Bàn giao website gồm những gì? 8 Quyền sở hữu kỹ thuật tối thượng doanh nghiệp bắt buộc phải nắm giữBàn giao website gồm những gì? 8 Quyền sở hữu kỹ thuật tối thượng doanh nghiệp bắt buộc phải nắm giữ

Website có thể vẫn chạy trong khi doanh nghiệp không kiểm soát được nó. Nhân viên đăng bài bằng tài khoản Editor, khách vẫn gửi biểu mẫu, hóa đơn hosting vẫn được thanh toán. Đến lúc đổi nhà cung cấp, công ty mới biết tên miền đứng tên một cá nhân bên ngoài, bản sao dữ liệu chưa từng được nhận và mã nguồn chỉ tồn tại trên máy chủ của agency.

Câu hỏi bàn giao website gồm những gì vì thế không thể trả lời bằng một dòng “đã gửi tài khoản quản trị”. Một cuộc bàn giao đạt yêu cầu phải cho phép doanh nghiệp tự duy trì tên miền, lấy dữ liệu hiện hành và khôi phục hệ thống trong phạm vi kỹ thuật đã mua. Quyền đó cần được ghi trong hợp đồng, xác nhận bằng biên bản và kiểm tra bằng một lần phục hồi trên môi trường độc lập.

1. Thực trạng bị giữ làm con tin công nghệ khi thuê ngoài làm website

Một kịch bản thường được nhắc trong tranh chấp bàn giao diễn ra như sau. Hết năm đầu, doanh nghiệp muốn chuyển sang máy chủ khác hoặc đổi agency. Nhà cung cấp trả lời rằng “mã nguồn thuộc bản quyền bên em”, tài khoản đã cấp chỉ dùng để biên tập và muốn lấy bản xuất phải trả thêm 10-30 triệu đồng. Con số này là ví dụ giả định, không phải mức phí phổ biến đã được khảo sát. Câu hỏi cần giải quyết nằm ở hợp đồng: đây là phí di chuyển đã báo trước, chi phí chấm dứt hợp lệ hay điều kiện mới xuất hiện sau khi khách đã thanh toán?

Tình huống thứ hai liên quan đến tên miền. Nhân viên agency dùng email cá nhân để đăng ký, ghi tên mình làm chủ thể rồi thanh toán hộ. Hai năm sau, doanh nghiệp đã in địa chỉ lên bao bì, chạy quảng cáo và nhận email theo tên miền đó. Khi hai bên bất đồng, người giữ tài khoản đòi hàng trăm triệu đồng để chuyển lại. Đây cũng là tình huống minh họa, không phải bằng chứng rằng mọi dịch vụ mua hộ tên miền đều có ý chiếm giữ.

Dấu hiệu có thể kiểm tra gồm tên chủ thể trên WHOIS, email quản lý, quyền đăng nhập nhà đăng ký và chứng từ. VNNIC nêu rằng chủ thể tên miền phải cung cấp thông tin đầy đủ, chính xác và chịu trách nhiệm quản lý thông tin của mình. Doanh nghiệp có thể tra cứu tên chủ thể cùng nhà đăng ký trên WHOIS Việt Nam. Hóa đơn mang tên công ty chưa đủ nếu hồ sơ chủ thể và tài khoản tác nghiệp vẫn do người khác giữ.

Chi phí chuyển đi cần tách khỏi chi phí duy trì website hằng năm. Phí giờ kỹ thuật để đổi DNS hoặc xử lý tương thích có thể hợp lý nếu hợp đồng quy định rõ. Việc từ chối cung cấp dữ liệu vốn thuộc phạm vi bàn giao, rồi dùng dữ liệu ấy buộc khách gia hạn, là chuyện khác. Bài về bẫy chi phí ẩn của website giá rẻ cho thấy giá năm đầu thấp không nói lên chi phí chuyển đổi sau này.

Gốc của rắc rối thường nằm trong một phụ lục bị bỏ trống. Hợp đồng ghi “thiết kế website trọn gói” nhưng không định nghĩa mã nguồn, dữ liệu, giấy phép, tài khoản hạ tầng, định dạng bản sao hoặc thời điểm chuyển quyền. Bên mua hiểu rằng trả đủ tiền là nhận mọi thứ; bên làm web hiểu giá chỉ gồm quyền sử dụng trên hệ thống của họ. Quyền bàn giao phải được tính vào tổng chi phí sở hữu, cùng các khoản trong dự toán chi phí làm website và TCO, thay vì chờ tới biên bản thanh lý.

