À vẻ bề ngoài, iThemes Security trông như plugin bảo mật tuyệt vời và giá cả phải chăng cho trang WordPress. Đặc biệt nếu xem xét bạn có thể bảo vệ không giới hạn trang web chỉ 199 USD.
Sucuri, mặt khác, là một trong những plugin bảo mật WordPress phổ biến nhất. Nó đùng một cú với trình quét và tường lửa, và cung cấp gỡ mã độc. Vì vậy ngay trong đối đầu này, nó đã dẫn trước iThemes.
Tuy nhiên, vấn đề归结为 plugin bảo mật nào thực sự cung cấp bảo vệ tốt nhất khỏi hacker và mã độc. Chúng tôi đã test 5 plugin bảo mật hàng đầu cho WordPress trên 3 trang web. Các trang web nhồi nhét mã độc và lỗ hổng, và chúng tôi cho plugin qua bài kiểm tra. Đọc tiếp để xem kết quả test, và tìm plugin nào thực sự bảo vệ trang WordPress.
KẾT LUẬN iThemes security vs Sucuri: iThemes bị loại khỏi cuộc đua hoàn toàn. Trong cuộc thi này, Sucuri chắc chắn là người thắng. Đã nói vậy, chúng tôi vẫn không tin Sucuri bảo vệ trang web. Chi tiết test dưới đây.
Lựa chọn của chúng tôi
Chúng tôi tạo 3 trang WordPress test plugin bảo mật. Một trang blog thường làm đối chứng. Tiếp theo, cài 3 plugin lỗi thời có lỗ hổng công bố trên trang thứ hai. Cuối cùng, nhồi nhét trang thứ ba đầy mã độc và backdoor, cả tệp và cơ sở dữ liệu. Chúng tôi đếm trên trang cuối để phân biệt gạo cạn. Và trời ơi, nó làm được.
Mỗi plugin qua bài kiểm tra 45 ngày. Chúng tôi test trình quét, trình dọn dẹp, tường lửa, bảo vệ brute force—tất cả. Cuối cùng, kết quả rõ ràng, MalCare thắng mọi mặt.
Câu hỏi chuỗi bài này đơn giản: plugin bảo mật nào đảm bảo bảo vệ WordPress khỏi hacker? Câu trả lời rõ ràng: MalCare.
Tóm tắt so sánh iThemes Security vs Sucuri
iThemes Security là giả dược (placebo) của plugin bảo mật WordPress. Bạn nghĩ trang web an toàn khỏi hacker, nhưng thực tế bảo vệ nó chỉ là suy nghĩ tốt đẹp và rung tích cực. Sucuri chắc chắn tốt hơn, nhưng tốt hơn là thuật ngữ tương đối. Nó không phải plugin bảo mật tuyệt vời.
iThemes Security tóm tắt
Kết cục là iThemes không bảo vệ trang web. Chúng tôi mạnh mẽ khuyên bỏ qua iThemes nếu xem xét cho bảo mật WordPress. Và nếu đã cài, hãy quét trang web ngay. Trang web không có bảo mật.
Ấn tượng đầu của iThemes thực tế khá tốt. Trang web nói hay, và truyền cảm giác tin cậy vì cách nói có thẩm quyền về bảo mật WordPress. Lỗi duy nhất chúng tôi thấy là không dùng plugin dọn dẹp mã độc. Không lý tưởng, nhưng vẫn có thể làm trình quét.
Hay vậy chúng tôi nghĩ.
Trình quét iThemes không phát hiện mã độc. Hoàn toàn. Chúng tôi đoán nó thậm chí không quét tệp và dữ liệu, vì quét xong trong giây lát. Trình quét iThemes làm là kiểm tra Báo cáo Minh bạch Google xem trang web có trên danh sách không. Chúng tôi không cần plugin bảo mật làm điều đó. Chúng tôi quay lại kiểm tra trang web, và sốc nhận ra tính năng không nói rõ quét mã độc. Nó chỉ nói phát hiện mã độc là bước then chốt bảo mật WordPress. Đó là nói hai ngõ (doublespeak), nếu từng thấy.
Chúng tôi cám dừng test iThemes là vô nghĩa, nhưng tiếp tục vì công bằng.
