Bảo mật Shopify: Hướng dẫn cho chủ cửa hàng và đội phát triển
Một cửa hàng Shopify vẫn có thể nhận đơn đều đặn trong khi dữ liệu khách hàng đang được chuyển đến những hệ thống mà người quản lý chưa kiểm kê. Một agency đã kết thúc hợp tác vẫn có thể giữ quyền truy cập. Một app quen thuộc có thể tải cấu hình mới mà không làm thay đổi tệp theme.
Những tình huống này cho thấy bảo mật Shopify cần bao quát cả tài khoản, ứng dụng, mã nguồn, luồng dữ liệu và trách nhiệm của các bên tham gia vận hành.
Với doanh nghiệp Việt Nam, câu hỏi còn mở rộng sang nghĩa vụ bảo vệ dữ liệu cá nhân, quản lý nhà cung cấp và khả năng xác định ảnh hưởng khi xảy ra sự cố. Cửa hàng hoạt động bình thường là một tín hiệu vận hành; để đánh giá an toàn, doanh nghiệp cần thêm bằng chứng.
Bài viết này giúp chủ cửa hàng và đội phát triển trả lời ba câu hỏi: ai có thể tác động đến cửa hàng, dữ liệu khách hàng đi đâu và doanh nghiệp có thể chứng minh điều gì khi cần điều tra?
1. Bảo mật Shopify bao gồm những gì?
Bảo mật Shopify là quá trình kiểm soát quyền truy cập, ứng dụng, theme, script và hệ thống tích hợp nhằm giảm nguy cơ truy cập trái phép, thay đổi ngoài ý muốn, thất thoát dữ liệu hoặc gián đoạn bán hàng.
Phạm vi này gồm 3 phần có quan hệ trực tiếp với nhau:
Kỹ thuật: xác thực, phân quyền, mã nguồn, API, token, webhook và hạ tầng riêng.
Vận hành: phê duyệt thay đổi, quản lý nhà cung cấp, giám sát, bàn giao và ứng cứu.
Dữ liệu và trách nhiệm: mục đích sử dụng dữ liệu, bên được tiếp cận, thời hạn lưu và nghĩa vụ áp dụng.
Ví dụ, bật xác thực nhiều yếu tố giúp bảo vệ tài khoản quản trị. Tuy nhiên, nếu một tích hợp vẫn dùng token bị lộ, việc bảo vệ đăng nhập chưa xử lý được đường truy cập đó. Tương tự, gỡ một app có thể ngừng chức năng trên cửa hàng nhưng chưa trả lời được dữ liệu đã gửi sang nhà cung cấp đang được lưu thế nào.
2. Dùng Shopify, doanh nghiệp còn chịu trách nhiệm gì?
Shopify vận hành hạ tầng và cung cấp các cơ chế bảo vệ nền tảng. Doanh nghiệp quyết định cách cấu hình cửa hàng, lựa chọn ứng dụng, cấp quyền và sử dụng dữ liệu trong hoạt động của mình.
Shopify công bố dịch vụ đáp ứng PCI DSS Level 1. Phạm vi chứng nhận này cần được phân biệt với mức an toàn của từng app, backend riêng hoặc quy trình doanh nghiệp triển khai.
Phạm vi | Bên kiểm soát chính | Điều doanh nghiệp cần xác định |
Hạ tầng nền tảng Shopify | Shopify | Kênh hỗ trợ, thông báo và ranh giới dịch vụ |
Tài khoản nhân viên, cộng tác viên | Chủ cửa hàng hoặc người được giao | Ai được cấp quyền, vì sao và đến khi nào |
App bên thứ ba | Nhà cung cấp app và bên lựa chọn sử dụng | Quyền truy cập, dữ liệu tiếp cận và trách nhiệm phối hợp |
Theme, app embed, mã tùy chỉnh | Đội phát triển hoặc agency | Nguồn mã, người phê duyệt và khả năng khôi phục |
API, custom app, backend riêng | Đơn vị phát triển và vận hành | Xác thực, phân quyền, secret và log |
Dữ liệu được xuất hoặc đồng bộ | Các bên tham gia xử lý | Mục đích, bên nhận, nơi lưu và vòng đời dữ liệu |
Quyết định ứng cứu và khôi phục | Đầu mối doanh nghiệp chỉ định | Ai được quyết định, căn cứ và điều kiện mở lại |
Thuê ngoài cần đi kèm khả năng kiểm soát
Khi thuê agency, doanh nghiệp cần biết đơn vị đó đang giữ những quyền nào và những tài sản nào đứng tên họ: tài khoản, tên miền, kho mã nguồn, hosting hoặc dịch vụ tích hợp.
