Biết ngay khi site WordPress của bạn có chuyện — trước khi khách hàng gọi báo.
CVM Sentinel canh site của bạn suốt ngày đêm: file bị chèn mã, tài khoản admin lạ, plugin lạ, đăng nhập từ nước ngoài, site ngừng phản hồi, SSL sắp hết hạn. Có chuyện là bạn nhận tin Telegram, kèm một trang ghi rõ chuyện gì đã xảy ra.
wp-content/uploads/2026/10/thumb.php Mẫu: eval(base64_decode · dòng 1Lúc: 23:41 12/10/2026🔗 Xem sự cố INC-1234Vấn đề
Site bị hack thường không ai biết — cho tới khi khách hàng báo
Ba chuyện người làm web và chủ site hay gặp:
- Biết muộn. Site ngừng chạy cả buổi, hoặc bị chèn mã chuyển hướng sang trang lạ, và người phát hiện đầu tiên là khách hàng.
- Plugin bảo mật bị tắt. Plugin bảo mật cài trong site thì người đã vào được wp-admin cũng tắt được nó. Tắt xong là bạn không còn nghe thấy gì.
- Có cảnh báo cũng không biết làm gì. “Có file thay đổi” — file nào, đổi từ đâu, có phải do vừa cập nhật plugin không?
CVM Sentinel được làm ra để giải ba chuyện này.
Cách hoạt động
Ba bước, khoảng vài phút
- Thêm site và cài plugin. Đăng nhập bằng Google, nhập địa chỉ site, tải về một file zip và cài như một plugin WordPress bình thường. Plugin này (chúng tôi gọi là agent) đã mang sẵn mã kết nối của riêng site bạn — không phải dán gì thêm.
- Kiểm tra sức khỏe ban đầu. Agent đọc toàn bộ file WordPress của site, đối chiếu với bản gốc chính thức và rà mẫu mã độc. Bạn nhận một báo cáo “site này đang thế nào”: bao nhiêu file, có file nào khớp mẫu mã độc, danh sách plugin, theme, tài khoản admin hiện có. Rất hữu ích khi bạn vừa nhận bảo trì một site do người khác làm.
- Từ đó, cứ có chuyện là có tin. Máy chủ CVM Sentinel kiểm site mỗi phút, agent báo ngay các thay đổi trong wp-admin, và rà lại file định kỳ. Mọi cảnh báo về Telegram của bạn; chi tiết xem trên bảng điều khiển tại sentinel.cvm.vn, dùng được cả trên điện thoại.
Tính năng
CVM Sentinel canh những gì
File bị thêm, sửa, xóa — so với bản gốc chính thức
Mọi file của WordPress, plugin và theme được đối chiếu thường xuyên với bản gốc chính thức. Khớp thì im lặng; lệch thì báo đúng plugin, đúng file. Cập nhật plugin hợp lệ được tự nhận ra, không làm bạn ngập cảnh báo.
Quét mẫu mã độc
Rà các dấu hiệu quen thuộc của webshell, mã chèn, mã độc giấu trong file ảnh hay thư mục upload, chuyển hướng lén sang trang lạ. Bộ nhận diện được chúng tôi cập nhật liên tục từ các ca thật; khi có bộ mới, mọi site tự được rà lại, và còn được rà toàn bộ định kỳ.
Plugin, theme và tài khoản admin
Báo khi có plugin được cài, bật, tắt, xóa; theme bị đổi; tài khoản admin mới, tài khoản được nâng quyền admin, admin bị đổi email hoặc mật khẩu; địa chỉ site hay chế độ cho đăng ký thành viên bị đổi. Có danh sách plugin rủi ro cao để cảnh báo ngay khi bị cài — bạn tự chỉnh được.
Đăng nhập lạ và dò mật khẩu
Theo dõi đăng nhập của tài khoản admin và editor: báo khi có đăng nhập khác thường so với thói quen của site, và báo khi có đợt dò mật khẩu — kể cả kiểu dò rải nhiều IP mà plugin chặn theo IP không bắt được.
Site ngừng chạy, SSL, chuyển hướng lạ
Máy chủ kiểm trang chủ site mỗi phút. Chỉ báo “site ngưng phản hồi” khi lỗi kéo dài (tránh báo nhầm), báo khi site sống lại kèm tổng thời gian ngừng. Báo khi SSL còn ≤ 14 ngày và ≤ 3 ngày, khi trang chủ bị chuyển hướng sang domain lạ, khi WordPress đang chạy bản wordpress.org xếp là không an toàn.