Plugin có tính năng xác thực hai yếu tố (2FA) vững chắc, bật trên trang đăng nhập. Nó cũng có một số tính năng tăng cường tốt như chặn thực thi PHP trong thư mục. Đã nói vậy, bảo vệ đăng nhập brute force chỉ hoạt động một số lúc. Điểm đen khác cho plugin.
Kết luận từ dùng iThemes là tính năng giá trị bảo mật chỉ là xác thực hai yếu tố và triển khai reCAPTCHA dễ dàng trên wp-login. Hai tính năng này không đáng hóa đơn 199 USD, vì plugin bảo mật tốt hơn cung cấp cùng tính năng, thêm bảo mật thực.
Test iThemes là trải nghiệm tồi vì không thể tưởng tượng số trang web tin rằng chúng được bảo vệ bởi bảo mật không tồn tại. Thực tế, người dùng iThemes, hãy quét trang web ngay.
Sucuri tóm tắt
Sucuri có tường lửa khá tốt và dịch vụ gỡ mã độc tuyệt vời, nhưng thất bại thảm hại như trình quét mã độc. Nếu bạn không biết trang web có mã độc, không cách nào gỡ. Đây là phần không thương lượng của plugin bảo mật.
Khi bắt đầu test Sucuri, chúng tôi kỳ vọng lớn. Nó là plugin bảo mật phổ biến cho WordPress, và chúng tôi sốc thấy trình quét không phát hiện mã độc trên trang test bị hack. Chúng tôi sẽ chi tiết sau, nhưng điều này định âm cho toàn bộ quy trình test.
Bên trên thất bại, quét mất thời gian dài và dùng tài nguyên máy chủ. Sucuri chính họ khuyên không quét quá nhiều vì tác động hiệu suất trang web. Đó là sự đánh đổi tệ giữa hiệu suất và bảo mật, và không nên như vậy.
Chuyển sang tường lửa và dịch vụ gỡ mã độc, Sucuri làm tốt. Tường lửa rất khó cấu hình, và mất thời gian vô lý. Nhưng nó chặn tấn công chúng tôi thử, và không khai thác được lỗ hổng.
Dịch vụ gỡ mã độc là điểm sáng trải nghiệm test. Dù trình quét cho trang hack kết quả sạch, chúng tôi biết nó đầy mã độc. Thứ nhất, chúng tôi đặt mã đó, và thứ hai quét MalCare xác nhận chẩn đoán. Đội Sucuri gỡ mọi dấu vết mã độc, trang web sạch sẽ. Tuyệt vời! Điểm thêm là yêu cầu gỡ mã độc không giới hạn trong gói, mức giá tốt.
Ngoài tường lửa, cài đặt rất khó hiểu. Chúng tôi thấy mình đau đầu với thuật ngữ chuyên môn, và đó là với chuyên môn WordPress. Giao diện không thân thiện, và chắc chắn nhiều người thấy nó gây hoang mang không cần. Trừ điểm cho Sucuri.
Tóm lại, chúng tôi không nghĩ Sucuri là giải pháp bảo mật tốt nhất cho WordPress. Danh hiệu đó thuộc MalCare, vì trình quét hoạt động mọi lúc. MalCare cũng được điểm cộng không làm chúng tôi cảm thấy ngốc.
Cách chọn plugin bảo mật đúng cho trang WordPress
Bảo mật trang WordPress không thể thương lượng. Mã độc gây thiệt hại không đếm cho doanh nghiệp: mất doanh thu, kiện tụng, chi phí dọn dẹp, tác động thương hiệu, mất lưu lượng tự nhiên và hơn nữa. Đầu tư plugin đúng cứu bạn khỏi hacker, mã độc, và vấn đề mã độc để lại.
Câu hỏi: làm sao chọn plugin bảo mật hiệu quả?
Khi thiết lập test, có vài yếu tố: bảo mật, tất nhiên, nhưng cũng dễ dùng và giá trị tiền. Tuy nhiên, chúng tôi sớm nhận ra mọi yếu tố trừ bảo mật trở nên vô nghĩa, vì hiệu quả plugin bảo mật nên là cân nhắc duy nhất.
Vậy đây là yếu tố chọn plugin bảo mật.
