WhatsApp Business có mã hóa đầu cuối không? E2EE vs lưu trữ

WhatsApp Business có mã hóa đầu cuối không? Còn tùy ai đang vận hành phía doanh nghiệp của cuộc trò chuyện: một chiếc điện thoại chạy app WhatsApp Business, hay Cloud API của Meta cùng phần mềm nối vào đó. Bài viết này giải thích mã hóa đầu cuối WhatsApp Business khác gì mã hóa khi lưu trữ và khi truyền tải, so sánh WhatsApp, Instagram, Messenger, Telegram và Viber tính đến tháng 9/2026, và chỉ bạn cách kiểm chứng những lời quảng cáo bảo mật của nhà cung cấp.

Những điều cần nhớ

Mã hóa đầu cuối (E2EE) là chuyện ai giữ khóa, không phải chuyện dữ liệu nằm ở đâu: chỉ hai điểm cuối trong cuộc trò chuyện mới giải mã được tin nhắn.
WhatsApp Business API (Cloud API) không phải mã hóa đầu cuối theo đúng định nghĩa của chính WhatsApp, vì Meta vận hành điểm cuối phía doanh nghiệp và giải mã tin nhắn đến trước khi chuyển tiếp.
Instagram đã dừng mã hóa đầu cuối cho tin nhắn từ ngày 8/5/2026, và các cuộc chat với doanh nghiệp trên Messenger cũng không hỗ trợ E2EE.
Chat trên Telegram mặc định không mã hóa đầu cuối; chỉ Secret Chat bật thủ công mới có. Viber loại chatbot và tài khoản doanh nghiệp ra khỏi lớp E2EE mặc định của mình.
Về bản chất thiết kế, một nền tảng trả lời tự động bằng AI phải đọc được tin nhắn mà nó trả lời, nên nó không thể "không biết gì" về nội dung đó. Hãy đánh giá nhà cung cấp qua mã hóa thông tin xác thực, kiểm soát truy cập, thời hạn lưu và cách xóa dữ liệu.

Mã hóa đầu cuối, mã hóa khi lưu trữ và khi truyền tải: ai giữ khóa?

Mã hóa khi truyền tải bảo vệ dữ liệu đang đi giữa hai hệ thống, chẳng hạn giữa một chiếc điện thoại và một máy chủ, thường bằng TLS. Mỗi máy chủ nhận được nó đều giải mã được.
Mã hóa khi lưu trữ bảo vệ dữ liệu nằm trên ổ đĩa, trong cơ sở dữ liệu hoặc trong bản sao lưu. Dịch vụ đang lưu thường giữ khóa và giải mã bất cứ khi nào phần mềm của họ cần.
Mã hóa đầu cuối nghĩa là chỉ các điểm cuối của cuộc trò chuyện giữ khóa. Những máy chủ ở giữa chỉ chuyển tiếp bản mã mà chúng không đọc được.

Mã hóa khi truyền tải cộng mã hóa khi lưu trữ không phải là E2EE. Bộ đôi đó thường vẫn để nhà cung cấp đọc được nội dung, vì trong hầu hết mô hình thì nhà cung cấp mới là bên nắm khóa. Phép thử E2EE thật sự là: ngoài hai điểm cuối ra, còn ai giải mã được tin nhắn không?

WhatsApp Business có mã hóa đầu cuối không? App và Cloud API

App WhatsApp Business có mã hóa đầu cuối khi doanh nghiệp tự chạy nó trên thiết bị của mình, không gắn Cloud API dạng companion và không qua nhà cung cấp nào. WhatsApp Business API (Cloud API) thì không, theo đúng định nghĩa của chính WhatsApp.

Tài liệu Encryption Overview của WhatsApp (cập nhật tháng 2/2026) nói rằng tin nhắn giữa người dùng WhatsApp, kể cả người dùng app WhatsApp Business, đi qua giao thức Signal và được tính là mã hóa đầu cuối, vì mỗi điểm cuối là một thiết bị do chính người dùng kiểm soát.

