Cách Mình Dùng Claude Code Audit Security + PDPD 2026

Một site thiếu HSTS preload, CSP Level 3, hoặc cookie banner có nút “Reject All” bị ẩn có thể nhận fines GDPR lên 20M EUR hoặc 4% revenue. Vấn đề nằm ở compliance layer, không phải code bug. Luật Bảo vệ Dữ liệu Cá nhân 91/2025 (hiệu lực 01-01-2026) nâng trần phạt PDPD lên 3 tỷ VND hoặc 5% doanh thu, kèm khả năng đình chỉ hoạt động.

Site đang miss CSP Level 3 sẽ không chặn được phần lớn XSS pattern phổ biến. Thiếu Permissions-Policy khiến 3rd-party iframe truy cập camera, microphone theo mặc định. Cookie banner dark pattern vi phạm trực tiếp EDPB 2024 guideline. Những lỗi này không hiển thị trên Google Search Console nhưng lại là điểm kiểm tra đầu tiên của A05 Bộ Công an khi audit PDPD.

Bài này list đầy đủ 36 check Security + GDPR + PDPD 2026 chia 5 nhóm: HTTPS + TLS + HSTS preload, security headers (CSP L3 + X-Frame + Referrer-Policy + COOP/COEP), GDPR cookie + consent management, PDPD Nghị định 13 VN-specific, data leak + privacy prevention. Mỗi check có pass criteria cụ thể theo OWASP Top 10 2024 (truy cập 2026-06-01), Mozilla Observatory (truy cập 2026-06-01), GDPR Article 13 (truy cập 2026-06-01), và PDPD Nghị định 13. Kèm 3 cách audit: manual curl, paid tool subscription, và Claude Code skill.

Security + Compliance là gì và business impact 2026 ra sao?

Web Security là tổng hợp setup bảo vệ user data + ngăn chặn attack vector (XSS, CSRF, clickjacking, mixed content). Tầng cơ sở: HTTPS + TLS 1.3, HSTS preload, security headers (CSP L3, X-Frame-Options, Referrer-Policy, COOP/COEP). Tầng compliance: GDPR EU (General Data Protection Regulation, hiệu lực 25-05-2018) + PDPD Việt Nam (Nghị định 13/2023, hiệu lực 01-07-2023). Security chỉ là một yếu tố trong một SEO audit hoàn chỉnh.

GDPR (EU) áp dụng cho mọi site phục vụ user EU bất kể company location. Bắt buộc lawful basis cho data processing, cookie consent explicit (opt-in, không opt-out), data subject access rights, breach notification 72 giờ. Fines theo Article 83: tier nhỏ 10M EUR hoặc 2% revenue, tier nghiêm trọng 20M EUR hoặc 4% revenue.

PDPD Việt Nam áp dụng cho mọi data controller processing personal data của công dân Việt Nam. Khung pháp lý 2026: Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 (ban hành 26-06-2025, hiệu lực 01-01-2026) là văn bản chủ đạo, Nghị định 13/2023/NĐ-CP vẫn là hướng dẫn thi hành (chờ nghị định mới). Bắt buộc register notification với Cục An ninh mạng (A05) Bộ Công an, privacy notice format theo Điều 13, consent rules theo Điều 11, breach notification 72 giờ.

Chế tài 2026 nặng hơn khung cũ rõ rệt: phạt hành chính tối đa 3 tỷ VND, riêng vi phạm nghiêm trọng tới 5% doanh thu, và mua bán dữ liệu cá nhân phạt tới 10 lần khoản thu bất chính (Luật 91/2025), cộng khả năng đình chỉ hoạt động.

Tại sao 2026 quan trọng hơn 2024?

