Stripe Là Gì? Hướng Dẫn Tích Hợp Với WordPress Và PHP

Stripe là nền tảng giúp website tiếp nhận và quản lý thanh toán trực tuyến. Tích hợp đúng cần nối giao dịch với đơn hàng: nhận biết khoản nào đã trả, đơn nào được giao và trường hợp nào cần kiểm tra lại.

Bài viết hướng dẫn lựa chọn cách tích hợp trên WordPress hoặc PHP, chuẩn bị chi phí và kiểm thử luồng thanh toán. Phần mã chỉ minh họa kỹ thuật; hệ thống thực tế còn cần cơ sở dữ liệu, kiểm soát truy cập và quy trình vận hành tương ứng.

Chi phí tích hợp và sử dụng Stripe gồm những gì?

Không có một mức phí chung cho mọi quốc gia và mô hình. Cần tách chi phí nền tảng thanh toán khỏi phí xây dựng website; xác nhận biểu phí áp dụng cho tài khoản trước khi quyết định.

Để nhận báo giá triển khai, hãy chuẩn bị nền tảng website, quốc gia của tài khoản, tiền tệ, sản phẩm bán và cách giao hàng. Nếu thu phí định kỳ hoặc đồng bộ CRM, cần đưa các yêu cầu đó vào phạm vi ngay từ đầu.

Stripe là gì?

Stripe là một nền tảng hạ tầng thanh toán dành cho doanh nghiệp hoạt động trên Internet. Nền tảng cung cấp API, thư viện lập trình, giao diện quản trị và các thành phần thanh toán có sẵn để doanh nghiệp tích hợp vào website hoặc ứng dụng.

Tùy theo sản phẩm và khu vực được hỗ trợ, Stripe có thể giúp doanh nghiệp:

• Chấp nhận thanh toán bằng thẻ.
• Hiển thị các phương thức thanh toán phù hợp với khách hàng.
• Nhận thanh toán một lần.
• Thu phí định kỳ.
• Quản lý khách hàng.
• Tạo hóa đơn.
• Hoàn tiền.
• Xử lý tranh chấp.
• Phát hiện một số dấu hiệu gian lận.
• Theo dõi giao dịch và đối soát.
• Kết nối thanh toán với hệ thống nội bộ.

Stripe hoạt động như thế nào?

Quy trình thanh toán cơ bản thường diễn ra như sau:

1. Khách hàng chọn sản phẩm hoặc dịch vụ trên website.
2. Máy chủ của website tạo một phiên hoặc yêu cầu thanh toán với Stripe.
3. Khách hàng nhập thông tin thanh toán trên giao diện do Stripe cung cấp.
4. Stripe xử lý việc xác thực và gửi yêu cầu đến hệ thống thanh toán liên quan.
5. Kết quả giao dịch được cập nhật trong Stripe.
6. Stripe gửi webhook đến máy chủ của website.
7. Website xác minh webhook rồi cập nhật đơn hàng.

Website không nên đánh dấu đơn hàng đã thanh toán chỉ vì người dùng được chuyển đến trang thành công. Người dùng có thể đóng trình duyệt, mất kết nối hoặc truy cập trực tiếp URL này.

Dùng webhook làm kênh cập nhật tự động và đối chiếu với dữ liệu Stripe phía máy chủ khi cần. Trang trả về chỉ nên hiển thị trạng thái đã được máy chủ kiểm tra, không tự xác nhận từ tham số URL.

Lợi ích khi sử dụng Stripe

1. Có API và SDK dành cho nhiều nền tảng

Stripe cung cấp thư viện chính thức cho nhiều ngôn ngữ lập trình. Điều này giúp lập trình viên kết nối hệ thống thanh toán với PHP, Node.js, Python, Java và các nền tảng khác.

2. Có nhiều hình thức tích hợp

Doanh nghiệp có thể lựa chọn:

• Trang thanh toán do Stripe lưu trữ.
• Checkout được nhúng vào website.
• Payment Element tùy biến.
• Payment Links không cần lập trình nhiều.
• Plugin dành cho nền tảng thương mại điện tử.

3. Giao diện thanh toán tối ưu cho nhiều thiết bị

Stripe Checkout và Payment Element được thiết kế để sử dụng trên máy tính, điện thoại và máy tính bảng.