Một vấn đề khó thấy là khả năng tiếp tục vận hành khi đối tác ngừng hỗ trợ. Doanh nghiệp có lấy lại được quyền quản trị, hiểu được cấu hình và thay thế tích hợp mà không mất dữ liệu hay gián đoạn kéo dài không?
Vì vậy, bàn giao cần bao gồm tài sản, quyền truy cập, tài liệu và người tiếp nhận, cùng xác nhận các quyền đã được thu hồi.
3. Pháp luật Việt Nam liên quan thế nào đến cửa hàng Shopify?
Tại thời điểm cập nhật tháng 10/2026, doanh nghiệp cần chú ý hai nhóm quy định gắn trực tiếp với hệ thống và dữ liệu.
Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 1/7/2026. Theo Điều 44, Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018 hết hiệu lực từ thời điểm này; việc áp dụng còn cần xem xét các điều khoản chuyển tiếp liên quan.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP cùng có hiệu lực từ ngày 1/1/2026, là những căn cứ cần đối chiếu khi tổ chức thu thập, sử dụng và chia sẻ dữ liệu cá nhân.
Đối với cửa hàng Shopify, bước thực tế là xác định hoạt động nào đang diễn ra, bên nào quyết định mục đích xử lý và bên nào thực hiện xử lý dữ liệu. Nghĩa vụ cụ thể phụ thuộc vào vai trò, loại dữ liệu và trường hợp áp dụng.
Ví dụ, Điều 37 Luật Bảo vệ dữ liệu cá nhân đặt ra trách nhiệm của bên kiểm soát dữ liệu về lựa chọn bên xử lý, thỏa thuận liên quan và biện pháp bảo vệ. Từ góc độ vận hành, doanh nghiệp cần gắn việc chọn app với đánh giá dữ liệu và trách nhiệm nhà cung cấp.
Phân biệt yêu cầu pháp luật với biện pháp triển khai
Không nên suy ra rằng mọi cửa hàng Shopify đều phải mua cùng một sản phẩm bảo mật, pentest theo cùng một chu kỳ hoặc có toàn bộ nghĩa vụ giống nhau.
Một biện pháp kỹ thuật có thể hỗ trợ quản trị rủi ro và tạo bằng chứng, nhưng phạm vi áp dụng pháp luật cần được đối chiếu riêng. Hoàn thành pentest cũng chưa đủ để kết luận toàn bộ hoạt động xử lý dữ liệu đã tuân thủ.
Khi dùng tài liệu tư vấn cũ, doanh nghiệp nên kiểm tra lại căn cứ và thời điểm hiệu lực. Có thể xem tổng quan tại bài Luật An ninh mạng Việt Nam mới nhất năm 2026.
4. Dữ liệu khách hàng đi đâu sau mỗi đơn hàng?
Đây là câu hỏi thường bị bỏ qua khi doanh nghiệp đánh giá bảo mật Shopify.
Một đơn hàng có thể làm phát sinh dữ liệu ở Shopify, app hỗ trợ bán hàng, CRM, công cụ email marketing, đơn vị vận chuyển và hệ thống kế toán. Nhân viên có thể tiếp tục xuất dữ liệu thành bảng tính hoặc gửi sang đối tác.
Tình huống minh họa: cửa hàng dùng một app chăm sóc khách hàng và đồng bộ số điện thoại sang CRM. Sau đó, nhóm vận hành tải danh sách xuống để gửi cho đơn vị giao hàng. Quy trình có thể hoạt động đúng chức năng, nhưng doanh nghiệp vẫn cần kiểm soát các bản sao dữ liệu và người được truy cập.
