Hướng dẫn sử dụng Security Pro by HabaChat

Hướng dẫn này đi từ lúc tải tệp zip đến khi shop chạy tự động hoàn toàn. Mọi thao tác đều nằm trong trang quản trị PrestaShop.

1. Cài đặt

1. Tải đúng bản cho phiên bản shop của bạn: bản PrestaShop 8 hoặc bản PrestaShop 9. Bản PS9 yêu cầu PHP 8.1 trở lên.
2. Vào Modules → Module Manager → Upload a module, chọn tệp zip và chờ cài xong.
3. Vào Advanced Parameters → Performance → Clear cache. Bước này bắt buộc: PrestaShop lưu cache route và phân quyền, bỏ qua sẽ gặp lỗi Access denied hoặc lỗi route.
4. Mở menu Improve → Security Pro. Nếu menu chưa hiện, đăng xuất và đăng nhập lại.

2. Kích hoạt hoặc dùng thử

1. Lần đầu mở, module dừng ở tab License. Trang này hiển thị tên miền shop của bạn — giấy phép gắn theo tên miền đó.
2. Nếu đã mua: dán khoá vào ô License key rồi bấm Activate. Khoá kiểm tra offline, không gọi ra ngoài internet.
3. Nếu muốn thử trước: bấm Start my free trial — 90 ngày, đủ mọi tính năng, không cần khoá và không cần thẻ. Bản dùng thử chỉ dùng được một lần cho mỗi shop, gỡ cài rồi cài lại không làm mới lại được.
4. Sau khi kích hoạt, đủ 10 tab hiện ra ở thanh điều hướng phía trên.

Lưu ý: khi khoá hết hạn, chỉ các màn hình cài đặt bị khoá. 2FA, chống dò mật khẩu, chống copy và reCAPTCHA đang bật vẫn tiếp tục bảo vệ shop.

3. Thiết lập cơ bản (tab Settings)

1. Max failed login attempts: để 5 cho shop bình thường. Shop có nhiều nhân viên hay quên mật khẩu thì để 7–10.
2. Counting window (minutes) và Lockout duration (minutes): 15 và 15 là cấu hình an toàn.
3. Force HTTPS on the storefront: bật, trừ khi bạn đã ép HTTPS ở tầng web server hoặc CDN.
4. Send security headers: bật. Nếu shop nhúng iframe của bên thứ ba mà bị chặn, hãy tắt tạm để kiểm chứng.
5. Alert e-mail address: đặt địa chỉ bạn thực sự đọc hằng ngày, đừng để email chung của shop.
6. Retention (days): 14 là hợp lý; đặt 0 để giữ mãi (cẩn thận đầy ổ đĩa).
7. SSL expiry warning (days): 15 đủ thời gian gia hạn.
8. Bấm Save.

4. Tạo mốc toàn vẹn tệp (tab Backups & Files)

1. Chỉ làm việc này khi mã nguồn đang sạch và đáng tin cậy — vừa cài mới hoặc vừa cập nhật xong.
2. Bấm (Re)build baseline from current files. Module băm SHA-256 các thư mục classes/, controllers/, src/, modules/, override/.
3. Kiểm tra ô Files in integrity baseline ở tab Dashboard đã khác 0.
4. Về sau, bấm Run integrity check now để xem danh sách tệp bị thêm/sửa/xoá. Thay đổi bạn nhận ra thì bấm Accept into baseline.
5. Nếu shop có module tự sinh tệp (cache, tệp tạm), thêm đoạn đường dẫn của chúng vào ô Extra excluded path fragments trong Settings, cách nhau bởi dấu phẩy, để cảnh báo bớt nhiễu.

5. Bật xác thực 2 lớp (tab My 2FA)

Mỗi nhân viên tự bật cho tài khoản của mình; không ai bật hộ được.

1. Mở Security Pro → My 2FA, bấm Enable 2FA.
2. Quét mã hoặc dán khoá bí mật vào Google Authenticator, Authy hoặc Microsoft Authenticator.
3. Lưu ngay các mã dự phòng vào nơi an toàn — mỗi mã chỉ dùng được một lần.
4. Nhập mã 6 số đang hiển thị và bấm Confirm & enable.
5. Đăng xuất rồi đăng nhập lại để kiểm chứng trọn vẹn luồng mật khẩu → mã → dashboard. Hãy thử trên một tài khoản phụ trước khi bật cho tài khoản chính.

6. Bảo vệ storefront (tab Storefront)

1. reCAPTCHA: vào google.com/recaptcha/admin/create, chọn loại reCAPTCHA v2 → "I'm not a robot" Checkbox, thêm tên miền shop, rồi copy Site key và Secret key vào hai ô tương ứng.
2. Tích các form cần bảo vệ: Sign in, Sign up, Contact form, Product reviews. Nếu shop đang dùng module reCAPTCHA khác, chỉ tích những form module kia chưa lo.
3. Bật công tắc Enable reCAPTCHA on the storefront rồi bấm Save. Mở shop ở cửa sổ ẩn danh để kiểm tra widget hiện đúng.
4. Chống sao chép: bật Enable copy protection, chọn các mục con (chuột phải, bôi đen, kéo ảnh, phím tắt dev-tools). Nên để tuỳ chọn chặn dev-tools tắt nếu bạn hay tự kiểm tra giao diện bằng F12.

7. Sao lưu và SSL

1. Tab Backups & Files, bấm Run backup now. Thanh tiến trình chạy theo từng nhóm bảng — giữ tab mở đến khi báo hoàn tất.
2. Tệp nén nằm trong thư mục security_backups (được chặn bằng .htaccess). Hãy tải ít nhất một bản về máy — sao lưu nằm cùng máy chủ không cứu được bạn khi máy chủ hỏng.
3. Tab SSL, bấm Check certificate now để xem số ngày còn lại và nhà cấp chứng chỉ.

8. Đặt lịch cron

PrestaShop không có bộ chạy nền, nên nếu không đặt cron thì sao lưu, kiểm tra tệp và email cảnh báo sẽ không tự chạy.

1. Mở tab Dashboard, phần External cron setup hiển thị sẵn 3 dòng lệnh kèm token bí mật của shop bạn.
2. Copy chúng vào cron của hosting (cPanel → Cron Jobs, Plesk, hoặc crontab):

- task=backup: 3 giờ sáng hằng ngày

- task=filecheck: 4 giờ sáng hằng ngày

- task=alert: mỗi 15 phút

1. Giữ bí mật token — ai có token là gọi được các tác vụ này.

9. Theo dõi hằng tuần

Mỗi tuần mở Dashboard và nhìn 5 ô số: cảnh báo chưa xem, cảnh báo nghiêm trọng 7 ngày, đăng nhập sai 24 giờ, số tệp trong mốc, số nhân viên đã bật 2FA. Sau đó mở tab Alerts, xử lý rồi bấm Acknowledge. Tab Audit log cho biết ai đã sửa nhân viên hay phân quyền.

10. Xử lý sự cố

• Báo *Access denied* hoặc lỗi route sau khi cài: xoá cache lần nữa ở Advanced Parameters → Performance. Nếu vẫn lỗi, xoá thủ công nội dung thư mục var/cache/ qua FTP.
• URL cron trả về forbidden: token sai hoặc bị cắt khi copy. Vào lại tab Dashboard copy nguyên dòng lệnh.
• reCAPTCHA đã bật nhưng không thấy widget: kiểm tra đã lưu đủ cả Site key lẫn Secret key, và đúng loại v2 Checkbox (khoá v3 sẽ không hiện ô tick). Xoá cache PrestaShop rồi thử ở cửa sổ ẩn danh.
• Kiểm tra SSL báo không đọc được chứng chỉ: host phải cho phép kết nối HTTPS ra ngoài qua cổng 443. Hỏi nhà cung cấp hosting.
• Bị 2FA khoá ngoài admin: dùng mã dự phòng; hoặc vào phpMyAdmin xoá dòng theo id nhân viên trong bảng có hậu tố _security_2fa.
• Sao lưu dừng giữa chừng: thường do đóng tab trình duyệt. Mở lại tab Backups & Files, xoá tệp dở dang rồi chạy lại và giữ tab mở.