Hệ thống có thể hiển thị những phương thức thanh toán phù hợp dựa trên cấu hình và điều kiện của tài khoản.

4. Hỗ trợ thanh toán định kỳ

Stripe Billing có thể được sử dụng cho các mô hình như:

• Phần mềm SaaS.
• Gói thành viên.
• Dịch vụ thu phí hằng tháng.
• Gói thanh toán theo năm.
• Thanh toán theo mức sử dụng.

5. Có Dashboard quản lý giao dịch

Stripe Dashboard giúp người quản trị kiểm tra:

• Thanh toán thành công và thất bại.
• Khách hàng.
• Hoàn tiền.
• Tranh chấp.
• Subscription.
• Webhook.
• Log API.
• Số dư và khoản thanh toán về ngân hàng.

6. Có môi trường kiểm thử

Chế độ test giúp lập trình viên mô phỏng nhiều tình huống mà không tạo giao dịch thật.

Có thể kiểm thử:

• Thanh toán thành công.
• Thẻ bị từ chối.
• Yêu cầu xác thực bổ sung.
• Thanh toán không đủ tiền.
• Webhook gửi lại.
• Hoàn tiền.

Nên sử dụng Stripe Checkout hay Payment Element?

Điều kiện cần chuẩn bị trước khi tích hợp Stripe

Trước khi bắt đầu, doanh nghiệp cần kiểm tra:

• Stripe có hỗ trợ doanh nghiệp đăng ký tại quốc gia liên quan hay không.
• Ngành nghề có thuộc nhóm bị hạn chế không.
• Doanh nghiệp có tài khoản ngân hàng phù hợp không.
• Website đã sử dụng HTTPS chưa.
• Website có chính sách bảo mật không.
• Có chính sách hoàn tiền, giao hàng và điều khoản sử dụng không.
• Thông tin doanh nghiệp trên website có minh bạch không.
• Đơn vị tiền tệ và phương thức thanh toán cần sử dụng có được hỗ trợ không.

Không nên xây dựng toàn bộ hệ thống dựa trên Stripe trước khi xác nhận doanh nghiệp có đủ điều kiện kích hoạt tài khoản thanh toán thật.

Hướng dẫn tích hợp Stripe với WordPress

Cách triển khai phụ thuộc vào việc website có sử dụng WooCommerce hay chỉ cần một biểu mẫu thanh toán đơn giản.

1. Tích hợp Stripe với WooCommerce

Bước 1: Cài đặt WooCommerce

1. Đăng nhập trang quản trị WordPress.
2. Truy cập Plugin > Thêm mới.
3. Tìm WooCommerce.
4. Cài đặt và kích hoạt.
5. Hoàn tất các bước thiết lập cửa hàng.

Bước 2: Cài plugin Stripe phù hợp

Ưu tiên sử dụng plugin được WooCommerce hoặc Stripe công bố chính thức.

1. Truy cập Plugin > Thêm mới.
2. Tìm plugin Stripe dành cho WooCommerce.
3. Kiểm tra nhà phát triển, số phiên bản và khả năng tương thích.
4. Cài đặt và kích hoạt.

Bước 3: Kết nối tài khoản Stripe

Quy trình tổng quát:

1. Truy cập WooCommerce > Cài đặt > Thanh toán.
2. Chọn phương thức Stripe.
3. Nhấn nút hoàn tất thiết lập hoặc kết nối.
4. Đăng nhập tài khoản Stripe.
5. Cấp quyền kết nối cần thiết.
6. Quay lại WordPress để kiểm tra trạng thái.

Giao diện có thể thay đổi tùy phiên bản plugin. Không nên mặc định rằng mọi website đều phải nhập Publishable Key và Secret Key thủ công.

Bước 4: Cấu hình phương thức thanh toán

Tùy tài khoản, bạn có thể cấu hình:

• Thanh toán bằng thẻ.
• Ví điện tử.
• Payment Element.
• Lưu phương thức thanh toán.
• Thanh toán nhanh.
• Mô tả xuất hiện trên sao kê.
• Webhook.