2. Tám quyền sở hữu kỹ thuật cần có trong biên bản bàn giao website

Danh mục dưới đây là checklist nền. Phạm vi chính xác phụ thuộc kiến trúc đã mua: shared hosting không có quyền root; cửa hàng SaaS không có mã nguồn nền tảng; chứng thư SSL tự động có thể cấp lại thay vì chuyển khóa cũ. Mỗi dòng trong biên bản nên ghi tài sản, định danh tài khoản hoặc tệp, mức quyền, người nhận, thời điểm kiểm tra và kết quả.

1. Quyền quản trị tên miền và DNS ở cấp chủ thể

Doanh nghiệp cần đứng tên chủ thể đăng ký, hoặc bảo đảm người đại diện hợp pháp đứng tên đúng thỏa thuận, đồng thời kiểm soát tài khoản nhà đăng ký, email khôi phục, số điện thoại xác thực và 2FA. Với tên miền .vn, hãy lưu bản tra cứu WHOIS, tên nhà đăng ký và ngày hết hạn. Đừng nhầm quyền sửa vài bản ghi DNS trên Cloudflare với quyền kiểm soát tên miền tại registrar.

2. Quyền kiểm soát máy chủ hoặc hosting đúng với mô hình đã mua

Với VPS hoặc cloud server đứng riêng, doanh nghiệp nên nắm tài khoản thanh toán, quyền IAM chủ sở hữu, quyền quản trị hệ điều hành qua SSH và thông tin mạng. Với shared hosting, đầu ra đúng là tài khoản cPanel hoặc DirectAdmin của gói hosting, quyền tạo backup, quản lý file, database, cron và email trong phạm vi gói. Tài liệu cPanel phân biệt root, reseller và cPanel user; đòi root trên máy chủ dùng chung vừa bất khả thi vừa gây rủi ro cho khách hàng khác.

Managed cloud cũng có thể không cho khách đăng nhập root. Hợp đồng khi đó phải bảo đảm khả năng xuất dữ liệu, snapshot, cấu hình ứng dụng và chuyển sang hạ tầng khác. Quyền tự chủ được chứng minh bằng quy trình rời đi đã thử, không phải một mật khẩu có quyền vô hạn.

3. Toàn bộ mã nguồn có thể đọc, xây dựng và triển khai

Bản mã nguồn phải khớp với phiên bản đang vận hành: mã ứng dụng, theme hoặc child theme, plugin tùy biến, tệp phụ thuộc, script build và cấu hình mẫu. Mã viết riêng không nên bị khóa bằng IonCube, Zend Guard hoặc cơ chế gọi về máy chủ cấp phép của agency, trừ khi hợp đồng công khai đó là thành phần cấp phép đóng.

Nếu dùng Git, hãy chuyển kho mã cho tổ chức của doanh nghiệp hoặc cung cấp bản mirror có lịch sử cần thiết, tag phát hành và hướng dẫn nhánh triển khai. File ZIP của thư mục public có thể thiếu SCSS, TypeScript, package lock, pipeline hoặc submodule. Danh mục phần mềm bên thứ ba phải ghi tên, phiên bản, giấy phép, người đứng tên, ngày gia hạn và quyền chuyển. Với WordPress, quyền dùng mã GPL không đồng nghĩa doanh nghiệp nhận dịch vụ cập nhật thương mại vô thời hạn.

4. Bản sao cơ sở dữ liệu và tệp do người dùng tạo

Database dump cần chứa cấu trúc cùng dữ liệu ở một mốc xác định, trong định dạng có thể nhập lại như .sql hoặc bản backup đã ghi rõ công cụ. WordPress còn cần thư mục uploads; cửa hàng có thể cần ảnh sản phẩm, tệp hóa đơn, log đồng ý, cấu hình vận chuyển và dữ liệu đơn hàng ngoài bảng mặc định. Bản CSV sản phẩm không thay được database nếu mục tiêu là phục hồi nguyên trạng.

