Khi nói đến bảo mật WordPress, Sucuri là cái tên không thể bỏ qua. Đây là một trong những plugin bảo mật phổ biến nhất hiện nay. Các gói Pro cung cấp trình quét phía máy chủ, tường lửa và gỡ mã độc thủ công không giới hạn.
Jetpack là giải pháp tất cả trong một cho nhiều chức năng WordPress; điều không ngạc nhiên vì nó được xây dựng bởi Automattic. Việc chỉ cần một plugin thay cho nhiều plugin là một lựa chọn hấp dẫn, nên Jetpack luôn là đối thủ mạnh trong loạt bài kiểm tra plugin bảo mật của chúng tôi.
Nhưng nếu bỏ qua những tính năng phụ, plugin nào bảo vệ trang WordPress của bạn tốt hơn?
Chúng tôi đã kiểm tra 5 plugin bảo mật hàng đầu để tìm câu trả lời. Trong 45 ngày, chúng tôi đối đầu các plugin với mã độc, lỗ hổng, tấn công và nhiều hơn nữa. Hãy đọc tiếp để xem kết quả, và quan trọng nhất: lựa chọn của chúng tôi cho plugin bảo mật WordPress thực sự hiệu quả.
PHÁN QUYẾT: Sucuri vs Jetpack là một quyết định khó khăn vì cả hai đều thất bại theo những cách khác nhau. Cuối cùng, chúng tôi nghĩ Sucuri thắng nhẹ hơn Jetpack. Trình quét mã độc của Jetpack phát hiện được một phần mã độc, ngược với Sucuri không phát hiện được thứ gì. Nhưng dịch vụ gỡ mã độc của Sucuri làm tốt nhiệm vụ, trong khi Jetpack không có tùy chọn dọn dẹp nào. Thực sự, không cái nào đủ tốt, nên khuyến nghị của chúng tôi là MalCare.
Lựa chọn của chúng tôi
Chúng tôi thử nghiệm từng plugin trong top 5 trong 45 ngày. Sử dụng 3 trang web: 1) blog thông thường làm đối chứng; 2) blog có plugin dễ bị tấn công, và 3) trang web có mã độc trong file và database cấp độ boss.
Dưới bài viết có danh sách các yếu tố để xếp hạng plugin, nhưng tóm lại chúng tôi kiểm tra trình quét, trình dọn dẹp và tường lửa (nếu có) để ra kết quả.
Việc chọn plugin bảo mật bạn tin tưởng bảo vệ trang web khỏi hacker và mã độc là cực kỳ quan trọng. Plugin đó chính là MalCare.
Tóm tắt so sánh Sucuri vs Jetpack
Trong cuộc đua này, Sucuri dẫn trước Jetpack nhờ dịch vụ gỡ mã độc xuất sắc. Tuy nhiên, đây là chiến thắng rỗng tuếch vì trình quét của Sucuri là một trong những cái tệ nhất chúng tôi từng thấy.
Jetpack trong vài nét
Trình quét mã độc của Jetpack (gói trả phí) chỉ ở mức trung bình, phát hiện được một phần mã độc. Các tính năng bảo mật khác khá tốt nhưng không bù đắp được cho trình quét kém hay thiếu dọn dẹp mã độc và tường lửa. Tổng thể, Jetpack là một lựa chọn sai lầm.
Jetpack là plugin thứ hai chúng tôi test, ngay sau iThemes, và chúng tôi ấn tượng tốt vì nó ít nhất làm được gì đó. Rõ ràng, điều đó không làm nó trở thành plugin bảo mật tốt.
Điểm tích cực: nhật ký hoạt động của Jetpack rất tuyệt vời. Nhật ký hoạt động là công cụ quan trọng cho gỡ lỗi và bảo mật. Chúng tôi cũng thích bảng điều khiển bên ngoài trên WordPress.com, giao diện quen thuộc. Vì chúng tôi ủng hộ backup, nên thích tính năng backup của Jetpack.