1. TLS 1.3 chiếm 60%+ traffic theo Cloudflare Radar 2026 Q1. Site còn TLS 1.0/1.1 = browser show warning, mất trust signal.
2. CSP Level 3 ratified với strict-dynamic + Trusted Types blocking XSS attack pattern modern theo W3C CSP3 spec.
3. GDPR fines record 2025 Meta 1.2 tỷ EUR (2023, Ireland DPC) + Amazon 746M EUR (2021, Luxembourg CNPD), enforcement chặt hơn từng quý theo GDPR Enforcement Tracker.
4. PDPD enforcement Việt Nam tăng cường 2026 sau 2 năm grace period. Cục A05 audit random batch, fines public.
5. Cookie consent dark pattern bị EDPB (European Data Protection Board) ban explicit 2025: nút “Reject” phải cùng prominence với “Accept All”.
6. Third-party cookie vẫn tồn tại sau khi Google đảo ngược kế hoạch deprecate (công bố 22-04-2025, giữ cookie trong Chrome thay vì bỏ). Nhưng consent management + cookie banner compliant vẫn quan trọng hơn bao giờ hết vì enforcement GDPR/PDPD siết chặt.

Tác động kinh doanh:

Investment vs compliance fines risk: Manual audit Security + Compliance 3-5 giờ × ~$20 USD/giờ = ~$80 USD mỗi site. Paid tool + lawyer review combination $50-150K mỗi năm. Kit ~$240/năm (cost lifetime tier).

GDPR fines tier nghiêm trọng 20M EUR một lần; PDPD fines 100M VND + đình chỉ kinh doanh. ROI audit Security = bảo hiểm legal: $240-14,400 USD đầu tư vs 20M EUR GDPR risk, tức ratio rất cao. Site có audience EU hoặc xử lý data user VN = mandatory, không phải optional.

Security + Compliance 2026: 5 nhóm check cần cover

36 check Security + GDPR + PDPD 2026 chia 5 sub-section. Critical tập trung HTTPS + headers (foundation kỹ thuật) + GDPR/PDPD consent (legal blocker). Resource Important. Data leak prevention Recommended cho enterprise.

Tier classification:

• 🔴 Critical: fail = legal liability ngay (GDPR/PDPD fines) hoặc security breach risk. Ví dụ HTTPS chưa, HSTS chưa preload, GDPR consent opt-out, PDPD chưa register.
• 🟡 Important: fix trong 30 ngày, ảnh hưởng trust signal + audit risk. Ví dụ Referrer-Policy missing, CSP report-only, cookie banner dark pattern minor.
• 🟢 Recommended: nice-to-have enterprise. Ví dụ Subresource Integrity (SRI), COOP/COEP cho cross-origin isolation, DLP scan content.

Disclosure: Body chứa đầy đủ 36 check numbered. 342 check tổng hợp 9 yếu tố đã có ở series Audit Website 2026.

HTTPS + TLS + HSTS: 6 check foundation security 2026?

📌 Section này bao gồm check #1 đến #6 trong tổng 36 check.

HTTPS + TLS layer là foundation cho mọi security mechanism khác. Fail layer này = CSP + GDPR + PDPD không meaning gì vì traffic intercept dễ.

• [1] Site serve HTTPS với HTTP redirect 301? 🔴 Critical
  • 💡 Tại sao: HTTP plain text user có thể intercept WiFi public. Phải redirect HTTP → HTTPS permanent.
  • ✅ Cách check: curl -sI http://yoursite.com | grep -i location → HTTP/1.1 301 + Location: https://yoursite.com. Browser direct: HTTP URL phải auto redirect HTTPS.

• [2] TLS 1.2+ enabled, TLS 1.0/1.1 disabled? 🔴 Critical
  • 💡 Tại sao: TLS 1.0/1.1 deprecated 2020, vulnerable BEAST/POODLE attack. Browser flag warning cho user.
  • ✅ Cách check: SSL Labs nhập domain → Protocols section: TLS 1.2/1.3 = Yes, TLS 1.0/1.1 = No. Cần rating A+ (A là OK).

• [3] HSTS header với max-age ≥ 31536000 (1 năm)? 🔴 Critical
  • 💡 Tại sao: HSTS bắt browser memory site = HTTPS-only cho khoảng thời gian max-age. Tránh SSL stripping attack.
  • ✅ Cách check: curl -sI https://yoursite.com | grep -i strict-transport-security → cần max-age=31536000; includeSubDomains; preload.

