Ai thực sự sở hữu website? Checklist quyền kiểm soát domain, hosting, source code và tài khoản

Câu “website có thuộc doanh nghiệp không?” thường bị trả lời quá đơn giản. Trên thực tế cần tách ít nhất bốn lớp: quyền kiểm soát kỹ thuật, quyền sở hữu tài khoản, quyền sử dụng/license và quyền theo hợp đồng/pháp lý.

Bài này tập trung vào việc kiểm tra quyền kiểm soát vận hành. Nó không thay thế tư vấn pháp lý về sở hữu trí tuệ hoặc điều khoản hợp đồng.

1. Domain: ai giữ registrar account?

Tên miền là lớp định tuyến quan trọng. Quyền kiểm soát nên được nhìn cùng các account phụ thuộc khác:

Hãy kiểm tra:

• registrar;
• tài khoản đăng ký;
• email recovery;
• billing;
• transfer lock;
• auth code;
• nameserver;
• ngày hết hạn.

Nếu agency là người duy nhất truy cập registrar account, doanh nghiệp có operational dependency cần xử lý dù hợp đồng có thể quy định quyền sở hữu theo cách khác.

2. DNS, CDN và WAF

Ngay cả khi domain đứng tên doanh nghiệp, DNS có thể nằm trong account của nhà cung cấp. Cần biết ai có thể:

• sửa record;
• đổi origin;
• thay WAF rule;
• purge cache;
• tạo redirect;
• xem log;
• mời/revoke user.

Quyền này có thể ảnh hưởng toàn bộ traffic nên không nên dùng shared credential nếu nền tảng hỗ trợ user/role riêng.

3. Hosting và server

Kiểm tra:

• billing owner;
• control panel;
• SSH/SFTP;
• database;
• backup;
• snapshot;
• quyền tạo user;
• quyền lấy dữ liệu ra khi chuyển provider.

Một website có source nhưng không có database hoặc chỉ có account giới hạn vẫn chưa có khả năng tự phục hồi đầy đủ.

4. Source code và repository

Cần phân biệt quyền kiểm soát kỹ thuật với license và quyền theo hợp đồng:

• mã nguồn thực tế đang chạy;
• repository;
• lịch sử commit;
• custom code;
• build/deploy pipeline;
• quyền sử dụng thư viện/theme/plugin bên thứ ba.

Bài checklist bàn giao website có danh sách chi tiết các hạng mục cần nhận khi bàn giao.

5. WordPress admin

Admin WordPress chỉ kiểm soát lớp ứng dụng. Hãy kiểm tra:

• số admin;
• email owner;
• MFA;
• account agency cũ;
• user không còn sử dụng;
• permission plugin;
• application password nếu có.

Với tài khoản Administrator, xem 2FA cho WordPress có thực sự cần thiết? để chuẩn hóa phương thức xác thực, recovery và thứ tự ưu tiên triển khai.

Không nên dùng một tài khoản “admin chung” cho nhiều người nếu có thể tạo user riêng và ghi nhận trách nhiệm. Khi số người dùng hoặc hệ thống tăng, nên chuẩn hóa quyền theo vai trò; xem RBAC và cách phân quyền theo vai trò để giảm quyền thừa.

6. Plugin, theme và license

Một plugin premium có thể được cài hợp lệ nhưng license thuộc tài khoản agency. Khi đổi nhà cung cấp, website có thể mất update/support.

Lập bảng:

Tài sản	Account owner	License owner	Gia hạn	Có chuyển được?
Theme
Plugin A
Plugin B
CDN
Email/SMTP

Không tự suy diễn quyền pháp lý từ việc ai đang giữ key. Hãy đối chiếu hợp đồng và điều khoản license.

7. Dữ liệu, analytics và marketing account

Website thường phụ thuộc:

• GA4;
• GTM;
• Search Console;
• Ads;
• CRM;
• email marketing;
• call tracking;
• heatmap;
• consent platform.

Tài khoản nên có owner doanh nghiệp và phân quyền agency theo vai trò khi nền tảng cho phép.

8. Email và SMTP

SMTP có thể là điểm bị bỏ quên. Nếu form gửi qua account cá nhân của developer cũ, takeover dễ làm mất lead.

Kiểm tra:

• provider;
• sender domain;
• DNS record;
• API key;
• quota;
• log;
• recovery account.

9. Tạo “Website Asset Register”

Một bảng asset register tối thiểu nên có:

• asset;
• URL/provider;
• account owner;
• technical admin;
• billing owner;
• MFA;
• recovery method;
• license/renewal;
• dependency;
• export/exit method;
• last verified date.

Bài website hoạt động như thế nào giúp hình dung các lớp domain, DNS, server, source và database cần nằm trong asset register.

10. Khi nào cần rà soát lại quyền kiểm soát?

• đổi agency;
• nhân sự IT nghỉ;
• website bị hack;
• chuyển hosting;
• mua/bán doanh nghiệp;
• thay domain/DNS;
• trước gia hạn license lớn;
• sau nhiều năm không audit.

Nếu phát hiện tài khoản quan trọng không thuộc quyền kiểm soát của doanh nghiệp, đừng vội revoke hoặc chuyển toàn bộ trong một lần. Hãy lập kế hoạch takeover, backup và xác minh dependency trước.

“Website thuộc về ai?” không phải chỉ là câu hỏi pháp lý. Trong vận hành hằng ngày, câu hỏi thực tế là: doanh nghiệp có đủ quyền và dữ liệu để duy trì, phục hồi và chuyển nhà cung cấp mà không bị khóa hay không?

Đọc thêm trong cụm Managed Website: Tiếp nhận website từ agency cũ; SLA vận hành website; Dịch vụ quản trị và vận hành website.