Kế toán dịch vụ hay kế toán cho nhiều công ty thường phải cắm 2 USB Token cùng lúc hoặc thay Token liên tục trên một máy. Ngoài lỗi không nhận Token, rủi ro đáng lo nhất là ký nhầm doanh nghiệp. Bài này đưa ra quy trình làm việc để lần ký nào cũng đúng chứng thư.
Windows có thể nhận nhiều USB Token cùng lúc và đưa chứng thư của mọi Token đang cắm vào kho chứng thư của người dùng, nên cắm nhiều Token khi ký làm tăng nguy cơ chọn nhầm. Hãy làm theo nguyên tắc một Token một lần, kiểm tra tên, mã số thuế, serial và hạn chứng thư trước khi nhập PIN, và thoát hẳn trình duyệt trước khi chuyển sang doanh nghiệp khác vì trình duyệt có thể nhớ chứng thư đã chọn.
Ba rủi ro khi dùng nhiều USB Token trên một máy
Dùng nhiều Token trên cùng một máy không sai, nhưng cần biết trước ba rủi ro để có cách phòng:
Theo tài liệu của Microsoft, Windows đọc chứng thư từ mọi thẻ đang cắm và ghi vào kho chứng thư cá nhân của người dùng. Danh sách chọn càng dài, càng dễ nhầm các công ty có tên gần giống nhau.
Sau gia hạn, Token vẫn giữ chứng thư cũ vì Viettel-CA – dịch vụ chứng thực chữ ký số của Viettel – lưu ý không xóa chứng thư cũ khỏi Token. Trình duyệt cũng có thể nhớ lựa chọn trước đó. Chọn nhầm chứng thư cũ có thể khiến cổng báo lỗi chữ ký số.
Mỗi nhà cung cấp có driver, phần mềm quản lý Token và công cụ ký riêng. Càng nhiều bộ cài trên một máy, càng nhiều thành phần cần tương thích và càng khó khoanh vùng khi có lỗi.
Trang hỗ trợ của Viettel-CA cho biết về kỹ thuật một USB Token lưu được nhiều chứng thư số nhưng chỉ có một mật khẩu bảo vệ; mỗi chứng thư được coi như con dấu của doanh nghiệp, nên các doanh nghiệp khác nhau phải dùng USB Token khác nhau.
Quy trình một Token một lần
Có thể cắm 2 USB Token cùng lúc, nhưng khi ký chỉ nên cắm Token của doanh nghiệp đang xử lý. Quy trình gợi ý cho mỗi lượt làm việc:
Chuẩn bị
Rút tất cả Token, lấy đúng Token của doanh nghiệp cần làm từ hộp đựng có nhãn và cắm trực tiếp vào máy.
Xác nhận chứng thư
Mở Token Manager hoặc kho chứng thư Windows, xác nhận tên, mã số thuế, serial và hạn dùng khớp với sổ theo dõi. Cách đọc từng trường có trong bài xem thông tin chứng thư số Viettel-CA.
Làm việc trên cổng
Đăng nhập đúng tài khoản cổng của doanh nghiệp đó, ký và nộp hồ sơ, lưu biên nhận hoặc thông báo của cổng vào thư mục riêng của doanh nghiệp.
Kết thúc lượt
Đăng xuất cổng, thoát hẳn trình duyệt, rút Token và cất lại đúng ngăn. Sau đó mới lấy Token tiếp theo.
Dán nhãn cho từng Token và hộp đựng bằng mã nội bộ hoặc tên viết tắt, kèm vài số cuối mã số thuế và tháng hết hạn. Tuyệt đối không ghi PIN lên nhãn; các nguyên tắc giữ Token an toàn có trong bài bảo mật chữ ký số.
Checklist trước mỗi lần ký
Checklist này chỉ mất ít thời gian nhưng giúp phát hiện sớm việc cầm nhầm Token hoặc chọn nhầm chứng thư:
- Chỉ một Token đang cắm, hoặc bạn biết chắc từng Token đang cắm là của ai.
- Tài khoản cổng đang đăng nhập đúng mã số thuế của doanh nghiệp cần ký.
- Trong hộp chọn chứng thư, tên chủ thể và mã số thuế trong Subject khớp với doanh nghiệp đó.
- Serial và ngày hết hạn khớp sổ theo dõi; nếu vừa gia hạn, bạn đang chọn chứng thư mới có ngày hết hạn xa nhất.