• [4] HSTS preload submitted to Chrome preload list? 🔴 Critical
  • 💡 Tại sao: Preload list giúp browser HTTPS-only NGAY LẦN ĐẦU user visit, không đợi HSTS header set.
  • ✅ Cách check: hstspreload.org nhập domain → “Status: Preloaded” = OK. Nếu chưa: submit (cần includeSubDomains + max-age 1 năm).

• [5] Mixed content (HTTP asset trong HTTPS page) bằng 0? 🔴 Critical
  • 💡 Tại sao: HTTP image/script inside HTTPS = browser block hoặc warning. Padlock icon broken.
  • ✅ Cách check: DevTools > Console → tìm “Mixed Content” warning. Hoặc Why No Padlock audit.

• [6] SSL certificate valid + auto-renew setup? 🟡 Important
  • 💡 Tại sao: cert expire = site down. Let’s Encrypt 90-day, manual renew dễ quên. Cần Certbot auto-renew cron.
  • ✅ Cách check: openssl s_client -connect yoursite.com:443 -servername yoursite.com 2>/dev/null | openssl x509 -noout -dates → notAfter date. Cron: certbot renew --dry-run.

Security Headers: 8 check block XSS + clickjacking 2026?

📌 Section này bao gồm check #7 đến #14 trong tổng 36 check.

Security headers là tầng phòng thủ second-line sau HTTPS. CSP Level 3 chặn phần lớn XSS pattern phổ biến (inline script + script 3rd-party không allow). X-Frame-Options + Referrer-Policy bảo vệ clickjacking + data leak qua referer.

• [7] Content-Security-Policy (CSP) Level 3 với strict-dynamic? 🔴 Critical
  • 💡 Tại sao: CSP block inline script + 3rd-party script không allow. Level 3 strict-dynamic chặn phần lớn XSS modern pattern.
  • ✅ Cách check: curl -sI https://yoursite.com | grep -i content-security-policy → cần directive script-src 'strict-dynamic' 'nonce-...' 'unsafe-inline' https:; object-src 'none';. Audit CSP Evaluator.

• [8] X-Frame-Options: DENY hoặc SAMEORIGIN? 🔴 Critical
  • 💡 Tại sao: site bị embed iframe trên site malicious = clickjacking attack. Block iframe embed prevent.
  • ✅ Cách check: curl -sI yoursite.com | grep -i x-frame-options → DENY (recommended) hoặc SAMEORIGIN. Hoặc CSP frame-ancestors directive thay thế.

• [9] Referrer-Policy: strict-origin-when-cross-origin? 🟡 Important
  • 💡 Tại sao: referrer header leak URL nội bộ ra 3rd-party. Strict-origin chỉ leak domain, không leak path.
  • ✅ Cách check: curl -sI yoursite.com | grep -i referrer-policy → strict-origin-when-cross-origin (default modern browser). Set explicit để confirm.

• [10] Permissions-Policy với restrict default features? 🟡 Important
  • 💡 Tại sao: Permissions-Policy (formerly Feature-Policy) block camera/microphone/geolocation default. 3rd-party iframe không access được.
  • ✅ Cách check: curl -sI yoursite.com | grep -i permissions-policy → ví dụ geolocation=(), camera=(), microphone=() (empty = blocked).

• [11] X-Content-Type-Options: nosniff? 🔴 Critical
  • 💡 Tại sao: browser MIME-sniff response → đoán wrong type → execute JS từ user-uploaded file. Block prevent.
  • ✅ Cách check: curl -sI yoursite.com | grep -i x-content-type-options → nosniff.

• [12] COOP (Cross-Origin-Opener-Policy): same-origin? 🟢 Recommended
  • 💡 Tại sao: COOP isolate browsing context khỏi popup malicious. Combined với COEP enable SharedArrayBuffer cho perf.
  • ✅ Cách check: curl -sI yoursite.com | grep -i cross-origin-opener-policy → same-origin.

