Bảo trì website WordPress gồm những công việc gì?

Bảo trì website WordPress là tập hợp công việc định kỳ nhằm giữ website hoạt động ổn định, an toàn, có thể khôi phục và tiếp tục phục vụ người dùng. Bảo trì không chỉ là bấm cập nhật plugin; nó bao gồm backup, kiểm thử, giám sát, quản lý quyền, kiểm tra chức năng, hiệu năng, SEO và dữ liệu.

Một kế hoạch bảo trì tốt cần ghi rõ phạm vi, tần suất, người chịu trách nhiệm, tiêu chí hoàn thành và cách rollback. Những thay đổi có rủi ro nên được thử trên staging hoặc pilot trước khi áp dụng lên website đang hoạt động.

Phân biệt bảo hành, bảo trì và cải tiến

Nhóm việc	Phạm vi thường gặp
Bảo hành	Sửa lỗi thuộc phạm vi đã nghiệm thu trong thời hạn cam kết
Bảo trì	Cập nhật, backup, giám sát, kiểm tra và xử lý sự cố vận hành
Cải tiến	Thêm chức năng, thay giao diện, tối ưu funnel hoặc thay kiến trúc

Ba nhóm này có thể nằm trong cùng hợp đồng, nhưng cần được tách để tránh tranh luận khi phát sinh yêu cầu. Một chức năng mới không mặc định là lỗi bảo hành; ngược lại, lỗi do bản cập nhật thuộc phạm vi bảo trì phải có quy trình xử lý rõ.

1. Sao lưu và kiểm tra khả năng khôi phục

Backup cần bao gồm database, file tải lên, theme, plugin, cấu hình và những tài sản cần thiết để dựng lại website. Bản sao nên được lưu ở vị trí tách khỏi máy chủ chính, có lịch giữ phiên bản và được bảo vệ quyền truy cập.

• Tần suất backup phù hợp mức thay đổi dữ liệu.
• Có ít nhất một bản sao ngoài hạ tầng production.
• Kiểm tra dung lượng, trạng thái và lỗi backup.
• Thử khôi phục theo chu kỳ, không chỉ tin thông báo “thành công”.
• Ghi thời gian phục hồi dự kiến và người thực hiện.
• Không chứa khóa, mật khẩu hoặc dữ liệu nhạy cảm ở nơi không được bảo vệ.

Tài liệu bảo trì WordPress chính thức cũng nhấn mạnh việc tạo backup trước khi cập nhật. Bản sao chỉ có giá trị khi có thể dùng để khôi phục website.

2. Cập nhật WordPress core, theme và plugin

Trước mỗi đợt cập nhật, kiểm tra changelog, yêu cầu phiên bản PHP, khả năng tương thích và vấn đề đã biết. Với website quan trọng, hãy tạo snapshot và thử trên staging hoặc một nhóm URL đại diện trước.

• Loại bỏ plugin và theme không còn sử dụng.
• Chỉ dùng phần mềm từ nguồn đáng tin cậy.
• Không cập nhật hàng loạt mà không có backup và kế hoạch kiểm thử.
• Kiểm tra frontend, admin, biểu mẫu, email, API và tracking sau cập nhật.
• Ghi phiên bản trước–sau, kết quả và người phê duyệt.
• Rollback khi lỗi ảnh hưởng chức năng hoặc dữ liệu.

WordPress cung cấp tài liệu về cập nhật WordPress và tự động cập nhật theme, plugin. Auto-update có thể hữu ích, nhưng website vẫn cần owner, backup và giám sát sau thay đổi.

3. Quản lý tài khoản và quyền truy cập

• Kiểm kê administrator, editor và tài khoản tích hợp.
• Thu hồi tài khoản của nhân sự hoặc nhà cung cấp đã kết thúc.
• Dùng tài khoản riêng thay vì chia sẻ mật khẩu.
• Bật xác minh hai bước khi hệ thống hỗ trợ.
• Giới hạn quyền theo công việc thực tế.
• Kiểm tra đăng nhập bất thường và phiên đang hoạt động.