Chỉ nên bật những phương thức phù hợp với khách hàng và quy trình đối soát của doanh nghiệp.

Bước 5: Bật chế độ test

Trước khi nhận tiền thật, cần thử toàn bộ quy trình:

• Thêm sản phẩm vào giỏ hàng.
• Nhập thông tin khách hàng.
• Thanh toán thành công.
• Thanh toán thất bại.
• Kiểm tra đơn hàng WooCommerce.
• Kiểm tra giao dịch trong Stripe.
• Kiểm tra email xác nhận.
• Kiểm tra hoàn tiền.

Bước 6: Kiểm tra webhook

Plugin thường cần webhook để đồng bộ trạng thái giao dịch với đơn hàng WooCommerce.

Nếu webhook không hoạt động, có thể xảy ra tình trạng:

• Stripe đã nhận tiền nhưng đơn hàng vẫn đang chờ.
• Hoàn tiền không được cập nhật.
• Subscription không gia hạn đúng.
• Thanh toán thất bại nhưng hệ thống không nhận biết.

Bước 7: Chuyển sang chế độ thật

Trước khi bật live mode:

• Hoàn tất xác minh tài khoản Stripe.
• Kiểm tra HTTPS.
• Tắt test mode.
• Kiểm tra kết nối live.
• Xác nhận đã hoàn tất kiểm thử trong môi trường thử nghiệm; không dùng live mode để tạo giao dịch thử bằng thẻ thật.
• Đối chiếu Stripe, WooCommerce và email.

2. Plugin Stripe không cần WooCommerce

Nếu website chỉ cần thu một khoản phí đơn giản, doanh nghiệp có thể sử dụng plugin chuyên tạo biểu mẫu thanh toán hoặc Payment Links.

Phù hợp với:

• Thu phí tư vấn.
• Nhận tiền đặt cọc.
• Bán một sản phẩm số.
• Thu phí đăng ký sự kiện.
• Nhận thanh toán dịch vụ.

Trước khi sử dụng plugin, cần kiểm tra:

• Nhà phát triển.
• Tần suất cập nhật.
• Khả năng xử lý webhook.
• Hỗ trợ hoàn tiền.
• Khả năng xuất dữ liệu.
• Cách lưu thông tin khách hàng.

Hướng dẫn tích hợp Stripe với website PHP thuần

Ví dụ sử dụng Checkout Sessions để chuyển khách đến trang thanh toán của Stripe. Đoạn tạo Session chỉ dành cho thử nghiệm, yêu cầu PHP 8 trở lên và SDK tương thích; chưa phải hệ thống đơn hàng có thể đưa vào vận hành ngay.

Ở dự án thật, phải tạo đơn trong cơ sở dữ liệu trước, kiểm tra quyền thao tác, chống gửi biểu mẫu giả mạo theo cơ chế của website và lưu lần thử thanh toán. Không lấy mã đơn ngẫu nhiên mới cho mỗi lần gửi lại rồi coi đó là chống trùng.

1. Cấu trúc thư mục tham khảo

Chỉ thư mục public/ được đặt làm document root. Giữ thư viện, cấu hình và dữ liệu ngoài vùng truy cập web. Các thành phần có thể gồm:

• public/index.php: biểu mẫu bắt đầu thanh toán.
• public/create-checkout-session.php: tạo Session từ dữ liệu máy chủ.
• public/success.php và public/cancel.php: thông báo cho khách.
• public/webhook.php: endpoint HTTPS nhận sự kiện.
• Lớp xử lý đơn hàng, cơ sở dữ liệu và hàng đợi ở ngoài thư mục public.

Trong ví dụ, đường dẫn nạp Composer của các tệp trong public là dirname(__DIR__) . '/vendor/autoload.php'. Cấu hình máy chủ phải phù hợp với cấu trúc thực tế.

2. Cài Stripe PHP SDK

composer require stripe/stripe-php

Dùng Composer để quản lý thư viện; kiểm tra yêu cầu PHP của phiên bản SDK được cài và lưu tệp khóa phiên bản của dự án.

3. Lưu API key bằng biến môi trường

Không viết secret key trực tiếp trong file PHP được đưa lên Git hoặc chia sẻ cho người khác.

