Hóa đơn hạ tầng bất ngờ: đặt giới hạn chi tiêu trước khi lỡ

Website bán hàng của 1 doanh nghiệp chạy ổn nhiều tháng, rồi cuối tháng thẻ công ty bị trừ cao hơn dự kiến. Nguyên nhân là 1 bot cào dữ liệu chạy suốt cuối tuần (tình huống giả định, không phải sự cố của công ty nào).

Bài này nói về giới hạn chi tiêu trên Vercel (nơi chạy website) và Supabase (nơi chứa cơ sở dữ liệu), kèm AWS Budgets cho ai dùng AWS. Nguồn là tài liệu chính thức của 3 hãng, đối chiếu đến ngày 02/11/2026.

Bài trả lời: công cụ nào đặt được trần, trần làm gì khi bị chạm, và nên phòng thủ thêm lớp nào. Click Star đã có bài riêng về giám sát website và giới hạn tốc độ khi gọi API AI, nên bài không lặp lại.

Điểm chính

• Đám mây tính tiền theo mức dùng, nên hóa đơn có thể tăng vì bot, lỗi vòng lặp hoặc khách tăng đột biến. Trần chi tiêu chỉ là 1 trong 5 lớp phòng thủ.
• Vercel Spend Management có ở gói Pro và Enterprise Flexible Commitment, không có ở Hobby. Hệ thống cảnh báo ở 50%, 75% và 100% mức đặt. Tài liệu cập nhật 18/09/2026 nói muốn tạm dừng dự án phải bật công tắc riêng, còn mặc định hiện tại chưa được xác nhận.
• Vercel kiểm tra chi tiêu vài phút 1 lần nên hành động có thể trễ. Dự án bị dừng trả lỗi 503 và phải mở lại từng dự án.
• Supabase Spend Cap chỉ có ở gói Pro và không phủ compute, IPv4, tên miền riêng.
• AWS Budgets chỉ cảnh báo trừ khi bạn cấu hình Budget actions, dữ liệu cập nhật tối đa 3 lần mỗi ngày.
• Khung 5 lớp của Click Star gồm cảnh báo sớm, trần chi tiêu, giới hạn tốc độ, theo dõi hằng tuần và kế hoạch khi chạm trần.

Vì sao hóa đơn đám mây có thể vượt dự kiến

Hóa đơn tăng vì bạn trả theo lượng dùng chứ không trả khoản cố định. Theo trang Pricing on Vercel (cập nhật 14/09/2026), Vercel tính tiền theo lượng dữ liệu truyền đi, số yêu cầu và thời lượng tính toán.

Supabase cũng vậy. Trang Your monthly invoice (không ghi ngày) nêu 3 lý do hóa đơn vượt phí gói 25 USD: chạy nhiều dự án, dùng quá hạn mức khi Spend Cap tắt, hoặc dùng mục Spend Cap không phủ.

Trang DDoS Mitigation của Vercel (cập nhật 11/08/2026) ghi lưu lượng bị chặn không tính phí, nhưng lưu lượng không nhận ra là tấn công, có thể gồm bot và trình thu thập dữ liệu, vẫn tính.

Vercel Spend Management: cảnh báo, tạm dừng và webhook

Theo trang Spend Management (cập nhật 18/09/2026), tính năng đặt số tiền chi tiêu và chọn việc làm khi chạm số đó có ở gói Pro và Enterprise Flexible Commitment, chỉ vai trò Owner hoặc Billing dùng được. Gói Hobby không có (trang Vercel Hobby Plan, cập nhật 14/09/2026).

Số tiền hiện với tên On-Demand Budget, tính bằng USD cho mỗi chu kỳ thanh toán. Ở gói Pro, nó đo phần dùng vượt khoản tín dụng hằng tháng 20 USD (trang Vercel Pro Plan, cập nhật 15/09/2026). Nó không gồm ghế người dùng, tích hợp Marketplace và add-on.

Khi đặt số tiền, Vercel bật thông báo web và email ở 50%, 75% và 100%, còn SMS chỉ ở 100%. Bạn cũng khai báo được webhook (địa chỉ nhận tin tự động) để nhận yêu cầu khi chạm mốc; ngân sách tạo trước 09/2025 chỉ gửi ở mốc 100%.