- Tính năng bảo mật thiết yếu
- Quét mã độc
- Dọn dẹp mã độc
- Tường lửa
- Tính năng bảo mật tốt để có
- Phát hiện lỗ hổng
- Bảo vệ đăng nhập brute force
- Nhật ký hoạt động
- Xác thực hai yếu tố
- Vấn đề tiềm ẩn
- Tác động tài nguyên máy chủ
Như bạn thấy, chỉ 3 yếu tố hoàn toàn thiết yếu. MalCare xuất sắc cả 3: quét và dọn dẹp mã độc plugin khác chắc chắn bỏ lỡ, và bảo vệ trang web khỏi lưu lượng độc hại với tường lửa mạnh. Hơn nữa, MalCare làm tốt hơn bất kỳ plugin bảo mật hiện có.
iThemes Security vs Sucuri: So sánh trực diện tính năng
Cách bố trí so sánh là lấy tính năng thiết yếu trước, sau đó thảo luận quan sát khác nảy sinh khi test. Thường, chúng tôi thấy tính năng và cài đặt gần như không làm gì (chúng tôi nói iThemes) mà vẫn vẽ ảo tưởng bảo mật phức tạp.
Lọc rác lấy gạo không dễ, nhưng chúng tôi trình bày dữ liệu rõ ràng và công bằng.
Nếu muốn bỏ qua phân tích này, khuyên cài MalCare.
Quét mã độc
Trình quét Sucuri không phát hiện mã độc nào trên trang web. Đánh giá bởi tốc độ xong, iThemes thậm chí không quét trang web tìm mã độc.
Phiên bản miễn phí và trả phí Sucuri đều có trình quét, chúng tôi quan tâm xem có thực hiện khác nhau. Phiên bản miễn phí dùng Sucuri SiteCheck, tiện ích trực tuyến quét phần công khai trang web tìm mã độc. Tất nhiên, hạn chế, nên kết quả sạch từ SiteCheck không bảo chứng trang web không mã độc.
Gói trả phí bao gồm trình quét cấp máy chủ (server-level scanner) cài trên máy chủ web. Hoặc tự cài thủ công, hoặc nhập chi tiết FTP vào bảng điều khiển Sucuri để cài tự động. Quy trình tương đối không đau đớn.
Trình quét chạy hàng ngày, nhưng bạn có thể quét theo yêu cầu—độ nào. Yêu cầu quét thêm vào hàng đợi và thực thi. Sucuri cảnh báo không quét quá nhiều vì quét dùng tài nguyên máy chủ.
Điều đó khiến ngừng, vì chúng tôi nhận ra Sucuri dùng tài nguyên trang web chạy quét. Với trang test, hao hụt không quá nặng vì trang nhỏ và không lưu lượng ngoài. Tuy nhiên, chắc chắn thấy nhịp CPU. Chi tiết sau.
Phiên bản pro cũng không phát hiện mã độc trên trang hack. Điều bất ngờ, vì MalCare xác định rõ mã độc. Vì vậy chúng tôi nêu yêu cầu gỡ thủ công. Khi yêu cầu được xử lý bởi đội Sucuri, trang sạch trên MalCare. Nhưng lúc đó trình quét Sucuri gắn cờ mã độc—sau khi đội đã dọn dẹp. Rất lạ.
May mắn, không mâu thuẫn với iThemes. Nó không quét mã độc, thuần túy. Trình quét iThemes chỉ kiểm tra trang web có trên danh sách đen Google. Đó là tất cả. Chúng tôi không ngạc nhiên thấy trang không trên danh sách đen, vì không được lập chỉ mục.
Dọn dẹp mã độc
Dọn dẹp mã độc không trong danh sách tính năng iThemes, nên rõ ràng không thể. Sucuri có gỡ mã độc không giới hạn trong gói trả phí. Tùy gói, trang web dọn dẹp trong 6 đến 30 giờ.
Dù kết quả quét Sucuri nói trang không mã độc, chúng tôi rõ ràng biết không. Mã độc khắp nơi: tệp và cơ sở dữ liệu. Cũng có đống backdoor. MalCare xác nhận trang test thực sự ngập mã độc.