Không lý do nào đủ để mua gói trả phí, vì Jetpack viết nhiều "séc" mà không đáp ứng được. Trình quét chỉ phát hiện ~30% mã độc. Bảo vệ brute forcemediocre. Chúng tôi thử tấn công trang đăng nhập, sau vài lần sai thấy captcha nhưng IP không bị chặn, cũng không nhận email cảnh báo. Khi kiểm tra log, tấn công được ghi nhận.
Jetpack chỉ phát hiện một số lỗ hổng. Trong 3 lỗ hổng chúng tôi cài, nó chỉ báo 2. Với web nhiều lỗ hổng hơn, tệ lệ sẽ tệ hơn nhiều.
Không plugin nào hoàn hảo, nhưng chúng tôi muốn plugin gần hoàn hảo nhất. Jetpack không phải plugin đó.
Sucuri trong vài nét
Sucuri nhận đánh giá trái chiều: tường lửa và gỡ mã độc làm tốt, nhưng trình quét không hoạt động chút nào. Quét mã độc phải 100%, không plugin bảo mật nào đáng giá nếu trình quét không chạy.
Sucuri là một trong những plugin bảo mật WordPress phổ biến nhất, nhưng lại thiếu hụt ở khâu quan trọng: quét mã độc. Nếu trình quét không chạy, bạn không bao giờ biết web bị nhiễm mã độc. Và nếu không biết, bạn không thể xử lý.
Về tường lửa và gỡ mã độc, Sucuri làm tốt. Tường lửa chặn hầu hết tấn công, dịch vụ gỡ mã độc hàng đầu. Có các tùy chọn cứng hóa hữu ích. Gỡ mã độc không giới hạn là thỏa thuận tốt so với các dịch vụ khác.
Mặt trái: cấu hình và cài đặt cực kỳ phiền toái, đặc biệt tường lửa. Chúng tôi संघ cài tường lửa mà không có domain registrar, quá trình令人沮丧. Quét bảo mật cũng tải tài nguyên server đến mức thấy rõ chênh lệch. May web dùng dedicated hosting, không thì shared hosting sẽ gửi email vi phạm ngay.
Bài học: với Sucuri bạn phải chọn giữa bảo mật và hiệu suất. Đó là sự thỏa hiệp tồi tệ. Tổng thể Sucuri vừa tốt vừa xấu, một mâu thuẫn. Chúng tôi không khuyến nghị mâu thuẫn làm biện pháp bảo mật.
Cách chọn plugin bảo mật WordPress đúng đắn
Trong bối cảnh đe dọa luôn thay đổi, plugin bảo mật là cách duy nhất bảo vệ web, dữ liệu, khách truy cập và kinh doanh. Hacker gây thiệt hại khổng lồ bằng mã độc, đánh cắp tiền, dữ liệu, danh tính. Plugin bảo mật là phần không thể thiếu trong bộ công cụ quản trị.
Tuy nhiên, chọn plugin đúng không đơn giản. Quá nhiều plugin, mỗi cái tự nhận mình tốt hơn cái kia. Làm sao chọn đúng?
Về bảo mật, chỉ có 3 tính năng cốt lõi: quét mã độc, dọn dẹp mã độc và tường lửa. Còn lại là thêm. Không nói brute force không quan trọng, nó quan trọng. Nhưng thiếu 3 cái cốt lõi thì các cái khác cũng vô nghĩa.
Khi đánh giá plugin bảo mật, hãy xem các yếu tố:
- Tính năng bảo mật cốt lõi
- Quét mã độc
- Dọn dẹp mã độc
- Tường lửa
- Tính năng bảo mật tốt nếu có
- Phát hiện lỗ hổng
- Bảo vệ brute force đăng nhập
- Nhật ký hoạt động
- Xác thực hai yếu tố
- Vấn đề tiềm ẩn
- Tác động đến tài nguyên server
Chỉ có MalCare sở hữu tất cả tính năng cần thiết bảo vệ WordPress. Các plugin khác đều thất bại ở một khâu nào đó, đặc biệt là 3 lĩnh vực cốt lõi.
