Quyền Administrator trong WordPress cho phép thay đổi sâu vào website: cài plugin, đổi theme, chỉnh cấu hình, tạo user và tác động tới nội dung. Vì vậy doanh nghiệp không nên coi admin là quyền mặc định cho mọi người cần “vào quản trị”.
Tóm tắt: Chỉ cấp Administrator cho người thực sự cần quản trị hệ thống. Tách tài khoản theo cá nhân, bật 2FA, dùng role thấp hơn cho công việc biên tập, rà quyền định kỳ, thu hồi ngay khi nhân sự/agency thay đổi và theo dõi việc tạo admin hoặc thay đổi role bất thường.
Administrator trong WordPress có thể làm gì?
Trên một site WordPress thông thường, Administrator có phạm vi quyền rất rộng đối với plugin, theme, user, settings và nội dung. Vì vậy một tài khoản admin bị chiếm hoặc bị sử dụng sai có thể tạo ảnh hưởng lớn hơn nhiều so với tài khoản chỉ biên tập nội dung.
Ai thực sự cần quyền admin?
| Vai trò công việc | Quyền nên cân nhắc |
|---|---|
| Người quản trị kỹ thuật WordPress | Administrator nếu thực sự phải quản plugin/theme/settings/user |
| Content editor | Editor hoặc custom role |
| SEO/content agency | Role đủ cho nội dung/SEO plugin, không mặc định Administrator |
| Developer theo dự án | Tài khoản riêng, quyền và thời hạn phù hợp, ưu tiên staging |
| Nhân sự marketing | Editor/custom role theo nhu cầu |
Nguyên tắc chung là least privilege: cấp đủ quyền để làm việc, không cấp thêm “cho tiện”. Với nhiều hệ thống và role, xem RBAC và phân quyền theo vai trò.
Không dùng chung một tài khoản admin
Mỗi người nên có user riêng để có thể thu hồi quyền, theo dõi thay đổi và xác định ai thực hiện hành động. Tài khoản chung làm mất khả năng quy trách nhiệm và khiến offboarding khó hơn.
Bật 2FA cho admin
Admin là nhóm nên ưu tiên 2FA trước. Đồng thời phải bảo vệ email recovery, hosting, DNS và các tài khoản có thể reset hoặc thay đổi website.
Xem 2FA cho WordPress có thực sự cần thiết?
Quy trình cấp quyền admin mới
- Xác định lý do cần admin và thời hạn.
- Tạo tài khoản cá nhân với email công việc phù hợp.
- Bật 2FA và kiểm tra recovery.
- Ghi owner/phê duyệt trong ticket hoặc asset register.
- Chỉ cấp trên production nếu công việc thực sự cần.
- Kiểm tra lại quyền sau khi công việc hoàn tất.
Offboarding: khi nhân sự hoặc agency nghỉ
- Thu hồi hoặc hạ role WordPress.
- Đăng xuất phiên còn hoạt động khi cần.
- Thu hồi application password/API credential liên quan.
- Thu hồi hosting, DNS, CDN, repository và backup console.
- Chuyển ownership tài liệu/license.
- Kiểm tra user hoặc integration do người đó tạo.
Đừng chỉ xóa WordPress user nếu người đó vẫn còn quyền ở hosting hoặc email. Dùng checklist quyền kiểm soát website để rà đủ các lớp.
Bao lâu nên review quyền admin?
Không có chu kỳ cố định cho mọi doanh nghiệp. Nên rà theo trigger như nhân sự thay đổi, agency kết thúc hợp đồng, sự cố bảo mật, chuyển hosting hoặc khi phát hiện tài khoản không rõ owner; ngoài ra thiết lập một chu kỳ định kỳ phù hợp mức rủi ro.
Dấu hiệu cần điều tra ngay
- Admin mới không có ticket/phê duyệt.
- Role của user bị nâng lên bất thường.
- Email admin bị thay đổi.
- Plugin/theme lạ được cài.
- Application password mới không rõ mục đích.
- Login từ nguồn hoặc thời điểm bất thường kết hợp hành vi nhạy cảm.
Các tín hiệu này nên được đưa vào Website Security Monitoring.
Admin WordPress và Application Password
Integration không nên nhận mật khẩu chính của admin nếu có thể dùng credential riêng. Application Password của WordPress được thiết kế để cấp credential cho ứng dụng và có thể revoke độc lập. Cần đặt tên rõ mục đích và thu hồi khi integration không còn dùng.
Checklist quản lý admin an toàn
- Danh sách admin có owner rõ.
- Không dùng chung tài khoản.
- 2FA cho admin.
- Role thấp hơn cho content/marketing.
- Tài khoản tạm có thời hạn.
- Application Password được kiểm kê.
- Review quyền và offboarding có quy trình.
- Monitoring cho admin mới/role change/login bất thường.
- Backup và rollback trước thay đổi lớn.
Đặt checklist này trong checklist bảo mật WordPress cho doanh nghiệp để không tách quản lý admin khỏi cập nhật, backup, WAF và incident response.
Kết luận
Quyền admin WordPress nên được xem như quyền đặc quyền, không phải quyền tiện dụng. Tài khoản cá nhân, 2FA, least privilege, offboarding và monitoring giúp doanh nghiệp giảm quyền thừa và dễ điều tra khi có sự cố.
Nguồn tham khảo
Đọc tiếp về Security Operations
Quản lý admin là lớp access governance. Với API key, SMTP, webhook secret và Application Password của integration, xem Secrets & API Key Management cho website. Toàn bộ vòng ownership → access → secrets → vulnerability → monitoring → incident được tổ chức trong Website Security Operations.
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.
