Tài khoản quản trị WordPress: 7 tài khoản doanh nghiệp phải tự giữ

Tài khoản quản trị WordPress là chìa khóa của website: ai giữ tài khoản Quản trị viên là người có toàn quyền thêm, sửa, xóa mọi thứ, kể cả xóa chủ website. Doanh nghiệp cần tự giữ ít nhất một tài khoản Quản trị viên đứng tên email công ty, cùng với tài khoản tên miền, hosting và các plugin trả phí. Đơn vị thiết kế, bảo trì chỉ nên được cấp tài khoản riêng, có thể thu hồi bất cứ lúc nào.

Nhiều doanh nghiệp chỉ nhận một tài khoản “biên tập” sau khi làm web, còn quyền quản trị, hosting, tên miền vẫn nằm ở đơn vị thiết kế. Khi muốn đổi đơn vị hoặc đơn vị ngừng hoạt động, website gần như bị “giam”. Bài này liệt kê các tài khoản cần giữ, cách phân quyền an toàn và quy trình kiểm tra định kỳ.

7 tài khoản doanh nghiệp phải giữ khi có website WordPress

Nguyên tắc: tài sản số đứng tên doanh nghiệp, email đăng ký là email chung công ty (không phải email cá nhân nhân viên hay đơn vị thiết kế).

Vai trò người dùng trong WordPress

WordPress có sẵn 5 vai trò, mô tả chi tiết tại tài liệu Roles and Capabilities của WordPress.org:

WooCommerce bổ sung vai trò Quản lý cửa hàng, phù hợp nhân viên xử lý đơn hàng mà không cần quyền cài plugin.

Phân quyền an toàn cho website doanh nghiệp

1. Tối đa 2 Quản trị viên: một của doanh nghiệp, một của đơn vị bảo trì.
2. Mỗi người một tài khoản riêng: không dùng chung tài khoản “admin” để biết ai làm gì.
3. Cấp quyền thấp nhất đủ dùng: người viết bài không cần quyền cài plugin.
4. Bật xác thực hai lớp cho mọi Quản trị viên, Biên tập viên.
5. Không dùng tên đăng nhập “admin” và mật khẩu đơn giản.
6. Thu hồi ngay khi nghỉ việc: chuyển bài viết sang người khác rồi xóa hoặc hạ quyền.

Khi nào cần lấy lại quyền quản trị?

• Bạn chỉ có tài khoản biên tập, không cài được plugin, không xem được người dùng.
• Không biết tài khoản hosting, tên miền đang đứng tên ai.
• Muốn đổi đơn vị bảo trì nhưng đơn vị cũ không phản hồi.
• Nhân viên phụ trách website đã nghỉ, không bàn giao mật khẩu.

Với tên miền, liên hệ nhà đăng ký, chứng minh là chủ thể (giấy phép kinh doanh, giấy tờ người đại diện) để lấy lại quyền. Với hosting, làm tương tự với nhà cung cấp. Có quyền hosting là có thể tạo lại tài khoản Quản trị viên WordPress qua cơ sở dữ liệu. Xem thêm bàn giao mã nguồn website.

Lưu trữ mật khẩu đúng cách

• Dùng trình quản lý mật khẩu (password manager), chia sẻ theo nhóm có kiểm soát.
• Không gửi mật khẩu qua tin nhắn Zalo, email không mã hóa.
• Lập bảng tài sản số: tên dịch vụ, email đăng ký, người phụ trách, ngày gia hạn (không ghi mật khẩu trực tiếp).
• Đổi mật khẩu quản trị khi đổi nhân sự hoặc đơn vị bảo trì.

Kiểm tra định kỳ mỗi quý

1. Vào Thành viên, lọc vai trò Quản trị viên: có ai lạ hoặc đã nghỉ?
2. Kiểm tra email quản trị trong Cài đặt → Tổng quan còn dùng được không.
3. Đăng nhập thử tài khoản tên miền, hosting xem còn quyền và hạn gia hạn.
4. Xem danh sách plugin trả phí, hạn bản quyền.
5. Kiểm tra quyền sở hữu Search Console, Analytics vẫn thuộc doanh nghiệp.