Sucuri vs Jetpack: So sánh chi tiết tính năng
Để so sánh hữu ích, chúng tôi tổ chức theo tiêu chí trên. Đây là khía cạnh quan trọng nhất, nhưng cũng chia sẻ trải nghiệm khác như dễ cấu hình, giá trị tiền bạc, v.v.
Chúng tôi trình bày kết quả công khai, súc tích để bạn quyết định đúng cho bảo mật web. Tuy nhiên, nếu cần giải pháp bảo mật nhanh, hãy cài MalCare cho bảo mật WordPress vượt trội.
Quét mã độc
Cả SiteCheck lẫn trình quét cấp server của Sucuri không phát hiện mã độc. Trình quét của Jetpack phát hiện một phần mã độc.
Sucuri có 2 trình quét: SiteCheck và trình quét cấp server (cài từ bảng điều khiển Sucuri). Chúng tôi test cả hai vì thường khuyến nghị SiteCheck (miễn phí) làm chẩn đoán cấp 1. SiteCheck quét phần công khai của web, nên không thấy mã độc không có nghĩa là web sạch. Nhưng không cần cài đặt, tiện khi host treo web hoặc Google blacklist.
Chuyển sang trình quét cấp server (gói premium), cần cài lên server. Có thể cài thủ công hoặc nhập FTP từ bảng điều khiển. Sau khi cài, trình quét mất rất lâu để quét.
Khi quét xong, kết quả báo web sạch mã độc. Kết quả sai, vì web chúng tôi đầy mã độc cả file lẫn database. Chạy lại sau vài giờ, kết quả y hệt. Không mã độc trên web bị hack nặng.
Trình quét chạy 1 lần/ngày, có thể yêu cầu quét tùy ý. Yêu cầu vào hàng đợi. Sucuri cảnh báo không chạy quá nhiều quét vì quét tốn tài nguyên server. Đó... không tốt. Quét không nên ngốn tài nguyên web vì ảnh hưởng hiệu suất. Chúng tôi sẽ quay lại điểm này sau.
Jetpack có trình quét mã độc trong gói trả phí, và sau khi thấy Sucuri thất bại, chúng tôi ngạc nhiên Jetpack thực sự gắn cờ một phần mã độc.
Niềm vui ngắn ngủi, vì Jetpack không gắn cờ hết mã độc. Thực tế nó bỏ lỡ một lượng lớn. Vì vậy, phát hiện một phần cũng ngang bằng không phát hiện. Web vẫn bị hack. Để quét toàn diện, không cần tìm đâu xa hơn trình quét MalCare.
Dọn dẹp mã độc
Jetpack không có dọn dẹp mã độc. Sucuri có dịch vụ gỡ mã độc thủ công tuyệt vời, dọn sạch mã độc trong 12 giờ.
Chúng tôi cảm xúc đối lập với Sucuri: trong khi ấn tượng bởi dịch vụ dọn dẹp, trình quét lại cho web hacked "sạch". Dựa trên kết quả đó, lý thuyết chúng tôi không biết web có mã độc. Nhưng vì đây là test, chúng tôi yêu cầu dọn dẹp thủ công biết chắc web có mã độc.
Theo gói, dọn dẹp trong 30 giờ. Mặt ngoài, đó là thời gian dài nếu web bị hack. Nếu web bị Google blacklist, thời gian trôi là mất doanh thu. Tuy nhiên, chúng tôi nhận web sạch trong <10 giờ. Rất ấn tượng.
