Đưa form website về bảng khách hàng bằng n8n

Khách điền form, thông tin nằm im trong hộp thư

Website có form "Đăng ký tư vấn". Mỗi lần khách gửi, một email về hộp thư chung; nhân viên chép tay sang bảng tính, lúc nhớ lúc quên, khách thật lẫn giữa thư rác từ bot. (Tình huống minh hoạ.)

Bài này nối form có sẵn vào bảng khách bằng n8n: bot rác bị chặn trước khi chạm tới bảng, mỗi dòng có bằng chứng khách đã đồng ý cho bạn liên hệ.

Đưa form website về bảng khách bằng n8n là gì?

Đưa form website về bảng khách bằng n8n là đổi địa chỉ nhận của form thành Production URL của node Webhook, để n8n xác minh CAPTCHA, kiểm tra ô đồng ý, ghi một dòng vào Google Sheets rồi đưa khách tới trang cảm ơn.

Nếu bạn chưa có website, dùng n8n Form Trigger như trong workflow đầu tiên sẽ nhanh hơn.

Chuẩn bị

• n8n chạy qua HTTPS (Cloud hoặc tự cài theo hướng dẫn cài n8n trên VPS).
• Quyền sửa mã HTML của form trên website.
• Một widget Cloudflare Turnstile (lấy Site key và Secret key trong trang quản trị Cloudflare). Dùng Google reCAPTCHA cũng được, cách làm tương tự, xem cuối Bước 3.
• Một Google Sheet có dòng tiêu đề như mẫu dưới. n8n coi dòng 1 là tiêu đề.
• Trang "Cảm ơn" và trang chính sách dữ liệu: bạn là ai, thu gì, để làm gì, lưu bao lâu, rút lại đồng ý thế nào.

thoi_gian | ho_ten | so_dien_thoai | nhu_cau | dong_y_tu_van | dong_y_nhan_tin | phien_ban_dong_y | trang_thai

Không có cột ngày sinh, địa chỉ, số giấy tờ: form tư vấn không cần thì không thu.

Nguồn: Google Sheets – dòng tiêu đề · Turnstile – widget

Bước 1. Sửa form: ô đồng ý, ô ẩn và widget CAPTCHA

Mẫu dưới là form HTML tối giản (ví dụ minh hoạ). Dùng trình dựng trang khác thì giữ giao diện, chỉ cần: gửi tới Production URL, tên trường như mẫu, hai ô đồng ý tách riêng, có widget CAPTCHA.

<form action="<Production URL của node Webhook>" method="POST">
  <label>Họ tên <input name="ho_ten" required></label>
  <label>Số điện thoại <input name="so_dien_thoai" type="tel" required></label>
  <label>Bạn cần tư vấn gì? <textarea name="nhu_cau"></textarea></label>

  <!-- Ô ẩn bẫy bot (kỹ thuật thường dùng, không có tiêu chuẩn chính thức) -->
  <div style="position:absolute;left:-5000px" aria-hidden="true">
    <input name="website" tabindex="-1" autocomplete="off">
  </div>

  <label><input type="checkbox" name="dong_y_tu_van" value="co" required>
    Tôi đồng ý để <Tên công ty> dùng họ tên, số điện thoại và nhu cầu tôi cung cấp để liên hệ tư vấn. <a href="<link chính sách dữ liệu>">Chi tiết</a></label>
  <label><input type="checkbox" name="dong_y_nhan_tin" value="co">
    (Không bắt buộc) Tôi đồng ý nhận tin giới thiệu sản phẩm qua <kênh>, tối đa <tần suất>; từ chối bất kỳ lúc nào.</label>

  <input type="hidden" name="phien_ban_dong_y" value="<mã phiên bản lời đồng ý, vd DY-2026-10>">
  <div class="cf-turnstile" data-sitekey="<Site key của Turnstile>"></div>
  <button type="submit">Gửi đăng ký</button>
</form>
<script src="https://challenges.cloudflare.com/turnstile/v0/api.js" async defer></script>

