Khoá chặt trang quản trị bằng 2FA và chống dò mật khẩu, canh gác từng tệp mã nguồn, tự sao lưu và chặn bot — tất cả trong một module.
Mã 6 số từ Google Authenticator sau mật khẩu admin; khoá bí mật mã hoá AES-256-GCM, kèm mã dự phòng.
Đếm theo cả IP lẫn email: mặc định 5 lần sai trong 15 phút là khoá; cảnh báo khi bị tấn công phân tán.
Mốc SHA-256 cho classes, controllers, src, modules, override — phát hiện tệp bị thêm, sửa hoặc xoá.
Chạy theo từng nhóm bảng qua AJAX, gzip, tự dùng PHP dump khi host chặn shell_exec, tự xoá bản cũ.
Bảo vệ form đăng nhập, đăng ký, liên hệ và đánh giá sản phẩm; tự gắn vào form, không cần sửa theme.
Tắt chuột phải, chặn bôi đen, chặn kéo/lưu ảnh và phím tắt F12, Ctrl+U trên storefront.
Xem số ngày còn lại và nhà cấp chứng chỉ; ép HTTPS và gửi HSTS, X-Frame-Options, Referrer-Policy.
Ghi mọi thay đổi Nhân viên, Hồ sơ quyền, Tab kèm IP; email ngay các sự cố mức cao và nghiêm trọng.
Một buổi sáng, khách nhắn tin báo trang thanh toán của bạn chuyển hướng sang một website lạ. Bạn đăng nhập admin thì thấy có một tài khoản nhân viên bạn chưa từng tạo. Log hosting cho thấy tuần trước có hàng nghìn lần đăng nhập sai vào /admin, và một tệp PHP mới nằm im trong thư mục modules. Không ai báo cho bạn, vì không có gì đang theo dõi cả.
Security Pro là lớp canh gác mà PrestaShop không có sẵn. Cài xong, bạn có một mục Security Pro trong menu Improve, với 10 tab: Dashboard, Settings, Storefront, My 2FA, Audit log, Alerts, Backups & Files, SSL, Help và License.
Mật khẩu admin bị lộ là cách phổ biến nhất khiến shop bị chiếm. Tab My 2FA cho từng nhân viên tự bật xác thực 2 lớp chuẩn TOTP: quét mã vào Google Authenticator / Authy, lưu bộ mã dự phòng, bấm Confirm & enable. Từ lần sau, sau mật khẩu là bước nhập mã 6 số. Khoá bí mật được mã hoá AES-256-GCM trong cơ sở dữ liệu, không lưu dạng thô.
Song song đó là chống dò mật khẩu, đếm theo cả địa chỉ IP lẫn email. Mặc định 5 lần sai trong 15 phút là khoá 15 phút — bạn chỉnh cả ba con số ở tab Settings. Nếu cùng một tài khoản bị thử từ nhiều IP khác nhau (tấn công phân tán), module tạo cảnh báo riêng. Con số "Failed logins (24h)" trên Dashboard cho bạn biết ngay đêm qua có ai gõ cửa hay không.
Webshell không làm shop chậm đi, nó chỉ nằm đó. Tab Backups & Files có nút (Re)build baseline from current files: module băm SHA-256 toàn bộ classes/, controllers/, src/, modules/ và override/ để làm mốc. Sau đó Run integrity check now (hoặc cron chạy hằng đêm) sẽ liệt kê rõ tệp nào bị thêm, sửa, xoá. Thay đổi hợp lệ thì bấm Accept into baseline; thay đổi lạ thì bạn có cả đường dẫn để kiểm tra.
Mọi thay đổi nhạy cảm với Nhân viên, Hồ sơ quyền và Tab đều được ghi vào Audit log: ai làm, làm gì, lúc nào, từ IP nào. Tab Alerts gom mọi sự cố; mức cao và nghiêm trọng được gửi email tới địa chỉ bạn đặt trong Settings, và bạn bấm Acknowledge khi đã xử lý.
Rất nhiều module sao lưu chết vì host chặn shell_exec hoặc vì PHP timeout giữa chừng. Security Pro dùng mysqldump khi host cho phép và tự chuyển sang dump bằng PHP thuần khi không. Quan trọng hơn: nút Run backup now chạy theo từng nhóm bảng qua AJAX với thanh tiến trình, nên shop lớn cũng không dính lỗi 504. Bản sao nén gzip nằm trong thư mục security_backups được chặn bằng .htaccess, và tự xoá sau 14 ngày (bạn đổi được).
Tab SSL kiểm tra chứng chỉ của chính tên miền shop: còn bao nhiêu ngày, do ai cấp, và cảnh báo trước hạn theo số ngày bạn đặt. Trong Settings có hai công tắc Force HTTPS và Send security headers (HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy).
Tab Storefront có hai phần. Google reCAPTCHA v2: dán site key + secret key, tích các form muốn bảo vệ — Đăng nhập, Đăng ký, Liên hệ, Đánh giá sản phẩm. Widget tự gắn vào form, không phải sửa theme, và việc xác minh diễn ra ở phía máy chủ nên bot không bỏ qua được. Phần thứ hai là chống sao chép nội dung: tắt chuột phải, chặn bôi đen, chặn kéo và "Save image as", chặn phím tắt F12 / Ctrl+U. Ô nhập liệu vẫn dùng bình thường.
Một bản cài cho PrestaShop 8 và một bản cho PrestaShop 9, giao diện quản trị tiếng Anh + hướng dẫn tiếng Việt ngay trong tab Help, cùng 90 ngày dùng thử đầy đủ tính năng không cần thẻ. Giấy phép gắn theo tên miền, hoạt động offline — không phone-home. Và điều nhiều người sợ nhất khi mua module bảo mật: nếu giấy phép hết hạn, chỉ phần cài đặt bị khoá — 2FA, chống dò mật khẩu, chống copy và reCAPTCHA vẫn tiếp tục chạy, shop của bạn không bao giờ bị bỏ trần.
Chấm điểm SEO toàn shop, viết meta bằng AI cho hàng nghìn sản phẩm chỉ trong một lần bấm — và luôn hoàn tác được.
Đánh giá sản phẩm và cửa hàng hiện được trên mọi theme, tự đi xin đánh giá bằng email một cú bấm, và đúng luật EU.
Cache toàn trang cho PrestaShop: khách vãng lai nhận trang trong vài mili-giây, giỏ hàng và thanh toán vẫn luôn "sống". Không cần Varnish, không cần cron.