Mọi cuộc chat WhatsApp đều dùng chung giao thức Signal đó. Thứ làm thay đổi cái nhãn E2EE là ai vận hành điểm cuối phía doanh nghiệp. Cloud API do Meta vận hành từ năm 2021, và WhatsApp không xem những cuộc chat đó là mã hóa đầu cuối, vì tin nhắn không được chuyển thẳng tới một điểm cuối do doanh nghiệp kiểm soát.

Tài liệu về quyền riêng tư dữ liệu của Cloud API từ Meta mô tả luồng đi như sau:

App của khách hàng và Cloud API, đóng vai trò doanh nghiệp, thương lượng khóa Signal.
Cloud API giải mã tin nhắn đến rồi chuyển tiếp cho doanh nghiệp.
Với tin trả lời, Cloud API mã hóa tin nhắn bằng Signal trước khi gửi tới khách hàng.
Meta đóng vai trò bên xử lý dữ liệu cho doanh nghiệp, lưu tin nhắn Cloud API ở dạng đã mã hóa khi lưu trữ, và giữ tối đa 30 ngày.

Tài liệu tổng quan Cloud API cho biết webhook được gửi qua HTTPS có TLS bảo vệ.

Vậy nên WhatsApp Cloud API vẫn dùng mã hóa Signal trên đường truyền và vẫn mã hóa tin nhắn khi lưu trữ; nó chỉ đơn giản là không đầu cuối, vì máy chủ của Meta xử lý bản rõ thay mặt doanh nghiệp. Về khác biệt tính năng, xem bài so sánh WhatsApp Cloud API và Business App của chúng tôi.

Mã hóa đầu cuối WhatsApp Business khi dùng nhà cung cấp, liên kết companion hay hộp thư AI

Một cuộc chat với tài khoản app WhatsApp Business không phải lúc nào cũng là E2EE. Theo tài liệu bảo mật, nó mất trạng thái đó khi:

Doanh nghiệp gắn Cloud API ở dạng companion vào app WhatsApp Business của mình, điều đã làm được từ năm 2024. Những cuộc chat một-một đó được chia sẻ với Meta để xử lý.
Một nhà cung cấp vận hành WhatsApp Business API của doanh nghiệp. Nhà cung cấp đó có quyền truy cập khóa riêng tư của doanh nghiệp, kể cả khi nhà cung cấp chính là Meta, nên WhatsApp không coi những cuộc chat đó là mã hóa đầu cuối.

WhatsApp hiện một tin nhắn hệ thống ngay trong cuộc trò chuyện để báo cho khách hàng khi trạng thái này thay đổi. On-Premises API, vốn có điểm cuối tự lưu trữ được tính là mã hóa đầu cuối, đã không còn: client cuối cùng của nó, bản v2.63, hết hạn ngày 23/10/2025, và Meta nay hướng doanh nghiệp sang Cloud API.

Trên thực tế, nếu bạn trả lời WhatsApp ở quy mô lớn thông qua một API, một Business Solution Provider hay một hộp thư AI cho WhatsApp, thì các cuộc chat của bạn không nằm trong nhóm mà WhatsApp xếp là mã hóa đầu cuối.

Chuyện gì xảy ra khi chatbot AI hay CRM đọc tin nhắn WhatsApp của bạn

Chatbot AI có đọc được tin nhắn mã hóa đầu cuối không? Chỉ khi nó nằm ở một điểm cuối nhận được bản rõ. Với Cloud API, đường đi trông như sau:

Điện thoại của khách hàng mã hóa tin nhắn bằng Signal.
Cloud API của Meta giải mã nó cho doanh nghiệp.
Một webhook chuyển nó qua TLS tới nền tảng của doanh nghiệp: một CRM, một helpdesk hay một hộp thư AI.
Nền tảng lưu cuộc hội thoại và đưa đoạn văn bản cho một mô hình AI để soạn hoặc gửi câu trả lời.