• Hai ô đồng ý tách riêng, không đánh dấu sẵn. Luật 91/2025/QH15 (Điều 9) yêu cầu đồng ý tự nguyện, biết rõ loại dữ liệu, mục đích, bên xử lý, quyền của khách, theo từng mục đích, không buộc đồng ý mục đích khác. Vì vậy ô nhận tin giới thiệu là không bắt buộc; Điều 28 yêu cầu khách biết rõ nội dung, phương thức, tần suất.
• Mã phiên bản lời đồng ý giúp bạn biết khách đã đồng ý với câu chữ nào khi sau này sửa lời đồng ý.
• Ô ẩn website: người thật không thấy nên để trống; bot điền mọi ô thì bị lọc. Đây là kỹ thuật thường dùng, không có nguồn chính thức, chỉ là lớp phụ.
• Widget Turnstile nằm trong thẻ form sẽ tự thêm ô ẩn cf-turnstile-response chứa token khi khách gửi.

Nguồn: Turnstile – script, cf-turnstile-response · Luật 91/2025/QH15 – Điều 9, 28

Bước 2. Node Webhook: nhận dữ liệu và lọc sớm

1. Tạo workflow, thêm Webhook. HTTP Method: POST. Path: giữ chuỗi ngẫu nhiên mặc định để khó đoán.
2. Respond: Using 'Respond to Webhook' Node.
3. Options → Ignore Bots: bật, để bỏ qua trình xem trước liên kết và bot thu thập web.
4. Options → Only Run If: dán biểu thức dưới đây. Yêu cầu có ô ẩn bị điền, hoặc thiếu token CAPTCHA, nhận mã 200 nhưng không tạo execution, nên không tốn lượt chạy của gói.
5. Bấm Listen for test event (Test URL nghe trong 120 giây), tạm đặt Test URL vào form, gửi thử bằng dữ liệu giả. Dữ liệu hiện ở OUTPUT, các trường nằm trong body.

{{ !$json.body.website && !!$json.body['cf-turnstile-response'] }}

Website gửi form bằng JavaScript (fetch) thì đặt Options → Allowed Origins (CORS) là tên miền website thay cho mặc định *.

Nguồn: Webhook – Only Run If, Ignore Bots, CORS · Test URL 120 giây

Bước 3. Xác minh CAPTCHA phía máy chủ

Theo Cloudflare, chỉ hiện widget trên trình duyệt là không đủ: phải gọi API Siteverify cho từng token. Token hết hạn sau 300 giây và chỉ xác minh được một lần. Để Secret key không nằm lộ trong node, cất nó vào credential:

1. Vào Credentials → tạo credential loại Custom Auth (nhóm credential chung của HTTP Request), dán JSON dưới đây với Secret key thật. Khi lưu, đặt Allowed HTTP Request Domains chỉ cho challenges.cloudflare.com nếu ô này có.
2. Thêm HTTP Request sau Webhook, cấu hình như khối thứ hai.
3. Chạy thử: OUTPUT phải có success: true và hostname đúng tên miền website của bạn.

{
  "body": {
    "secret": "<Secret key của Turnstile>"
  }
}

Method: POST
URL: https://challenges.cloudflare.com/turnstile/v0/siteverify
Authentication: Generic Credential Type → Custom Auth → (credential vừa tạo)
Send Body: bật · Body Content Type: JSON · Specify Body: Using Fields Below
  Name: response
  Value: {{ $('Webhook').item.json.body['cf-turnstile-response'] }}

Tham số remoteip (IP khách) là tuỳ chọn; không gửi thì khỏi xử lý thêm dữ liệu cá nhân. Lỗi timeout-or-duplicate: token đã dùng hoặc quá hạn.

Dùng Google reCAPTCHA: POST tới https://www.google.com/recaptcha/api/siteverify với secret, response (token ở trường g-recaptcha-response, hiệu lực hai phút, xác minh một lần). Google ghi đây là tham số POST, không nói nhận JSON, nên chọn Body Content Type Form Urlencoded và dùng credential Custom Auth riêng (domain www.google.com). Đầu trang xác minh này hiện ghi đã ngưng dùng (deprecated), trỏ sang Google Cloud Fraud Defense: đọc tài liệu hiện hành trước khi chọn. Với cả hai, chạy thử bằng Test URL và xem OUTPUT để chắc khoá bí mật được gộp đúng vào yêu cầu.