Ví dụ các biến môi trường:

STRIPE_SECRET_KEY=sk_test_xxxxxxxxxxxxx
STRIPE_WEBHOOK_SECRET=whsec_xxxxxxxxxxxxx
APP_URL=https://example.com

Publishable key có thể được sử dụng ở phía trình duyệt khi cần. Secret key chỉ được dùng trên máy chủ.

4. Tạo nút thanh toán

File public/index.php:

<form action="/create-checkout-session.php" method="post">
    <button type="submit">Thanh toán 50 USD</button>
</form>

5. Tạo Checkout Session trên máy chủ

File public/create-checkout-session.php:

<?php

declare(strict_types=1);

require dirname(__DIR__) . '/vendor/autoload.php';

use StripeStripeClient;

$secretKey = getenv('STRIPE_SECRET_KEY');
$appUrl = rtrim((string) getenv('APP_URL'), '/');

if (!$secretKey || !$appUrl) {
    http_response_code(500);
    exit('Stripe chưa được cấu hình.');
}

if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    http_response_code(405);
    header('Allow: POST');
    exit;
}

// Demo chỉ dành cho môi trường test, không dùng nhận tiền thật.
if (!str_starts_with($secretKey, 'sk_test_')) {
    http_response_code(500);
    exit('Ví dụ này chỉ chạy bằng test key.');
}

$stripe = new StripeClient($secretKey);

try {
    $orderId = bin2hex(random_bytes(16));

    /*
     * Trong dự án thật:
     * - Lấy sản phẩm và giá từ database.
     * - Không tin amount gửi từ trình duyệt.
     * - Tạo đơn hàng trạng thái pending trước khi gọi Stripe.
     */
    $checkoutSession = $stripe->checkout->sessions->create(
        [
            'mode' => 'payment',
            'line_items' => [
                [
                    'price_data' => [
                        'currency' => 'usd',
                        'unit_amount' => 5000,
                        'product_data' => [
                            'name' => 'Sản phẩm demo',
                        ],
                    ],
                    'quantity' => 1,
                ],
            ],
            'success_url' => $appUrl
                . '/success.php?session_id={CHECKOUT_SESSION_ID}',
            'cancel_url' => $appUrl . '/cancel.php',
            'client_reference_id' => $orderId,
            'metadata' => [
                'order_id' => $orderId,
            ],
        ],
        [
            'idempotency_key' => 'checkout_' . $orderId,
        ]
    );

    if (empty($checkoutSession->url)) {
        throw new RuntimeException('Không nhận được Checkout URL.');
    }

    header('Location: ' . $checkoutSession->url, true, 303);
    exit;
} catch (Throwable $exception) {
    error_log($exception->getMessage());

    http_response_code(500);
    echo 'Không thể khởi tạo thanh toán. Vui lòng thử lại.';
}

6. Không sử dụng số tiền do trình duyệt gửi lên

Trong hệ thống thật, không nên dùng trực tiếp:

$amount = $_POST['amount'];

Người dùng có thể chỉnh sửa dữ liệu này.

Thay vào đó, máy chủ cần:

1. Nhận mã sản phẩm hoặc mã đơn hàng.
2. Đọc giá từ cơ sở dữ liệu.
3. Kiểm tra số lượng.
4. Tính khuyến mãi và thuế.
5. Tạo Session từ kết quả phía máy chủ.

7. Trang trả về sau thanh toán

File public/success.php chỉ nên dùng để hiển thị thông báo cho khách hàng.

<?php

declare(strict_types=1);

$sessionId = $_GET['session_id'] ?? '';

?>
<h1>Cảm ơn bạn</h1>

<?php if ($sessionId !== ''): ?>
    <p>Chúng tôi đang xác nhận giao dịch của bạn.</p>
<?php else: ?>
    <p>Không tìm thấy mã phiên thanh toán.</p>
<?php endif; ?>

Không nên cập nhật đơn hàng thành “đã thanh toán” tại file này.