• [13] COEP (Cross-Origin-Embedder-Policy): require-corp? 🟢 Recommended
  • 💡 Tại sao: COEP yêu cầu cross-origin resource phải opt-in CORS. Enable SharedArrayBuffer + Spectre mitigation.
  • ✅ Cách check: curl -sI yoursite.com | grep -i cross-origin-embedder-policy → require-corp. Note: enable COEP có thể break 3rd-party embed nếu họ không CORS.

• [14] Subresource Integrity (SRI) cho CDN script? 🟡 Important
  • 💡 Tại sao: CDN script compromise (jQuery CDN bị hack) = mọi site dùng dính. SRI hash verify file unchanged.
  • ✅ Cách check: View source <script src="cdn.../jquery.js" integrity="sha384-..." crossorigin="anonymous"> → SRI hash present. Tool SRI Hash Generator.

GDPR cookie + consent + DSR: 6 check EU compliance?

📌 Section này bao gồm check #15 đến #20 trong tổng 36 check.

GDPR áp dụng cho mọi data controller xử lý personal data của EU resident (bất kể company location). Cookie banner phải explicit opt-in, không opt-out. Data Subject Rights (DSR) phải honor trong 30 ngày.

• [15] Cookie banner explicit opt-in (không opt-out preset)? 🔴 Critical
  • 💡 Tại sao: GDPR Art. 7 + EDPB Cookie Guidelines 03-2020: consent phải freely given, specific, informed, unambiguous. Pre-checked box ≠ consent.
  • ✅ Cách check: Mở site (incognito), cookie banner default state phải có tất cả non-essential cookie UNCHECKED. User phải actively check + click “Accept” để enable.

• [16] Nút “Reject All” cùng prominence với “Accept All”? 🔴 Critical
  • 💡 Tại sao: EDPB 2024 guideline + CJEU C-673/17 (Planet49): “Reject” phải same size, same color contrast, same hierarchy với “Accept”. Dark pattern (Reject ẩn sau “Settings”) = non-compliant.
  • ✅ Cách check: Cookie banner có nút “Reject All” visible same level với “Accept All” không (không ẩn trong “Settings/Manage” sub-menu).

• [17] Privacy Policy đầy đủ theo GDPR Article 13? 🔴 Critical
  • 💡 Tại sao: GDPR Art. 13 list 11 thông tin bắt buộc: identity controller, contact DPO, purpose processing, lawful basis, retention period, data subject rights, complaint authority, etc.
  • ✅ Cách check: Open /privacy-policy/ page, scan có cover 11 mục Article 13. Hoặc dùng GDPR Privacy Policy Checker audit.

• [18] Data Subject Access Request (DSAR) form/email functional? 🔴 Critical
  • 💡 Tại sao: User có quyền request “Cho tôi xem mọi data về tôi” + “Xóa data tôi” theo Art. 15-17. Response 30 ngày tối đa.
  • ✅ Cách check: Site có form/email submit DSAR không. Test submit, response thực tế 30 ngày.

• [19] Cookie banner cho phép withdraw consent dễ dàng? 🟡 Important
  • 💡 Tại sao: GDPR Art. 7(3): withdraw consent phải easy như give consent. Cần button “Cookie Settings” footer accessible mọi page.
  • ✅ Cách check: Footer có link “Cookie Settings” mở banner lại. Toggle cookie category off + save = revoke consent.

• [20] Cross-border data transfer mechanism (SCC + DPF)? 🟡 Important
  • 💡 Tại sao: Data EU → US/3rd country cần legal mechanism: Standard Contractual Clauses (SCC) hoặc EU-US Data Privacy Framework (DPF, 07-2023 valid).
  • ✅ Cách check: Privacy policy có specify data transfer mechanism + 3rd country list không. Vendor list (Google Analytics, Facebook Pixel) DPF-certified không.

PDPD Nghị định 13: 6 check VN-specific compliance?

📌 Section này bao gồm check #21 đến #26 trong tổng 36 check.