Để yêu cầu dọn dẹp từ Sucuri, điền form chi tiết, chỉ rõ kỹ năng kỹ thuật, cung cấp FTP, nhận web sạch. Chúng tôi kiểm tra web sạch bằng MalCare, sạch hoàn toàn. Tuyệt vời! Đội ngũ đưa checklist sau dọn, cảnh báo lỗ hổng, sẵn sàng đi.
Trừ một điều nhỏ: sau khi đội Sucuri gỡ mã độc, và MalCare xác nhận sạch, trình quét Sucuri lại báo web bị hack. Sau khi đã được dọn bởi đội của họ? Đừng hỏi.
Gói bảo mật Jetpack không bao gồm gỡ mã độc, dù nói có thể gỡ một số nhiễm trùng. Sau khi quét, thấy một số mã độc được gắn cờ, nhưng không cái nào sửa được. Thực tế, mọi trường hợp bị gắn cờ, Jetpack khuyên tìm dịch vụ gỡ mã độc.
Lo ngại của chúng tôi: Jetpack gắn cờ vị trí và code mã độc, dường như khuyến khích dọn dẹp thủ công. Điều không khôn ngoan. Web bị hack là địa mìn, mã độc có thể藏 ở khắp nơi. Dọn thủ công dễ sai, rủi ro làm hỏng web hoàn toàn.
Dịch vụ gỡ mã độc đắt đỏ, không bảo chứng web không bị hack lại. Chi phí tăng nhanh. Gói Sucuri có dọn dẹp không giới hạn, tốt. Vấn đề duy nhất: trình quét không cảnh báo hầu hết mã độc, bạn biết khi nào yêu cầu dọn?
Chúng tôi dùng MalCare quét và dọn web trong vài phút. Tự động dọn gỡ mã độc không cần FTP, không cần yêu cầu dọn. Nhẹ nhàng, liền mạch, gần như tức thì. Khó thắng được.
Tường lửa
Tường lửa Sucuri làm tốt việc chặn hầu hết tấn công phổ biến, nhưng cài đặt cực kỳ khó khăn. Jetpack không có tường lửa.
Sucuri có tường lửa trong gói bảo mật, cũng có gói tường lửa độc lập. Chúng tôi test hiệu quả tường lửa, thử cấu hình cho web.
Trước khi nói tường lửa chạy thế nào, phải nói trải nghiệm cài tường lửa Sucuri tệ đến đâu. Chúng tôi có gói premium, đã có web cấu hình tường lửa. Khi thử thay web test, Sucuri không chịu chạy.
Vấn đề: để dùng tường lửa, phải trỏ DNS web về nameserver của tường lửa. Tức là toàn bộ traffic sẽ đi qua tường lửa Sucuri rồi mới đến web. Nghe phức tạp thì thực sự cực kỳ phức tạp.
Dù sao, sau vài ngày cấu hình web test với lỗ hổng như upload file không giới hạn, XSS, SQL injection. Tường lửa chặn tất cả việc khai thác và upload file độc hại.
Thành thật, chúng tôi không test được tấn công phức tạp hơn trong khung thời gian. Tuy nhiên, mọi thứ ném vào tường lửa Sucuri đều bị chặn.
Tường lửa là phần không tách rời của bảo mật web. Chúng chặn mã độc bằng cách ngăn hacker khai thác lỗ hổng. Jetpack không có tường lửa, đó là lỗ hổng lớn trong plugin bảo mật của họ.
MalCare làm xuất sắc bảo vệ web khỏi các loại tấn công. Và dễ cấu hình không như Sucuri.
Phát hiện lỗ hổng
Cả Jetpack và Sucuri chỉ phát hiện một phần lỗ hổng trên web.
Sau khi cài trình quét server Sucuri, quét báo vài lỗ hổng. Trình quét không phát hiện những cái tối hơn, chỉ khuyên cập nhật plugin/theme cũ.