Quyền quản trị chính nên thuộc doanh nghiệp. Tài khoản kỹ thuật không nên được dùng để viết bài thường ngày, và người viết nội dung không cần quyền cài plugin.

4. Giám sát bảo mật và dấu hiệu bất thường

Bảo trì cần theo dõi thay đổi file, tài khoản mới, đăng nhập thất bại, redirect lạ, spam SEO, email bất thường và cảnh báo từ hosting hoặc Search Console. Công cụ quét chỉ là một nguồn dữ liệu; cảnh báo cần được người có chuyên môn xác minh. Để kiểm tra các biện pháp phòng ngừa ở cấp WordPress, dùng thêm checklist bảo mật WordPress.

• Website có chuyển hướng ngoài chủ đích không?
• Có trang, bài, người dùng hoặc file lạ không?
• Có thay đổi cấu hình hoặc plugin không rõ owner không?
• Có tăng đột biến lỗi 404, 5xx hoặc traffic bot không?
• Có cảnh báo malware, phishing hoặc nội dung bị hack không?

Khi có bằng chứng xâm nhập, chuyển sang quy trình incident response thay vì tiếp tục cập nhật thông thường. Xem website WordPress bị hack cần làm gì.

5. Kiểm tra uptime, lỗi máy chủ và tài nguyên

• Giám sát HTTP, thời gian phản hồi và chứng chỉ HTTPS.
• Kiểm tra CPU, RAM, disk, inode và database.
• Đọc log lỗi PHP, web server và ứng dụng.
• Theo dõi cron, queue, email và API quan trọng.
• Thiết lập cảnh báo có ngưỡng và người nhận phù hợp.
• Ghi nguyên nhân, thời gian gián đoạn và hành động khắc phục.

Uptime cao không chứng minh toàn bộ website hoạt động. Trang chủ có thể trả 200 trong khi biểu mẫu, thanh toán hoặc admin đang lỗi; vì vậy cần kiểm tra luồng chức năng.

6. Kiểm tra biểu mẫu, email và lead

Gửi biểu mẫu thử theo lịch, kiểm tra email đến đúng người, dữ liệu xuất hiện trong CRM và event không bị ghi trùng. Hãy dùng dữ liệu test có thể nhận diện và xóa theo quy trình.

• Form thành công trên mobile và desktop.
• Validation và spam protection không chặn người dùng hợp lệ.
• Email gửi, nhận và reply-to đúng.
• Lead có nguồn, landing page và thời điểm.
• Key event chỉ chạy khi thao tác hoàn tất.
• Không lộ dữ liệu cá nhân trong URL hoặc công cụ phân tích.

Quy trình đối soát nằm trong bài cách đo lường lead từ website.

7. Kiểm tra hiệu năng

Theo dõi các page type quan trọng, không chỉ trang chủ. Kiểm tra ảnh, cache, font, JavaScript bên thứ ba, truy vấn chậm và thay đổi layout. Dùng dữ liệu thực tế ở p75 khi có đủ mẫu; dữ liệu phòng thí nghiệm phục vụ chẩn đoán.

• Ảnh mới có được nén và đặt kích thước phù hợp?
• Cache có xóa đúng khi cập nhật nội dung?
• Plugin mới có làm tăng script hoặc query không?
• Database có bảng hoặc bản ghi tăng bất thường không?
• Trang dịch vụ, form và bài viết có tải ổn định không?

8. Kiểm tra SEO và nội dung

• URL quan trọng trả 200, không bị noindex hoặc chặn ngoài chủ đích.
• Canonical, sitemap và internal link không bị thay đổi sai.
• Không xuất hiện title, description hoặc schema placeholder.
• Link hỏng, redirect chain và trang 404 được review.
• Nội dung, giá, chính sách và thông tin liên hệ còn chính xác.
• Hình ảnh mới có alt và không làm rò dữ liệu từ host ngoài.

Bộ nền tảng có thể kiểm tra bằng checklist website chuẩn SEO. Bảo trì SEO không phải cam kết thứ hạng; mục tiêu là giữ website có thể crawl, render, index đúng và phục vụ người dùng.