Quan trọng nhất: theo trang Spend Management, đặt số tiền không tự dừng gì. Muốn ngừng phát sinh phí, bạn phải bật công tắc Pause Production Deployments.

Click Star chưa xác nhận mặc định hiện tại của từng team. Trang Vercel Pro Plan (cập nhật 15/09/2026) ghi khách mới mặc định có thông báo chi tiêu ở mức 200 USD mỗi chu kỳ thanh toán.

Khi Vercel chạm trần: khách thấy gì và mở lại thế nào

Khi tạm dừng, bản đang chạy thật (production) của mọi dự án trong team ngừng phục vụ, cả website lẫn API. Trang Spend Management ghi khách truy cập thấy lỗi 503 mã DEPLOYMENT_PAUSED.

Việc dừng không tức thì: Vercel kiểm tra vài phút 1 lần nên dự án còn phát sinh phí thêm. Trang khuyên đặt trần thấp hơn mức tối đa bạn chấp nhận chi.

Dừng cũng không chặn mọi khoản phí: AI Gateway và v0 vẫn tính, còn dữ liệu lưu trữ như Vercel Blob không bị xóa nên phí vẫn chạy.

Mở lại phải làm tay: mỗi dự án mở riêng qua bảng điều khiển hoặc REST API, và nâng số tiền không tự mở lại (trang Why has my account or deployment been paused?, cập nhật 02/10/2026).

Supabase Spend Cap: chặn được gì, không chặn được gì

Spend Cap là công tắc quyết định có cho dùng vượt hạn mức gói hay không. Theo trang Control your costs (không ghi ngày), nó chỉ có ở gói Pro, và trang Pricing & Fees (không ghi ngày) ghi gói Pro bật nó mặc định.

Khi bật, mục nào vượt hạn mức bị chặn đến chu kỳ sau và bạn không bị tính phí vượt. Khi tắt, dự án vẫn chạy và phần dùng thêm tính theo đơn giá.

Các mục được phủ gồm dung lượng đĩa, egress (dữ liệu truyền ra khỏi Supabase), lượt gọi Edge Function, nhật ký, người dùng hoạt động hằng tháng, Realtime và Storage. Các mục không được phủ gồm compute (máy chủ chạy cơ sở dữ liệu), IPv4 (địa chỉ IP riêng), tên miền riêng, Log Drain và Point-in-Time Recovery.

Trang ghi: Spend Cap không cho đặt ngân sách riêng từng mục và không báo khi chi phí chạm mức nào đó.

Chạm trần có thể kéo theo hạn chế. Theo trang Billing FAQ (không ghi ngày), Supabase báo khi bạn vượt hạn mức gói Pro. Nếu liên tục vượt khi Spend Cap bật, Fair Use Policy có thể tạm dừng dự án, chuyển cơ sở dữ liệu sang chỉ đọc hoặc trả mã 402 cho mọi yêu cầu API.

Trang ghi sẽ có thông báo trước và thời gian ân hạn, trừ khi nghi ngờ lạm dụng. Hạn chế gỡ khi sang chu kỳ mới hoặc khi tắt Spend Cap.

AWS Budgets: lựa chọn khi dùng hạ tầng AWS

AWS Budgets theo dõi chi phí và mức dùng, gửi cảnh báo qua email hoặc Amazon SNS (dịch vụ gửi thông báo của AWS). Theo trang Managing your costs with AWS Budgets (không ghi ngày), bạn được báo khi chi phí thực tế hoặc dự báo vượt ngưỡng.

Điểm cần nhớ là độ trễ: thông tin cập nhật tối đa 3 lần mỗi ngày, cách nhau thường 8 đến 12 giờ, nên chi phí có thể vượt ngưỡng trước khi bạn được báo.

Muốn tự hành động, bạn cấu hình Budget actions. Theo trang Configuring budget actions (không ghi ngày), hành động có thể là áp chính sách IAM hoặc SCP (giới hạn quyền tạo tài nguyên), hoặc nhắm vào máy chủ EC2 và RDS.