Nguồn: Turnstile – server-side validation · reCAPTCHA – verify · HTTP Request credentials – Custom Auth · Credentials – Allowed domains

Bước 4. Rẽ nhánh hợp lệ hay từ chối

Thêm If với hai điều kiện, nối bằng AND:

• {{ $json.success }} loại Boolean, is true (kết quả Siteverify).
• {{ $('Webhook').item.json.body.dong_y_tu_van }} loại String, is equal to co. Ô đồng ý có thuộc tính required trên trình duyệt, nhưng bot có thể gửi thẳng tới webhook, nên phải kiểm tra lại ở n8n.

Nhánh false: thêm Respond to Webhook, Respond With Redirect về trang form kèm thông báo chung "Gửi chưa thành công, vui lòng thử lại". Không đưa họ tên hay số điện thoại lên đường dẫn chuyển hướng.

Nguồn: If node · Respond to Webhook – Redirect

Bước 5. Ghi vào Google Sheets, chống trùng

1. Nhánh true: thêm Google Sheets, thao tác Append or Update Row (có thì cập nhật, chưa có thì thêm).
2. Credential: OAuth2, đăng nhập tài khoản Google công việc sở hữu bảng.
3. Chọn Document, Sheet. Column to Match On: so_dien_thoai, để khách gửi lại không tạo dòng trùng.
4. Mapping Column Mode: Map Each Column Manually. Chỉ ghép những cột trong bảng: kéo từ body của Webhook; thoi_gian điền {{ $now.toISO() }}; trang_thai điền moi. Token CAPTCHA và ô ẩn không có cột nên không bao giờ bị lưu.
5. Settings của node: bật Retry On Fail.

Google Sheets API cho 60 lượt ghi mỗi phút mỗi người dùng trong một dự án (300 cho cả dự án), dư cho form tư vấn. Khách gửi lại thì dòng cũ bị ghi đè, kể cả thời điểm đồng ý; cần giữ lịch sử thì thêm trang tính "Nhật ký đồng ý" dùng Append Row.

Nguồn: Append or Update Row, Column to Match On · Sheets API limits · OAuth 2.0 – Testing 7 ngày · Google credentials · Retry On Fail

Bước 6. Trả lời trình duyệt, rồi Publish

1. Sau Google Sheets, thêm Respond to Webhook, Respond With Redirect, Redirect URL là trang cảm ơn, ví dụ https://<website>/cam-on/. Website gửi bằng JavaScript thì chọn JSON, trả {"ok": true} rồi tự hiện lời cảm ơn.
2. Không trả HTML: từ n8n 1.103.0, HTML trả qua webhook bị bọc trong iframe hộp cát, JavaScript và liên kết tương đối không chạy.
3. Bấm Publish. Đổi địa chỉ form trên website sang Production URL. Từ giờ dữ liệu chạy thật không hiện trên bảng vẽ, xem ở tab Executions.
4. Báo sale ngay: nối node Telegram cuối nhánh true như bot Telegram báo cáo.

Theo tài liệu n8n, nếu workflow lỗi trước khi tới Respond to Webhook, trình duyệt nhận mã 500; nếu workflow kết thúc mà không đi qua node này, trả mã 200 kèm thông báo mặc định. Trên n8n Cloud, webhook không trả lời trong 100 giây sẽ báo lỗi 524.

Nguồn: Respond to Webhook – Redirect, 500, iframe · Production URL, Executions · Webhook – common issues

Kiểm tra đã chạy đúng

• Gửi form thật bằng dữ liệu giả: sang trang cảm ơn, bảng có đúng một dòng mới, trang_thai là moi.
• Gửi lại cùng số điện thoại: dòng cũ được cập nhật, không thêm dòng.
• Gửi thẳng tới webhook mà không có ô đồng ý tư vấn: không có dòng nào được ghi.
• Điền ô ẩn website: tab Executions không có lượt chạy mới.
• Gửi lại token CAPTCHA đã dùng: Siteverify trả success: false, chuyển về trang báo lỗi chung.
• Mở bảng: không có cột token, không có IP, không có dữ liệu thừa.