8. Tạo webhook nhận kết quả từ Stripe

Endpoint phải xác minh yêu cầu trước khi xử lý. Đoạn dưới là mã giả mô tả luồng, không phải tệp PHP chạy độc lập:

Nhận POST và giữ nguyên raw body
Xác minh chữ ký bằng signing secret của đúng endpoint
Nếu không hợp lệ: trả lỗi 400
Nếu hợp lệ: lưu bền vững sự kiện hoặc đưa vào hàng đợi tin cậy
Chỉ xác nhận tiếp nhận sau khi lưu thành công
Worker xử lý: lấy trạng thái Session cần thiết từ Stripe
Đối chiếu đơn, Session, môi trường, số tiền và tiền tệ
Nếu đủ điều kiện và chưa xử lý: cập nhật đơn trong transaction
Ghi tác vụ giao hàng/email với khóa chống trùng
Lưu kết quả; thử lại khi có lỗi tạm thời

Dùng SDK để xác minh chữ ký, ví dụ StripeWebhook::constructEvent($payload, $signature, $webhookSecret). Secret của Stripe CLI và endpoint Dashboard có thể khác nhau; không dùng lẫn.

Với Checkout một lần, xem xét checkout.session.completed và các sự kiện thanh toán bất đồng bộ liên quan. Hoàn tất Session không luôn đồng nghĩa đã nhận tiền; phải kiểm tra trạng thái thanh toán trước khi cấp hàng. Subscription cần luồng riêng dựa trên hóa đơn và quyền sử dụng.

Không để một endpoint chỉ chứa comment rồi trả 200 cho mọi sự kiện: hệ thống có thể xác nhận đã nhận nhưng chưa lưu hay xử lý đơn. Chọn định dạng sự kiện và phiên bản API tương thích với handler.

9. Luôn xác minh chữ ký webhook

Webhook phải được xác minh bằng:

• Raw request body.
• Header Stripe-Signature.
• Webhook signing secret.

Không nên chỉ kiểm tra một trường trong JSON rồi tin rằng yêu cầu đến từ Stripe.

10. Chống xử lý webhook trùng

Lưu event ID cùng trạng thái xử lý để nhận biết lần gửi lại. Đồng thời cần khóa nghiệp vụ theo đơn hoặc Session vì các sự kiện khác nhau có thể cùng dẫn đến một hành động giao hàng.

Dùng ràng buộc duy nhất và transaction hoặc cơ chế tương đương để hai worker không cùng cấp hàng. Sự kiện có thể đến không theo thứ tự; không dùng thời điểm nhận đơn thuần để ghi đè trạng thái mới bằng trạng thái cũ.

Nếu email lỗi sau khi đơn đã được xác nhận, thử gửi lại email qua tác vụ riêng, không thu tiền hoặc cấp sản phẩm lần nữa.

11. Không giao hàng chỉ dựa vào redirect

Những hành động quan trọng như:

• Gửi file tải xuống.
• Kích hoạt tài khoản.
• Cộng số dư.
• Giao sản phẩm.
• Xác nhận đơn đã thanh toán.

chỉ nên thực hiện sau khi hệ thống phía máy chủ xác minh được trạng thái giao dịch.

Đối soát khi khách đã trả tiền nhưng đơn chưa cập nhật

1. Tìm mã đơn và Session hoặc Payment tương ứng, kiểm tra đúng tài khoản và môi trường.
2. Xem trạng thái thanh toán, số tiền, tiền tệ và mã tham chiếu; phân biệt thanh toán với khoản chuyển về ngân hàng.
3. Kiểm tra lần gửi webhook, phản hồi endpoint và trạng thái xử lý nội bộ.
4. Chạy lại tác vụ qua cùng cơ chế chống trùng sau khi sửa lỗi; không yêu cầu khách trả lần nữa khi chưa xác minh giao dịch cũ.
5. Đối chiếu lịch sử giao hàng, quyền truy cập và email để khép lại đơn.

Phân biệt trạng thái đơn hàng, thanh toán, giao hàng và hoàn tiền để một lỗi email hoặc một yêu cầu hoàn tiền không bị hiểu nhầm thành thanh toán thất bại.

Cách kiểm thử Stripe trước khi chạy thật

1. Sử dụng test mode

Test mode sử dụng API key riêng và không tạo giao dịch thật.

Thẻ kiểm thử thanh toán thành công thường được dùng:

• Số thẻ: 4242 4242 4242 4242
• Ngày hết hạn: một ngày hợp lệ trong tương lai.
• CVC: giá trị phù hợp theo biểu mẫu.