PDPD (Personal Data Protection Decree) Nghị định 13/2023/NĐ-CP hiệu lực 01-07-2023. Áp dụng mọi tổ chức/cá nhân processing dữ liệu cá nhân của công dân Việt Nam. Khác GDPR ở: bắt buộc register notification với A05 (Cục An ninh mạng), language privacy notice phải tiếng Việt + English.

• [21] Site đã register notification với Cục A05 chưa? 🔴 Critical
  • 💡 Tại sao: Nghị định 13 Điều 24 bắt buộc register processing notification trong 60 ngày kể từ ngày bắt đầu xử lý. Không register = fines 50M VND.
  • ✅ Cách check: Submit form notification online tại Cổng dịch vụ công Bộ Công an. Lưu receipt làm bằng chứng. DPO/legal handle.

• [22] Privacy notice tiếng Việt + theo Điều 13 format? 🔴 Critical
  • 💡 Tại sao: Nghị định 13 Điều 13 list 10 thông tin bắt buộc notice: purpose, scope, retention, data subject rights, contact controller, complaint authority, etc.
  • ✅ Cách check: /chinh-sach-bao-mat/ page tiếng Việt cover Điều 13 10 mục. English version separate /privacy-policy/ cho international user.

• [23] Consent rule theo Điều 11 (rõ ràng + voluntary)? 🔴 Critical 👤 Manual
  • 💡 Tại sao: Điều 11 + 12 bắt buộc consent explicit, có thể withdraw, không bị coerce. Pre-checked + bundled consent với T&C = invalid.
  • ✅ Cách check: Form đăng ký user, consent checkbox separate, không pre-checked, không bundle với T&C agreement.

• [24] Sensitive data (nhạy cảm) handle theo Điều 28? 🔴 Critical 👤 Manual
  • 💡 Tại sao: Nghị định 13 Điều 2(4): sensitive data gồm health, religion, biometric, political, financial. Cần consent + impact assessment chuyên biệt.
  • ✅ Cách check: Form thu thập sensitive data có separate consent + privacy impact assessment record không.

• [25] Breach notification 72 giờ tới A05 + user? 🟡 Important
  • 💡 Tại sao: Điều 23: data breach phải notify A05 + affected user trong 72 giờ. Late = fines tăng.
  • ✅ Cách check: Incident response plan có document 72h notification workflow không. Test với mock breach drill.

• [26] DPO (Data Protection Officer) assigned + contact public? 🟡 Important
  • 💡 Tại sao: Điều 27: tổ chức processing data ≥ 100K user phải có DPO. Contact info DPO public trên privacy notice.
  • ✅ Cách check: Privacy notice có “DPO: [tên] – email: [email]” không. DPO báo cáo trực tiếp board, không conflict interest.

Data leak prevention: 4 check protect sensitive content?

📌 Section này bao gồm check #27 đến #30 trong tổng 36 check.

Data leak prevention (DLP) layer cuối, ngăn chặn sensitive data leak qua public endpoint, public S3 bucket, hoặc client-side exposure.

• [27] No sensitive data trong client-side JS bundle? 🔴 Critical 👤 Manual
  • 💡 Tại sao: API key, secret, internal endpoint trong JS bundle = anyone view source thấy được.
  • ✅ Cách check: View source main.js, grep password|secret|api_key|token. Tool TruffleHog scan bundle. Sensitive data phải proxy qua backend.

• [28] Public file/folder không expose sensitive (.env, .git, /admin)? 🔴 Critical
  • 💡 Tại sao: .env file expose database password + API key. .git/config expose internal repo path. /admin/ expose login bypass.
  • ✅ Cách check: curl -I yoursite.com/.env → 403/404 = OK, 200 = leak. Tool Wapiti audit endpoint expose.

• [29] PII (Personal Identifiable Info) không log clear text? 🟡 Important
  • 💡 Tại sao: log file capture email/phone/credit card clear text = leak risk khi server compromise. Cần hash hoặc mask.
  • ✅ Cách check: Audit log format, PII field phải mask hoặc hash. Compliance team review log retention policy.