- Người nhập PIN là người được giao giữ Token này.
- Sau khi ký, tên doanh nghiệp trên biên nhận hoặc thông báo của cổng là đúng.
Nếu cổng báo không tìm thấy chữ ký số dù Token đang cắm, xem bài eTax không tìm thấy chữ ký số Viettel-CA; nếu Windows không nhận Token, xem bài Windows không nhận USB Token Viettel-CA.
Khi trình duyệt tự chọn chứng thư cũ
Một số cổng yêu cầu chọn chứng thư ngay khi đăng nhập, qua hộp thoại của trình duyệt. Với Chrome và Edge, lựa chọn này có thể được ghi nhớ cho trang đó trong suốt phiên làm việc của trình duyệt. Đóng tab hay mở cửa sổ mới chưa đủ để trình duyệt hỏi lại; cần thoát hẳn trình duyệt.
Đăng xuất và đóng mọi cửa sổ
Đăng xuất tài khoản trên cổng, sau đó đóng tất cả cửa sổ của trình duyệt đang dùng.
Bảo đảm trình duyệt không còn chạy nền
Nếu Chrome bật chế độ chạy nền, trình duyệt vẫn hoạt động sau khi đóng cửa sổ cuối cùng và có biểu tượng ở khay hệ thống để thoát hẳn. Với Edge, tính năng Startup boost giữ trình duyệt chạy nền với tiến trình tối thiểu; bạn kiểm tra và bật tắt tại edge://settings/system/manageSystem.
Đổi Token và vào lại cổng
Rút Token cũ, cắm Token cần dùng, mở lại trình duyệt, đăng nhập lại cổng và chọn đúng chứng thư khi hộp thoại hiện ra.
Chrome và Edge có chính sách quản trị AutoSelectCertificateForUrls cho phép tự động chọn chứng thư ở những trang được chỉ định. Nếu trình duyệt không bao giờ hỏi chọn chứng thư ở một cổng, hãy hỏi IT xem máy có đang được cấu hình như vậy không trước khi dùng máy đó cho nhiều doanh nghiệp.
Ở bước ký hồ sơ, chứng thư thường được chọn trong hộp thoại của công cụ ký số. Hãy đọc tên và mã số thuế trong hộp thoại trước khi nhập PIN, dù trước đó đã chọn đúng khi đăng nhập.
Phần mềm nhiều nhà cung cấp và tài khoản Windows
Kế toán dịch vụ thường giữ Token của nhiều nhà cung cấp chữ ký số. Phần mềm của nhiều nhà cung cấp có thể cùng nằm trên một máy, nhưng nên cài có kỷ luật:
- Chỉ dùng bộ cài chính thức của từng nhà cung cấp, đúng dòng Token. Với Viettel-CA, xem bài tải phần mềm Viettel-CA đúng bộ cài.
- Cài lần lượt từng bộ; sau mỗi lần cài, kiểm tra lại các Token đã dùng được trước đó.
- Ghi lại ngày cài, tên phần mềm, người cài để khoanh vùng khi có lỗi sau cập nhật.
- Không cài chồng nhiều phiên bản của cùng một phần mềm quản lý Token.
- Khi một Token ngừng được nhận sau khi cài thêm phần mềm, báo nhà cung cấp của Token đó thay vì tự gỡ driver hệ thống.
Nếu doanh nghiệp muốn gom chữ ký số về một nhà cung cấp để quản lý đơn giản hơn, tham khảo thủ tục chuyển nhà cung cấp chữ ký số sang Viettel-CA.
Khi nào nên tách tài khoản Windows
Kho chứng thư cá nhân của Windows gắn với từng tài khoản người dùng: certmgr.msc chỉ hiển thị chứng thư của tài khoản đang đăng nhập. Tách tài khoản giúp danh sách chứng thư gọn hơn và dữ liệu trình duyệt không lẫn giữa các người dùng. Nên cân nhắc khi:
- Nhiều nhân viên dùng chung một máy để ký cho các nhóm khách hàng khác nhau.
- Một máy vừa dùng việc cá nhân vừa dùng để ký cho doanh nghiệp.
- Danh sách chứng thư trên máy đã quá dài, thường xuyên phải dò tìm.
Sau khi tách, kiểm tra lại công cụ ký số của từng cổng trên mỗi tài khoản trước ngày cần nộp hồ sơ.
