iThemes Security vs Wordfence: Đánh giá chuyên gia giúp bạn chọn plugin bảo mật WordPress tốt nhất

iThemes Security trông như một thương vụ hấp dẫn chỉ với $199 cho số lượng trang web không giới hạn, và nhờ mức giá không thể cạnh tranh, nó luôn là một đối thủ nặng ký trong cuộc đua plugin bảo mật WordPress.

Trong góc đối diện là Wordfence, "vô địch tuyệt đối" trong danh mục này. Wordfence nổi tiếng với bản miễn phí giàu tính năng, cũng như nghiên cứu và tài nguyên bảo mật của họ. Đối với phiên bản premium, mỗi trang web sẽ tốn bạn tối thiểu $99/năm; vẫn là một mức giá hợp lý.

Ngay ở giai đoạn này, thực tế không có sự so sánh thực sự giữa hai bên. Tuy nhiên, chúng tôi đã chạy cả hai qua một loạt bài kiểm tra khắt khe.

Trong loạt bài này, top 5 plugin bảo mật trải qua các "trận đấu thăng long" với mã độc, tấn công và lỗ hổng. Ai sẽ nổi lên như người chiến thắng? Đọc tiếp để tìm hiểu.

PHÁN QUYẾT iThemes Security vs Wordfence là một cuộc thi không công bằng. Plugin miễn phí của Wordfence tốt hơn gấp nhiều cấp so với phiên bản premium của iThemes Security. Wordfence có nhược điểm, nhưng ít nhất nó bảo vệ trang web ở mức độ nào đó. Còn iThemes thì không hề.

Tóm tắt so sánh iThemes Security vs Wordfence

iThemes Security vs Wordfence là một quyết định dễ dàng: Wordfence hoàn thắng.

Hãy xem bảo mật WordPress như một dải quang谱 giữa hai cực: một bên là không bảo vệ và cảm giác an toàn giả tạo, bên kia là báo động giả và cảnh báo khủng khiếp. iThemes Security cho bạn cảm giác an toàn giả tạo, còn Wordfence khiến bạn luôn trong trạng thái lo âu gần như liên tục.

Theo đánh giá của chúng tôi, cả hai đều không phải lựa chọn tốt. Tuy nhiên, Wordfence có phiên bản miễn phí xuất sắc bảo vệ trang web ở mức độ lớn, trong khi ngay cả phiên bản premium của iThemes Security cũng không làm gì để bảo vệ trang web. Lời khuyên: tránh cả hai cực đoan, hãy chọn một plugin bảo mật thực sự tốt.

iThemes Security trong cái vỏ hạt dẻ

iThemes Security là plugin bảo mật WordPress tồi tệ nhất chúng tôi từng thấy. Nó có vài tính năng tốt như xác thực hai yếu tố và hỗ trợ mật khẩu mạnh, nhưng chỉ có đó. Không có trình quét mã độc, không dọn dẹp được mã độc, và đừng nói đến tường lửa. Thực tế, nếu bạn đang dùng iThemes, hãy quét trang web ngay lập tức.

Thú vị: iThemes là plugin đầu tiên chúng tôi test. Trang web và quy trình cài đặt cho ấn tượng họ am hiểu bảo mật WordPress. Rất tiếc, không chút kiến thức nào đấy lọt vào plugin thực tế.

iThemes Security thực chất chỉ là trình quét danh sách đen (blacklist), vì không có cơ chế dọn dẹp mã độc. Trang web cũng không nói có tường lửa. Đây là vấn đề lớn, vì quét chỉ là một trụ cột của bảo mật WordPress chứ không phải tất cả. Tuy nhiên, bạn có thể ghép nhiều plugin lại nếu có một trình quét tốt từ đầu.

Vấn đề nằm ở chỗ: iThemes không phải trình quét mã độc. Nó không phải trình quét lỗ hổng. Nó chỉ quét danh sách đen của Google cho trang web của bạn — điều bạn có thể làm trực tiếp tại trang Báo cáo Minh bạch mà không cần cài plugin. Dấu hiệu rõ ràng nhất: quá trình quét chỉ mất vài giây. Không cách nào một trình quét có thể duyệt hết tất cả file/thư mục trong tích tắc.

Bảo vệ brute force cho trang đăng nhập không ổn định, nhật ký hoạt động vô nghĩa. Chi tiết sau.