Vì vậy nêu yêu cầu gỡ mã độc Sucuri, chỉ rõ nghi ngờ mã độc. Để nêu yêu cầu, điền biểu mẫu và cung cấp chi tiết FTP để dọn dẹp. Rồi chờ kết quả.
Ghi chú: Có dropdown thú vị trong biểu mẫu liệt kê triệu chứng tiềm năng. Cũng, để vui, phải chỉ trình độ kỹ thuật, chọn: "Không am hiểu, hãy giải thích rõ."
Tin tưởng Sucuri, đội gỡ mọi mã độc. Cũng, dù điều khoản nói 30 giờ, phản hồi dưới 10 giờ. Ngón tay cái lên lớn cho dịch vụ gỡ mã độc Sucuri.
Chúng tôi xác nhận MalCare mọi mã độc đã gỡ, và ngạc nhiên thấy trình quét Sucuri gắn cờ trang nhiễm—sau khi đội dọn dẹp. Đó là lạ.
Mặt khác, iThemes không gỡ mã độc, nên không gì test. May mắn, họ không khẳng định làm được.
Thẳng thắn, gỡ mã độc là phần khó nhất bảo mật WordPress, và thường đắt nhất. Gói trả phí Sucuri có gỡ không giới hạn, tuyệt vời vì nếu lỗ hổng không khắc phục, mã độc có thể tái diễn. Nếu phải tìm lỗi dịch vụ gỡ, sẽ là chờ đợi giải quyết. Với mã độc, chúng tôi thấy nhiễm tăng cấp số mũ trong thời gian ngắn, nên đáng lo.
Với MalCare, dùng auto-clean gỡ mã độc trong phút. Khi chờ Sucuri, nhận ra giá trị khổng lồ dọn dẹp nhanh cho trang web then chốt.
Tường lửa
Tường lửa Sucuri hoạt động, chặn tấn công phổ biến. iThemes không có tường lửa.
Tường lửa là thành phần then chốt bảo mật trang web, vì chặn lưu lượng độc hại và ngăn khai thác. Đến đây, bạn không ngạc nhiên iThemes không tường lửa. Tại sao có? Nó thất bại mọi mặt plugin bảo mật.
Sucuri, mặt khác, bảo vệ trang khỏi tấn công WordPress. Chúng tôi test chống lỗ hổng như tải tệp không giới hạn, XSS, và SQL injection. Tường lửa chặn mọi thử khai thác và tải mã độc. Không test tấn công phức tạp hơn, minh bạch.
Do đó tường lửa Sucuri hoạt động, nhưng cũng phải nói khó cấu hình đến mức nào. Cách tường lửa hoạt động là lớp giữa lưu lượng đến và trang web. Do đó mọi lưu lượng đánh trúng tường lửa Sucuri rồi chuyển hướng trang web.
Bạn tưởng tượng, cần cấu hình. Tên miền dùng cho trang web phải trỏ đến Sucuri trước, lưu lượng phân tích, rồi lưu lượng cho phép chuyển tiếp. Tuyệt vời, nhưng đau khổ cài tường lửa nếu không am hiểu nameserver và DNS config.
Tổng thể, tốt hơn nhiều là giải pháp bảo mật hoạt động out-of-the-box (ngay lập tức). Không cấu hình phức tạp bảo vệ trang web. Biết loại như MalCare.
Phát hiện lỗ hổng
Sucuri phát hiện hầu hết lỗ hổng trên trang, dù không phải tất cả. iThemes không tìm thấy.
Sau khi bật trình quét máy chủ, Sucuri phát hiện vài plugin dễ bị tổn thương. Không phát hiện tất cả, khuyến nghị chỉ cập nhật.
Thêm vào đó, có chế độ xem post-hack trên wp-admin liệt kê plugin và theme cài, phiên bản cài và mới nhất. Trong mô tả, Sucuri nhắc lỗ hổng gắn với bảo mật, và cập nhật mọi thứ là thói quen tốt. Không ai đến đó khi lướt plugin, nên không chắc vị trí hữu ích.