5. Tài khoản quản trị CMS cao nhất mà hệ thống cho phép

Trên WordPress đơn site, vai trò đúng là Administrator. Super Admin dành cho WordPress Multisite và có quyền trên toàn mạng; tài liệu chính thức của WordPress xác nhận khác biệt này. Editor chỉ quản lý nội dung, không đủ để cài plugin, quản lý người dùng cấp cao hoặc xuất toàn bộ cấu hình.

6. Quyền chủ tài khoản dịch vụ tích hợp và khả năng xoay khóa

Danh mục có thể gồm cổng thanh toán VietQR hoặc OnePay, GA4, Search Console, Google Cloud Console, mail, SMS, CDN, bản đồ và kho backup. Doanh nghiệp nên là chủ tài khoản thanh toán hoặc organization; agency nhận quyền thành viên đủ dùng. Google khuyến nghị rà soát quyền Search Console, thu hồi người đã rời dự án và xóa token xác minh còn sót. Để định hướng tổng thể trước khi triển khai, bạn có thể tham khảo dự toán chi phí website.

Không chép mọi API key vào bảng tính rồi gọi đó là bàn giao. Khóa có thể đã xuất hiện trong email, ticket hoặc nhiều máy cá nhân. Sau khi chuyển quyền tài khoản, đội mới tạo khóa, cập nhật ứng dụng, kiểm thử rồi thu hồi khóa cũ. Biên bản ghi người chịu trách nhiệm và thời điểm xoay, không ghi bí mật ở bản lưu hành rộng.

7. Chứng thư SSL cùng phương án quản lý khóa riêng

Nếu dùng chứng thư trả phí gắn với pháp nhân hoặc thiết bị, hồ sơ có thể gồm certificate chain, CSR, thông tin nhà phát hành, ngày hết hạn và quyền truy cập cổng quản lý. Private key chỉ được chuyển qua kho bí mật hoặc kênh mã hóa cho người có thẩm quyền. Let's Encrypt yêu cầu giữ kín khóa và khuyên thu hồi chứng thư khi khóa không còn an toàn.

Với chứng thư miễn phí cấp tự động, tạo cặp khóa và cấp lại chứng thư trên máy chủ đích thường an toàn hơn chuyển private key cũ. Doanh nghiệp cần nắm quyền DNS hoặc HTTP validation, cấu hình gia hạn và cảnh báo hết hạn. CSR không phải khóa riêng và không đủ để phục hồi chứng thư đang dùng.

8. Tài liệu triển khai và khôi phục trên máy chủ trống

Deployment guide phải đủ để một kỹ sư không tham gia dự án dựng lại hệ thống. Tài liệu cần ghi phiên bản hệ điều hành hoặc image, web server, PHP/Node, extension, database, hàng đợi, cron, biến môi trường, thư mục cần quyền ghi, lệnh build, cache, trình tự migration và bước kiểm tra sau triển khai. Bí mật được đặt trong secret manager hoặc bàn giao riêng; runbook chỉ ghi tên biến và nơi lấy.

3. Phân biệt quyền sử dụng và quyền sở hữu mã nguồn website

Cụm “mua website” che lấp ba giao dịch khác nhau. Bên mua cần xác định mô hình trước khi đòi bàn giao vì mỗi mô hình tạo ra một tập quyền riêng.

Website SaaS hoặc nền tảng đóng

Haravan, Shopify và các nền tảng tương tự bán quyền sử dụng dịch vụ theo điều khoản của họ. Doanh nghiệp có thể sở hữu nội dung, nhãn hiệu và dữ liệu mình đưa lên, nhưng không mua mã nguồn vận hành nền tảng. Điều khoản Shopify phân biệt Materials của thương nhân với tài sản trí tuệ nền tảng và giấy phép theme. Rời nền tảng phụ thuộc công cụ xuất dữ liệu, API, chuyển tên miền và khả năng xây lại chức năng.

Hồ sơ nghiệm thu SaaS vì vậy nên ưu tiên tài khoản Store Owner, dữ liệu xuất được, domain, cấu hình thanh toán và danh mục ứng dụng. Bài so sánh chi phí website SaaS và WordPress self-hosted phân tích kỹ sự khác nhau về mức tự chủ.