Mặt tích cực: iThemes có xác thực hai yếu tố (2FA) xuất sắc. Chúng tôi cũng thích việc triển khai reCAPTCHA trên wp-login dễ dàng. Cài đặt quản lý mật khẩu người dùng rất chi tiết và tinh vi. Ngoài ra, có vài tính năng cứng hóa (hardening) WordPress不错, như chặn thực thi PHP trong thư mục uploads.

Tóm lại, test iThemes Security là trải nghiệm "khai dân trí". Chúng tôi coi trọng bảo mật, và sốc trước việc ngôn từ khéo léo và tập tính năng gây hiểu lầm có thể lừa admin nghĩ trang web mình được bảo vệ. Chúng tôi mạnh mẽ khuyên người dùng iThemes suy nghĩ lại chiến lược bảo mật và quét trang web ngay.

Wordfence trong cái vỏ hạt dẻ

Wordfence là plugin bảo mật miễn phí tốt nhất chúng tôi gặp sau MalCare. Chúng tôi khuyến nghị mạnh mẽ cho các trang web không ngân sách cho bảo mật. Tường lửa chặn hầu hết tấn công, trình quét phát hiện hầu hết mã độc dựa trên file, và tính năng sửa chữa mã độc giúp loại bỏ hầu hết chúng. Nhược điểm: nhiều báo động giả, bỏ sót một ít mã độc, và dịch vụ dọn dẹp khẩn cấp đắt đỏ.

Chúng tôi mong chờ test Wordfence, vì đây là plugin bảo mật phổ biến nhất. Sau những trải nghiệm kinh hoàng (đọc: iThemes), thật tuyệt vời nếu thấy plugin này xử lý bảo mật WordPress ra sao.

Chúng tôi sẽ đi sâu vào các khía cạnh bảo mật chính sau. Trước hết, nói về các khía cạnh cốt lõi.

Wordfence có trình quét khá tốt, phát hiện hết mã độc dựa trên file trong plugin/theme miễn phí của chúng tôi. Nhưng có những giới hạn lớn về hiệu quả. Trình quét không phát hiện được mã độc trong database, cũng như mã độc trong plugin/theme premium. Ngoài ra, chạy quét tốn khá nhiều tài nguyên trang web.

Tiếp theo, chúng tôi thử sửa chữa mã độc tự động. Vui thay, nó sửa được hầu hết mã độc dựa trên file gần như ngay lập tức; nhưng không sửa được mã độc trong database. Coi như đây không phải hiệu suất tốt cho một công cụ dọn dẹp, nhưng nó rõ ràng tốt hơn các plugin khác trong loạt test này, nên chúng tôi thực sự vui thấy sự khác biệt.

Tường lửa khá hiệu quả, chặn hầu hết các tấn công WordPress phổ biến. Một phiền toái: tường lửa tạo ra quá nhiều cảnh báo. Chúng ta có thực sự cần biết ai đó từ Đức thử hack web 20 lần trong 5 phút qua 20 thông báo riêng biệt? Không. Hộp thư của chúng tôi bị "ngập" cảnh báo Wordfence sau vài ngày, không thể phân biệt đâu quan trọng đâu không. Ngoài ra, người dùng miễn phí nhận cập nhật tường lửa muộn hơn premium, tạo ra cửa sổ cơ hội cho hacker xâm nhập.

Có khá nhiều tính năng bảo mật khác. Wordfence chạy "tinh gọn", để các chức năng khác như cập nhật plugin khi phát hiện lỗ hổng cho wp-admin. Điều này hợp lý, vì sao phải lặp lại chức năng đã có trên cùng bảng điều khiển? Nó có bảo vệ brute force khá tốt, và 2FA mạnh mẽ.

Chúng tôi bị cuốn hút bởi khả năng sử dụng tuyệt vời của plugin. Ngôn ngữ tiếp cận, trực quan, không dùng thuật ngữ chuyên môn quá mức. Các tính năng nâng cao dành cho power user được gói gọn trong cài đặt.

Tuy nhiên, chúng tôi ngạc nhiên khi thấy không có nhật ký hoạt động (activity log) thực sự, trừ một danh sách khó đọc dành cho developer Wordfence. Cũng không có bảo vệ bot cho trang web. Và quan trọng nhất: plugin tiêu tốn một lượng tài nguyên máy chủ khổng lồ. Đến mức nhiều nhà cung cấp hosting cấm hoàn toàn sử dụng Wordfence.

Tóm lại, Wordfence là một plugin bảo mật xuất sắc, nhưng không phải tốt nhất cho trang web của bạn. MalCare là lựa chọn đúng đắn với trình quét siêu cấp, dọn dẹp mã độc hiệu quả, và tường lửa nâng cao với cập nhật thời gian thực.