Là một phần yêu cầu gỡ mã độc, Sucuri cũng gửi tin nhắn khuyến nghị áp dụng biện pháp tăng cường và cập nhật (2 trong 3) plugin dễ bị tổn thương. Đây là checklist post-hack.
iThemes không gắn cờ lỗ hổng. Nó có bộ đếm dư thừa trên bảng điều khiển chỉ bao nhiêu cập nhật từ khi cài plugin. Làm sao thông tin này hữu ích, không hiểu.
Bảo vệ đăng nhập Brute Force
Sucuri hẳn chặn brute force và cảnh báo, nhưng không làm cả hai. iThemes thỉnh thoảng làm, thỉnh thoảng không. Khó nói tệ hơn.
iThemes ghi mỗi lần đăng nhập sai như tấn công brute force, thật đáng sợ cho người dùng. Trong một trường hợp, chúng tôi quên mật khẩu thật.
Khi thử brute force trang đăng nhập, thấy kết quả không đều. iThemes chặn thử trên 1 trang không phải cái kia. Chúng tôi tìm ra nguyên nhân khác biệt, nhưng khác biệt duy nhất là mã độc trên trang. Vì mã độc thường hậu quả brute force thành công, không nghĩ đây là lý do. Có lẽ bug làm tính năng hoạt động ngẫu nhiên. Hiệu quả, vô nghĩa.
Sucuri cho hy vọng, vì có tùy chọn chi tiết brute force. Có thể đặt số lần thất bại tính là brute force. Đặt 30 lần/giờ, dù tấn công đăng nhập thường vài trăm lần/phút.
Sau khi thấy cài đặt khóa, hơi lo bị khóa trang. Tắt MalCare, để bảo vệ đăng nhập MalCare không chặn. Tuy nhiên, không xảy ra gì. Thử 40+ đăng nhập sai trong 3 phút, Sucuri không cảnh báo. Kiểm tra audit log, xác thực thất bại hiện ra. Nhưng, không cảnh báo. Không khóa. Không gì.
Nhật ký hoạt động
iThemes có tính năng nhật ký hoạt động không hoàn chỉnh. Sucuri có cái tốt, nhưng có thể khó hiểu.
Sucuri có tính năng Audit Logs (Nhật ký kiểm toán), theo dõi hành động từ người dùng, plugin, theme. Tính năng hoạt động như mong đợi, tuy nhiên một cài đặt khiến ngừng. Cần API key để "ngăn hacker xóa log". Điều này ủy quyền Sucuri thu thập và lưu dữ liệu trang web ngoại tuyến, ổn, nhưng ngôn ngữ dùng giật gân. Chi tiết phần khả năng dùng.
Mặc dù log hoạt động như log, thu thập dấu thời gian, người dùng, hành động, chúng có thể khó hiểu. Ví dụ, cài plugin mới hiện plugin activated. Tốt. Và 7 mục log khác hiện cài đặt ảnh hưởng gì. Nhưng ít giải thích ý nghĩa. Có phải tệp hoặc thư mục thay đổi? Không, sau nhận ra plugin thư viện ảnh thay đổi mẫu bài đăng. Có lý, nhưng khám phá không từ Sucuri.
Nhật ký hoạt động là phần quan trọng bộ công cụ bảo mật. Hacker tận dụng log không đủ tấn công, nên bạn nên giữ log đáng tin cậy chia sẻ thông tin đúng.
Cơ bản, không như iThemes. Nhật ký này có thông tin hữu ích, như hoạt động người dùng, quản lý phiên bản, quét trang web, tấn công brute force. Không plugin hay theme. Có tính năng riêng email báo cáo thay đổi tệp hàng ngày. Tóm lại, log không đủ vì không vẽ bức tranh chính xác.
Xác thực hai yếu tố (2FA)
iThemes có 2FA tuyệt vời hoạt động out-of-the-box. Sucuri không.
Sau khi chê iThemes bài này và bài khác, vui báo đây là một trong tính năng bảo mật ít hoạt động trên iThemes—và hoạt động khá tốt.
Tính năng 2FA iThemes rất vững chắc. Nhiều tùy chỉnh, hoạt động mượt mà ngay. Plugin cũng giúp ép mật khẩu mạnh, chúng tôi ủng hộ mạnh mẽ.