4.1. Lập bản đồ dữ liệu theo hoạt động thực tế
Điểm xử lý | Câu hỏi cần trả lời | Bằng chứng nên có |
Biểu mẫu và quá trình đặt hàng | Thu thập gì, phục vụ mục đích nào? | Danh mục trường dữ liệu và thông tin cung cấp cho khách |
App bên thứ ba | App đọc hoặc ghi dữ liệu nào? | Quyền truy cập và tài liệu nhà cung cấp |
CRM, marketing, chăm sóc khách hàng | Dữ liệu được dùng tiếp ra sao? | Luồng đồng bộ và phân quyền |
Logistics và đối tác xử lý đơn | Dữ liệu nào cần thiết để thực hiện dịch vụ? | Phạm vi chia sẻ và thỏa thuận liên quan |
Tệp xuất thủ công | Ai tải, lưu ở đâu, chia sẻ cho ai? | Quyền truy cập và quy trình quản lý tệp |
Kết thúc sử dụng | Dữ liệu được giữ hoặc xóa thế nào? | Chính sách lưu giữ và xác nhận xử lý |
Việc lập bản đồ giúp phát hiện dữ liệu được gửi dư thừa, bản sao bị bỏ quên hoặc tài khoản cá nhân đang giữ thông tin khách hàng.
4.2. Kiểm tra khả năng chuyển dữ liệu xuyên biên giới
Với nền tảng và app quốc tế, cần xác định nơi xử lý, bên nhận và hoạt động thực tế. Vị trí lưu trữ chỉ là một phần thông tin để đánh giá.
Khi có hoạt động chuyển dữ liệu cá nhân xuyên biên giới, doanh nghiệp cần đối chiếu nghĩa vụ đánh giá tác động cùng các trường hợp loại trừ hoặc miễn áp dụng. Việc kết luận phải dựa trên luồng dữ liệu cụ thể.
5. Bảo mật Shopify Admin: Kiểm soát cả vòng đời quyền truy cập
Tài khoản quản trị cần được bảo vệ bằng tài khoản riêng, mật khẩu duy nhất và xác thực nhiều yếu tố. Email khôi phục cũng phải được bảo vệ vì có thể trở thành đường tiếp cận các dịch vụ liên quan.
Tuy nhiên, cấp quyền an toàn còn cần theo dõi toàn bộ vòng đời sử dụng.
5.1. Quyền truy cập phải có mục đích và người chịu trách nhiệm
Mỗi quyền nhạy cảm nên trả lời được:
Ai đang sử dụng?
Công việc nào cần quyền đó?
Ai đã phê duyệt?
Khi nào cần xem lại hoặc thu hồi?
Ai tiếp nhận trách nhiệm nếu người sử dụng nghỉ việc?
Quyền từng hợp lý có thể trở nên dư thừa khi nhân sự đổi vị trí hoặc dự án kết thúc.
5.2. Thu hồi tài khoản cần đi cùng rà soát tích hợp
Khi kết thúc hợp tác, cần kiểm tra Shopify, email, kho mã, hosting và công cụ quản trị liên quan. Đồng thời rà soát token, khóa truy cập và phiên còn hiệu lực trong phạm vi có thể kiểm soát.
Đầu ra nên là một hồ sơ bàn giao và thu hồi quyền có người xác nhận. Hồ sơ này giúp giảm tranh cãi về trách nhiệm khi phát hiện thay đổi sau đó.
6. Bảo mật app Shopify: Mỗi ứng dụng là một quan hệ tin cậy
App bổ sung chức năng và đồng thời mở rộng phạm vi bên thứ ba có thể tiếp cận dữ liệu hoặc tác động đến trải nghiệm khách hàng.
Trước khi cài hoặc gia hạn, hãy xem xét mục đích sử dụng, quyền cần thiết, dữ liệu tiếp cận, tài khoản quản trị và kênh hỗ trợ sự cố.
6.1. App tải cấu hình từ đâu?
Một app có thể tải mã hoặc dữ liệu cấu hình từ hệ thống nhà cung cấp. Vì vậy, thay đổi trên cửa hàng không phải lúc nào cũng bắt nguồn từ người sửa theme.