Cần tìm gì trong một plugin bảo mật

Bảo mật WordPress có thể là một "quái thú" khó xử, nhất là với lượng thông tin sai lệch trực tuyến. Một điều chắc chắn: hacker có thể khiến bạn mất doanh thu, nghiệp vụ, kiện tụng, chi phí thực tế, thương hiệu, traffic tự nhiên và hơn thế nữa. Plugin bảo mật đúng đắn sẽ chống lại tất cả đó, ngoài ra còn tiết kiệm thời gian và tiền bạc để bạn đầu tư vào mảng khác.

Chúng tôi thường gặp câu hỏi: làm sao chọn plugin bảo mật đúng cho WordPress?

Câu trả lời thường là một danh sách tính năng dài như sườn dưa. Một số quan trọng, số thì không. Nhưng mọi plugin đều muốn bán cho bạn 100+ tính năng, hầu hết ít hoặc không ảnh hưởng đến bảo mật. Danh sách đó làm rối vấn đề đủ lâu để bảo mật WordPress lại thành "đau đầu".

Vì vậy, chúng tôi biên soạn danh sách thiết yếu — và ngắn gọn! — các tính năng bảo mật. Bạn nên tìm plugin đáp ứng được hầu hết mục dưới đây, và tìm giải pháp riêng cho những gì nó thiếu.

• Tính năng bảo mật thiết yếu
  • Quét mã độc (Malware scanning)
  • Dọn dẹp mã độc (Malware cleaning)
  • Tường lửa (Firewall)
• Tính năng tốt nếu có
  • Phát hiện lỗ hổng (Vulnerability detection)
  • Bảo vệ brute force đăng nhập
  • Nhật ký hoạt động (Activity log)
  • Xác thực hai yếu tố (2FA)
• Vấn đề tiềm ẩn
  • Tác động đến tài nguyên máy chủ (Server resource impact)

Plugin duy nhất đáp ứng gần như tất cả các ô trên là MalCare. Bằng cách chọn MalCare, bạn đảm bảo trang web nhận được bảo mật tốt nhất trước hacker và mã độc của họ.

iThemes Security vs Wordfence: So sánh trực diện các tính năng

Phần này chi tiết hóa phát hiện của chúng tôi nếu bạn quan tâm đến một tính năng cụ thể. Sau 45 ngày test, chúng tôi có lượng thông tin khổng lồ. Tất cả được凝聚 ở đây cho bạn.

Các tính năng được sắp xếp từ quan trọng nhất đến ít quan trọng hơn, và chúng tôi đánh giá cả hai plugin trên mỗi yếu tố. Mục tiêu: trình bày mọi thứ công bằng nhất có thể, không giữ lại gì.

Nếu bạn muốn 직达重点, chỉ cần cài MalCare và bạn sẽ không phải nghe về những "khoảnh khắc kinh hoàng" chúng tôi phát hiện.

Quét mã độc (Malware Scanning)

Trình quét Wordfence phát hiện mã độc dựa trên file trên trang web thử nghiệm, nhưng không phát hiện mã độc trong database. Nó cũng bỏ sót mã độc trong plugin/theme premium. iThemes Security không quét trang web từ đầu, nên rõ ràng không tìm thấy mã độc nào.

Sau khi cài Wordfence, nó tự động thiết lập lần quét đầu. Tốt lắm. Để quét chạy và khám phá tính năng khác vài giờ. Chỉ thấy nó卡 ở 60%. Trang web khá nhỏ, sao lại thế?

Rốt cuộc, 60% không phải thanh tiến độ, mà là phần trăm hiệu quả của trình quét miễn phí. Để đạt 100%, bạn cần nâng cấp lên pro. Được thôi, nhưng cách hiển thị trên bảng điều khiển rất gây nhầm lẫn.

Chạy lại quét, vui thấy nó xong nhanh. Trình quét gắn cờ hầu hết mã độc, dù không phải tất cả. Mã độc dễ phát hiện nhất nằm trong file core WordPress, và file/thư mục của plugin/theme miễn phí. Nó bỏ sót mã độc chuyển hướng trong database, và các file trong plugin/theme premium.

Chúng tôi "ném" rất nhiều mã độc dựa trên file vào Wordfence, nó phát hiện gần như tất cả. Cơ sở dữ liệu chữ ký mã độc rộng lớn cho thuật toán so khớp chữ ký, nên chúng tôi dự kiến nó phát hiện được 70-80% mã độc. Không tốt bằng 95% của MalCare, nhưng tốt hơn hẳn so với các plugin bảo mật khác. Phát hiện畢竟是 một nửa cuộc chiến.

