Lá Cờ Việt từng chạy WordPress và bị chèn mã độc tới mức tuần nào cũng phải dọn; chuyển sang Laravel thì hết. Đồ Cũ Thiên Tiến vẫn chạy WordPress và đứng top 1. Hai trường hợp thật, kèm một bảng để bạn tự chọn nền tảng cho doanh nghiệp mình.
Ở GPWebMedia, mặc định là Laravel, với một ngoại lệ
Tính tới tháng 10/2026, các website trong mục dự án của chúng tôi đều viết bằng Laravel, trừ docuthientien.com của Đồ Cũ Thiên Tiến chạy WordPress. Ngoại lệ đó không phải vì Laravel không làm được. Khách muốn WordPress, và trong chuyện chọn nền tảng, chủ website muốn gì có lý do của họ.
Bài này không định chứng minh WordPress dở. Tôi kể hai trường hợp thật: một website phải bỏ WordPress vì bị tấn công không dứt, và một website vẫn chạy WordPress mà đứng top 1. Từ hai trường hợp đó, bạn sẽ thấy câu hỏi đúng không phải “nền tảng nào tốt hơn” mà là “ai sẽ trông website sau khi bàn giao”.
Lá Cờ Việt: tuần nào cũng phải vào dọn mã độc
lacoviet.com hiện chạy Laravel. Trước đó là WordPress, và tuần nào cũng phải có người vào dọn mã độc.
Website Lá Cờ Việt (lacoviet.com) trước đây chạy WordPress. Nó bị tấn công liên tục và bị chèn mã độc nhiều lần, tới mức tuần nào tôi cũng phải vào sửa code, xoá mã độc. Dọn xong tuần này thì tuần sau lại có.
Cái giá không chỉ là thời gian của người làm kỹ thuật. Website bị Google phạt, nghĩa là công sức làm nội dung và SEO trước đó bị kéo xuống theo. Lá Cờ Việt bán nhiều cho ban tổ chức sự kiện và doanh nghiệp, nhóm khách tra cứu kỹ trước khi gọi. Website tụt hạng là mất đúng nhóm khách mang lại doanh thu.
Tới một lúc, tôi thôi dọn và tư vấn khách chuyển hẳn sang Laravel. Từ khi chuyển tới nay, website không còn bị hack.
Vì sao đổi nền tảng thì dứt, còn dọn mãi thì không
Mã độc trên một website thường có hai phần: phần lộ ra (link lạ, trang chuyển hướng, đoạn quảng cáo chèn vào) và phần giấu đi để kẻ tấn công quay lại. Dọn phần lộ ra thì dễ thấy kết quả ngay, nhưng nếu lối vào ban đầu vẫn mở, hoặc còn sót một tệp cửa sau, thì vài ngày sau mọi thứ lặp lại. Đó đúng là vòng lặp “tuần nào cũng dọn”.
Một website WordPress là lõi cộng giao diện cộng hàng chục plugin của nhiều tác giả. Mỗi mảnh có lịch cập nhật riêng.
Một website WordPress điển hình ghép từ lõi WordPress, một giao diện mua sẵn và nhiều plugin do các tác giả khác nhau viết. Chỉ cần một mảnh không được cập nhật kịp là đủ thành lối vào. Website chạy càng lâu, số mảnh cần theo dõi càng nhiều, còn người theo dõi thì thường chẳng có ai.
Website Laravel do chúng tôi viết thì ngược lại: phần lớn mã là của chính dự án đó, ít mảnh đi mượn hơn hẳn, và người sửa đọc được toàn bộ những gì đang chạy. Nói cho đúng: Laravel không miễn nhiễm. Mã viết ẩu trên Laravel vẫn có lỗ hổng như mọi thứ khác. Khác biệt nằm ở chỗ có ít cửa hơn, và biết rõ từng cửa nằm ở đâu. Lý do chúng tôi chọn cách làm này được viết riêng ở mục vì sao chúng tôi tự viết mã nguồn.
Đồ Cũ Thiên Tiến: vẫn WordPress, vẫn top 1
docuthientien.com là website WordPress, làm theo đúng mong muốn của khách.
Nếu nền tảng quyết định tất cả thì docuthientien.com đã không lên được. Website này chạy WordPress, đứng top 1 cho “đồ cũ Đà Nẵng”, và trong 92 ngày mang về 15.174 lượt nhấp từ Google; số liệu đầy đủ có trong case study đồ cũ Đà Nẵng.
Thứ đưa website lên top là cấu trúc trang và nội dung đúng thứ khách tìm, không phải tên nền tảng. Khách của Thiên Tiến thích WordPress, nên chúng tôi làm WordPress. Điều kiện đi kèm là WordPress phải có người cập nhật đều; một website WordPress để mặc nhiều tháng là website đang chờ tới lượt mình, giống Lá Cờ Việt trước đây.
Bảng chọn nhanh cho doanh nghiệp
| Nếu bạn… | Nên nghiêng về |
|---|---|
| Muốn tự đổi giao diện, tự cài thêm tính năng bằng plugin | WordPress |
| Đã quen WordPress, nhân viên đang dùng thạo | WordPress |
| Không có ai cập nhật website định kỳ sau bàn giao | Laravel |
| Đang làm SEO, sợ nhất là bị chèn mã độc rồi mất thứ hạng | Laravel |
| Cần tính năng riêng theo nghiệp vụ: cổng đại lý, báo giá theo thông số, nối phần mềm nội bộ | Laravel |
| Muốn sau này dễ tìm đơn vị khác làm tiếp | WordPress dễ tìm người hơn; với Laravel, phải giữ mã nguồn đứng tên bạn |
Hai dòng cuối cho thấy không có lựa chọn nào trọn vẹn. Laravel đổi được sự yên tâm về bảo mật bằng việc mỗi tính năng mới phải lập trình, không có kho plugin để bấm cài. WordPress đổi được sự tiện tay bằng một danh sách việc phải theo dõi không bao giờ hết.
Hai website không đủ làm thống kê
Bài này dựa trên kinh nghiệm của chúng tôi với các website đã làm, trong đó hai trường hợp được kể kỹ. Nó không chứng minh mọi website WordPress sẽ bị hack, cũng không bảo đảm mọi website Laravel đều an toàn. Một website WordPress được cập nhật đều đặn, ít plugin, hosting tử tế vẫn có thể chạy yên nhiều năm.
Điều Lá Cờ Việt cho thấy hẹp hơn nhưng chắc hơn: khi một website đã rơi vào vòng “dọn rồi lại bị”, dọn tiếp hiếm khi là lối ra. Còn nếu bạn đã chọn WordPress vì lý do của riêng mình, chúng tôi vẫn làm, theo cách được mô tả ở trang thiết kế website WordPress.
