Webhook tự cập nhật đơn hàng website tự động hoá

Khách đến MONA hỏi làm sao để website tự biết khách đã chuyển tiền mà không cần ai ngồi canh app ngân hàng cả ngày. Tụi em từng gặp một shop mất cả buổi sáng chỉ để dò xem ai trong 50 đơn hôm qua đã trả tiền, ai chưa. Nhân viên phải mở app ngân hàng, đối chiếu từng dòng với danh sách đặt hàng, rồi mới dám báo kho đóng gói. Webhook tự cập nhật đơn hàng website giải quyết đúng khúc mắc đó, tiền vào ngân hàng là hệ thống website đổi trạng thái đơn trong 2 giây. Không cần ai bấm tay.

Cơ chế webhook hoạt động ra sao khi tiền vừa vào tài khoản

Ngay khi ngân hàng ghi nhận có tiền vào, hệ thống ký gói tin bằng HMAC-SHA256 kèm header X-Mona-Signature rồi bắn thẳng tới địa chỉ website đã cấu hình từ trước. Máy chủ website đọc gói tin, đối chiếu mã đơn và số tiền, rồi tự đổi trạng thái đơn sang đã thanh toán trong khoảng 2 giây. Toàn bộ luồng chạy ngầm, khách hàng chỉ thấy trang cảm ơn hiện ra gần như ngay lập tức sau khi bấm chuyển khoản. Không cần con người can thiệp. Khách MONA làm sàn thương mại điện tử hay hỏi vì sao phải ký chữ ký số cho mỗi gói tin, tụi em giải thích đơn giản là để chặn kẻ giả mạo tự bắn webhook giả gạch nợ khống cho đơn chưa ai trả tiền. Không có chữ ký, ai cũng có thể tự gửi một gói tin giả và giả vờ đã thanh toán. Hệ thống còn từ chối mọi yêu cầu lệch quá 5 phút so với thời điểm ký để chống phát lại, một lớp bảo vệ tụi em thêm vào sau khi gặp vài trường hợp gửi lặp bất thường.

Rủi ro khi website chỉ dựa vào tin nhắn SMS hoặc gọi tay

Tin nhắn SMS báo biến động số dư không phải phương án đáng tin cậy để tự động hoá. Mạng viễn thông đôi khi nghẽn khiến tin nhắn đến trễ hơn 2 giờ, mà chủ shop lại đang bận tư vấn khách khác nên không kịp mở điện thoại xem. Chậm một nhịp là mất đơn. Tụi em từng nghe một chủ shop kể khách huỷ đơn ngay vì chờ xác nhận thanh toán hơn 3 giờ đồng hồ trong lúc website vẫn hiện chưa thanh toán dù tiền đã về từ lâu. Đây là lý do webhook đứng ra thay thế hoàn toàn việc dò tin nhắn, dữ liệu lấy thẳng từ máy chủ ngân hàng chứ không qua kênh trung gian dễ trễ. Không còn phụ thuộc vào sóng điện thoại hay pin máy có đủ để nhận tin nhắn hay không.

Chuyện tụi em từng gặp khi ngân hàng gửi dữ liệu lệch chuẩn

Không phải lúc nào ngân hàng cũng gửi dữ liệu đúng như tài liệu kỹ thuật mô tả. Có lần một ngân hàng gửi thông báo giao dịch với phần header dồn sai vị trí, hệ thống chuẩn của tụi em lập tức trả lỗi 422 và loại bỏ giao dịch đó chỉ trong 2 giây. Việc này ngân hàng không sửa theo yêu cầu trong 1 tuần hay 1 tháng được. Không sửa được thì tự vá. Đợi ngân hàng sửa xong thì đơn hàng của khách đã nguội từ lâu, cơ hội bán hàng cũng trôi theo luôn. Tụi em phải tự viết một lớp đọc dữ liệu trung gian để nắn lại cấu trúc cho đúng, rồi phát lại các giao dịch bị rớt ngay trong ngày để đơn hàng của khách được cộng tiền chính xác. Sự cố kiểu này không báo trước, hệ thống giám sát phải tự phát hiện qua tỉ lệ lỗi bất thường.

Sự cố khoá thiếu tháng 9/2026 và bài học tụi em rút ra

Hồi tháng 9/2026, tụi em từng gặp sự cố khá nhớ đời khi cấu hình lại máy chủ làm rơi mất một khoá bí mật webhook. Webhook vẫn bắn ra ngay khi có giao dịch mới, nhưng mang theo chữ ký rỗng khiến hệ thống nhận trả về lỗi 401 dù khách đã trả tiền. Khách la ó ngay lập tức. Đơn hàng chưa được cộng dù tiền đã nằm sẵn trong tài khoản từ trước đó. Tụi em phải mở lại lịch sử webhook trên bảng điều khiển, bổ sung khoá rồi bấm gửi lại hàng loạt trong vòng 1 ngày, không để khách nào phải chờ sang hôm sau. Bài học tụi em hay dặn khách đang dùng dịch vụ báo có tự động là đừng tin “chạy rồi thì chạy mãi”, luôn bật cảnh báo khi tỉ lệ webhook thành công tụt xuống bất thường để phát hiện sớm. Phát hiện trong ngày khác hẳn để khách phát hiện trước và than phiền trên fanpage.