Những trường cấu hình cho phép nhập HTML hoặc JavaScript cần được chú ý: ai được sửa, sửa qua giao diện nào và nội dung được xử lý ra sao trước khi hiển thị?
Shopify hiện khuyến nghị coi cấu hình tải động là dữ liệu không đáng tin cậy và tránh thực thi cấu hình đó như mã.
6.2. Gỡ app chưa trả lời được mọi câu hỏi
Sau khi gỡ ứng dụng, cần kiểm tra thành phần liên quan theo cách triển khai thực tế: mã đã chèn thủ công, kết nối ngoài, tài khoản và dữ liệu đã được chuyển đi.
Doanh nghiệp cũng cần xác định các chức năng sẽ ngừng hoạt động để tránh xử lý rủi ro này nhưng tạo gián đoạn khác.
Các sự cố gần đây được đề cập trong bài Shopify bị tấn công checkout hijack cho thấy tầm quan trọng của việc quản lý ứng dụng và cấu hình bên thứ ba.
7. Theme và script: kiểm tra cả hành trình mua hàng
So sánh phiên bản theme giúp nhận diện thay đổi trong mã được quản lý. Tuy nhiên, nó có thể không bao quát nội dung tải động từ API, app hoặc dịch vụ bên ngoài.
Đội kỹ thuật nên kết hợp hai hướng: kiểm tra nguồn mã và quan sát hành vi thực tế.
7.1. Những bước cần kiểm thử sau thay đổi
Hành trình kiểm tra nên bao gồm trang sản phẩm, mua nhanh, giỏ hàng, nút checkout và các bước chuyển sang dịch vụ thanh toán đã cấu hình.
Cần thử các đường đi quan trọng trên máy tính và điện thoại, đồng thời ghi nhận địa chỉ đích. Khi điều tra hành vi xuất hiện không thường xuyên, nên dùng nhiều phiên trình duyệt mới và các điều kiện liên quan.
Một lần kiểm tra không phát hiện bất thường chỉ phản ánh phạm vi lần kiểm tra đó.
7.2. Đơn hàng thành công chưa đủ để loại trừ chuyển hướng
Nếu khách gặp một trang giả trước khi quay lại luồng mua hàng hợp lệ, dữ liệu đơn hàng cuối cùng có thể không phản ánh đầy đủ những gì đã xảy ra trong trình duyệt.
Vì vậy, phản ánh như “phải nhập thông tin hai lần” hoặc “thanh toán mở sang địa chỉ lạ” cần được ghi nhận và điều tra, kể cả khi đơn hàng vẫn hoàn tất.
Theo cập nhật ngày 23/10/2026, Shopify chặn liên kết đến website được xác định là độc hại và yêu cầu xác nhận với một số website đáng ngờ. Doanh nghiệp vẫn cần kiểm tra nguyên nhân nếu cảnh báo xuất hiện ở một thao tác lẽ ra giữ khách trong luồng mua hàng dự kiến.
8. Shopify API và webhook: Chú ý cả những hệ thống nằm phía sau
Custom app, backend đồng bộ và công cụ nội bộ có thể tiếp cận dữ liệu hoặc thay đổi nội dung trên cửa hàng. Phạm vi đánh giá cần bao gồm các hệ thống đó.
Các điểm ưu tiên gồm:
Xác thực yêu cầu trước khi xử lý.
Giới hạn dữ liệu theo cửa hàng đã được xác thực.
Bảo vệ token và secret, tránh lộ trong mã phía trình duyệt hoặc log.
Xác minh chữ ký webhook gửi qua HTTPS.
Xử lý nhận trùng, retry và lỗi đồng bộ.
Kiểm soát công cụ nội bộ có quyền ghi dữ liệu ra storefront.
Một API dùng token hợp lệ vẫn có thể tạo hành động trái phép nếu ứng dụng cho phép người không đủ quyền kích hoạt chức năng. Vì vậy, việc giữ kín token cần đi cùng xác thực và phân quyền đúng ở ứng dụng.
Cập nhật ngày 27/10/2026 về offline access token
Shopify đã công bố lịch thực thi đối với public app thuộc diện phải chuyển sang offline access token có thời hạn.