Chỉ dùng dữ liệu kiểm thử trong test mode. Không dùng thẻ thật để thử trên live mode.

2. Kiểm thử nhiều tình huống

Không nên chỉ thử một giao dịch thành công.

Cần kiểm tra:

• Khách hàng hủy thanh toán.
• Thẻ bị từ chối.
• Yêu cầu xác thực bổ sung.
• Webhook đến chậm.
• Webhook bị gửi lại.
• Khách hàng tải lại trang.
• Gửi form nhiều lần.
• Thanh toán thành công nhưng email gửi thất bại.
• Hoàn tiền toàn bộ.
• Hoàn tiền một phần.

3. Sử dụng Stripe CLI khi phát triển

Stripe CLI có thể hỗ trợ:

• Đăng nhập tài khoản phát triển.
• Chuyển tiếp webhook đến localhost.
• Kích hoạt sự kiện test.
• Kiểm tra payload.
• Gỡ lỗi endpoint.

Bảo mật khi tích hợp Stripe

1. Không để lộ secret key

Secret key không được:

• Đưa vào JavaScript phía trình duyệt.
• Đưa vào HTML.
• Commit lên Git.
• Gửi qua tin nhắn công khai.
• Lưu trong file có thể truy cập qua web.

2. Sử dụng HTTPS

Website nhận thanh toán cần sử dụng HTTPS hợp lệ trên toàn bộ quy trình.

3. Kiểm tra toàn bộ dữ liệu phía máy chủ

Không tin tưởng:

• Giá gửi từ trình duyệt.
• Mã giảm giá do client tự tính.
• Trạng thái thanh toán trong URL.
• Email hoặc mã đơn hàng chưa được kiểm tra.

4. Sử dụng idempotency key

Gắn key với một thao tác hoặc lần thử thanh toán đã lưu trên máy chủ. Khi gửi lại cùng thao tác với cùng tham số sau lỗi mạng, sử dụng lại key đó.

Nếu mỗi lần tải lại tạo một mã đơn và key mới, hệ thống vẫn có thể tạo nhiều Session. Khi khách thay đổi giỏ hàng hoặc cần một lần thử mới, tạo phiên bản thao tác mới theo quy tắc của ứng dụng.

5. Phân quyền API key

Nếu phù hợp, có thể sử dụng restricted key với quyền tối thiểu cần thiết cho từng hệ thống.

6. Không ghi thông tin nhạy cảm vào log

Log không nên chứa:

• Secret key.
• Thông tin thẻ.
• Webhook secret.
• Thông tin cá nhân không cần thiết.

7. Bảo vệ tài khoản Stripe

Nên:

• Bật xác minh hai bước.
• Tạo tài khoản riêng cho từng nhân viên.
• Phân quyền theo vai trò.
• Không dùng chung thông tin đăng nhập.
• Thu hồi quyền khi nhân sự nghỉ việc.

3D Secure là gì?

3D Secure là bước xác thực bổ sung mà ngân hàng hoặc hệ thống thanh toán có thể yêu cầu đối với một số giao dịch.

Khách hàng có thể được yêu cầu:

• Xác nhận trên ứng dụng ngân hàng.
• Nhập mã xác minh.
• Thực hiện một hình thức xác thực khác.

Không nên xây dựng luồng thanh toán dựa trên giả định mọi giao dịch thẻ đều hoàn tất ngay lập tức.

Stripe Checkout và Payment Element có thể xử lý các bước xác thực phù hợp trong quy trình thanh toán.

Tích hợp subscription với Stripe

Đối với thanh toán định kỳ, hệ thống cần quản lý thêm:

• Customer.
• Product.
• Price.
• Subscription.
• Invoice.
• Trạng thái gia hạn.
• Thanh toán thất bại.
• Hủy gói.
• Thay đổi gói.

Các webhook quan trọng có thể liên quan đến:

• Subscription được tạo hoặc cập nhật.
• Invoice đã thanh toán.
• Invoice thanh toán thất bại.
• Subscription bị hủy.

