Cách bảo vệ website bán hàng khỏi spam và bot

Website bán hàng nào cũng sớm hay muộn gặp spam: form liên hệ đầy tin quảng cáo, đơn hàng ảo, bình luận rác, hoặc bot quét liên tục làm trang chậm. Chúng không chỉ gây phiền mà còn làm bạn bỏ sót khách thật, tốn dung lượng và có thể kéo thứ hạng tìm kiếm xuống. Bài này giải thích cách chặn theo từng lớp, từ đơn giản tới nâng cao, dành cho chủ shop và người quản trị web.

Không có một công cụ nào chặn được 100%. Cách hiệu quả là kết hợp nhiều lớp nhẹ để bot khó vượt qua nhưng khách thật không bị phiền.

Nhận diện loại spam đang gặp

• Spam form: liên hệ, đăng ký nhận tin, bình luận chứa link quảng cáo.
• Đơn hàng ảo: đơn không có người thật, thông tin ngẫu nhiên hoặc lặp lại.
• Đăng ký tài khoản hàng loạt: nhiều email lạ đăng ký trong thời gian ngắn.
• Bot cào dữ liệu: tải liên tục trang sản phẩm để sao chép giá, ảnh.
• Dò mật khẩu: thử đăng nhập quản trị nhiều lần.

Xác định đúng loại giúp bạn chọn công cụ phù hợp thay vì chặn mò.

Lớp 1: Thêm CAPTCHA hoặc kiểm tra người dùng

CAPTCHA là bước kiểm tra để phân biệt người thật với bot. Hiện có các dịch vụ miễn phí hoặc dùng theo gói của Cloudflare (Turnstile), Google (reCAPTCHA), hCaptcha. Nhiều loại chỉ hiện bước kiểm tra “vô hình”, không bắt khách chọn hình.

Cách triển khai chung:

1. Tạo tài khoản tại nhà cung cấp và lấy khóa công khai (site key) và khóa bí mật (secret key).
2. Chèn mã widget vào form liên hệ, đăng ký, thanh toán.
3. Ở phía máy chủ, gọi API xác minh kết quả trước khi lưu dữ liệu. Chỉ chèn ở giao diện mà không xác minh phía máy chủ thì bot vẫn bỏ qua được.
4. Thử với cả điện thoại và trình duyệt khác để chắc khách thật vẫn gửi được.

Lớp 2: Honeypot, bẫy mà người thật không thấy

Honeypot là một ô nhập liệu ẩn trong form. Người thật không nhìn thấy nên bỏ trống, còn bot tự động điền mọi ô. Nếu ô ẩn có dữ liệu, máy chủ loại bỏ yêu cầu đó.

Ưu điểm: không làm phiền khách, dễ thêm. Nhược điểm: bot tinh vi có thể bỏ qua, vì vậy nên kết hợp thêm lớp khác. Nhiều plugin form của WordPress đã có sẵn tùy chọn này.

Lớp 3: Giới hạn tốc độ gửi

Bạn có thể cấu hình để cùng một địa chỉ IP chỉ được gửi form, đăng nhập hoặc tạo đơn một số lần nhất định trong một khoảng thời gian. Bot gửi nhanh sẽ bị chặn tạm thời, khách thật hiếm khi chạm giới hạn.

• Áp dụng chặt hơn cho form đăng nhập, quên mật khẩu, thanh toán.
• Khi vượt giới hạn, hiển thị thông báo thân thiện để khách thật biết thử lại sau.
• Dịch vụ như Cloudflare, firewall của hosting, hoặc plugin bảo mật đều có tùy chọn này.

Lớp 4: Kiểm tra dữ liệu và đơn hàng

1. Bắt buộc số điện thoại đúng định dạng và xác nhận email với đơn đầu tiên.
2. Xác nhận đơn bằng gọi hoặc nhắn tin với đơn hàng giá trị cao hoặc thanh toán khi nhận hàng lần đầu.
3. Chặn từ khóa, liên kết hay gặp trong spam ở bình luận.
4. Duyệt trước bình luận từ người dùng mới.
5. Đặt tên thông báo email tới quản trị rõ ràng để lọc nhanh đơn bất thường.

Lớp 5: Chặn bot ở tầng mạng

Với website có nhiều lượt truy cập bất thường, hãy bật các tính năng của dịch vụ CDN hoặc tường lửa web (WAF):

• Chế độ chống bot cơ bản.
• Chặn theo quốc gia hoặc dải IP nếu cửa hàng chỉ phục vụ khách trong nước, nhưng cân nhắc kỹ để không chặn nhầm khách đi nước ngoài.
• Cấu hình file robots.txt để nhắc bot lịch sự; lưu ý bot xấu thường không tuân theo.
• Bật HTTPS và luôn cập nhật hệ thống, plugin để tránh lỗ hổng bị bot khai thác.

Bảo vệ khu vực quản trị

Trang đăng nhập quản trị là mục tiêu số một của bot dò mật khẩu.

• Đặt mật khẩu dài, không dùng chung với tài khoản khác; xem cách tạo mật khẩu mạnh và bật xác thực hai bước.
• Bật xác thực hai bước cho tài khoản quản trị.
• Đổi tên tài khoản mặc định như admin.
• Giới hạn số lần đăng nhập sai.
• Sao lưu định kỳ để khôi phục khi bị tấn công.

Theo dõi và điều chỉnh

Sau khi bật các lớp bảo vệ, hãy dành vài phút mỗi tuần xem lại nhật ký: số tin spam, số đơn bị từ chối, khách thật có phàn nàn không gửi được form hay không. Nếu chặn quá tay, nới lỏng một lớp; nếu spam vẫn lọt, thêm lớp khác. Bạn có thể đối chiếu với hướng dẫn về website bán hàng cần những gì để chắc nền tảng của mình đã đủ cơ bản.

Cần hỗ trợ thêm?

Nếu website của bạn đang bị spam nặng hoặc nghi bị tấn công, đội ngũ có thể hỗ trợ kiểm tra và thiết lập bảo vệ qua dịch vụ vận hành hệ thống IT hoặc dịch vụ IT. Bạn cũng có thể gọi hotline 0943.847.333 để trao đổi.