So sánh 3 công cụ theo tiêu chí

• Cảnh báo: Vercel báo ở 50%, 75%, 100%. Supabase Spend Cap không báo theo mức chi. AWS báo qua email hoặc SNS.
• Khi chạm trần: Vercel dừng production nếu bạn bật. Supabase chặn mục đã vượt. AWS chỉ hành động nếu bạn cấu hình.
• Độ trễ: Vercel vài phút. AWS tối đa 3 lần cập nhật mỗi ngày. Trang Supabase đã đọc không nêu.

Đọc trang giá mà không tự ước tính hóa đơn

Vercel ghi giá bằng USD, chưa gồm thuế, và nhiều tài nguyên có giá theo vùng (trang Pricing on Vercel, cập nhật 14/09/2026). Supabase ghi gói Pro 25 USD mỗi tháng kèm 10 USD tín dụng compute (trang Pricing & Fees, không ghi ngày), và tính hạn mức theo cả tổ chức (trang About billing on Supabase, không ghi ngày).

Giới hạn tốc độ và chặn bot: giảm nguồn gây tốn

Trần chỉ cắt thiệt hại, còn giới hạn tốc độ giúp lưu lượng xấu không phát sinh phí từ đầu. Vercel có WAF Rate Limiting trên mọi gói (trang WAF Rate Limiting, cập nhật 28/08/2026), mặc định đếm 100 yêu cầu trong 60 giây.

Hành động mặc định trả mã 429, và trang gợi ý chọn Log trước để xem ảnh hưởng rồi mới chặn.

Tính năng này tính phí theo số yêu cầu được cho qua: trang ghi 0,50 USD cho mỗi 1 triệu yêu cầu, giá còn tùy vùng. Hobby có 1 rule mỗi dự án và gồm sẵn 1 triệu yêu cầu.

Khi lưu lượng tăng bất thường, Attack Mode là phương án tạm. Trang Attack Mode (cập nhật 11/08/2026) ghi tính năng miễn phí trên mọi gói, yêu cầu bị chặn không tính vào mức dùng, và bot đã xác minh như công cụ tìm kiếm vẫn qua được.

Khung 5 lớp phòng thủ chi phí

Phần này là khung tham khảo của Click Star, không lấy từ nguồn ngoài.

1. Cảnh báo sớm: thông báo ở mốc thấp hơn trần, gửi nhiều người, như mốc 50% và 75% của Vercel hay email AWS Budgets.
2. Trần chi tiêu: đặt Spend Management, Spend Cap hoặc Budget actions, và biết mục nào không được phủ.
3. Giới hạn tốc độ và chặn bot: rate limit và Attack Mode khi cần. Click Star đã có bài riêng về bộ nhớ đệm và CDN, giúp giảm phần tính toán.
4. Theo dõi hằng tuần: 1 người xem trang Usage theo lịch, không chờ email.
5. Kế hoạch khi chạm trần: ghi sẵn tạm dừng phần nào, ai quyết, mở lại theo thứ tự nào.

Đánh đổi: trần quá chặt có thể ngừng phục vụ

Trần càng sát càng an toàn cho ví nhưng càng dễ cắt khách thật. Ở Vercel, tạm dừng áp cho mọi dự án trong team, nên 1 đợt khách tăng hợp lệ có thể làm cả trang bán hàng lẫn ứng dụng nội bộ lỗi 503. Ở Supabase, nếu liên tục vượt hạn mức khi Spend Cap bật, ứng dụng nhận đơn có thể gặp mã 402 hoặc cơ sở dữ liệu chỉ đọc.

Click Star suy luận 2 cách giảm tác động. Cách thứ nhất là tách môi trường quan trọng khỏi môi trường thử sang team hoặc organization khác (Supabase tính gói riêng từng organization). Cách thứ hai là chọn trần đủ cao để chịu đợt tăng hợp lệ, lấy hóa đơn các tháng gần nhất làm mốc.