Biết khi chính agent bị tắt
Đây là điểm khác plugin bảo mật thông thường: bộ óc nằm ở máy chủ CVM Sentinel, không nằm trong site. Máy chủ thường xuyên kiểm agent còn sống. Agent im lặng trong khi site vẫn chạy → bạn nhận cảnh báo “Agent không phản hồi”. Agent bị gỡ → có cảnh báo “Agent bị gỡ khỏi site”.
Cảnh báo trông như thế nào
Một tin nhắn, đủ để biết có cần mở máy ngay không
Mỗi tin ghi mức độ, tên site, chuyện gì xảy ra, giờ Việt Nam và link tới trang sự cố. Cùng một chuyện lặp lại thì tin cũ được cập nhật thêm thay vì gửi tin mới — không bão tin nhắn.
Mức nghiêm trọng
wp-content/uploads/2026/10/thumb.php Mẫu: eval(base64_decode · dòng 1Lúc: 23:41 12/10/2026🔗 Xem sự cố INC-123423:41Tài khoản lạ
support_wpIP: 203.0.113.25 (Hà Lan)Lúc: 02:15 13/10/2026🔗 Xem sự cố INC-123502:15Mức cảnh báo
Trang sự cố
Bấm link trong tin là mở trang sự cố: tóm tắt, dòng thời gian các sự kiện quanh đó, danh sách file đổi, phần log đã che bí mật, và lời khuyên xử lý theo đúng loại sự cố. Đổi trạng thái (đang xử lý / đã xử lý / báo giả) bằng một cú bấm.
Khác gì plugin bảo mật cài trong site
Không tắt được từ bên trong site
| Tiêu chí | Plugin bảo mật cài trong site | CVM Sentinel |
|---|---|---|
| Ai quyết định “có chuyện” | Chính plugin trong site | Máy chủ CVM Sentinel, bên ngoài site |
| Người vào được wp-admin tắt plugin | Mất canh gác, thường không ai biết | Có cảnh báo “Agent bị gỡ” hoặc “Agent không phản hồi” |
| So file với gì | Tùy plugin | Bản gốc chính thức của wordpress.org |
| Một màn hình cho nhiều site | Thường phải vào từng site | Một bảng điều khiển cho mọi site của bạn |
CVM Sentinel không thay tường lửa hay plugin chặn đăng nhập — bạn vẫn có thể dùng chúng cùng lúc. CVM Sentinel là đôi mắt đứng ngoài, báo cho bạn khi có chuyện.
Bảng giá
Trả theo năm, theo số site
Mọi gói có đủ tính năng giám sát như nhau — chỉ khác số site.
Gói 1 site
Số site: 1
500.000đ / năm
Tính ra mỗi site / năm: 500.000đ
- Uptime mỗi phút
- So file với bản gốc
- Quét mã độc
- Theo dõi plugin, admin, đăng nhập
- Cảnh báo Telegram
- Bảng điều khiển trên web và điện thoại
Phổ biến
Gói 2 site
Số site: 2
900.000đ / năm
Tính ra mỗi site / năm: 450.000đ
- Uptime mỗi phút
- So file với bản gốc
- Quét mã độc
- Theo dõi plugin, admin, đăng nhập
- Cảnh báo Telegram
- Bảng điều khiển trên web và điện thoại
Gói 5 site
Số site: 5
1.500.000đ / năm
Tính ra mỗi site / năm: 300.000đ
- Uptime mỗi phút
- So file với bản gốc
- Quét mã độc
- Theo dõi plugin, admin, đăng nhập
- Cảnh báo Telegram
- Bảng điều khiển trên web và điện thoại
Gói 10 site
Số site: 10
2.000.000đ / năm
Tính ra mỗi site / năm: 200.000đ
- Uptime mỗi phút
- So file với bản gốc
- Quét mã độc
- Theo dõi plugin, admin, đăng nhập
- Cảnh báo Telegram
- Bảng điều khiển trên web và điện thoại
- Giá trên là số tiền bạn chuyển khoản, không cộng thêm khoản nào.
- Thanh toán bằng chuyển khoản ngân hàng qua mã VietQR. Chuyển đúng số tiền và đúng nội dung thì gói tự kích hoạt.
- Không tự gia hạn, không trừ tiền tự động. Gần hết hạn, bạn được nhắc qua Telegram và trong ứng dụng.
- Cần thêm site giữa năm? Nâng gói chỉ trả phần chênh lệch theo số ngày còn lại, giữ nguyên ngày hết hạn.
