Plugin và theme tùy biến thường nằm ngoài kho WordPress.org nên doanh nghiệp phải tự xây chuỗi tin cậy: ai sửa code, dependency nào được đưa vào, build ở đâu, package nào được duyệt và bằng cách nào production nhận đúng package đó. Bảo mật không thể chỉ là review vào cuối dự án.
Đặt ranh giới repository và quyền
Dùng repository do doanh nghiệp hoặc tổ chức kiểm soát, MFA bắt buộc, quyền theo vai trò và branch protection. Không dùng tài khoản chung. Thu hồi quyền khi nhân sự/agency thay đổi và theo dõi token CI, deploy key cùng ứng dụng OAuth.
Giữ secret ngoài mã nguồn
API key, mật khẩu, private key và credential staging/production không được commit. Dùng secret store, scope tối thiểu và tách môi trường. Quét lịch sử Git; xóa file ở commit mới không thu hồi secret đã lộ, vì vậy phải rotate.
Review theo rủi ro WordPress
Kiểm tra capability trước hành động, nonce cho ý định nhưng không thay authorization, validate/sanitize input và escape đúng ngữ cảnh khi output. Rà SQL với prepare, upload, REST permission callback, AJAX, SSRF, redirect và deserialization. Ưu tiên đường chạy không cần đăng nhập và chức năng ghi dữ liệu.
Kiểm soát dependency và build
Khóa phiên bản dependency, lưu lockfile và inventory thành phần. Pipeline cần cài từ nguồn xác định, quét lỗ hổng/secret, chạy test và tạo artifact một lần. Không build lại tùy ý trên máy cá nhân rồi chép thẳng production.
Artifact đã test phải là artifact được triển khai. Nếu production nhận một gói khác, toàn bộ kết quả kiểm thử mất ý nghĩa.
Thiết kế quality gate vừa đủ
- PHP/JavaScript lint và coding standard.
- Unit/integration test cho quyền, dữ liệu và migration.
- Static analysis, dependency và secret scan.
- Review bắt buộc cho code nhạy cảm.
- Smoke test trên staging và package checksum.
Migration phải chạy lại và phục hồi được
Thay đổi database cần version, log và idempotency khi có thể. Kiểm thử nâng cấp từ phiên bản đang dùng thật, không chỉ cài mới. Ghi đường rollback hoặc forward-fix; tránh giả định hạ code sẽ tự đảo schema.
Phát hành có provenance
Gắn version với commit, release note, người duyệt và checksum artifact. Với hệ thống lớn, SBOM giúp biết thư viện nào nằm trong package. Lưu bằng chứng đủ để trả lời một phiên bản production được tạo từ đâu.
Triển khai theo quyền tối thiểu
Tài khoản deploy chỉ cần đường dẫn và hành động cần thiết, không dùng root hoặc credential cá nhân. Tách quyền build và production, ghi audit log, có approval cho môi trường quan trọng và xoay token định kỳ.
Duy trì sau bàn giao
Chỉ định owner, SLA vá, kênh báo lỗi và lịch tương thích WordPress/PHP. Bàn giao repository, pipeline, secret ownership, tài liệu restore và danh sách dependency. Source code không có quy trình duy trì sẽ sớm trở thành thành phần bỏ rơi nội bộ.
Đo năng lực thay vì đếm công cụ
Theo dõi thời gian từ commit đến phát hiện lỗi, tỷ lệ release rollback được, secret quá hạn và dependency chưa có owner. Một pipeline ít công cụ nhưng có trách nhiệm rõ tốt hơn nhiều scanner tạo cảnh báo không ai xử lý.
Tình huống: agency bàn giao file ZIP cuối dự án
Một file ZIP không cho biết commit, dependency, lệnh build hoặc secret nào đã dùng. Doanh nghiệp cần yêu cầu repository đầy đủ, tag trùng phiên bản production, hướng dẫn dựng artifact và quyền quản trị CI. Nếu không thể tái tạo package, mỗi lần sửa sau này lại dựa vào máy của một cá nhân.
Đường khẩn cấp vẫn cần kiểm soát
Hotfix production có thể cần nhanh hơn pipeline chuẩn, nhưng không nên bỏ audit. Tạo nhánh khẩn, review tối thiểu, backup, artifact định danh và sau đó merge ngược để code không lệch. Credential break-glass phải được giám sát, xoay sau sử dụng và kiểm tra mọi hành động.
Threat modeling trước tính năng nhạy cảm
Với upload, webhook, import, REST public hoặc thay quyền user, hãy mô tả tài sản, actor, ranh giới tin cậy và cách lạm dụng trước khi code. Cách này giúp test đúng đường nguy hiểm thay vì chỉ kiểm tra happy path. Sau phát hành, kết nối threat model với log và cảnh báo để giả định có thể được xác minh.
WordPress Security Handbook, WordPress Common APIs Security, CISA Software Supply Chain và OWASP SCVS.
Cụm an toàn plugin/theme WordPress
Đi từ lựa chọn nguồn đến cập nhật, thay thế, ứng cứu và phát triển code tùy biến.
Câu hỏi thường gặp
Nonce có thay kiểm tra quyền không?
Không. Nonce xác nhận ý định; authorization vẫn phải dùng capability phù hợp.
Có nên build trực tiếp trên production?
Không. Nên tạo artifact trong pipeline kiểm soát và triển khai đúng gói đã test.
Bàn giao source code đã đủ chưa?
Chưa. Cần repository, pipeline, secret ownership, dependency, tài liệu restore và owner duy trì.