Bối cảnh Việt Nam

Click Star không tìm thấy số đo về mức vượt hóa đơn hạ tầng của doanh nghiệp Việt Nam. Điều dưới đây là nhận định của Click Star.

Hóa đơn niêm yết bằng USD, nên số đồng phụ thuộc tỷ giá và phí ngân hàng phát hành thẻ. Cảnh báo đến lúc chi tiêu chạm mốc nên có thể rơi ngoài giờ làm, đây là suy luận của Click Star, vì vậy hãy gửi cho nhiều người. Thuế và chứng từ cho dịch vụ nước ngoài là chủ đề pháp lý, hãy hỏi kế toán hoặc luật sư.

Đánh giá của Click Star. Các công cụ trần không đồng đều: Vercel có hành động tự động, Supabase chặn theo mục nhưng không báo theo tiền, AWS chủ yếu báo. Vì vậy không nên chọn 1 công cụ rồi yên tâm.

Click Star có dịch vụ thiết kế website tải nhanh, phần mềm theo yêu cầu và dashboard dữ liệu, nên có lợi ích liên quan. Các bước dưới đây không hoàn toàn miễn phí: Spend Management cần gói Pro, còn WAF Rate Limiting tính phí theo yêu cầu được cho qua.

Việc nên làm: lộ trình 14 ngày

Đây là khung tham khảo của Click Star, không lấy từ nguồn ngoài.

• Ngày 1 đến 2, kiểm kê: liệt kê dịch vụ tính theo mức dùng, gói, thẻ và người có vai trò Owner hoặc Billing.
• Ngày 3 đến 5, cảnh báo: bật thông báo Vercel cho từng người, tạo ngân sách AWS nếu có dùng.
• Ngày 6 đến 8, trần: chọn số tiền từ hóa đơn gần nhất, quyết định bật tạm dừng hay không, kiểm tra Spend Cap của Supabase.
• Ngày 9 đến 11, giới hạn tốc độ: tạo rate limit cho biểu mẫu, đăng nhập và API AI ở chế độ Log, rồi mới chuyển sang chặn.
• Ngày 12 đến 14, diễn tập trên giấy: ai quyết, dừng phần nào, mở lại theo thứ tự nào. Đừng thử tạm dừng thật trên production.

Theo dõi hằng tuần: 5 con số cần xem

Mỗi tuần, 1 người xem trang Usage hoặc chạy vercel usage --since 30d --group-by project (trang Manage and optimize usage, cập nhật 18/09/2026). Tần suất và 5 con số này là gợi ý của Click Star.

• Phần trăm chi tiêu đã dùng so với số tiền đặt trong chu kỳ.
• Mục tiêu thụ lớn nhất theo dự án.
• Tỷ lệ yêu cầu có và không qua bộ nhớ đệm trên Vercel.
• Egress của Supabase theo dịch vụ.
• Số yêu cầu bị rate limit, và có khách thật bị chặn nhầm không.

Những sai lầm thường gặp

1. Không kiểm tra công tắc Pause Production Deployments trong cài đặt team, rồi giả định Vercel tự dừng hoặc không dừng.
2. Quên mục không được phủ: Supabase không phủ compute và IPv4, Vercel không tính ghế và add-on vào số đặt.
3. Chỉ 1 người nhận cảnh báo, hoặc tắt thông báo dù Vercel cảnh báo có thể gây chi phí bất ngờ.
4. Đặt trần sát mức dùng bình thường rồi để khách thật gặp lỗi 503.
5. Coi trần thay cho giới hạn tốc độ, trong khi lưu lượng xấu vẫn phát sinh phí trước khi dừng.

Điều chưa biết

Click Star không có số đo mức vượt hóa đơn của doanh nghiệp Việt Nam, không có ngưỡng trần "chuẩn" có nguồn, và chưa thử tạm dừng hay mở lại trên tài khoản thật.

2 nguồn Vercel có vẻ khác nhau về mặc định. Bản tin Spend Management now pauses production deployments by default (27/06/2024) nói mặc định tạm dừng, còn tài liệu hiện tại nói đặt số tiền không tự dừng. Click Star chưa biết mặc định từng team.