Thú vị, tab post-hack trên plugin Sucuri tại wp-admin liệt kê phiên bản plugin/theme cài đặt bên cạnh phiên bản mới nhất. Ở chữ nhỏ, Sucuri nhắc phần mềm cũ là nguy cơ bảo mật, thường dẫn đến nhiễm mã độc.
Đội Sucuri cũng gửi danh sách khuyến nghị cập nhật plugin/theme cũ để khắc phục lỗ hổng. Lại chỉ phát hiện một phần, không phải tất cả.
Trình quét Jetpack cũng gắt gỏng một số lỗ hổng, cho tùy chọn tự động sửa (cập nhật). Không có gì phân biệt Sucuri và Jetpack ở đây. Giao diện Jetpack dễ quản lý hơn, nhưng Sucuri phức tạp hơn nói chung.
Bảo vệ brute force đăng nhập
Jetpack thêm captcha vào trang đăng nhập sau nhiều lần sai, nhưng không chặn IP. Sucuri dường như không có tính năng bảo vệ đăng nhập hoạt động.
Jetpack có bảo vệ brute force trên gói miễn phí và trả phí. Khi chúng tôi brute force trang đăng nhập, thấy captcha số xuất hiện sau 10 lần sai. Log ghi tất cả lần sai sau 3 lần đầu là brute force.
Jetpack có tính năng whitelist IP phức tạp, chúng tôi tưởng sẽ bị khóa hoàn toàn. Nhưng không. Thử 50+ mật khẩu sai cho admin trong <1 phút, không xảy ra gì.
Thực sự, whitelist IP hơi "giật gân". IP thiết bị thay đổi, whitelist IP admin không đảm bảo chống khóa. Nhưng tính năng tồn tại thì phải chạy. Nó không chạy.
Chúng tôi nghĩ Sucuri sẽ tốt hơn Jetpack ở điểm này, vì có nhiều tùy chọn cấu hình cảnh báo brute force. Có thể đặt ngưỡng coi là tấn công. Ngưỡng không thực tế: có tùy chọn 30 lần sai/giờ là tấn công, thực tế brute force tấn công >100 request/phút. Thường nhiều request đến mức server không chịu nổi.
Tóm lại, Sucuri không cảnh báo tấn công đăng nhập. Tấn công xuất hiện trong audit log, nhưng không nhận cảnh báo.
Nhật ký hoạt động
Log của Jetpack tuyệt vời, theo dõi mọi hành động user và plugin. Audit log Sucuri cũng chạy nhưng có thể hoàn toàn khó hiểu.
Audit log Sucuri theo dõi hành động user, thay đổi plugin/theme. Mọi thay đổi file và bảng hiện lên log. Vậy là ổn. Có tùy chọn đặt API key ngăn attacker xóa log, bằng cách cho Sucuri lưu log offsite.
Log thu thập thông tin cần thiết: user, hành động, timestamp, v.v. Tuy nhiên, một số trường hợp rất khó hiểu. Ví dụ: cài plugin gallery. Log ghi 7 entry khác nhau cho plugin, tưởng 7 file thay đổi. Thực tế log thay đổi post template, nhưng từ log không hiểu ra được.
Jetpack có tính năng activity log tuyệt vời, có preview trên gói miễn phí. Log hiển thị hoạt động user, plugin, theme, cộng với cảnh báo thứ cần chú ý như mã độc hoặc lỗ hổng phát hiện.
Chú ý: dữ liệu activity log Jetpack chỉ giữ 30 ngày. Lý tưởng nên lưu lâu hơn nhiều để hữu ích.
Xác thực hai yếu tố
Cả hai plugin bảo mật đều không có xác thực hai yếu tố.
Không có gì nhiều nói ở mục này, vì cả Jetpack lẫn Sucuri không có 2FA cho web.
Tuy nhiên, khi test, chúng tôi tìm 2FA trên Sucuri. Có 2FA trên bảng điều khiển Sucuri, nhưng dành cho tài khoản Sucuri. Không phải web của bạn.