Không nên chỉ kiểm tra ngày hết hạn trong database nội bộ mà bỏ qua trạng thái thực tế từ Stripe.

Hoàn tiền và tranh chấp

1. Hoàn tiền

Doanh nghiệp có thể thực hiện hoàn tiền toàn bộ hoặc một phần tùy trạng thái giao dịch và điều kiện được hỗ trợ.

Website cần lưu:

• Mã giao dịch Stripe.
• Số tiền hoàn.
• Lý do.
• Người thực hiện.
• Thời gian.

2. Tranh chấp thanh toán

Khi có tranh chấp, doanh nghiệp có thể cần cung cấp bằng chứng như:

• Thông tin đơn hàng.
• Bằng chứng giao hàng.
• Trao đổi với khách hàng.
• Điều khoản dịch vụ.
• Chính sách hoàn tiền.

Website cần hiển thị chính sách rõ ràng trước khi khách hàng thanh toán.

Những sai lầm thường gặp khi tích hợp Stripe

1. Sử dụng ví dụ tích hợp đã lỗi thời

Nhiều bài hướng dẫn cũ vẫn sử dụng:

• checkout.js cũ.
• Token từ trình duyệt.
• Charge::create().
• Biểu mẫu tự thu thông tin thẻ không phù hợp.

Nên tham khảo tài liệu Stripe hiện hành trước khi triển khai.

2. Viết secret key trực tiếp trong mã nguồn

Đây là rủi ro bảo mật nghiêm trọng, đặc biệt khi dự án được đưa lên Git.

3. Tin hoàn toàn vào success URL

Success URL không thay thế webhook.

4. Không xác minh chữ ký webhook

Kẻ xấu có thể gửi yêu cầu giả đến endpoint nếu hệ thống không xác minh nguồn gửi.

5. Không xử lý sự kiện trùng lặp

Webhook và yêu cầu API có thể được gửi lại. Hệ thống cần có khả năng xử lý an toàn.

6. Tin số tiền gửi từ client

Giá phải được tính và xác minh trên máy chủ.

7. Chỉ kiểm thử thanh toán thành công

Các tình huống lỗi mới thường làm lộ vấn đề của hệ thống.

8. Không đối chiếu giao dịch

Doanh nghiệp nên đối chiếu:

• Đơn hàng trong website.
• Payment hoặc Session trong Stripe.
• Số tiền thực nhận.
• Hoàn tiền.
• Phí.
• Khoản tiền chuyển về ngân hàng.

9. Website thiếu chính sách

Trang thanh toán cần đi kèm thông tin doanh nghiệp, điều khoản, bảo mật và chính sách hoàn tiền phù hợp.

Checklist trước khi đưa Stripe vào hoạt động

• Doanh nghiệp đủ điều kiện mở tài khoản Stripe.
• Website đã sử dụng HTTPS.
• Secret key được lưu an toàn.
• Giá được tính từ phía máy chủ.
• Có idempotency key khi tạo yêu cầu quan trọng.
• Webhook đã được cấu hình.
• Chữ ký webhook được xác minh.
• Hệ thống chống xử lý event trùng.
• Đã kiểm thử thanh toán thành công và thất bại.
• Đã kiểm thử hoàn tiền.
• Đơn hàng chỉ hoàn tất sau xác minh phía máy chủ.
• Chính sách thanh toán và hoàn tiền đã được công bố.
• Tài khoản Stripe đã bật xác minh hai bước.

Câu hỏi thường gặp về Stripe

Doanh nghiệp tại Việt Nam có đăng ký Stripe được không?

Khả năng đăng ký phụ thuộc vào danh sách quốc gia và loại hình doanh nghiệp được Stripe hỗ trợ tại thời điểm thực hiện. Cần kiểm tra trực tiếp thông tin hiện hành của Stripe trước khi triển khai.

Stripe có phải là ngân hàng không?

Stripe là nền tảng hạ tầng thanh toán và cung cấp nhiều sản phẩm tài chính. Vai trò pháp lý cụ thể có thể khác nhau tùy sản phẩm và quốc gia.

Stripe Checkout có an toàn không?

Stripe Checkout giúp giảm phần việc thu thập và xử lý dữ liệu thanh toán trực tiếp trên website. Tuy nhiên, doanh nghiệp vẫn phải bảo vệ tài khoản, API key, webhook và hệ thống đơn hàng.