• [30] Public bucket (S3/GCS) bucket policy private? 🟢 Recommended
  • 💡 Tại sao: AWS S3 bucket public = anyone download file. Common cause data leak (Capital One 2019, Verizon 2017).
  • ✅ Cách check: AWS Console > S3 > bucket > Permissions tab → Block Public Access ON. Object level ACL không public-read.

Application + Server Security: 6 check app/server bị bỏ quên

Bài thiên transport + compliance; nhóm này bổ sung tầng application/server security mà mọi checklist security 2026 coi là cốt lõi.

• [31] Đã scan dependency vulnerability (npm/pip-audit, Dependabot, Snyk)? 🔴 Critical
  • 💡 Tại sao: Đa số tấn công đến từ thư viện lỗi thời. Mọi nguồn security 2026 đều liệt đầu tiên, nhưng phần lớn audit transport/compliance bỏ qua.
  • ✅ Cách check: Chạy npm audit / pip-audit / Dependabot / Snyk / Trivy: 0 high/critical vuln trong production deps. Auto-update qua Dependabot/Renovate.
• [32] Có rate limiting + bot mitigation trên endpoint public/login? 🔴 Critical
  • 💡 Tại sao: Chặn brute-force, credential stuffing, scraping, DoS. Endpoint public không rate limit thì dễ bị abuse.
  • ✅ Cách check: Contact form, search, auth, write API đều có per-IP rate limit (vd 60 req/phút). Login/signup có bot challenge (Turnstile/hCaptcha/Cloudflare).
• [33] Cookie có đủ flag Secure + HttpOnly + SameSite? 🔴 Critical
  • 💡 Tại sao: Cookie CONSENT (GDPR) khác cookie SECURITY flags. Session cookie thiếu HttpOnly thì XSS đánh cắp được session.
  • ✅ Cách check: Mọi cookie có Secure, HttpOnly, SameSite=Lax/Strict. Regenerate session ID sau login.
• [34] Đã ẩn server version/fingerprint (Server, X-Powered-By)? 🟡 Important
  • 💡 Tại sao: Header Server: Apache/2.4.54 + X-Powered-By: PHP/8.1 lộ stack, attacker tra vuln đã biết.
  • ✅ Cách check: curl -I: Server header generic hoặc ẩn, X-Powered-By removed.
• [35] Auth hardening: admin MFA + password policy + lockout? 🟡 Important 👤 Manual
  • 💡 Tại sao: Admin account cần MFA; password tối thiểu 12+ ký tự, block common password, hash bcrypt/Argon2; giới hạn failed login chặn brute-force.
  • ✅ Cách check: Admin bắt buộc MFA, password policy enforce, failed login lockout.
• [36] Có chống injection cơ bản (parameterized query, escape output, CSRF token)? 🟡 Important 👤 Manual
  • 💡 Tại sao: OWASP Top 10 cốt lõi. Dù scope bài hẹp vẫn nên cover tầng cơ bản.
  • ✅ Cách check: Parameterized query (chống SQLi), escape output (chống XSS), CSRF token + SameSite cho form write.

3 cách thực hiện audit 36 check theo budget

Có 3 cách audit 36 check Security + GDPR + PDPD, đánh đổi khác nhau giữa thời gian, chi phí, độ chính xác. Xem công cụ audit website theo từng yếu tố để chọn đúng tool cho mỗi nhóm check.

Cách 1: Manual với curl + Mozilla Observatory + Cookie Audit

Phù hợp dev tự audit 1 site, sinh viên/người mới bắt đầu (budget = 0), hoặc learn fundamentals security headers. curl + Mozilla Observatory + SSL Labs + Securityheaders.com + CSP Evaluator đều free, đủ cho 70% coverage technical layer. Lưu ý: GDPR + PDPD policy review subjective + cần legal expertise, phần legal cần lawyer sign-off riêng (không tự audit được). Thời gian 3-5 giờ đầy đủ.