Tình huống thực tế: website bị “giam” vì không giữ tài khoản (giả định)

Một cửa hàng vật tư nông nghiệp ở Đắk Lắk thuê một cá nhân làm website WordPress từ năm 2021. Tên miền, hosting đều đăng ký bằng email của người làm web; cửa hàng chỉ có tài khoản Tác giả để đăng bài. Năm 2025, người này chuyển công việc, không còn hỗ trợ. Khi hosting sắp hết hạn, cửa hàng không đăng nhập được để gia hạn, website ngừng hoạt động đúng mùa cao điểm.

Để lấy lại, cửa hàng phải liên hệ nhà đăng ký tên miền, gửi giấy phép kinh doanh và giấy tờ chứng minh, mất nhiều ngày. Dữ liệu website chỉ khôi phục được một phần vì bản sao lưu nằm trên hosting đã bị khóa. Tình huống này hoàn toàn tránh được nếu ngay từ đầu tài khoản đứng tên doanh nghiệp và doanh nghiệp giữ quyền Quản trị viên.

Điều khoản về tài khoản nên có trong hợp đồng làm website

• Tên miền, hosting đăng ký đứng tên doanh nghiệp, email do doanh nghiệp cung cấp.
• Bàn giao tài khoản Quản trị viên WordPress cho doanh nghiệp ngay khi nghiệm thu.
• Danh sách plugin, theme trả phí kèm thông tin bản quyền, ai chịu phí gia hạn.
• Bàn giao bản sao lưu đầy đủ (mã nguồn và cơ sở dữ liệu) khi kết thúc hợp đồng.
• Cam kết hỗ trợ chuyển giao nếu doanh nghiệp đổi đơn vị bảo trì.

Xem mẫu điều khoản trong bài hợp đồng thiết kế website.

Nhật ký hoạt động: biết ai đã làm gì

Khi website có nhiều người cùng quản trị, nên cài plugin nhật ký hoạt động (activity log) để ghi lại ai đăng nhập, ai sửa trang, ai cài hay tắt plugin. Khi có sự cố, nhật ký giúp tìm nguyên nhân nhanh và xác định trách nhiệm rõ ràng, đồng thời hỗ trợ yêu cầu quản lý truy cập dữ liệu theo Luật Bảo vệ dữ liệu cá nhân hiệu lực từ 01/01/2026.

Bảng tài sản số mẫu

Cập nhật bảng mỗi khi có thay đổi và lưu ở nơi ít nhất hai người tin cậy truy cập được. Đây là cách đơn giản nhất để tài khoản quản trị WordPress và mọi tài sản số luôn nằm trong tay doanh nghiệp.

Nếu bạn chưa chắc mình đang giữ những tài khoản nào, hãy dành 15 phút liệt kê ngay hôm nay. Việc nhỏ này có thể cứu website của bạn khỏi một sự cố lớn trong tương lai.

Đừng đợi đến khi có sự cố mới kiểm tra.

Câu hỏi thường gặp về tài khoản quản trị WordPress

Đơn vị thiết kế có được giữ tài khoản quản trị không?

Được nếu đang bảo trì, nhưng là tài khoản riêng của họ. Doanh nghiệp vẫn phải có tài khoản Quản trị viên của mình.

Quên mật khẩu quản trị phải làm sao?

Dùng chức năng “Quên mật khẩu” gửi về email quản trị. Nếu email không còn dùng, cần quyền hosting để đặt lại.

Có nên đổi tên đăng nhập admin?

Nên. Tạo tài khoản quản trị mới với tên khác, chuyển bài viết rồi xóa tài khoản “admin” cũ.

Nhân viên đăng bài có cần quyền quản trị không?

Không. Quyền Biên tập viên hoặc Tác giả là đủ.

Kết luận về tài khoản quản trị WordPress

Giữ đúng tài khoản quản trị WordPress, tên miền và hosting là cách doanh nghiệp làm chủ website của mình. Phân quyền theo nguyên tắc quyền thấp nhất, bật xác thực hai lớp và kiểm tra mỗi quý. Website do Việt Thái Group làm luôn bàn giao đầy đủ tài khoản, tên miền và hosting đứng tên doanh nghiệp; xem bảng giá thiết kế web.