Sử dụng tài nguyên server
Cả hai plugin đều tiêu thụ tài nguyên server để quét. Trình quét Sucuri làm chậm web rõ rệt.
Chúng tôi cho Sucuri điểm trung thực, vì họ tuyên bố dùng tài nguyên server cho quét ngay trên bảng điều khiển. Ngoài ra thì tệ透.
Quét Sucuri làm tăng CPU server rõ rệt. Web test nhỏ; lớn nhất ~100MB. Nếu web WooCommerce hoặc database lớn, hiệu suất sẽ bị ảnh hưởng nghiêm trọng. Quét Sucuri cũng mất khá nhiều thời gian. Tác động kéo dài.
Ngoài CPU, trong Cài đặt Chung wp-admin, Sucuri dùng server web lưu dữ liệu. Dù dung lượng nhỏ, vẫn là dùng tài nguyên web.
Jetpack cũng ảnh hưởng tài nguyên server. Cho là không rõ rệt như Sucuri, nhưng vẫn không lý tưởng.
Thực sự, chúng tôi không ấn tượng trạng thái này. Không admin nào phải chọn giữa bảo mật và hiệu suất. Thiếu một trong hai đều ảnh hưởng doanh thu lớn, không nên là sự đánh đổi.
Cảnh báo
Cảnh báo Sucuri có thể làm đầy inbox trong 1 giờ, cần chắc chắn về thứ muốn được cảnh báo. Jetpack chỉ gửi cảnh báo về việc quan trọng.
Sucuri cho tùy chỉnh format cảnh báo, gửi cho hành động cụ thể, gửi cho người cụ thể, v.v. Cấu hình bỏ qua IP nhất định không kích hoạt cảnh báo.
Số lượng tùy chọn cảnh báo Sucuri khổng lồ. Chỉ cấu hình một lần rồi quên. Nhưng chính các tùy chọn đáng nhắc. Nếu số lượng chưa đủ đáng sợ, thuật ngữ kỹ thuật hoàn toàn gây phản cảm.
Cuối cùng, cảnh báo quá chi tiết không hữu ích. Admin nên dựa vào plugin bảo mật cảnh báo thứ cần xử lý, lọc bỏ nhiễu. Với Sucuri, chắc chắn có rủi ro bỏ lỡ tín hiệu giữa biển nhiễu.
Jetpack xử lý cảnh báo thanh lịch. Không triệu tùy chọn, plugin gửi cảnh báo thứ cần chú ý. Như lỗ hổng và mã độc.
Bên lề, chúng tôi test tính năng giám sát downtime Jetpack. Se cảnh báo nếu web down, nhưng không. Làm crash web vài cách, Jetpack không ghi nhận.
Dù downtime monitoring không phải tính năng bảo mật, nhưng chỉ số quan trọng cho web. Web down/crash thường chỉ hoạt động hacker hoặc mã độc. Tính năng downtime Jetpack không chạy.
Cài đặt, cấu hình, và khả năng sử dụng
Sucuri dễ lúc đầu, nhưng càng đi càng khó. Jetpack dễ cấu hình nhưng giao diện liên tục đẩy bạn nâng cấp.
Cài Jetpack rườm rà. Dù plugin cài xong, không cách nào tiến hành nếu không tạo bảng điều khiển WordPress.com. Nó làm bảng điều khiển bên ngoài, nên cần tài khoản. Chỉ hơi bối rối bị kéo qua lại giữa bảng điều khiển của mình và Jetpack mà không hiểu rõ khi nào, tại sao cần.
Cài Sucuri dễ, trình quét frontend chạy ngay. Để truy cập tính năng trả phí như tường lửa, trình quét server, cần tài khoản Sucuri. Tuy nhiên phiên bản miễn phí tự đủ.
