domain, CDN, GA4, GSC |
| Vai trò/quyền | Editor, Administrator, quyền thanh toán |
| Mục đích | Nội dung, bảo trì, đo lường |
| Ngày cấp | Ngày bắt đầu |
| Ngày kiểm tra lại/thu hồi | Ngày dự kiến |
| Người phê duyệt | Chủ doanh nghiệp hoặc người phụ trách kỹ thuật |
Danh sách này nên bao phủ cả những tài khoản ngoài WordPress. Website có thể an toàn trong wp-admin nhưng vẫn phụ thuộc bên ngoài nếu domain, hosting hoặc email quản trị không thuộc doanh nghiệp.
Khi nào thực sự cần quyền Administrator?
- Cài hoặc cập nhật plugin/theme theo kế hoạch đã duyệt.
- Quản lý thiết lập hệ thống mà vai trò thấp hơn không có quyền.
- Chẩn đoán sự cố cần quyền quản trị.
- Thiết lập tài khoản và vai trò theo quy tắc đã thống nhất.
Không nên dùng Administrator như lựa chọn mặc định cho tiện. WordPress.org liệt kê nhiều quyền hệ thống của Administrator trên single-site, gồm cập nhật core, plugin và theme; thao tác sai ở các khu vực này có thể ảnh hưởng toàn website.
Quy trình cấp quyền cho nhân sự hoặc nhà cung cấp
- Xác định người dùng, vai trò và nhiệm vụ.
- Tạo tài khoản riêng bằng email được kiểm soát.
- Chọn vai trò thấp nhất vẫn đáp ứng công việc.
- Bật biện pháp bảo vệ bổ sung như xác thực nhiều bước nếu hệ thống hỗ trợ.
- Ghi tài khoản vào danh sách quyền truy cập.
- Kiểm tra: người dùng làm được việc cần làm nhưng không thấy chức năng ngoài phạm vi.
- Đặt ngày rà lại nếu quyền chỉ cần tạm thời.
Ví dụ nghiệm thu việc thu hồi quyền sau khi nhà cung cấp kết thúc công việc
Tình huống minh họa: một nhà cung cấp từng được cấp quyền quản trị WordPress trong giai đoạn bảo trì. Khi kết thúc, doanh nghiệp cần kiểm tra cả quyền WordPress lẫn các điểm truy cập liên quan; việc xóa một tài khoản wp-admin không tự bảo đảm mọi quyền bên ngoài đã hết.
| Điểm truy cập | Việc thực hiện có kiểm soát | Bằng chứng hoàn tất |
|---|---|---|
| WordPress | Xác định nội dung do tài khoản sở hữu, gán lại khi cần rồi thu hồi tài khoản theo quy trình | Danh sách user sau thu hồi; thử đúng vai trò được giữ lại |
| Hosting, domain, CDN | Kiểm tra tài khoản phụ, key/token riêng và quyền DNS hoặc triển khai | Danh sách người/ứng dụng còn được quyền truy cập |
| Ứng dụng/API và tự động hóa | Thu hồi hoặc luân chuyển credential đã cấp riêng; kiểm tra lịch tác vụ | Kết quả kiểm thử các tích hợp hợp lệ sau đổi quyền |
| Bàn giao và ghi nhận | Người quản trị xác nhận tác vụ/phiên đang chạy, chuyển quyền đúng người | Phiếu bàn giao không chứa mật khẩu hay token |
Chỉ luân chuyển thông tin xác thực ở phạm vi cần thiết và có phương án phục hồi tích hợp, tránh vô tình làm gián đoạn thanh toán hoặc gửi email. Không chia sẻ mật khẩu dùng chung; khi có dấu hiệu bị lộ, cần đánh giá sự cố và xử lý nhanh theo mức rủi ro.
Quy trình thu hồi quyền khi rời dự án
- Khóa hoặc thu hồi tài khoản WordPress không còn cần thiết.
- Kiểm tra quyền sở hữu bài viết trước khi xóa người dùng.
- Thu hồi hosting, domain, CDN, Analytics, GSC và license liên quan nếu có.
- Đổi khóa API hoặc thông tin dùng chung mà người rời dự án từng biết.
- Kiểm tra email quản trị và thông tin khôi phục tài khoản.
- Rà tác vụ tự động hoặc kết nối đang dùng thông tin đăng nhập cũ.
- Ghi thời điểm thu hồi và người xác nhận.
Trước khi xóa người dùng WordPress, cần xác nhận cách xử lý nội dung của họ để không làm mất bài hoặc gán sai tác giả.
Rà quyền định kỳ nên kiểm gì?
- Tài khoản lâu không đăng nhập nhưng vẫn có quyền cao.
- Tài khoản nhà cung cấp có hợp đồng đã kết thúc.
- Administrator không còn lý do giữ quyền.
- Email tài khoản không còn thuộc người đang làm việc.
- Tài khoản thử nghiệm hoặc gỡ lỗi còn tồn tại trên website đang hoạt động.
- Vai trò do plugin cũ tạo nhưng plugin đã ngừng dùng.
- Người đang kiểm soát email quản trị, domain và hosting còn chính xác.
Đưa bước này vào checklist bảo trì WordPress để tránh quyền truy cập tồn tại lâu chỉ vì không ai nhớ rà lại.
Phân quyền liên quan cập nhật WordPress thế nào?
Người có quyền cập nhật plugin/theme cần hiểu thời điểm triển khai, bản sao lưu và cách quay lại phiên bản trước nếu lỗi. Nếu đội nội dung chỉ cần viết và duyệt bài, không có lý do mặc định họ phải giữ quyền cập nhật hệ thống. Xem quy trình cập nhật WordPress an toàn để tách quyền thay đổi hệ thống khỏi quy trình xuất bản.
Sai lầm phân quyền thường gặp
- Mọi nhân sự dùng chung một tài khoản Administrator.
- Agency cũ vẫn giữ tài khoản sau khi hợp đồng kết thúc.
- Xóa người dùng mà không xử lý quyền sở hữu nội dung.
- Dùng email cá nhân của nhà cung cấp làm email quản trị chính.
- Cho người viết quyền cài plugin chỉ để tiện.
- Không có danh sách ai đang giữ quyền domain/hosting.
- Không kiểm lại khóa API hoặc kết nối sau khi thu hồi quyền.
Kết luận
Phân quyền WordPress tốt là giảm quyền dư thừa nhưng vẫn giúp đội ngũ làm đúng việc. Hãy dùng tài khoản riêng, cấp quyền theo nhiệm vụ, duy trì danh sách quyền truy cập và rà định kỳ; đặc biệt kiểm soát Administrator, domain, hosting và quyền của nhà cung cấp.
Nguồn chính thức: WordPress Roles and Capabilities; Users screen; Settings General.