Lo ngại duy nhất: gói pro iThemes có đống cài đặt gọi là vậy loại bỏ token đăng nhập khác; cụ thể đăng nhập không mật khẩu, thiết bị tin cậy, liên kết ma thuật. Các tùy chọn này làm mượt đăng nhập, nhưng bác bỏ mục đích 2FA: token đăng nhập bổ sung, thời gian thực. Giải pháp là không dùng tính năng đó.
Chúng tôi tìm 2FA khi test Sucuri. Tìm thấy tồn tại trên bảng điều khiển Sucuri. Tuy nhiên, vừa vui vừa bối rối nhận ra 2FA dành cho tài khoản Sucuri, không cho trang WordPress.
Sử dụng tài nguyên máy chủ
iThemes không hao tài nguyên máy chủ, vì nó không làm gì. Sucuri làm tê liệt hiệu suất trang web với quét.
Thú vị, mọi người không thường hỏi tài nguyên máy chủ trong bối cảnh bảo mật. Nhưng lý tưởng, bạn muốn trang web bảo vệ và không chậm rễ. Trình quét Sucuri làm vậy.
Quét Sucuri tuyên bố dùng tài nguyên máy chủ trang web thẳng thừng. Thực tế, họ khuyên không quét thường xuyên vì lý do đó. Thẳng thắn, tệ透顶. Tại sao ai phải chọn giữa hiệu suất và hóa đơn máy chủ hợp lý một bên và bảo mật bên kia? Không đùa. Có đợt tăng vọt tài nguyên ngay khi cài Sucuri, chạy quét thứ hai. Trên trang nhỏ khác biệt rõ rệt, trang lớn sẽ đáng kể hơn.
Thêm vào, trong Cài đặt Chung trên bảng điều khiển, có cài đặt Lưu trữ Dữ liệu (Data Storage) dường như Sucuri lưu nhiều dữ liệu (chủ yếu log) trên chính trang web. Có lẽ đó lý do cần API key, vì mặc định thư mục uploads công khai. Có tùy chọn đổi lưu trữ thư mục không công khai, nhưng nên là mặc định từ đầu.
iThemes không hao tài nguyên. Làm sao có, khi nó không làm gì?
Cảnh báo (Alerts)
iThemes không cảnh báo gì. Sucuri làm, nhưng cẩn thận cảnh báo nào nhận. Hộp thư có thể đầy trong vài giờ.
Sucuri cho thiết lập cảnh báo gửi người cụ thể, tùy chỉnh định dạng, và hơn nữa. Có thể thêm dải IP không gắn cờ cảnh báo. Cảnh báo cho mô tả đầy thuật ngữ. 'Classless inter-domain routing' là gì? Không muốn biết, chỉ muốn bảo vệ trang.
Đánh giá bởi cài đặt chi tiết cảnh báo, Sucuri nhận ra họ gửi quá nhiều cảnh báo. Có cài đặt cấu hình tối đa cảnh báo nhận trong giờ, lên tới 5 email. Vấn đề: 5 đầu là false positive, cái 6 không? Có miễn trừ—nhưng lại—tốt hơn thông tin thực tế vs tính năng vô dụng. Kết luận: quản trị không thấy rừng vì cây. Quá nhiều nhiễu.
Ngạc nhiên, vẫn xem iThemes, không bỏ cuộc. iThemes gửi báo cáo thay đổi tệp, sao lưu database, xác nhận cài đặt. Cũng đăng ký bản tóm tắt bảo mật hàng ngày, và báo cáo lỗ hổng hàng tuần, cho kiểm tra trang web. Đủ tệ một trang, nhiều trang sẽ mất kiểm soát.
Cài đặt, cấu hình, và khả năng sử dụng
Cài iThemes bất ngờ khó, vì tùy chọn cấu hình gây nhầm lẫn. Sucuri đơn giản, nhưng tùy chọn cấu hình trong plugin khủng khiếp.
iThemes plugin đầu test, nên ban đầu dễ. Nó cũng đặt tiêu chuẩn cài đặt vô dụng nhất. Bạn phải qua cấu hình để tạo bảng điều khiển bảo mật. Chúng tôi qua từng cài đặt, không cái nào tác động thực bảo mật, nên đặt ngẫu nhiên.