Các app chưa đáp ứng sẽ bị gỡ niêm yết và chặn cài mới từ ngày 1/1/2027; các yêu cầu Admin API liên quan dùng token không có thời hạn sẽ bị từ chối từ ngày 1/4/2027. Custom app và app do merchant tạo được loại trừ khỏi yêu cầu này.
Chủ cửa hàng nên hỏi nhà cung cấp về tình trạng đáp ứng. Đội phát triển public app cần kiểm tra cơ chế làm mới token và khả năng khôi phục truy cập, tránh gián đoạn các tác vụ chạy nền.
9. Khi có sự cố, doanh nghiệp cần xác định và chứng minh điều gì?
Khi khách bị chuyển hướng bất thường, việc loại bỏ đoạn mã nghi vấn là bước khẩn cấp. Sau đó, doanh nghiệp còn cần xác định nguồn thay đổi, phạm vi ảnh hưởng và khả năng tái diễn.
Câu hỏi điều tra | Bằng chứng có thể hỗ trợ |
Bất thường bắt đầu khi nào? | Phản ánh đầu tiên, log và lịch sử triển khai |
Thành phần nào tạo hành vi? | Dữ liệu mạng, cấu hình app và bản ghi thay đổi |
Ai hoặc hệ thống nào có quyền tác động? | Danh sách quyền, hồ sơ cấp quyền và log khả dụng |
Cửa hàng, khách hàng hoặc dữ liệu nào có thể bị ảnh hưởng? | Kết quả điều tra và dữ liệu trong khoảng thời gian liên quan |
Đã xử lý nguyên nhân chưa? | Bản sửa, biện pháp ngăn chặn và kết quả kiểm thử lại |
Có đủ điều kiện khôi phục không? | Tiêu chí nghiệm thu và người phê duyệt |
9.1. Khoảng trống log có thể giới hạn kết luận
Theo tài liệu Shopify, trang store activity log hiển thị tối đa 250 kết quả và không hỗ trợ xuất trực tiếp. Đây cũng không phải bản ghi đầy đủ của mọi hành vi trong trình duyệt hoặc hệ thống nhà cung cấp.
Doanh nghiệp nên xác định sớm nguồn log từ backend, dịch vụ tích hợp và đối tác, cùng thời gian lưu thực tế. Bằng chứng thu thập cần được bảo vệ vì có thể chứa thông tin cá nhân hoặc thông tin xác thực.
Nếu dữ liệu điều tra chưa đủ, kết luận cần thể hiện giới hạn đó. Câu “chưa xác định được việc dữ liệu bị truy cập” khác với việc có đủ căn cứ xác nhận dữ liệu không bị ảnh hưởng.
9.2. Xử lý kỹ thuật cần phối hợp với đánh giá nghĩa vụ thông báo
Khi có dấu hiệu ảnh hưởng dữ liệu cá nhân, đầu mối kỹ thuật và pháp chế cần phối hợp xác định vai trò, tính chất vi phạm và nghĩa vụ áp dụng. Quy trình nên chỉ rõ người ra quyết định, bên nhận thông báo và cách lưu hồ sơ.
Với tình huống đang tiếp diễn, cần ưu tiên ngăn tác động và bảo toàn bằng chứng song song. Có thể tham khảo dịch vụ ứng cứu sự cố an toàn thông tin để chuẩn bị cơ chế phối hợp.
10. Lộ trình kiểm tra bảo mật Shopify trong 30 ngày
Lộ trình dưới đây phù hợp với cửa hàng đang vận hành ổn định. Nếu có dấu hiệu tấn công đang diễn ra, cần chuyển sang quy trình ứng cứu ngay.
Giai đoạn | Công việc | Kết quả cần có |
Ngày 1–3 | Xác định chủ tài sản, tài khoản đặc quyền và đầu mối sự cố | Danh sách trách nhiệm và quyền ưu tiên |
Ngày 4–7 | Kiểm kê app, theme, script, tên miền và tích hợp | Danh mục tài sản cùng bên phụ trách |
Ngày 8–14 | Lập bản đồ dữ liệu và rà soát nhà cung cấp | Luồng dữ liệu, bên nhận và điểm cần đánh giá |
Ngày 15–21 | Kiểm tra luồng mua hàng, API và công cụ nội bộ | Danh sách vấn đề có mức ưu tiên |
Ngày 22–30 | Khắc phục, kiểm thử lại và diễn tập phối hợp | Bằng chứng hoàn thành và kế hoạch duy trì |
Mỗi vấn đề cần có người phụ trách, thời hạn và tiêu chí xác nhận đã xử lý. Với rủi ro chưa thể khắc phục ngay, cần ghi nhận biện pháp tạm thời và người chấp nhận rủi ro.