Nhược điểm của Wordfence: quá nhiều cảnh báo và báo động giả cao. Cả hai yếu tố này làm giảm tác động của cảnh báo theo thời gian, và nguy hiểm là một cảnh báo thật có thể lọt lỡ. Ngoài ra, quét tốn nhiều tài nguyên máy chủ. Sẽ nói kỹ hơn ở phần sau.

Trình quét iThemes không quét mã độc nào cả. Nó chỉ kiểm tra xem trang web có trong danh sách đen không, và chỉ một danh sách đen — Google. Sucuri cũng có kiểm tra này, nhưng họ có sự nhân đức: (1) không gán nhãn nó là "trình quét", (2) kiểm tra nhiều hơn chỉ danh sách đen của Google. Trang web thử nghiệm của chúng tôi rõ ràng không trong danh sách đen vì chưa được index. Vậy khi báo cáo quét iThemes cho "sạch" cho trang web đầy mã độc? Không ấn tượng chút nào.

Dọn dẹp mã độc (Malware Cleaning)

iThemes Security không có dọn dẹp mã độc, tự động hay thủ công. Wordfence có thể sửa chữa file mã độc, nhưng hiệu quả phụ thuộc vào mã độc được phát hiện. Wordfence có dịch vụ dọn dẹp premium giá $490/trang web.

Sau khi quét xong, Wordfence liệt kê 2 tùy chọn xử lý file bị hack — ngoài CTA nhờ chuyên gia: xóa tất cả file có thể xóa, và sửa chữa tất cả file có thể sửa.

Tùy chọn xóa thành công xóa 1 file không lỗi, sau khi hiển thị cảnh báo đáng sợ về việc xóa file có thể làm hỏng web. Thật vậy, nhưng mã độc cũng đáng sợ! Chuyển sang tùy chọn sửa chữa. Cảnh báo tương tự, nhưng chúng tôi tiếp tục và nó sửa được hầu hết file. Khi quét lại bằng MalCare, trang web sạch mã độc.

Hầu hết plugin khác thất bại ở đây, nên chúng tôi không test thêm. Đã có kết quả. Tuy nhiên, cơ sở dữ liệu chữ ký mã độc của Wordfence toàn diện, nên chúng tôi mở rộng phạm vi test.

Thêm mã độc chuyển hướng hack vào database, thêm vài trường hợp hack từ khóa tiếng Nhật. Cũng giấu mã độc trong plugin/theme premium, nghi ngờ đây sẽ khiến trình quét/dọn dẹp sa lưới. Và đúng vậy.

Kết luận: nếu team Wordfence đã "thấy" mã độc đó, sửa file sẽ hiệu quả. Nếu không thì không. Wordfence cũng thất bại khi có mã độc trong database. Vì vậy mã độc như hack chuyển hướng hoặc mã độc mới chắc chắn bị bỏ sót. Nó cũng bỏ sót mã độc trong file non-core hoặc plugin/theme không công khai.

Nếu sửa tự động không được, bạn có thể thuê dịch vụ dọn dẹp của Wordfence. Dịch vụ này xóa mã độc, backdoor, đánh giá lỗ hổng. Wordfence cũng hỗ trợ gỡ blacklist. Dọn dẹp được bảo hành 1 năm, chỉ nếu admin tuân thủ hướng dẫn sau hack chính xác. Chúng tôi không đánh giá hiệu quả dịch vụ này vì không thử.

Như đã nói, iThemes không thể dọn dẹp mã độc, không có gì thêm.

Theo kinh nghiệm, dọn dẹp mã độc là khía cạnh quan trọng nhất của bảo mật WordPress. Chỉ nên do chuyên gia làm, vì rủi ro sai sót rất lớn. MalCare cho bạn tùy chọn dọn dẹp tự động, và tiếp cận chuyên gia bảo mật hỗ trợ mọi vấn đề nảy sinh.

Tường lửa (Firewall)

iThemes Security không có tường lửa. Wordfence có tường lửa ứng dụng web (WAF) bảo vệ hiệu quả khỏi hầu hết mối đe dọa phổ biến. Nhưng phiên bản miễn phí nhận cập nhật muộn hơn premium.