Bảng điều khiển bên ngoài Jetpack thoải mái vì mô phỏng wp-admin. Tuy nhiên, hàng tá tính năng khóa tùy theo gói, trải nghiệm người dùng không tốt khi thấy "nâng cấp" khắp nơi. Chỉ số vô dụng từ góc độ bảo mật, tổng thể chúng tôi không say mê giao diện Jetpack.
Được nói vậy, chúng tôi thích giao diện Jetpack hơn Sucuri. Nếu mô tả Sucuri bằng một từ, từ đó là "sự nhầm lẫn". Quá nhiều thuật ngữ kỹ thuật trong cấu hình và cài đặt. Chúng tôi mất giờ để hiểu một số thuật ngữ. Mô tả không giúp ích, một số trường hợp còn khinh thường. Không hiểu ai nghĩ viết mô tả kiểu: "nếu bạn không hiểu cái này, tốt nhất đừng đụng" là ý kiến hay.
Cài tường lửa Sucuri là ác mộng. Có vẻ đơn giản nếu có quyền truy cập domain registrar, và kiến thức chơi với nameserver (cập nhật vài giờ). Web test không có domain, vì không muốn Google index hay người vô tình truy cập, nên đổi nameserver không đơn giản. Ai muốn cài tường lửa trên staging site sẽ thấy khó khăn nếu không có hỗ trợ kỹ thuật.
Jetpack: Tính năng bổ sung
Jetpack gom nhiều nhiệm vụ admin WordPress vào một plugin, nên có nhiều tính năng extra. Chúng tôi thích backup, vì backup siêu quan trọng cho mọi web. Ngoài ra, tài khoản WordPress.com quen thuộc, dù nếu nhiều web trên một tài khoản, chuyển qua lại quản lý phiền toái.
Sucuri: Tính năng bổ sung
Sucuri có hàng tá tính năng phụ trong plugin. Khác Jetpack cung cấp nhiều hơn bảo mật, Sucuri chỉ tập trung bảo mật. Chúng tôi đào sâu xem cái nào ảnh hưởng bảo mật.
Khi cài plugin, thứ đầu và lớn nhất thấy là hộp thông tin "WordPress integrity". Trông ấn tượng, nhưng thực chất là phiên bản đẹp mắt của trình giám sát thay đổi file core WordPress. Có ích gì có trình giám sát thay đổi file core, vì mã độc thường lây nhiễm file core. Tuy nhiên, độ nổi bật và vị trí gây hiểu lầm, theo chúng tôi. Giám sát thay đổi file không phải là hết bảo mật WordPress. Thực ra, nó thậm chí không phải là khởi đầu.
Có tiện ích diff toàn vẹn so sánh file core trên web với bản cài gốc. Dễ hơn dùng diffchecker online cho file core, nếu dọn mã độc thủ công.
Sucuri có nhiều tùy chọn cứng hóa WordPress. Một số hữu ích, số khác là thủ pháp cũ không còn hiệu quả bảo mật.
Ví dụ, chặn PHP trong thư mục uploads là ý tưởng tốt, và khả năng đổi WordPress salts dễ dàng từ bảng điều khiển. Nhưng không phải ủng hộ tuyệt đối. Sẽ an toàn hơn nếu tính năng trên bảng điều khiển Sucuri thay vì wp-admin. Nếu hacker truy cập backend, salt sẽ bị lộ vì hiển thị plaintext.
Như verify phiên bản WordPress, xóa phiên bản, tránh rò rỉ thông tin, verify tài khoản admin mặc định là tính năng bảo mật vô nghĩa. Chúng làm rất ít bảo vệ web cụ thể. Quên ngành bảo mật, hacker cũng bỏ qua các chiêu bài này.
Một số tính năng cứng hóa khiến chúng tôi băn khoăn. Nếu chọn tắt trình soạn thảo plugin/theme, làm sao cập nhật plugin/theme khi phát hiện lỗ hổng? Sucuri lưu file PHP trong thư mục uploads, cắt truy cập bên ngoài nghĩa là họ không truy cập file của mình. Có thể có quy tắc cho phép truy cập, nhưng không rõ ràng cho người dùng cuối.