Sổ theo dõi Token và khi nào cân nhắc ký số từ xa
Sổ theo dõi giúp bạn biết Token nào của ai, ai đang giữ và khi nào hết hạn. Một bảng tính với các cột sau là đủ:
| Cột | Nội dung | Ghi chú |
|---|---|---|
| Mã nội bộ | Trùng với nhãn dán trên Token và hộp đựng | Dùng mã thay cho tên đầy đủ nếu muốn kín đáo |
| Doanh nghiệp | Tên và mã số thuế | Đối chiếu với Subject của chứng thư |
| Nhà cung cấp, dòng Token | Ví dụ Viettel-CA và dòng thiết bị | Biết cần bộ cài nào khi đổi máy |
| Serial và hạn chứng thư | Serial hiện hành, ngày hết hạn | Cập nhật ngay sau mỗi lần gia hạn |
| Cổng đã đăng ký | Thuế, BHXH, hóa đơn điện tử, hải quan… | Biết nơi phải cập nhật khi đổi chứng thư |
| Người giữ, nơi cất | Tên người giữ, ngăn hoặc hộp đựng | Ghi lại mỗi lần bàn giao |
Sổ tuyệt đối không có cột PIN. Đặt lịch nhắc trước ngày hết hạn đủ sớm để kịp gia hạn và cập nhật chứng thư mới trên các cổng.
Khi nào cân nhắc ký số từ xa
USB Token phù hợp khi việc ký diễn ra ở một nơi cố định. Nếu người ký thường xuyên đi lại, cần ký ở nhiều nơi, hoặc việc chuyển Token qua lại giữa các văn phòng trở nên rủi ro, hãy cân nhắc chữ ký số từ xa. So sánh các lựa chọn có trong bài USB Token, MySign hay HSM: nên chọn chữ ký số Viettel nào.
Câu hỏi thường gặp
Có cắm 2 USB Token cùng lúc được không?
Được. Windows đọc chứng thư từ mọi thẻ đang cắm. Nhưng khi ký nên chỉ cắm một Token để danh sách chọn chỉ còn chứng thư của doanh nghiệp đang xử lý.
Vì sao đã đổi Token mà cổng vẫn dùng chứng thư cũ?
Trình duyệt có thể nhớ chứng thư đã chọn cho trang đó trong suốt phiên làm việc. Hãy đăng xuất cổng, đóng tất cả cửa sổ, bảo đảm trình duyệt không còn chạy nền rồi mở lại.
Có nên xóa chứng thư cũ để đỡ nhầm không?
Không tự xóa chứng thư trong Token. Viettel-CA lưu ý không xóa chứng thư cũ khỏi USB Token sau khi gia hạn; hãy phân biệt bằng ngày hết hạn và serial.
Cài phần mềm Token của nhiều nhà cung cấp trên một máy có sao không?
Thường vẫn dùng được, nhưng chỉ nên dùng bộ cài chính thức, cài lần lượt và kiểm tra lại từng Token sau mỗi lần cài để dễ khoanh vùng khi có lỗi.
Có nên ghi PIN của các Token vào sổ theo dõi không?
Không. Sổ chỉ ghi thông tin nhận diện, hạn dùng, người giữ và nơi cất. PIN do người được giao giữ Token tự quản lý.
Khi nào nên chuyển sang ký số từ xa?
Khi người ký thường xuyên đi lại hoặc cần ký ở nhiều nơi, việc mang theo và bàn giao USB Token trở nên bất tiện và rủi ro. Khi đó nên so sánh USB Token với chữ ký số từ xa trước khi quyết định.
Quản lý chữ ký số cho nhiều doanh nghiệp?
Trao đổi với đội hỗ trợ về cách tổ chức Token, lịch gia hạn và phương án ký số phù hợp cho từng doanh nghiệp. Không gửi mã PIN hay mật khẩu trong yêu cầu hỗ trợ.
Nguồn đối chiếu: Smart card certificate propagation service – Microsoft Learn; Một USB Token dùng cho 2 doanh nghiệp? – Viettel-CA; Startup boost của Microsoft Edge – Microsoft Support; BackgroundModeEnabled – Chrome Enterprise; AutoSelectCertificateForUrls – Chrome Enterprise. Thông tin có thể thay đổi; ưu tiên hướng dẫn hiện hành của cơ quan/nhà cung cấp tại thời điểm thao tác. Cập nhật: 28/09/2026.