Lỗi thường gặp

Nguồn: Webhook – test/production · Turnstile – error codes · Google Sheets – common issues

An toàn và chính sách

• Bằng chứng đồng ý: mỗi dòng có thời điểm, ô đã tích và mã phiên bản lời đồng ý. Luật 91/2025/QH15 yêu cầu đồng ý thể hiện được dưới dạng in, sao chép được, và ghi rõ im lặng không phải là đồng ý. Khách có quyền rút lại đồng ý (Điều 10): trang chính sách cần nói cách rút, và bạn cần một cột hoặc trạng thái để dừng liên hệ.
• Dùng dữ liệu form để gửi SMS hay email quảng cáo: Nghị định 91/2020/NĐ-CP yêu cầu đồng ý trước và lưu thông tin đăng ký, từ chối tối thiểu một năm. Quy định từng kênh xem email tự động đúng quy định và bám đuổi khách đúng chính sách.
• Dữ liệu tối thiểu: chỉ cột cần cho tư vấn; chia sẻ bảng đúng người.
• Lịch sử chạy cũng chứa dữ liệu khách: bản tự cài mặc định dọn execution cũ hơn 14 ngày; có thể tắt lưu lượt chạy thành công trong Workflow Settings.
• Khóa bí mật chỉ nằm trong Credentials; không dán vào node Code, ghi chú workflow hay nhóm chat.
• Giới hạn tần suất gửi vào webhook: tài liệu n8n không có tính năng này; nếu cần, làm ở reverse proxy hoặc CDN.
• Phần quy định trong bài là tóm tắt để vận hành, không phải tư vấn pháp lý.

Nguồn: Bộ Công an – Luật 91/2025 hiệu lực 01/01/2026 · Luật 91/2025/QH15 – văn bản · Nghị định 91/2020/NĐ-CP · Biến môi trường executions · Workflow settings

Muốn được tư vấn cách áp dụng n8n cho quy trình của doanh nghiệp, bạn có thể đăng ký Tư vấn 1-1 hoặc Coaching 1-1; chi phí báo sau buổi tư vấn.

Đọc tiếp: Đưa lead TikTok về hệ thống →

Câu hỏi thường gặp

Tài liệu liên quan

• n8n · AI Agentn8n là gì? Tự động hoá quy trình kết hợp AI cho doanh nghiệpn8n là gì: công cụ tự động hoá quy trình nối Facebook, Google Sheets, Telegram, CRM thành workflow, chèn được bước AI. Cloud hay tự cài, giấy phép, giới hạn.
• n8n · AI AgentLàm chatbot Facebook Messenger bằng n8n: webhook, chữ ký, Send API, cửa sổ 24 giờLàm chatbot Facebook Messenger bằng n8n: xác minh webhook, kiểm chữ ký X-Hub-Signature-256, trả 200 trong 5 giây, gửi qua Send API, cửa sổ 24 giờ, App Review.
• n8n · AI Agentn8n Cloud hay tự cài: chi phí, gói và giấy phép cần biếtn8n Cloud hay tự cài: bảng gói Cloud bằng EUR theo lượt chạy, bản Community miễn phí và chi phí thật khi tự cài, giấy phép fair-code, chọn theo 5 tình huống.
• n8n · AI AgentKết nối Zalo OA với n8n: webhook 2 giây, token 25 giờ, tin Tư vấn miễn phí 48 giờKết nối Zalo OA với n8n từng bước: webhook trả 200 trong 2 giây, làm mới access token 25 giờ, gửi tin Tư vấn qua API, khung 48 giờ miễn phí và giới hạn 7 ngày.

Xem tất cả tài liệu hướng dẫn →

Nguồn tham khảo

• n8n Docs – Webhook node
• n8n Docs – Webhook: Test URL và Production URL
• n8n Docs – Respond to Webhook
• n8n Docs – HTTP Request credentials (Custom Auth)
• n8n Docs – Google Sheets: Sheet operations
• Cloudflare Docs – Turnstile: xác minh phía máy chủ
• Cloudflare Docs – Turnstile: nhúng widget
• Google – reCAPTCHA: Verifying the user's response
• Google – Giới hạn Google Sheets API
• Bộ Công an – Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15

Lịch sử cập nhật

• 21/10/2026 — Bản đầu.

Miễn trừ trách nhiệm