Tới bước 4, tin nhắn đã ở dạng đọc được bên trong hệ thống của nhà cung cấp, bất kể nhà cung cấp đó dùng mã hóa khi lưu trữ kiểu gì. Hai điều cùng đúng một lúc: cuộc chat được mã hóa trên đường truyền, và CRM của bạn đọc được nó.

Tin nhắn Instagram sau ngày 8/5/2026: không còn mã hóa đầu cuối

Tin nhắn Instagram có mã hóa đầu cuối trong năm 2026 không? Không. Theo Trung tâm trợ giúp Instagram, Instagram đã ngừng hỗ trợ nhắn tin mã hóa đầu cuối từ ngày 8/5/2026. Tính năng này xưa nay vẫn là tùy chọn, bật theo từng cuộc chat và chưa bao giờ là mặc định. Meta hướng những ai cần E2EE sang WhatsApp.

Nếu bạn đang chạy trả lời bằng AI trên Instagram, hãy coi các tin nhắn đó là không mã hóa đầu cuối.

Facebook Messenger: chat cá nhân và chat với doanh nghiệp

Meta bắt đầu triển khai E2EE mặc định cho các cuộc chat và cuộc gọi một-một cá nhân trên Messenger từ ngày 6/12/2023. Trung tâm trợ giúp Messenger liệt kê những sản phẩm hiện chưa hỗ trợ E2EE, trong đó có chat với doanh nghiệp, tài khoản dùng công cụ nhắn tin doanh nghiệp và chat trên Marketplace.

Vậy nên mã hóa đầu cuối của Messenger không áp dụng cho cuộc chat giữa khách hàng và một Facebook Page đang dùng hộp thư hay chatbot.

Telegram: cloud chat, Secret Chat và bot

Telegram có mã hóa đầu cuối mặc định không? Không. Phần FAQ của Telegram mô tả hai loại chat:

Cloud chat, loại mặc định, dùng mã hóa giữa client và máy chủ, được lưu ở dạng đã mã hóa trên máy chủ Telegram để đồng bộ giữa các thiết bị.
Secret Chat của Telegram dùng mã hóa đầu cuối. Chúng chỉ là một-một, gắn với thiết bị cụ thể, không đồng bộ và không phải mặc định.

Bot hoạt động trong cloud chat. Bot API chính thức liệt kê các loại chat là private, group, supergroup và channel, không có loại secret chat nào. Từ khi Telegram Business ra mắt vào tháng 3/2024, doanh nghiệp có thể nối bot để trả lời tin nhắn thay mình, nhưng những cuộc hội thoại với bot đó không phải Secret Chat.

Chat riêng tư trên Viber và tài khoản doanh nghiệp Viber

Chính sách quyền riêng tư của Viber nói rằng mã hóa đầu cuối bảo vệ cuộc gọi và tin nhắn một-một, tin nhắn nhóm, chia sẻ media riêng tư và các thiết bị đã liên kết, và Viber cho biết nó bật sẵn theo mặc định. Ngoại lệ đáng quan tâm với doanh nghiệp nằm trong điều khoản về nội dung công khai của Viber: nội dung trong Community, Channel, Chatbot và Business Account không được mã hóa đầu cuối, và Viber có lưu lại.

Mã hóa đầu cuối WhatsApp Business và các kênh khác: bảng so sánh (tháng 9/2026)

Kênh	Chat cá nhân E2EE mặc định	Chat doanh nghiệp hoặc bot có E2EE	Ai xử lý được tin nhắn doanh nghiệp	Nguồn
App WhatsApp Business (không API, không nhà cung cấp)	Có (Signal)	Có	Thiết bị của chính doanh nghiệp	Tài liệu bảo mật WhatsApp
WhatsApp Cloud API hoặc API do nhà cung cấp vận hành	Có (Signal)	Không	Meta với vai trò bên xử lý, doanh nghiệp, các nền tảng đã kết nối	Tài liệu bảo mật WhatsApp, tài liệu Meta
Tin nhắn Instagram	Không (E2EE tùy chọn đã dừng ngày 8/5/2026)	Không	Meta, doanh nghiệp, các công cụ đã kết nối	Trung tâm trợ giúp Instagram
Facebook Messenger	Đang triển khai mặc định từ tháng 12/2023 (chat một-một cá nhân)	Không	Meta, doanh nghiệp, các công cụ đã kết nối	Trung tâm trợ giúp Messenger
Telegram	Không (Secret Chat phải tự bật)	Không (chat với bot là cloud chat)	Máy chủ Telegram, bên vận hành bot	FAQ Telegram, Bot API
Viber	Có	Không (chatbot, tài khoản doanh nghiệp)	Viber, quản trị viên của doanh nghiệp	Chính sách quyền riêng tư và điều khoản Viber