- Gói đã kích hoạt thì không hoàn tiền — vì vậy bạn có 7 ngày dùng thử trước. Xem Điều khoản sử dụng.
- Khách dùng gói chăm sóc website của CVM được dùng CVM Sentinel cho site đó, không trả thêm phí.
Dùng thử
7 ngày dùng thử, không cần thanh toán
- Đăng nhập bằng tài khoản Google là có ngay 7 ngày dùng thử cho 1 site, đủ mọi tính năng giám sát như gói trả phí.
- Việc giám sát bắt đầu sau khi bạn cài agent và agent kết nối được với máy chủ.
- Mỗi tên miền chỉ dùng thử một lần (ví dụ
abc.vnvàshop.abc.vntính là hai tên miền khác nhau). - Hết 7 ngày mà chưa chọn gói thì CVM Sentinel ngừng giám sát; chọn gói lúc nào thì giám sát chạy lại lúc đó.
Dữ liệu của bạn
Thứ gì rời khỏi site, thứ gì không bao giờ
Gửi về CVM Sentinel (để giám sát)
- Dấu vân tay (hash), kích thước, ngày sửa và quyền của file WordPress — không phải nội dung file.
- Danh sách plugin, theme và phiên bản; danh sách tài khoản admin/editor (tên đăng nhập, email, vai trò); vài mục cài đặt nhạy cảm (địa chỉ site, email quản trị, chế độ cho đăng ký thành viên).
- Lần đăng nhập của admin/editor: tên đăng nhập, IP, trình duyệt, thời điểm. Ai cài/tắt plugin, tạo hay đổi tài khoản: tên đăng nhập và IP người thực hiện.
- Phiên bản WordPress, PHP, ngôn ngữ site; phần cuối file
debug.log(nếu site bật) khi có sự cố mới, đã che bí mật. - Một phần nội dung file chỉ trong vài trường hợp hẹp: đoạn ngắn quanh chỗ nghi là mã độc, và file nhỏ đang bị nghi chèn mã để bạn xem đúng dòng bị sửa. Đều đã qua bộ lọc che bí mật ngay trên site.
Không bao giờ rời khỏi site
- Nội dung
wp-config.php, file.env, file.sql, file log (trừdebug.log), thư mục sao lưu. Với các file này chỉ gửi hash, kích thước và tên các hằng số được thêm/bớt — không bao giờ gửi giá trị (ví dụ thấyDB_PASSWORDđổi, nhưng không thấy mật khẩu). - Mật khẩu, khóa bí mật, token: bị che bởi bộ lọc ở agent trước khi gửi, và che lần nữa ở máy chủ.
- Nội dung database: bài viết, đơn hàng, dữ liệu khách hàng của shop. (Khi có tài khoản mới đăng ký, chỉ tên đăng nhập và vai trò được gửi để phát hiện admin lạ; email của khách thường không rời site.)
Thêm vài điều
- Mọi dữ liệu giữa site và máy chủ đi qua HTTPS và có chữ ký số, chống giả mạo và gửi lại.
- Dữ liệu của bạn không được gửi cho bất kỳ dịch vụ AI nào.
- Ngừng dùng: dữ liệu bị xóa theo lịch công bố trong Chính sách riêng tư.
Nói thẳng: CVM Sentinel không làm gì
Để bạn khỏi mua nhầm
- Không phải tường lửa. CVM Sentinel không chặn tấn công, không chặn IP. Nó phát hiện và báo cho bạn.
- Không tự sửa site. Agent chỉ đọc. Việc xóa mã độc, đổi mật khẩu, khôi phục bản sao lưu vẫn do bạn hoặc người kỹ thuật của bạn làm.
- Không sao lưu. Hãy giữ bản sao lưu riêng của site.
- Không đảm bảo site không bao giờ bị hack. Giám sát giúp biết sớm, không thay được việc cập nhật plugin, dùng mật khẩu mạnh và bản sao lưu.
- Chưa hỗ trợ WordPress multisite và site có mật khẩu bảo vệ kiểu “basic auth”.
Hỏi & đáp
Câu hỏi thường gặp về CVM Sentinel
Chưa thấy câu trả lời bạn cần?
Bạn cứ nhắn Zalo hỗ trợ, CVM sẽ trả lời trực tiếp.
Tôi không rành kỹ thuật, có dùng được không?
Được. Cài agent giống cài một plugin bất kỳ (tải zip lên ở mục Plugins → Thêm mới → Tải plugin lên). Liên kết Telegram chỉ là bấm một nút trong ứng dụng, Telegram tự mở bot của CVM Sentinel — không phải tạo bot hay tìm “chat ID”. Cảnh báo viết bằng tiếng Việt, ghi rõ chuyện gì xảy ra.