Sau đó, duy trì kiểm tra theo thay đổi: khi cài app, sửa theme, thay nhà cung cấp, đổi nhân sự hoặc triển khai tích hợp quan trọng.
11. Khi nào nên pentest hệ thống Shopify?
Pentest phù hợp khi doanh nghiệp cần đánh giá độc lập custom app, Web/API, công cụ nội bộ hoặc hệ thống tích hợp; đặc biệt sau thay đổi lớn hoặc sau sự cố.
Phạm vi phải gồm những tài sản được phép kiểm thử, giới hạn tác động, tài khoản thử nghiệm và đầu mối phối hợp. Cần phân biệt rõ hệ thống doanh nghiệp có quyền cho phép kiểm thử với hạ tầng Shopify và tài sản bên thứ ba.
Báo cáo có giá trị cần chỉ ra đường khai thác, tác động, hướng khắc phục và kết quả kiểm thử lại. Đồng thời, doanh nghiệp cần hiểu những gì nằm ngoài phạm vi đánh giá.
Có thể tham khảo case study ứng cứu sự cố và pentest Shopify Smind Sections và case study Shopify ShineTrust để tìm hiểu các tình huống thực tế.
Tìm hiểu dịch vụ kiểm thử xâm nhập ứng dụng Web của IPSIP Việt Nam để chuẩn bị phạm vi phù hợp với cửa hàng và các hệ thống phía sau.
----------------
Câu hỏi thường gặp về bảo mật Shopify
Shopify bảo mật nền tảng rồi, doanh nghiệp còn phải làm gì?
Doanh nghiệp cần quản lý tài khoản, app, cấu hình, mã tùy chỉnh và hệ thống tích hợp thuộc phạm vi của mình. Đồng thời, cần kiểm soát cách dữ liệu khách hàng được sử dụng và chia sẻ.
Luật An toàn thông tin mạng 2015 còn là căn cứ luật hiện hành không?
Từ ngày 1/7/2026, luật này hết hiệu lực theo Điều 44 Luật An ninh mạng số 116/2025/QH15. Khi rà soát hồ sơ cũ, cần kiểm tra cả quy định chuyển tiếp và văn bản liên quan.
Dùng Shopify có đồng nghĩa phải chuyển toàn bộ dữ liệu về Việt Nam?
Không thể kết luận chỉ từ việc sử dụng Shopify. Cần đối chiếu đối tượng, loại dữ liệu, hoạt động thực tế và điều kiện áp dụng của từng quy định.
Gỡ app có đồng nghĩa dữ liệu đã được xóa?
Cần kiểm tra cơ chế của nhà cung cấp, thỏa thuận và dữ liệu đã được chuyển sang các hệ thống khác. Không nên mặc định việc gỡ app đã xử lý mọi bản sao.
Pentest xong có thể xác nhận tuân thủ đầy đủ không?
Pentest cung cấp kết quả trong phạm vi kỹ thuật và thời điểm đánh giá. Việc tuân thủ còn liên quan đến hoạt động xử lý dữ liệu, hợp đồng, quy trình và nghĩa vụ cụ thể.
Chuẩn bị đánh giá bảo mật Shopify cùng IPSIP Việt Nam
Doanh nghiệp có thể bắt đầu bằng một bộ thông tin: danh sách cửa hàng, ứng dụng, hệ thống tích hợp, quyền truy cập, luồng dữ liệu và những thay đổi gần đây.
Từ đó, xác định ưu tiên giữa điều tra sự cố, rà soát cấu hình và kiểm thử chuyên sâu. Mỗi hoạt động nên có phạm vi, đầu ra và điều kiện xác nhận hoàn thành rõ ràng.
----------
Nguồn tham khảo