Dưới 20-30 đơn một ngày thì chưa cần tự viết webhook

Nếu website của anh chị đang bán dưới 20-30 đơn mỗi ngày, tụi em khuyên thật là chưa cần thuê lập trình viên viết webhook riêng làm gì cho phức tạp. Một trang thanh toán dựng sẵn kèm bot báo có qua Telegram hoặc Zalo là đủ dùng, dựng xong chỉ mất khoảng 10 phút. Cứ thử trước đã. Số tiền không phải bỏ ra thuê lập trình viên để dành đầu tư quảng cáo còn hiệu quả hơn nhiều, đây là điều tụi em hay nói thẳng với khách mới hỏi mua giải pháp. Tụi em thấy nhiều shop vội nối API từ lúc còn vài chục đơn, tốn tiền lập trình viên trong khi một cái link thu tiền là đủ. Khi lượng đơn tăng lên vài trăm mỗi ngày, hoặc anh chị cần kịch bản như tiền vào là tự xuất kho, lúc đó nối webhook mới thật sự đáng công.

Xem lịch sử webhook và tự gửi lại khi có giao dịch bị rớt

Toàn bộ lịch sử webhook, tỉ lệ gửi thành công và những lần bị rớt đều hiển thị ngay trên trang quản trị my.monapay.vn. Nếu một lần gửi bị lỗi, hệ thống tự động gửi lại trong 2 giây theo lịch chứ không bỏ mặc giao dịch đó trôi qua. Không bỏ sót giao dịch nào. Khách MONA làm phần mềm quản lý bán hàng hay dựa vào tính năng này để đối chiếu cuối ngày, thay vì phải hỏi ngược lại ngân hàng từng giao dịch một, tiết kiệm được vài giờ mỗi tuần cho kế toán. Một shop bán 2.000 đơn mỗi tháng vẫn kiểm tra hết trong vài phút thay vì cả buổi như trước. Dữ liệu lưu lại đầy đủ cũng giúp giải quyết khiếu nại nhanh hơn khi khách thắc mắc về một giao dịch cũ.

Tích hợp webhook cho WooCommerce hoặc hệ thống tự viết riêng

Website chạy WooCommerce cài thẳng plugin tự xác nhận đơn chuyển khoản có sẵn chế độ thử sandbox, thao tác dựng xong chỉ trong 10 phút mà không cần biết lập trình. Với hệ thống tự viết riêng, tụi em cung cấp tài liệu API webhook đầy đủ để lập trình viên tự ráp vào luồng đặt hàng hiện có, thường xong trong 1 ngày làm việc. Tài liệu có sẵn ví dụ mẫu bằng nhiều ngôn ngữ lập trình phổ biến để đỡ mất công dò cú pháp. Đăng ký dùng thử ngay tại my.monapay.vn, không cần chờ duyệt, thử sandbox trước khi gắn tài khoản ngân hàng thật cũng được. Vài phút là thấy ngay giao diện quản trị chạy ra sao trước khi quyết định dùng thật. Không phải đoán mò nữa. Còn thắc mắc kỹ thuật nào, anh chị gọi 1900 636 648 để tụi em nối giúp trong ngày.

Câu hỏi thường gặp

Webhook có an toàn hơn việc kiểm tra tin nhắn điện thoại không? Có. Webhook truyền dữ liệu qua kênh mã hoá HTTPS trực tiếp giữa hai máy chủ, kèm chữ ký HMAC-SHA256 để xác thực nguồn gửi, loại bỏ hẳn rủi ro lộ tin nhắn hay phụ thuộc sóng viễn thông chập chờn.

Website của tôi bị sập đúng lúc khách đang thanh toán thì sao? Hệ thống phát webhook được thiết kế để tự động gửi lại nhiều lần trong vài giờ sau đó. Ngay khi website hoạt động trở lại, toàn bộ dữ liệu giao dịch chưa xử lý sẽ được gửi về đầy đủ, không mất giao dịch nào. Anh chị cũng có thể tự bấm gửi lại ngay trên dashboard nếu không muốn đợi hệ thống tự động.

Cài đặt webhook có mất nhiều thời gian của lập trình viên không? Với WooCommerce chỉ cần cài plugin trong khoảng 10 phút. Không lâu đâu. Hệ thống tự viết riêng thì lập trình viên đọc tài liệu API và thử trên sandbox, thường xong trong 1 buổi làm việc.

Vì sao webhook từ chối yêu cầu lệch quá 5 phút? Đây là lớp chống phát lại, ngăn kẻ xấu bắt lại một gói tin cũ rồi gửi lại nhiều lần để gạch nợ khống cho đơn đã xử lý xong, giữ cho mỗi giao dịch chỉ được cộng đúng một lần. Ngưỡng 5 phút đủ rộng cho độ trễ mạng bình thường mà vẫn chặn được kiểu tấn công lặp lại này. Con số này tụi em đúc kết từ việc theo dõi độ trễ thật của nhiều ngân hàng trong thời gian dài.