Sucuri cài không rắc rối, plugin tự thiết lập. Chúng tôi tạo tài khoản Sucuri truy cập tính năng trả phí. Cũng, để cài trình quét máy chủ, cần bảng điều khiển Sucuri bên ngoài. Không khó nếu FTP sẵn, dù không thấy ích vì không phát hiện mã độc.
Bảng điều khiển iThemes trên wp-admin là nhiễu. Không thông tin bảo mật liên quan.
Bảng điều khiển và cài đặt Sucuri điên rồ phức tạp. Chúng tôi mất giờ tìm hiểu thuật ngữ kỹ thuật. Trong vài trường hợp, plugin nói cài đặt khuyến nghị, người dùng làm theo đứa tin. Vấn đề: Sucuri không truyền cảm hứng đứa tin, vì trình quét không hoạt động!
Chúng tôi muốn plugin dễ hiểu. Trông phức tạp và làm nhiều việc, nhưng không chắc vì điều quan trọng như bảo vệ brute force không hoạt động.
Tường lửa và trình quét máy chủ phải bật riêng. Mất quá tuần làm hiểu plugin với 3 trang. Run sợ người xử lý nhiều hơn. Rất tẻ nhạt thiết lập.
Chúng tôi muốn nhắc cài đặt khó cho người không kỹ thuật. Chúng tôi không biết có phần mềm phân tích log. Cũng thấy thông điệp thú vị reverse proxy, Sucuri giúp đỡ đừng lo tùy chọn trừ khi biết nó là gì. Cảm ơn sự nhầm lẫn kèm thái độ đắc chí.
iThemes: Tính năng thêm
Có tính năng danh sách trắng phức tạp trên iThemes, bất ngờ cho đến khi nhận ra khiếu nại khóa trang web nhiều. Có hai vấn đề: IP thiết bị thay đổi, đưa IP vào danh sách trắng không phải bảo vệ như bạn nghĩ; hai, thử mọi cách kích hoạt khóa. Nhưng không xảy ra.
Giám sát thay đổi tệp là tính năng nghe hay, trừ khi biết bảo mật. Hacker có thể thay đổi dấu thời gian tệp, thậm chí làm trông như tệp không chỉnh sửa nhiều năm. Thêm vào, có danh sách loại trừ phần mở rộng tệp cho giám sát. Thẳng thắn, cho thấy thiếu hiểu mã độc. Mã độc giấu bất kỳ tệp nào, bao gồm .ico.
iThemes có hệ thống quản lý mật khẩu tốt. Ép mật khẩu mạnh và từ chối mật khẩu bị xâm phạm. Có thể đặt mật khẩu ứng dụng cho XML-RPC.
Cuối cùng, iThemes có tính năng tăng cường, hầu hết không khuyên. Chỉ cái có lý là chặn thực thi PHP trong thư mục uploads. Ngăn kiểu tấn công mã độc. Các cái khác, khuyên bỏ qua.
Sucuri: Tính năng thêm
Bảng điều khiển Sucuri trên wp-admin trông ấn tượng, nhưng ngay thấy infobox lớn nhất là WordPress Integrity (Toàn vẹn WordPress). Hy vọng chỉ gói miễn phí, vì về cơ bản là giám sát thay đổi tệp cho tệp core WordPress được trang trí.
Một số trường hợp, thấy hữu ích, vì nhiều mã độc vào tệp core. Ngược lại, cũng thấy nó có thể là sinecure vì người thiếu kinh nghiệm tin đó là hết mã độc, suy nghĩ sợ hãi. Thú vị, 2 trong 3 tệp toàn vẹn gắn cờ từ MalCare: emergency connector và firewall.
Sâu trong cài đặt, có tiện ích diff toàn vẹn so sánh tệp core tìm khác biệt. Có thể dễ hơn diffchecker trực tuyến.
Có nhiều tùy chọn tăng cường: một số hữu ích, cái không. Thích chặn PHP thư mục uploads, tường lửa, kích hoạt cập nhật khóa bí mật tự động, thay đổi salt WordPress.
Tuy nhiên, xác minh phiên bản WordPress, xóa phiên bản, tránh rò rỉ thông tin (xóa readme WordPress tái tạo), xác minh tài khoản admin mặc định là tính năng ngớ ngẩn tác động bảo mật vi mô. Thẳng thắn, ngành bảo mật đã chuyển sang từ thủ thuật này.
