Prototype hay sản phẩm thật: chấm điểm trước khi cho người khác dùng

Vấn đề thật

AI giúp bạn làm ra thứ trông như sản phẩm trong vài buổi. Nhưng “trông như” khác “là”. Câu hỏi khó nhất không phải “làm thế nào” mà là “đã đủ an toàn để người khác dùng chưa?”. Bài này cho bạn một cách trả lời có căn cứ thay vì cảm giác.

Ba mức phát hành

Mức	Ai dùng	Hậu quả khi lỗi	Yêu cầu tối thiểu
A. Tự dùng	Chỉ bạn	Bạn mất thời gian	Chạy được việc chính
B. Nhóm nhỏ	Đồng nghiệp, người quen biết đây là bản thử	Phiền, có thể mất dữ liệu thử	A + giao diện ổn + sao lưu
C. Công khai	Người lạ, khách hàng	Mất tiền, lộ dữ liệu, mất uy tín, rủi ro pháp lý	Đạt hết bảng chấm bên dưới

Ghi rõ mức mục tiêu vào brief. Một công cụ nội bộ cho 3 người không cần đạt mức C; một trang nhận đơn hàng bắt buộc đạt C.

Bảng chấm 6 nhóm

Mỗi dòng: Đạt / Chưa / Không áp dụng. Mức C cần mọi dòng áp dụng đều Đạt.

1. Chức năng

• Mọi việc chính trong brief chạy đúng, bạn đã tự bấm thử từng việc.
• Thử với dữ liệu “xấu”: ô trống, chữ rất dài, số âm, ký tự đặc biệt, tiếng Việt có dấu.
• Có thông báo lỗi dễ hiểu khi người dùng nhập sai, không hiện mã lỗi kỹ thuật.
• Sau lần sửa gần nhất đã chạy lại danh sách kiểm nhanh (kiểm thử hồi quy).

2. Giao diện và trải nghiệm

• Xem được trên điện thoại thật (375px) và máy tính, không cuộn ngang.
• Dùng được bằng bàn phím (Tab qua các nút, thấy rõ đang ở nút nào).
• Chữ đủ to, đủ tương phản; không truyền đạt thông tin chỉ bằng màu.
• Không còn nội dung giả: “Lorem ipsum”, giá ảo, lời khen bịa.

3. Dữ liệu

• Biết dữ liệu nằm ở đâu (trên máy người dùng, Google Sheet, cơ sở dữ liệu nào).
• Có sao lưu, và đã thử khôi phục từ bản sao lưu ít nhất một lần.
• Chỉ thu thập dữ liệu thật sự cần.

4. Bảo mật

• Không có khóa API, mật khẩu trong code phía trình duyệt hay trong lịch sử Git.
• Có đăng nhập: người A không xem được dữ liệu của người B (thử bằng hai tài khoản).
• Trang quản trị không truy cập được khi chưa đăng nhập (thử mở link trực tiếp ở cửa sổ ẩn danh).
• Đã chạy kiểm tra phụ thuộc (ví dụ npm audit nếu dự án dùng npm) và xử lý lỗi mức cao.

5. Vận hành

• Biết cách quay lại bản trước (rollback) và đã thử.
• Có cách biết khi website sập hoặc lỗi (ít nhất: tự kiểm định kỳ, hoặc dịch vụ theo dõi miễn phí).
• Biết chi phí hằng tháng và có giới hạn chi tiêu với dịch vụ tính tiền theo lượt.
• Ghi lại cách deploy trong README.md để 3 tháng sau bạn (hoặc người khác) làm lại được.

6. Pháp lý và minh bạch

• Có trang chính sách riêng tư nếu thu thập bất kỳ dữ liệu cá nhân nào.
• Thu thập dữ liệu cá nhân tại Việt Nam: tìm hiểu quy định bảo vệ dữ liệu cá nhân hiện hành, hoặc hỏi người có chuyên môn pháp lý.
• Ảnh, chữ, font có quyền sử dụng.
• Không hứa điều sản phẩm không làm được.

Prompt nhờ AI chấm hộ (bạn vẫn là người kiểm)

Đóng vai người kiểm tra độc lập (QA và bảo mật). Đây là dự án [mô tả ngắn], mục tiêu phát hành
mức [A/B/C]. Đọc BRIEF.md và mã nguồn.

Chấm theo 6 nhóm: Chức năng, Giao diện, Dữ liệu, Bảo mật, Vận hành, Pháp lý.
Với mỗi phát hiện: mức độ (Chặn phát hành / Nghiêm trọng / Nên sửa / Góp ý),
bằng chứng (file, dòng, hoặc bước tái hiện), và cách sửa đề xuất.

Quy tắc: không sửa gì, chỉ báo cáo. Không phóng đại mức độ. Nói rõ phần nào bạn không kiểm được
(ví dụ cần chạy thử trên điện thoại thật).

AI giúp tìm, nhưng dòng nào ghi Đạt thì bạn phải tự kiểm. Đừng chép báo cáo của AI vào cột Đạt.

Khi nào bắt buộc nhờ chuyên gia

Nhờ người có kinh nghiệm phát triển phần mềm review trước khi phát hành mức C nếu sản phẩm có bất kỳ thứ nào:

• Thanh toán, ví, xử lý tiền.
• Đăng nhập và dữ liệu riêng của từng người.
• Dữ liệu nhạy cảm: sức khỏe, tài chính, giấy tờ tùy thân, trẻ em.
• Hơn vài trăm người dùng, hoặc doanh nghiệp phụ thuộc vào nó hằng ngày.

Chi phí một buổi review nhỏ hơn nhiều so với chi phí một vụ lộ dữ liệu. Đây không phải thất bại của Vibe Coding; đây là cách làm nghề có trách nhiệm.

Lỗi hay gặp

• Chấm Đạt vì AI nói đạt. AI báo xong không phải bằng chứng (bài 1).
• Áp mức C cho mọi thứ. Bạn sẽ không bao giờ phát hành. Chọn đúng mức cho đúng sản phẩm.
• Phát hành rồi mới nghĩ tới sao lưu. Dữ liệu mất ngày đầu thì không có bản nào để khôi phục.

Việc làm ngay

1. Ghi mức phát hành mục tiêu (A, B hay C) vào brief.
2. Chấm sản phẩm của bạn theo 6 nhóm. Đếm số dòng “Chưa”.
3. Biến mỗi dòng “Chưa” thành một lát cắt việc cần làm.

Tóm tắt

• Ba mức: tự dùng, nhóm nhỏ, công khai. Chọn đúng mức.
• Chấm 6 nhóm: chức năng, giao diện, dữ liệu, bảo mật, vận hành, pháp lý.
• AI giúp tìm lỗi; bạn tự kiểm từng dòng Đạt.
• Tiền, đăng nhập, dữ liệu nhạy cảm: nhờ chuyên gia trước khi công khai.

Prompt dùng ngay cho bài này

• Review độc lập trước phát hành: AI đóng vai người kiểm tra QA và bảo mật, chỉ báo cáo có bằng chứng, chưa sửa.