Site của tôi cần đáp ứng gì?
WordPress 6.0 trở lên, PHP 7.4 trở lên, không phải multisite. Bạn cần quyền admin để cài plugin. Site phải cho phép kết nối HTTPS ra ngoài và nhận kết nối từ máy chủ CVM Sentinel — nếu tường lửa của hosting chặn, ứng dụng sẽ báo và hướng dẫn nhờ hosting cho phép.
Agent có làm site chậm không?
Agent không làm việc nặng trong lúc khách truy cập trang. Việc quét file chạy theo từng lô nhỏ (tối đa 2.000 file hoặc 20 giây mỗi lô) để chạy được cả trên shared hosting. Agent không cần cron hệ thống, không cần quyền shell, không mở cổng mạng.
Agent có sửa gì trên site không?
Không sửa nội dung hay cấu hình site của bạn. Agent chỉ đọc, và chỉ lưu dữ liệu của riêng nó (bảng ghi dấu vân tay file và hàng đợi sự kiện) trong database của site. Gỡ plugin là các bảng đó được xóa sạch.
Có những lúc nào tôi không nhận được cảnh báo?
Khi bạn bật chế độ bảo trì cho site (1 giờ, 4 giờ, 24 giờ hoặc tới khi tắt — dùng khi đang cập nhật site), khi bạn tắt một loại cảnh báo không quan tâm, hoặc khi gói đã hết hạn và hết 7 ngày ân hạn. CVM Sentinel không gửi email — kênh cảnh báo là Telegram và bảng điều khiển.
Đăng nhập bằng gì? Có cần mật khẩu không?
Chỉ bằng tài khoản Google, không có mật khẩu riêng. Hãy bật xác minh 2 bước cho tài khoản Google của bạn — đó cũng là lớp bảo vệ cho tài khoản CVM Sentinel. Mỗi tài khoản Google là một tài khoản CVM Sentinel, dành cho một người.
Tôi đổi tên miền thì sao?
Đổi được địa chỉ site trong ứng dụng, tối đa 3 lần trong 30 ngày cho mỗi site. Tại một thời điểm số site được giám sát đúng bằng số site của gói.
Thanh toán thế nào? Chuyển sai nội dung thì sao?
Chọn gói trong ứng dụng, quét mã VietQR bằng app ngân hàng (số tiền và nội dung đã điền sẵn). Đơn được giữ 24 giờ. Chuyển đúng thì gói tự kích hoạt sau ít phút. Chuyển sai nội dung, thiếu hoặc thừa tiền: tiền không mất — CVM Sentinel đối chiếu tay rồi kích hoạt hoặc hoàn tiền; bạn nhắn Zalo hỗ trợ để được xử lý nhanh.
Hết hạn mà quên gia hạn thì sao?
Bạn được nhắc qua Telegram trước 14, 7 và 1 ngày. Hết hạn vẫn còn 7 ngày ân hạn, giám sát chạy bình thường. Sau đó tài khoản tạm dừng: không giám sát, không cảnh báo, bảng điều khiển chỉ xem được. Gia hạn lúc nào thì chạy lại lúc đó. Tạm dừng 90 ngày mà không gia hạn thì dữ liệu bị xóa vĩnh viễn (có nhắc trước 30 và 7 ngày).
Tôi muốn ngừng dùng giữa năm, có được hoàn tiền không?
Không. Gói đã kích hoạt thì không hoàn tiền phần thời gian còn lại; chỉ hoàn khi chuyển nhầm hoặc chuyển thừa. Vì vậy hãy dùng thử 7 ngày trước khi mua.
Ai xem được dữ liệu site của tôi?
Chỉ bạn, qua tài khoản Google của bạn. Người vận hành CVM Sentinel có quyền truy cập kỹ thuật vào máy chủ để vận hành và sửa lỗi, nhưng bảng quản trị không hiển thị dữ liệu giám sát của khách và không có chức năng đăng nhập thay bạn. Chi tiết ở Chính sách riêng tư.
Cần hỗ trợ thì liên hệ ở đâu?
Nhắn Zalo hỗ trợ: 0978.06.06.92 (mở trong tab mới).
Đừng để khách hàng là người báo tin
Cài agent trong vài phút, nhận báo cáo sức khỏe ban đầu của site, rồi để CVM Sentinel canh thay bạn.
Đăng nhập bằng Google · 1 site · không cần thanh toán
CVM Sentinel — một sản phẩm của CVM