Vì sao nền tảng trả lời tự động bằng AI không thể "không biết gì"

Mã hóa zero-knowledge nghĩa là nhà cung cấp lưu dữ liệu của bạn mà không bao giờ giữ khóa giải mã, nên họ không đọc được nội dung.

Một sản phẩm trả lời tự động bằng AI hoạt động ngược lại, ngay từ thiết kế. Để trả lời câu "Ngày mai có giao tới Erbil không?", mô hình phải đọc được câu hỏi ở dạng bản rõ, tra cơ sở tri thức của bạn rồi viết câu trả lời. Logic ở đây rất đơn giản: một hệ thống đọc tin nhắn để trả lời thì luôn luôn đọc được chúng.

Một nhà cung cấp quảng cáo "hộp thư AI zero-knowledge" hay "chatbot AI mã hóa đầu cuối" thì hoặc đang lạm dụng thuật ngữ, hoặc không thật sự chạy AI trên tin nhắn của bạn. Câu hỏi có ích là những câu về việc giới hạn ai và cái gì chạm được vào phần dữ liệu đọc được đó.

Cách đánh giá những tuyên bố mã hóa của nhà cung cấp

Dấu hiệu đáng ngờ:

Gắn nhãn "mã hóa đầu cuối" cho một chatbot AI hoặc một hộp thư chạy WhatsApp Cloud API.
"Toàn bộ dữ liệu được mã hóa" mà không liệt kê cái gì được mã hóa hay ai giữ khóa.
"Cấp độ quân sự" hoặc "cấp độ ngân hàng" mà không nêu thuật toán, phạm vi hay cách quản lý khóa.
Logo chứng nhận mà không có chứng chỉ hay báo cáo kiểm toán nào để bạn yêu cầu xem.

Những câu nên hỏi:

Những trường nào được mã hóa ở tầng ứng dụng, và bằng thuật toán nào?
Access token của kênh và key của nhà cung cấp AI có được mã hóa không, và khóa được giữ ở đâu?
Nội dung tin nhắn có được mã hóa ở tầng ứng dụng không, hay chỉ có thông tin xác thực và một số trường được chọn?
Những nhân viên nào của nhà cung cấp xem được hội thoại của khách, và việc truy cập đó có được ghi log không?
Tin nhắn được giữ bao lâu, và việc xóa tài khoản thực sự xóa đi những gì?
Những nhà cung cấp AI nào nhận được nội dung tin nhắn, và theo điều khoản sử dụng dữ liệu nào?

Raabt hiện mã hóa và bảo vệ những gì

Raabt là một nền tảng trả lời tự động bằng AI, nên chính logic đó áp dụng cho chúng tôi: AI của chúng tôi đọc nội dung tin nhắn để viết câu trả lời. Nghĩa là Raabt không phải mã hóa đầu cuối, và theo định nghĩa ở trên thì không hộp thư AI nào có thể như vậy. Đây là những gì đang có:

Mã hóa ở mức trường: thông tin xác thực, token và một số thông tin liên hệ được chọn (điện thoại, email, địa chỉ) được mã hóa bằng AES-256-GCM, dùng khóa dẫn xuất qua HKDF-SHA256. Phạm vi này gồm access token của các kênh Facebook, Instagram, WhatsApp và Telegram đã kết nối, cùng API key của nhà cung cấp AI. Ứng dụng từ chối khởi động nếu không có khóa dài tối thiểu 32 ký tự.
Mật khẩu và mã xác thực: mật khẩu được băm bằng Argon2id, phần bí mật của API key đối tác chỉ lưu dưới dạng hash SHA-256, và mã dùng một lần chỉ lưu dưới dạng hash HMAC-SHA256.
Đăng nhập: đăng nhập bằng email và mật khẩu đòi thêm một mã dùng một lần gửi tới email của bạn trước khi phiên được cấp.
Quyền của đội: bốn vai trò (owner, admin, agent, viewer) với quyền theo từng mục, và các endpoint của doanh nghiệp xác nhận trước rằng người gọi là thành viên đang hoạt động của doanh nghiệp đó.
Webhook và tệp đính kèm: webhook của Meta bị từ chối trừ khi chữ ký X-Hub-Signature-256 hợp lệ, webhook Telegram bắt buộc có secret token, và tệp đính kèm chỉ được phục vụ qua URL có chữ ký HMAC và có hạn.
Xóa dữ liệu: Raabt hỗ trợ callback xóa dữ liệu của Meta, kèm liên kết tra trạng thái trên trang xóa dữ liệu. Xóa tài khoản cần mật khẩu cộng một mã gửi qua email, và tài khoản bị vô hiệu hóa ngay lập tức cùng với việc email bị ẩn danh.

Câu hỏi thường gặp

WhatsApp Business API có mã hóa đầu cuối không?

Không. Tài liệu bảo mật của WhatsApp nói rằng các cuộc chat với doanh nghiệp dùng Cloud API không được xem là mã hóa đầu cuối, vì Meta vận hành điểm cuối. Tin nhắn vẫn đi tới Meta với mã hóa Signal, rồi Meta giải mã và chuyển tiếp cho doanh nghiệp qua TLS.

Meta có đọc được tin nhắn WhatsApp Business không?

Trên Cloud API thì có: máy chủ của Meta giải mã tin nhắn với vai trò bên xử lý dữ liệu cho doanh nghiệp, lưu chúng ở dạng đã mã hóa khi lưu trữ và giữ tối đa 30 ngày. Trên app WhatsApp Business không gắn Cloud API và không qua nhà cung cấp thì không: các cuộc chat được mã hóa đầu cuối giữa các thiết bị.

Chatbot AI có đọc được tin nhắn mã hóa đầu cuối không?

Chỉ khi nó nhận được tin nhắn đã giải mã tại một điểm cuối. Trên WhatsApp Cloud API, Instagram, chat doanh nghiệp trên Messenger, bot Telegram và chatbot Viber, phía doanh nghiệp không được mã hóa đầu cuối, nên AI làm việc với văn bản đọc được.

Mã hóa đầu cuối và mã hóa khi lưu trữ khác nhau thế nào?

Mã hóa khi lưu trữ bảo vệ dữ liệu đã lưu, và dịch vụ đang lưu thường giữ khóa. Mã hóa đầu cuối chỉ để khóa ở hai điểm cuối của cuộc trò chuyện, nên nhà cung cấp đang chuyển tiếp tin nhắn không đọc được nó.

Telegram có mã hóa đầu cuối mặc định không?

Không. Cloud chat mặc định dùng mã hóa giữa client và máy chủ, được lưu ở dạng đã mã hóa trên máy chủ Telegram. Chỉ Secret Chat, vốn là một-một và phải chủ động mở, mới là mã hóa đầu cuối, và hội thoại với bot không phải Secret Chat.

Tin nhắn Instagram còn mã hóa đầu cuối trong năm 2026 không?

Không. Instagram đã ngừng hỗ trợ nhắn tin mã hóa đầu cuối từ ngày 8/5/2026, và trước đó nó cũng chưa bao giờ là mặc định, nên hãy coi tin nhắn với tài khoản doanh nghiệp là không mã hóa đầu cuối.

Sẵn sàng tự động hóa việc trả lời với access token của kênh được mã hóa bằng AES-256-GCM? Bắt đầu miễn phí.