Stack tool:

• curl -sI yoursite.com audit response headers (HTTPS, HSTS, CSP, X-Frame, Referrer)
• Mozilla Observatory automated score A-F + breakdown 8 test
• SSL Labs TLS rating A+ target
• SecurityHeaders.com summary score
• CSP Evaluator CSP audit detailed
• Manual cookie banner audit + privacy policy review

Hạn chế: manual review GDPR + PDPD compliance subjective + legal expertise required, audit 5+ site tốn time linear.

Cách 2: Paid audit tool subscription + lawyer review

Phù hợp company có compliance risk EU/VN (e-commerce, SaaS, fintech). Tool ($79-499/tháng) + lawyer review ($1-3K mỗi review) là combination chuẩn.

Mạnh: dashboard tổng hợp lab score + manual policy review từ certified legal counsel, GDPR + PDPD certification cho client.

Hạn chế: cost tổng hợp $50-150K/năm cho enterprise, lawyer review cycle 2-4 tuần, không có actionable header config snippet.

VN context outsource compliance: hire lawyer chuyên data protection VN trung bình $800-2,000 USD mỗi privacy policy review (theo Nghị định 13 + GDPR cross-jurisdiction), $200-400 USD mỗi PDPD register A05 submission (form prep + follow-up).

Agency security audit VN $1,200-4,000 USD mỗi project kèm penetration test light + compliance documentation. Combination kit + lawyer review final sign-off cost-efficient nhất cho SME VN.

Cách 3: Kit Claude Code claude-growth (6 skill chuyên dụng + 1 orchestrator)

Kit ship 6 skill chuyên audit Security + Compliance + 1 orchestrator full 36 check.

Cách get kit: Kit hiện ở giai đoạn private v0.11+, public v1.0.0 launch Q3 2026. Mình đang battle-test trên 6 site (ongboit + 5 client) trước public release. Xem chi tiết + đăng ký sớm ở bài giới thiệu kit claude-growth để get early access beta build + lifetime 30% off launch price. Manual free path ở Cách 1 đủ cho technical layer (HTTPS + headers + cookie); GDPR/PDPD legal review vẫn cần lawyer sign-off riêng dù dùng cách nào.

3 cách dùng kit:

• Cách 1 – Skill riêng lẻ debug: chạy 1 skill khi nghi vấn 1 tầng (e.g., CSP fail → /geo-technical deep-dive). Output 1 markdown report + header config snippet sẵn paste.
• Cách 2 – Orchestrator full audit: chạy /seo-pipeline yoursite.com --security full 36 check, 20-40 phút output HTML/MD deliverable kèm config snippet (.htaccess, nginx.conf, Cloudflare Page Rules) + GDPR/PDPD draft policy template.
• Cách 3 – Multi-client agency mode: per-agency license cover 25 client site, white-label compliance report rebrand theo agency, n8n webhook integration cho monthly re-audit + GDPR breach alert, multi-jurisdiction support (EU + VN + US). Tier này release Q3 2026 cùng v1.0.0 launch.

Sample output illustrative (anonymized):

Security + Compliance Audit Report: ongboit.com (Sample)
==========================================================
Mozilla Observatory: B+ (75/100)
SSL Labs: A+
GDPR: COMPLIANT (cookie banner OK)
PDPD: PARTIAL (chưa register A05, Critical)

Critical findings: 2
  → [4] HSTS chưa preload Chrome list (action: submit hstspreload.org)
  → [21] PDPD chưa register notification A05

Important findings: 3
  → [10] Permissions-Policy chưa configure
  → [14] CDN jQuery thiếu SRI hash
  → [17] Privacy policy thiếu 3 mục GDPR Art. 13

Config snippet auto-generated: 4 file (.htaccess, nginx.conf)

Onboarding kit ~60 phút cho buyer. Số liệu illustrative anonymized.

So sánh 3 cách: time vs coverage vs actionable

Skill coverage: bao nhiêu % 36 check tự động được?

Nếu chạy hết các skill mentions trong Cách 3 (kit claude-growth), coverage ~85% của 36 check Security + PDPD, cụ thể 31/36 check auto qua skill, 5/36 cần human judgment. Honest breakdown: