Bảo mật website và ảnh hưởng đến SEO, AEO/GEO

Bảo mật website ảnh hưởng đến SEO khi sự cố làm máy chủ ngừng phản hồi, công cụ tìm kiếm bị chặn hoặc nội dung công khai bị sửa trái phép. Ví dụ, sau khi bật quy tắc WAF mới, khách vẫn có thể truy cập trong khi Googlebot nhận mã 403. Chủ website, đội IT và SEO nên kiểm tra cùng một nhóm URL trước và sau mỗi thay đổi để phát hiện các tình huống như vậy.

1. Nhận diện sự cố qua dấu hiệu thực tế

2. Checklist bảo mật cho website đang hoạt động

• HTTPS và chứng chỉ. Kiểm tra chứng chỉ trên các hostname phục vụ website, kể cả www và không-www nếu dùng. Xác nhận HTTP chuyển hướng về HTTPS đúng đích và đặt cảnh báo trước ngày hết hạn. Chỉ mở rộng HSTS sang các tên miền phụ sau khi đã kiểm tra HTTPS trên những tên miền đó.
• CSP và mixed content. Chuyển tài nguyên công khai sang HTTPS. Kiểm tra chính sách CSP ở chế độ báo cáo trước khi thực thi nếu cần đánh giá ảnh hưởng. Xác nhận nội dung chính, liên kết và các thành phần cần JavaScript vẫn render đúng.
• Robots và canonical. Kiểm tra robots.txt, meta robots, X-Robots-Tag và canonical trên từng mẫu trang. Kiểm tra cả phản hồi qua CDN để phát hiện header cũ còn trong cache. Nếu dùng noindex, URL cần truy cập được để Google đọc chỉ thị.
• WAF và giới hạn tần suất. Xác minh Googlebot theo dải IP công bố hoặc đối chiếu DNS ngược rồi DNS xuôi. User-Agent có thể bị giả mạo. Khi cần ngoại lệ, giới hạn theo bot đã xác minh, đường dẫn và quy tắc gây chặn. Giữ các kiểm soát cho trang quản trị và API riêng.
• Tài khoản và dữ liệu. Dùng quyền tối thiểu, bật xác thực đa yếu tố cho tài khoản quản trị và lưu khóa API ở nơi quản lý bí mật. Khi phát hiện lộ khóa, thu hồi hoặc xoay khóa bị ảnh hưởng, kiểm tra log và xác định phạm vi truy cập. Giữ nội dung cần xuất hiện trên tìm kiếm ở trang HTML công khai phù hợp.
• Mã phản hồi. Trả 404 hoặc 410 đúng trường hợp URL đã mất. Khi buộc phải ngừng phục vụ ngắn hạn để bảo trì, trả 503 và có thể gửi Retry-After nếu biết thời gian dự kiến. Tiếp tục phục vụ robots.txt trong thời gian bảo trì. Giữ thời gian bảo trì ngắn và xác nhận website đã trả lại phản hồi bình thường sau khi mở.
• Sitemap và dữ liệu có cấu trúc. Kiểm tra sitemap truy cập được và liệt kê URL canonical muốn lập chỉ mục. Xem JSON-LD trong HTML đã render và đối chiếu với nội dung công khai. Khi cần, gửi hoặc kiểm tra sitemap trong Search Console. Google đã ngừng hỗ trợ endpoint ping sitemap cũ.

Xác minh Googlebot · Hướng dẫn bảo trì của Google · Thông báo về ping sitemap

3. Kiểm tra trước và sau khi triển khai

1. Trước khi mở bản mới. Bảo vệ staging bằng cơ chế xác thực hoặc giới hạn truy cập mạng. Cho công cụ kiểm thử đã được cấp quyền truy cập để kiểm tra các mẫu URL. Lưu cấu hình hiện tại, bản sao lưu và quy trình khôi phục đã thử.
2. Ngay sau khi triển khai. Thử trang chủ, danh mục, bài viết hoặc sản phẩm, robots.txt và sitemap trên URL công khai. Đối chiếu mã HTTP, đích redirect, canonical, meta robots, header và nội dung đã render. Dùng URL Inspection cho một số trang quan trọng. Crawl mô phỏng bằng User-Agent giúp kiểm tra cấu hình, còn log truy cập giúp xác định bot thật có bị chặn hay không.
3. Trong 72 giờ đầu. Theo dõi uptime, tỷ lệ 403/429/5xx, sự kiện WAF và truy cập của bot đã xác minh. Đối chiếu báo cáo lập chỉ mục khi dữ liệu cập nhật. Dùng log và kiểm tra trực tiếp để phát hiện sự cố ngay sau deploy.

Với AEO/GEO, kiểm tra chính sách truy cập từng crawler theo tài liệu của nhà cung cấp. Dùng cùng một bộ câu hỏi mẫu để ghi lại kết quả quan sát, thời gian và URL được dẫn nguồn. Google áp dụng các nền tảng SEO hiện có cho tính năng AI trong Search. Kết quả kiểm tra một câu trả lời AI chỉ phản ánh lần quan sát đó.

Tài liệu Google về tính năng AI và website

4. Ứng phó khi Googlebot bị chặn hoặc website bị sửa trái phép

1. Ghi nhận phạm vi. Lưu URL mẫu, thời điểm kèm múi giờ, HTTP status, request ID, quy tắc WAF liên quan và trích đoạn log đã bỏ thông tin nhạy cảm.
2. Khoanh vùng nguyên nhân. Nếu sự cố bắt đầu sau deploy và liên quan đến quy tắc WAF hoặc header, chỉnh hoặc hoàn nguyên thay đổi gây lỗi. Nếu nghi website bị xâm nhập, cô lập phần bị ảnh hưởng, bảo toàn log, thu hồi thông tin đăng nhập bị lộ và xử lý điểm xâm nhập trước khi mở lại.
3. Xác minh sau khắc phục. Kiểm tra URL từng lỗi và các mẫu trang liên quan. Xác nhận nội dung, canonical, redirect và JSON-LD đã đúng. Xem mục Vấn đề bảo mật trong Search Console và yêu cầu xem xét lại nếu có cảnh báo đã được xử lý.
4. Theo dõi. Ghi lại các mốc khôi phục và tiếp tục theo dõi log, lỗi truy cập và báo cáo lập chỉ mục. Đóng sự cố khi các tiêu chí nghiệm thu đã đạt theo quy trình nội bộ.

5. Phân quyền và bàn giao

• Chủ website. Giữ quyền sở hữu Search Console, DNS và các tài khoản hạ tầng. Cấp quyền theo nhiệm vụ cho SEO hoặc agency.
• IT hoặc DevOps. Quản lý chứng chỉ, WAF, log, sao lưu và rollback. Ghi rõ ai có quyền sửa cấu hình production và ai duyệt thay đổi.
• SEO hoặc agency. Duy trì danh sách URL kiểm thử, đối chiếu Search Console và ghi nhận dấu hiệu sau triển khai. Bàn giao báo cáo kèm URL mẫu và kết quả kiểm tra.

Tiêu chí nghiệm thu. Website phục vụ đúng nội dung qua HTTPS, crawler được phép có thể truy cập URL công khai, trang nhạy cảm vẫn được bảo vệ và đội vận hành có đủ bằng chứng để xử lý nếu lỗi tái diễn.