WordPress dùng theme hoặc plugin thương mại

Doanh nghiệp có thể nhận đủ file và database nhưng vẫn phải tuân thủ giấy phép của từng thành phần. WordPress phát hành lõi theo GPLv2 hoặc mới hơn và cho rằng theme, plugin phái sinh kế thừa GPL; ảnh stock, font, template, dịch vụ cập nhật và mã độc lập có thể chịu điều khoản khác. License cho một website không mặc nhiên cho phép bán lại, dùng nhiều domain hoặc chuyển tài khoản marketplace.

Biên bản cần tách phần công ty sở hữu, phần được cấp phép và phần phải mua lại. Nếu agency dùng developer license không thể chuyển, họ phải nói trước để bên mua chọn nhận bản hiện tại không kèm cập nhật, mua license riêng hoặc thay thành phần.

Website may đo theo hợp đồng

Luật Việt Nam bảo hộ chương trình máy tính như tác phẩm văn học, với quy định riêng tại Điều 22 Luật Sở hữu trí tuệ. Theo Điều 39 của văn bản hợp nhất năm 2022, tổ chức hoặc cá nhân giao kết hợp đồng với tác giả là chủ sở hữu các quyền tài sản tại Điều 20 và quyền công bố tại khoản 3 Điều 19, trừ khi hai bên thỏa thuận khác. Câu “khách hàng đương nhiên sở hữu 100% bản quyền trí tuệ” vẫn quá rộng: tác giả còn quyền nhân thân mà luật hạn chế chuyển nhượng, và dự án thường chứa tài sản bên thứ ba.

Hợp đồng may đo nên xác định deliverable, mã có trước của nhà cung cấp, mã viết riêng, nguồn mở, quyền sửa đổi, sao chép, phân phối, thương mại hóa và thời điểm chuyển quyền. Bên thuê cũng cần quyền nhận file. Sở hữu quyền tài sản trên giấy nhưng không có mã, khóa giải mã hoặc hướng dẫn build vẫn không giúp chuyển nhà cung cấp.

4. Biên bản kiểm tra nghiệm thu bàn giao 5 bước trước khi thanh lý

UAT giao diện cho biết người dùng có hoàn thành tác vụ hay không. Kiểm thử bàn giao phải xác nhận đội mới có thể vận hành website từ bộ hồ sơ vừa nhận. Nên thử trên máy chủ hoặc tài khoản cloud do bên mua kiểm soát, lập log và lưu bằng chứng cho từng bước. Ở bước tiếp theo, Khi nào chưa cần làm website sẽ giúp bạn mở rộng cách tiếp cận này.

Bước 1: Khôi phục độc lập trên môi trường mới

Đội tiếp nhận tạo máy chủ trống, dùng runbook để cài phụ thuộc, nhập database, chép media, cấu hình biến môi trường và trỏ tên miền thử nghiệm. Môi trường này không được đọc database, filesystem, license server riêng hoặc secret vault của agency cũ, trừ dịch vụ bên thứ ba đã liệt kê và cấp phép.

Tiêu chí “hoạt động 100%” không đo được nếu hợp đồng không định nghĩa phạm vi. Hãy lập bảng luồng quan trọng: mở trang, tìm kiếm, gửi form, đăng nhập, đặt hàng thử, nhận email, chạy cron, tạo backup và phục hồi một tệp. Mỗi luồng có dữ liệu thử, kết quả mong đợi, người xác nhận và mức lỗi cho phép. Hệ thống đạt khi không còn lỗi chặn và sai lệch còn lại có kế hoạch được hai bên chấp thuận.

Bước 2: Kiểm tra tính toàn vẹn và minh bạch của mã

So sánh checksum hoặc commit của bản bàn giao với production. Quét mã độc, tài khoản ẩn, cron lạ, web shell, đoạn obfuscation, đường gọi về domain agency và liên kết chèn trong giao diện. Tên agency trong comment hoặc credit không tự chứng minh có backdoor; người kiểm tra phải xác định hành vi của mã và điều khoản ghi công.

Bước 3: Chuyển quyền và xoay thông tin xác thực

Sau khi xác nhận truy cập, đổi mật khẩu registrar, hosting, CMS và database; tạo lại SSH key, API token, webhook secret và mật khẩu SMTP. Bật 2FA, lưu mã khôi phục trong kho chung và loại tài khoản cá nhân khỏi vị trí chủ sở hữu. Trong thời gian bảo hành, agency có thể nhận tài khoản mới với quyền tối thiểu và ngày hết hạn.