Có tính năng quản lý mật khẩu, nhưng cảnh báo đi kèm khiến hầu hết người sợ không dám dùng: "Chọn user từ danh sách để đổi mật khẩu, kết thúc session và email link reset mật khẩu. Lưu ý plugin sẽ đổi mật khẩu trước khi gửi email, nghĩa là nếu web server không gửi được email, user sẽ bị khóa khỏi site."
Thiếu gì ở Jetpack và Sucuri
Vấn đề lớn nhất với Sucuri: trình quét mã độc không chạy. Chúng tôi mong đợi nó phát hiện một phần mã độc, vì Sucuri dùng rộng rãi. Nhưng nó không phát hiện cái gì! Vô gia cố theo chúng tôi.
Jetpack không có tường lửa cũng không dọn dẹp mã độc (tự động hay không). Nó làm nửa việc tìm mã độc đã có trên web, nhưng không gỡ nó cũng không bảo vệ. Không đáp ứng được yêu cầu bảo mật.
Sucuri vs Jetpack: Giá cả
Gói premium thấp nhất Sucuri $199.99/năm/web. Thỏa thuận tốt cho yêu cầu gỡ mã độc không giới hạn. Tường lửa cũng ổn, nhưng trình quét tệ. Không hoàn toàn giá trị cho tiền. Jetpack không phải plugin bảo mật tốt cho giá $300.
Nếu trả $300 cho plugin bảo mật, chúng tôi yêu cầu nhiều: trình quét mã độc chính xác, tường lửa và tùy chọn dọn dẹp. Jetpack không có cái nào. Nó giúp xác định một phần mã độc, phát hiện một phần lỗ hổng, bảo vệ brute force trung bình.
Gỡ mã độc không giới hạn là điểm lớn cho Sucuri. Thời gian phản hồi tốt, có checklist sau hack, dọn sạch mọi mã độc. Nhưng — và đây là lớn — trình quét mã độc thất bại hoàn toàn. Chúng tôi thất vọng nó không phát hiện chút mã độc nào. Và đội ngũ lại dọn sạch hết. Nếu Sucuri mang năng lượng dọn dẹp thủ công vào trình quét, nó sẽ thành plugin mạnh. Cho đến lúc đó, chưa thật sự.
Lựa chọn tốt hơn Jetpack và Sucuri: MalCare
Trong bài này, chúng tôi trình bày tất cả phát hiện từ test chuyên sâu. Cả Jetpack lẫn Sucuri không hiệu quả bảo vệ WordPress khỏi hacker và mã độc. Nếu bạn đọc đến đây, bạn biết bảo mật không thể thương lượng. Vì vậy, đầu tư plugin bảo mật vững chắc, tin cậy là đường đi.
Plugin bảo mật WordPress tốt nhất hiện nay là MalCare. MalCare có trình quét mã độc hàng đầu, dọn dẹp mã độc tự động, và tường lửa tiên tiến bảo vệ web khỏi tấn công.
Trong so sánh tính năng với các plugin khác, MalCare cũng kinh tế hơn đáng kể. So với $300 Jetpack, gói $150 MalCare là thỏa thuận tốt hơn cho nhiều tính năng hơn. Tương tự Sucuri, gói $99 MalCare tốt hơn nhiều so với gói Basic Platform $199.99.
Kết luận
Plugin bảo mật là phần không thể thiếu bộ công cụ quản trị. Là thứ nên yêu cầu can thiệp tối thiểu và chạy out-of-the-box. MalCare có bảo mật tốt nhất, không phiền toái nhũng thứ thừa đa số plugin khác mang lại. Đáng đầu tư để bảo vệ doanh thu khỏi hacker.
Bài viết có giúp ích? Gửi cho chúng tôi một dòng, chúng tôi rất muốn nghe từ bạn!