9. Quản lý giấy phép và dịch vụ bên thứ ba

• Theme, plugin và font còn giấy phép hợp lệ.
• Domain, hosting, CDN, email và SSL chưa hết hạn.
• API key thuộc tài khoản doanh nghiệp và được xoay khi cần.
• Dịch vụ không dùng được hủy đúng quy trình.
• Chi phí gia hạn và owner được ghi trong lịch vận hành.

10. Tài liệu, changelog và bàn giao

Mỗi đợt bảo trì cần ghi thời gian, phạm vi, phiên bản, backup, thay đổi, lỗi phát hiện, kiểm thử và kết quả. Tài liệu giúp đội khác tiếp quản và hỗ trợ điều tra khi sự cố xuất hiện sau nhiều ngày.

Website mới nên nhận sẵn tài liệu này trong checklist nghiệm thu và bàn giao website.

Lịch bảo trì tham khảo

Tần suất	Công việc
Liên tục	Uptime, bảo mật, lỗi nghiêm trọng và cảnh báo backup
Hàng tuần	Form, email, log, cập nhật ưu tiên và tài khoản bất thường
Hàng tháng	Cập nhật theo kế hoạch, hiệu năng, link, SEO và giấy phép
Hàng quý	Thử restore, review quyền, dependency và dung lượng
Hàng năm	Đánh giá kiến trúc, hợp đồng, hạ tầng và kế hoạch nâng cấp

Tần suất cần điều chỉnh theo mức thay đổi, rủi ro, lưu lượng và khả năng chấp nhận gián đoạn. Website giao dịch hoặc có dữ liệu nhạy cảm thường cần giám sát chặt hơn website giới thiệu ít cập nhật.

Hợp đồng bảo trì nên ghi gì?

• Website, môi trường và thành phần thuộc phạm vi.
• Tần suất, giờ làm việc và kênh tiếp nhận sự cố.
• Mức ưu tiên, thời gian phản hồi và thời gian xử lý mục tiêu.
• Số giờ hoặc đầu việc cải tiến có bao gồm hay không.
• Backup, retention, restore và trách nhiệm dữ liệu.
• Quyền truy cập, bảo mật, changelog và bàn giao.
• Điều kiện tính thêm, tạm dừng hoặc chấm dứt.

Sai lầm phổ biến

• Chỉ cập nhật plugin mà không backup hoặc kiểm thử.
• Có backup nhưng chưa từng thử khôi phục.
• Để plugin, theme và tài khoản không dùng tồn tại.
• Không kiểm tra form, email và CRM.
• Chờ website lỗi mới đọc log hoặc gia hạn giấy phép.
• Không ghi changelog và người phê duyệt.
• Dùng bảo trì như lời cam kết website không bao giờ bị hack.

Câu hỏi thường gặp

Có nên bật tự động cập nhật tất cả plugin?

Không có quy tắc chung. Có thể bật cho thành phần ít rủi ro và có giám sát; website có tích hợp hoặc chức năng quan trọng nên đánh giá, backup và thử nghiệm trước.

Website ít thay đổi có cần bảo trì không?

Có. Phần mềm, hạ tầng, chứng chỉ và dịch vụ bên thứ ba vẫn thay đổi. Tần suất có thể thấp hơn nhưng backup, cập nhật, quyền truy cập và giám sát vẫn cần owner.

Bảo trì có bảo đảm không bị hack không?

Không. Bảo trì giúp giảm rủi ro, phát hiện sớm và cải thiện khả năng phục hồi, nhưng không thể loại bỏ mọi lỗ hổng, lỗi con người hoặc sự cố bên thứ ba.

Kết luận

Bảo trì website WordPress gồm backup và thử restore, cập nhật có kiểm thử, quản lý quyền, giám sát bảo mật, uptime, form, tracking, hiệu năng, SEO, giấy phép và tài liệu. Mỗi công việc cần owner, lịch, bằng chứng và rollback. Bảo trì tốt không hứa website không bao giờ gặp sự cố; nó giúp giảm khả năng xảy ra, rút ngắn thời gian phát hiện và khôi phục an toàn hơn.