Stripe có hỗ trợ Apple Pay và Google Pay không?

Có thể hỗ trợ tùy quốc gia, thiết bị, trình duyệt, loại tài khoản và phương thức được bật.

Stripe có hỗ trợ thanh toán định kỳ không?

Có. Stripe Billing và Checkout có thể được sử dụng để xây dựng các gói subscription.

Tích hợp Stripe bằng PHP có cần Composer không?

Không phải điều kiện tuyệt đối, nhưng Composer là cách thuận tiện và an toàn hơn để cài đặt, cập nhật Stripe PHP SDK cùng các dependency.

Website có nên tự lưu thông tin thẻ không?

Trong phần lớn dự án thông thường, không nên tự lưu thông tin thẻ. Nên sử dụng thành phần và token thanh toán do Stripe cung cấp.

Tại sao Stripe đã nhận thanh toán nhưng đơn hàng vẫn chờ?

Nguyên nhân thường liên quan đến webhook, endpoint lỗi, chữ ký không hợp lệ hoặc plugin chưa đồng bộ đúng trạng thái.

Stripe có tự động ngăn chặn mọi gian lận không?

Không có hệ thống nào ngăn chặn tuyệt đối mọi gian lận. Doanh nghiệp vẫn cần kiểm tra đơn hàng, chính sách, tín hiệu rủi ro và quy trình xử lý tranh chấp.

Có thể dùng Stripe khi không có website không?

Một số sản phẩm như Payment Links có thể giúp tạo liên kết thanh toán mà không cần xây dựng quy trình Checkout riêng. Việc sử dụng vẫn phụ thuộc điều kiện tài khoản.

Thiết kế website tích hợp Stripe

Việc tích hợp Stripe không chỉ gồm thêm một nút thanh toán. Hệ thống còn cần kết nối giao dịch với đơn hàng, khách hàng, email, hoàn tiền, subscription và báo cáo.

Doanh nghiệp có thể tham khảo dịch vụ thiết kế website nếu cần xây dựng quy trình thanh toán phù hợp với mô hình kinh doanh.

Phạm vi tích hợp có thể bao gồm:

• Stripe Checkout.
• Payment Element.
• Thanh toán một lần.
• Subscription.
• Webhook.
• Quản lý đơn hàng.
• Hoàn tiền.
• Email xác nhận.
• Đồng bộ CRM hoặc hệ thống quản trị.
• Kiểm thử trước khi vận hành.

Phạm vi thực tế cần được xác định dựa trên quốc gia, loại tài khoản Stripe, loại tiền tệ, phương thức thanh toán và quy trình vận hành của doanh nghiệp.

Stripe cần được tích hợp từ phía máy chủ và kiểm tra đầy đủ

Stripe cung cấp nhiều công cụ giúp doanh nghiệp xây dựng hệ thống thanh toán trực tuyến. Với WordPress, doanh nghiệp có thể sử dụng plugin phù hợp. Với website PHP thuần, Stripe Checkout Sessions là một lựa chọn dễ triển khai cho nhiều quy trình thanh toán một lần.

Dù sử dụng hình thức nào, website vẫn cần bảo vệ API key, xác minh webhook, kiểm tra giá phía máy chủ và chống xử lý trùng lặp.

Không nên xác nhận đơn hàng chỉ dựa trên trang chuyển hướng sau thanh toán. Trạng thái cuối cùng cần được cập nhật từ dữ liệu đã xác minh phía máy chủ.

Trước khi đưa hệ thống vào hoạt động, hãy kiểm thử cả trường hợp thành công, thất bại, hủy, hoàn tiền và webhook được gửi lại. Đây là bước quan trọng để hạn chế lỗi đơn hàng và sai lệch dữ liệu khi giao dịch thật bắt đầu phát sinh.

Tài liệu Stripe để kiểm tra trước khi triển khai

• Quốc gia và khu vực Stripe hỗ trợ.
• Xác nhận và xử lý đơn hàng từ Checkout.
• Tiếp nhận và xác minh webhook.
• Môi trường và dữ liệu kiểm thử.