Bước 4: Kiểm tra hiệu năng, email và lớp bảo vệ

Core Web Vitals không phải một “điểm” duy nhất. Biên bản cần ghi URL mẫu, thiết bị, công cụ, thời điểm đo và ngưỡng; dữ liệu thực địa có thể chưa đủ khi website mới ra mắt nên Lighthouse chỉ là kiểm tra lab ban đầu. Đồng thời kiểm tra HTTPS, chuyển hướng, tiêu đề bảo mật, WAF nếu có và lịch backup.

Với email theo tên miền, xác minh SPF, DKIM, DMARC rồi gửi thử và xem header nhận được. Ba bản ghi này hỗ trợ xác thực nhưng không bảo đảm thư luôn vào Inbox. Ghi rõ ai quản lý DNS, mail server và log gửi để đội sau biết nơi xử lý.

Bước 5: Ký biên bản tài sản số và kích hoạt SLA

Biên bản độc lập nên dẫn chiếu hợp đồng, phiên bản hệ thống, danh mục tệp, tài khoản, giấy phép, lỗi còn mở, thời điểm chuyển trách nhiệm, thời hạn xóa bản sao và ngày bắt đầu bảo hành. Người ký phải đúng thẩm quyền. Bản giấy có thể ký, đóng dấu theo quy chế hoặc thỏa thuận; bản điện tử nên dùng chữ ký số hoặc chữ ký điện tử đáp ứng luật và thỏa thuận giữa các bên.

Luật Giao dịch điện tử 2023 quy định chữ ký điện tử không bị phủ nhận giá trị chỉ vì ở dạng điện tử; chữ ký điện tử chuyên dùng bảo đảm an toàn hoặc chữ ký số có giá trị tương đương chữ ký cá nhân trên văn bản giấy. Một ảnh chữ ký dán vào PDF không mặc nhiên có cùng mức chứng minh. Hãy lưu bản cuối, dấu thời gian, chứng thư ký và lịch sử phê duyệt.

SLA cần định nghĩa giờ hỗ trợ, mức độ sự cố, thời gian phản hồi, mục tiêu khôi phục, kênh tiếp nhận và phần loại trừ. Chỉ ký thanh lý khi lỗi chặn đã đóng, tài sản đã đủ và phép thử khôi phục đạt. Nếu thanh lý trước, phải ghi nghĩa vụ còn hiệu lực, nhất là bảo mật, xóa dữ liệu, bảo hành và hỗ trợ chuyển tiếp. Khi cần chuyển từ kế hoạch sang triển khai thực tế, tự động hóa quy trình là bước tiếp theo phù hợp.

5. Ba điều khoản pháp lý cần đưa vào hợp đồng thiết kế website

Ba mẫu dưới đây là điểm khởi đầu để làm việc với bộ phận pháp chế, không phải văn bản dùng nguyên xi cho mọi dự án. Trước khi chốt, hãy đối chiếu cách tách phạm vi trong hướng dẫn đọc và so sánh báo giá thiết kế website. Phụ lục tài sản và tiêu chí nghiệm thu hữu ích hơn một câu “bàn giao đầy đủ”.

Điều khoản 1: Quyền sở hữu trí tuệ và tài sản có trước

“Kể từ khi Bên A hoàn thành nghĩa vụ thanh toán tương ứng với Hạng mục Bàn giao, Bên A là chủ sở hữu các quyền tài sản và quyền công bố đối với phần mã nguồn, thiết kế, tài liệu được Bên B sáng tạo riêng theo Hợp đồng, trong phạm vi pháp luật cho phép. Bên A được lưu trữ, sao chép, sửa đổi, thuê bên thứ ba bảo trì, triển khai trên hạ tầng khác và khai thác thương mại phần tài sản này.

Bên B liệt kê tại Phụ lục [X] mọi mã có trước, phần mềm nguồn mở, theme, plugin, font, hình ảnh, API và tài sản bên thứ ba; ghi chủ sở hữu, giấy phép, giới hạn, khả năng chuyển giao và phí định kỳ. Các thành phần đó tiếp tục chịu giấy phép tương ứng.

