Thông báo redirect mới của Shopify và việc cần làm với checkout

Từ 21/10, bạn thêm được các domain tin cậy (trusted domains) để khách vào đó mà không thấy thông báo này.

Trong tháng 10, các báo cáo về mã độc đưa khách khỏi checkout thật cũng xuất hiện. Hai chuyện này là hai sự kiện riêng biệt, nhưng từ đây bạn có thể rút ra 2 việc cần làm cho store của mình: rà soát lại domain tin cậy và tự thử checkout.

Khách thấy gì, và domain nào không bị hỏi

Thông báo này sẽ hiện địa chỉ website, và khách có thể chọn tiếp tục hoặc quay lại store. Thông báo không hiện với domain đã kết nối vào store, website Shopify và các mạng xã hội được hỗ trợ. Shopify lưu ý rằng website bạn sở hữu nhưng chưa kết nối với store vẫn có thể khiến thông báo hiện ra.

Nghĩa là nếu store chuyển khách sang một website riêng của bạn mà chưa kết nối vào store, khách có thể gặp thêm một bước xác nhận. Hai ví dụ Shopify đưa ra cho domain tin cậy là công cụ đặt lịch và website đối tác.

Lưu ý là chỉ nên thêm domain chắc chắn thuộc về bạn hoặc của đối tác bạn biết rõ.

Một số store bị chuyển khách sang trang thanh toán giả qua app

Ngoài thay đổi của Shopify, có hai bài viết mô tả một kiểu tấn công khác, xảy ra từ trước thông báo. Roman Zipp, người gặp sự việc khi mua hàng trên một store rồi tự điều tra, đăng bài ngày 10/10 và cập nhật ngày 21/10/2026. Theo bài này, mã JavaScript độc chuyển khách bấm Checkout sang trang thanh toán giả, thu thông tin thẻ rồi trả về checkout thật.

Các nhà phát triển app cũng lên tiếng về việc này. Selleasy ghi nhận sự cố ngày 13/10, khi một script trái phép bị chèn vào một số store họ phục vụ. Với Swym, ngày 14/10, từ 10:06 đến 11:56 UTC, người bấm thanh toán trên một nhóm nhỏ storefront có thể đã bị chuyển hướng sang trang bên ngoài. Selleasy nói đã xóa script, Swym nói đã vá lỗi. Trong bài của mình, Kurt Elster liệt kê ba app mà nhà phát triển đã xác nhận có liên quan: Hulk Product Options, Selleasy và Swym Wishlist Plus.

Vì mã nằm ngoài theme, việc kiểm tra file theme thôi là chưa đủ. Elster, đồng sáng lập Ethercycle và người dẫn podcast Unofficial Shopify, viết ngày 20/10/2026 rằng mã do máy chủ của nhà cung cấp app gửi xuống và chỉ chạy một lần mỗi phiên trình duyệt, nên lần thử thứ hai trong cùng phiên có thể trông bình thường. Hiện vẫn chưa có số liệu chính thức về số store bị ảnh hưởng, và chưa có nguồn nào nói checkout của Shopify bị xâm nhập.

Changelog về thông báo chuyển hướng không nhắc tới vụ này, và các nguồn chúng tôi đọc không cho biết thông báo mới có chặn được kiểu chuyển hướng trên hay không. Vì vậy, bạn chưa nên coi thông báo mới là lớp bảo vệ cho checkout.

Việc thứ hai là tự thử checkout của store.

Nếu store đang cài một trong ba app trên, bạn nên hỏi nhà phát triển app xem store có nằm trong nhóm bị ảnh hưởng không. Trang của Swym nói merchant bị ảnh hưởng có thể có nghĩa vụ báo khách hoặc cơ quan quản lý theo luật dữ liệu nhưng không nêu luật cụ thể, nên bạn nên hỏi người có chuyên môn pháp lý nếu rơi vào trường hợp này.

Nếu store có nhà phát triển riêng

Bài đăng của Shopify ngày 20/10/2026 mang nhãn "Action required". Shopify yêu cầu nhà phát triển quét app bằng kiểm tra bảo mật mới, chuyển sang token truy cập có thời hạn (expiring access token), bật xác thực hai bước cho các tài khoản liên quan và cập nhật email liên hệ khẩn cấp, tất cả trong tuần bài được đăng. Shopify sẽ sớm bắt buộc token có thời hạn với mọi app công khai trên App Store, nhưng chưa nêu ngày.

Lệnh quét shopify app security check đã có từ 15/10/2026. Shopify lưu ý kết quả sạch không phải bảo đảm an toàn. Nếu store có dev riêng, bạn có thể hỏi họ đã làm xong các bước này chưa.

Shopify cũng sẽ giới hạn IP cho API key và nâng yêu cầu của App Store, kèm chi tiết và thời gian trước mỗi thay đổi. Nhà phát triển chịu trách nhiệm khắc phục sự cố và báo cho merchant bị ảnh hưởng, nên store có dev riêng có thể chuyển họ đọc bài này.

Rà domain tin cậy giúp khách không gặp thêm một bước lạ. Thử checkout giúp bạn phát hiện nếu nút Checkout đang chuyển sang trang lạ ngay lúc này, nhưng một lần thử sạch chưa cho biết đã có khách bị chuyển hướng trước đó hay chưa.