Phân quyền người dùng WordPress: vai trò nào cho ai để website an toàn, dễ quản lý

Nhiều doanh nghiệp dùng chung một tài khoản quản trị cho cả giám đốc, nhân viên marketing, cộng tác viên viết bài và đơn vị làm web. Khi có sự cố như bài bị xoá, giao diện bị đổi, thậm chí website bị tấn công, không ai biết ai đã làm gì. Phân quyền đúng giúp website an toàn và dễ quản lý hơn rất nhiều.

Bài viết giải thích các vai trò trong WordPress và cách giao quyền hợp lý.

Các vai trò mặc định

Vai trò	Quyền chính	Phù hợp
Quản trị viên	Toàn quyền: cài plugin, đổi giao diện, quản lý người dùng	Chủ doanh nghiệp, người kỹ thuật tin cậy
Biên tập viên	Quản lý, đăng, sửa mọi bài viết, trang	Trưởng nhóm nội dung
Tác giả	Viết, đăng, sửa bài của mình	Nhân viên viết bài
Cộng tác viên	Viết bài nháp, không tự đăng	Cộng tác viên bên ngoài
Thành viên	Chỉ quản lý hồ sơ cá nhân	Khách đăng ký

WooCommerce thêm vai trò Quản lý cửa hàng: quản lý sản phẩm, đơn hàng, không can thiệp cài đặt hệ thống.

Nguyên tắc quyền tối thiểu

Mỗi người chỉ có quyền vừa đủ để làm việc của mình. Nhân viên viết bài không cần quyền cài plugin; nhân viên xử lý đơn không cần sửa giao diện. Càng ít tài khoản quản trị viên, nguy cơ bị chiếm quyền càng thấp.

Mỗi người một tài khoản

Không dùng chung tài khoản. Tài khoản riêng giúp biết ai đăng bài, ai sửa gì, dễ thu hồi quyền khi người đó nghỉ việc mà không phải đổi mật khẩu cho tất cả.

Giao quyền cho agency, đơn vị kỹ thuật

Đơn vị làm web, quản trị có thể cần quyền quản trị viên trong thời gian làm việc. Tạo tài khoản riêng cho họ, không đưa tài khoản của chủ doanh nghiệp. Khi kết thúc hợp đồng, xoá hoặc hạ quyền tài khoản đó. Chủ doanh nghiệp luôn giữ ít nhất một tài khoản quản trị viên của riêng mình. Xem bàn giao mã nguồn website.

Bảo mật tài khoản

• Mật khẩu mạnh, khác nhau cho từng người.
• Xác thực hai lớp cho quản trị viên, biên tập viên.
• Giới hạn số lần đăng nhập sai.
• Không dùng tên đăng nhập “admin”.
• Email tài khoản là email công ty còn hoạt động.

Vai trò tuỳ chỉnh

Nếu vai trò mặc định chưa phù hợp, có thể dùng plugin quản lý vai trò để tạo vai trò riêng, ví dụ “Nhân viên SEO” chỉ được sửa bài và cài đặt SEO, hoặc “Nhân viên kho” chỉ cập nhật tồn kho. Cần cẩn thận để không vô tình cấp quyền quá rộng.

Rà soát định kỳ

Mỗi quý, xem danh sách người dùng: ai còn làm việc, ai đã nghỉ, ai có quyền cao hơn cần thiết. Xoá tài khoản không dùng (chuyển bài viết của họ cho người khác), hạ quyền khi cần. Nhật ký hoạt động giúp phát hiện thao tác bất thường.

Ví dụ công ty thương mại

Một công ty thương mại có tám người cùng dùng một tài khoản quản trị. Sau khi một plugin lạ bị cài và website chèn quảng cáo, họ phân quyền lại: giám đốc và đơn vị quản trị là quản trị viên, trưởng phòng marketing là biên tập viên, ba nhân viên là tác giả, hai nhân viên bán hàng là quản lý cửa hàng. Bật xác thực hai lớp và nhật ký hoạt động. Từ đó không còn thay đổi không rõ nguồn gốc.

Sai lầm thường gặp

• Dùng chung tài khoản quản trị.
• Giao quyền quản trị viên cho mọi người cho tiện.
• Không xoá tài khoản người đã nghỉ.
• Agency giữ tài khoản duy nhất, chủ doanh nghiệp không có quyền.
• Email tài khoản là email cá nhân của nhân viên cũ.

Kế hoạch áp dụng

1. Liệt kê người cần truy cập và công việc của họ.
2. Tạo tài khoản riêng, giao vai trò phù hợp.
3. Bật xác thực hai lớp, giới hạn đăng nhập.
4. Xoá tài khoản dùng chung, tài khoản cũ.
5. Lên lịch rà soát hằng quý.

Đo lường hiệu quả

Theo dõi số tài khoản quản trị viên, số sự cố do thao tác nhầm, cảnh báo đăng nhập bất thường.

Findme hỗ trợ gì?

Findme thiết lập phân quyền, bảo mật đăng nhập và rà soát tài khoản định kỳ trong dịch vụ quản trị website.

Lời kết

Phân quyền đúng là lớp bảo vệ đơn giản mà hiệu quả. Đúng người, đúng việc, đúng quyền giúp website an toàn và đội ngũ làm việc rõ ràng hơn.

Quyền cho website bán hàng

Website WooCommerce có nhiều người tham gia vận hành: nhân viên tư vấn xem đơn, nhân viên kho cập nhật tồn kho, kế toán xuất báo cáo, marketing tạo mã giảm giá. Vai trò Quản lý cửa hàng có quyền khá rộng với sản phẩm và đơn hàng, nên chỉ giao cho người phụ trách chính. Những người chỉ cần xem đơn hoặc cập nhật tồn kho có thể dùng vai trò tuỳ chỉnh hẹp hơn.

Quyền truy cập hosting và tên miền

Phân quyền không chỉ trong WordPress. Tài khoản hosting, tên miền, email, Google Analytics, Search Console cũng cần được quản lý tương tự: chủ doanh nghiệp giữ tài khoản chủ sở hữu, nhân viên và đối tác được cấp quyền riêng có thể thu hồi. Mất quyền tên miền hoặc hosting nguy hiểm hơn nhiều so với mất một tài khoản biên tập.

Quy trình khi nhân viên nghỉ việc

Lập danh sách kiểm tra khi nhân sự nghỉ: xoá hoặc hạ quyền tài khoản website, chuyển bài viết sang người khác, đổi mật khẩu các tài khoản dùng chung còn sót, gỡ quyền trên các công cụ phân tích và quảng cáo. Thực hiện ngay ngày cuối làm việc để tránh rủi ro.

Đào tạo người dùng

Giao quyền xong cần hướng dẫn: mỗi vai trò làm được gì, quy trình viết – duyệt – đăng ra sao, cách báo khi gặp lỗi. Người dùng hiểu rõ phạm vi của mình sẽ ít thao tác nhầm và phối hợp trơn tru hơn.

Câu hỏi thường gặp

Nên có bao nhiêu quản trị viên?
Càng ít càng tốt, thường 1–2 người.

Xoá tài khoản có mất bài viết không?
WordPress cho chuyển bài sang người khác khi xoá.

Cộng tác viên có đăng bài được không?
Không, cần biên tập viên duyệt.

Có xem được ai sửa gì không?
Có, với plugin nhật ký hoạt động.