Nếu chọn tắt trình soạn thảo plugin và theme, cập nhật sẽ rắc rối. Bao gồm cảnh báo plugin/theme cần truy cập PHP thư mục này. Không đủ. Ví dụ: Sucuri tự lưu PHP thư mục uploads. Họ không muốn truy cập tệp từ bảng điều khiển bên ngoài? Hay ngoại lệ quy tắc? Trong trường hợp, quy tắc linh hoạt cách ẩn từ người dùng.
Chúng tôi quan tâm tính năng post-hack trên bảng điều khiển wp-admin. Sau dọn dẹp, muốn làm mọi thứ bảo vệ trang từ hack tương lai. Thích ý tưởng, cho đến khi nhìn sâu.
Có thể cập nhật khóa bí mật—thay đổi salt WordPress—từ bảng điều khiển. Vấn đề: hiển thị plaintext, nhìn thấy mọi admin đăng nhập wp-admin. Nếu hacker có tài khoản admin, cực kỳ nguy hiểm. Tính năng chỉ có lý nếu người dùng xác minh không tài khoản admin bị xâm phạm, rồi đổi salt. Điểm không nhắc đâu.
Có thể đặt lại mật khẩu người dùng. Tính năng hay cho đến khi đọc nhỏ: "Chọn người dùng từ danh sách đổi mật khẩu, kết thúc phiên, email link đặt lại. Lưu ý plugin đổi mật khẩu trước khi gửi email, nghĩa là nếu máy chủ không gửi email, người dùng bị khóa khỏi trang."
Có chỗ xem cập nhật plugin/theme, quản lý phiên bản cơ bản. Không thêm gì chức năng bảng điều khiển admin. Tuy nhiên, có thể giáo dục người rằng plugin/theme lỗi thời liên quan bảo mật.
Thiếu gì từ iThemes Security và Sucuri
iThemes không tường lửa, lỗ hổng nghiêm trọng bảo mật WordPress. Tường lửa bảo vệ trang khỏi kiểu tấn công, và vô giá nếu trang web có lỗ hổng.
Trình quét mã độc Sucuri không đủ. Vì vậy, dù dịch vụ gỡ mã độc tốt, bạn phải đoán trang web có mã độc vì trình quét không gắn cờ.
iThemes Security vs Sucuri: Giá cả
Gói Basic Platform Sucuri 199,99 USD/năm/trang là mức giá tốt cho gỡ mã độc không giới hạn. Tuy nhiên, xem nó hẳn có trình quét hoạt động, đó là tất cả đăng ký cho bạn. iThemes không đáng gì. Đừng bao giờ.
Chúng tôi đã làm rõ ý kiến iThemes trong bài. Tính năng đáng nhắc duy nhất iThemes là 2FA, có gói miễn phí. Chắc chắn không khuyên gói Pro.
Giá Sucuri ăn tiền cho dịch vụ gỡ mã độc, nhưng muỗi trong bình men là trình quét. Nếu không biết có mã độc, không thể nêu yêu cầu gỡ.
Lựa chọn tốt hơn iThemes Security và Sucuri: MalCare
Đầu tư plugin bảo mật tốt quét, dọn dẹp, bảo vệ trang web khỏi hacker. Trong tất cả plugin test cho chuỗi này, MalCare nổi bật lựa chọn tốt nhất. MalCare thắng iThemes về, nói chung, mọi thứ, và quét mã độc tốt hơn Sucuri.
Thực tế gói Basic 99 USD MalCare tốt hơn gói Basic Platform 199,99 USD Sucuri, với gỡ mã độc tức thì. Cũng bao gồm gỡ không giới hạn.
Kết luận
Bảo mật trang web quan trọng tối thượng. Chúng tôi thấy nhiều khách hàng chần chừ plugin bảo mật, chỉ đối mặt thiệt hại tàn khốc sau hack. Khách hàng bỏ cuộc, quyết định xây lại trang web từ đầu. Mã độc đắt, MalCare không đắt.
Bài viết giúp quyết định? Chúng tôi muốn biết! Hãy gửi cho chúng tôi một dòng.