Bên B cam kết có đủ quyền để chuyển giao, bàn giao mã ở dạng có thể đọc và xây dựng, không cài cơ chế vô hiệu hóa hoặc phụ thuộc chưa công bố. Quyền nhân thân của tác giả được tôn trọng theo pháp luật.”

Điều khoản 2: Nghĩa vụ cung cấp bản sao định kỳ

“Trong thời hạn Hợp đồng, Bên B cung cấp cho Bên A bản sao gồm mã nguồn, cơ sở dữ liệu, tệp tải lên và cấu hình cần thiết theo tần suất [ngày/tuần/tháng], giữ [số] phiên bản tại kho do Bên A kiểm soát hoặc cho phép Bên A tải về. Bản sao được mã hóa khi truyền và lưu, kèm thời điểm, phạm vi, checksum và kết quả kiểm tra.

Khi nhận yêu cầu hợp lệ, Bên B cung cấp bản sao mới nhất trong [x] giờ làm việc. Chi phí [đã gồm/chưa gồm] trong Phụ lục Giá; khoản tính thêm phải được liệt kê trước. Bên B không giữ lại dữ liệu thuộc quyền nhận của Bên A để bảo đảm nghĩa vụ không liên quan, trừ khi pháp luật hoặc thỏa thuận hợp lệ quy định khác.”

Điều khoản 3: Hỗ trợ chuyển giao công nghệ

“Trong [x] ngày từ khi chấm dứt hoặc nhận yêu cầu hợp lệ, Bên B phối hợp với Bên A và đơn vị kế nhiệm để xuất dữ liệu, chuyển quyền tài khoản, cung cấp thông số, giải đáp tối đa [x] giờ và hỗ trợ một lần triển khai thử. Phạm vi và đơn giá vượt giờ quy định tại Phụ lục [Y].

Bên B không xóa, mã hóa, làm suy giảm hoặc cản trở quyền truy cập hợp pháp trong thời gian chuyển tiếp. Sau khi Bên A xác nhận nhận đủ và hết thời hạn lưu bắt buộc, Bên B xóa hoặc hoàn trả bản dữ liệu còn giữ, trừ bản phải lưu theo luật, và xác nhận việc xóa bằng văn bản. Nghĩa vụ bảo mật tiếp tục sau khi Hợp đồng chấm dứt.”

6. Quyền tự chủ của khách hàng và dịch vụ cứu hộ chuyển nhà cung cấp từ FHC

FHC định hướng bàn giao mã nguồn có thể đọc, dữ liệu xuất được, quyền quản trị phù hợp với hạ tầng và tài liệu đủ để đội khác tiếp quản. Cam kết “bàn giao 100%” chỉ có nghĩa khi phụ lục nêu ngoại lệ của SaaS, license bên thứ ba, hạ tầng dùng chung và quyền nhân thân của tác giả. FHC không cài khóa riêng để ngăn khách di chuyển nhưng vẫn phải tuân thủ giấy phép của thành phần được dùng.

Dịch vụ cứu hộ và di chuyển của FHC có thể kiểm kê quyền, tạo bản sao hợp lệ, quét mã độc, dựng môi trường mới và lập kế hoạch đổi DNS. Có trường hợp không thể trích xuất mã nền tảng, giải mã phần mềm đóng hoặc lấy lại tên miền chỉ bằng kỹ thuật. Phương án khi đó có thể là xuất dữ liệu qua chức năng hợp lệ, thay thành phần bị khóa, xây lại luồng cần thiết và phối hợp nhà đăng ký hoặc tư vấn pháp lý.

Nguồn dùng để kiểm chứng

• Văn bản hợp nhất 11/VBHN-VPQH năm 2022 của Luật Sở hữu trí tuệ, nhất là Điều 19, 20, 22 và 39.
• Luật Giao dịch điện tử 20/2023/QH15, Điều 23 về chữ ký điện tử.
• VNNIC về thông tin chủ thể tên miền.
• WordPress.org về vai trò người dùng và giấy phép WordPress.
• cPanel về các cấp quyền và Let's Encrypt về private key.
• Google về quản lý quyền Search Console và điều khoản Shopify.