Tường lửa WordPress là phần quan trọng trong vũ khí bảo mật, chặn tấn công và traffic độc hại bằng quy tắc. Trong hầu hết plugin chúng tôi review, chúng tôi tránh giải thích chi tiết kỹ thuật, vì không cần — tường lửa hoặc tồi hoặc không có. Nhưng với Wordfence, mọi thứ phức tạp hơn.

Khi cài Wordfence, tường lửa vào ngay "chế độ học习" (learning mode). Bước bắt buộc để tường lửa hiểu traffic bình thường của trang web, từ đó chặn mối đe dọa hiệu quả hơn. Vì trang web test không có traffic, chúng tôi tắt learning mode ngay, dù khuyến nghị bật ít nhất một tuần.

Có mục riêng quản lý tường lửa Wordfence. Lần đầu xem, nó giải thích tường lửa là gì, làm gì để bảo vệ web. Cũng giới thiệu thuật ngữ "tường lửa ứng dụng web" với mô tả ngắn.

Sau khi test cả tường lửa miễn phí và premium, rõ ràng Wordfence có tường lửa xuất sắc ở cả hai phiên bản. Cả hai chặn được loạt tấn công SQL injection, CSRF, remote code injection, XSS. Chúng tôi không thể khai thác lỗ hổng plugin/theme.

Lúc đó chúng tôi tự hỏi: khác biệt giữa miễn phí và premium là gì?

Trong tùy chọn tường lửa, Wordfence giải thích: phiên bản miễn phí load như plugin thông thường, sau khi WordPress đã load xong. Premium nhận cập nhật quy tắc thời gian thực, miễn phí nhận sau một khoảng thời gian không xác định.

Cả hai điều này khiến chúng tôi ngại.

Thứ nhất, tường lửa nên load đầu tiên để bảo vệ tốt nhất, tuy nhiên hầu hết plugin có tường lửa thường load sau WordPress như plugin thông thường. Nếu vậy, tường lửa Wordfence chặn được hầu hết traffic độc hại, nhưng chắc chắn không phải tất cả.

Thứ hai, Wordfence có tường lửa cập nhật nhất, nhưng người dùng không premium nhận cập nhật muộn. Cửa sổ đó đã là vấn đề, vì hacker có thể tấn công trong lúc đó. Firewall miễn phí cập nhật quy tắc khi nào: vài ngày, tuần, hay tháng? Ai biết.

Không ngạc nhiên, iThemes không có tường lửa.

Phát hiện lỗ hổng (Vulnerability Detection)

iThemes Security không thể phát hiện lỗ hổng, huống chi giúp giải quyết. Wordfence phát hiện hết các lỗ hổng chúng tôi "nhồi" vào trang web, bất kể phổ biến hay hiếm gặp.

Wordfence gắn cờ chính xác tất cả plugin lỗi thời có lỗ hổng đã biết là "nguy hiểm". Chúng tôi bao gồm cả plugin hiếm, một số dưới 200 người dùng. Các plugin khác không phát hiện được những lỗ hổng đó, nên thấy Wordfence làm được rất mới mẻ. Trình quét còn gắn cờ plugin lỗi thời là "trung bình", rất tốt vì luôn nên cập nhật mọi thứ.

Bạn không thể sửa lỗ hổng trực tiếp từ bảng điều khiển Wordfence. Hầu hết plugin khác (Jetpack, Sucuri) khuyến nghị cập nhật và cho thực hiện ngay trên cùng panel. Nhưng xem quanh Wordfence, không có cách nào làm điều đó. Nó chỉ dẫn bạn đến trang cập nhật wp-admin, điều đó đủ tốt. Không có lý do gì để lặp lại chức năng đã có trên wp-admin.

Thú vị: trình quét còn báo lỗi với plugin iThemes và BackupBuddy chúng tôi cài trên một trang test. Có vẻ như các bất thường mã hóa trong các plugin đó.

Chúng tôi hy vọng trình quét iThemes ít nhất kiểm tra lỗ hổng, xem ra thất bại hoàn toàn như trình quét mã độc. Đúng, không.

Bên cạnh đó, bảng điều khiển iThemes có bộ đếm cho biết số lượng cập nhật đã thực hiện kể từ khi cài plugin. Chúng tôi tưởng tượng thước đo kém cỏi này nhằm giúp theo dõi cập nhật plugin/theme. Thực tế thì không.

Bảo vệ brute force đăng nhập

iThemes đôi khi chặn brute force, đôi khi không. Wordfence chặn tất cả tấn công brute force chính xác tuyệt đối.

Với iThemes, chúng tôi thấy chặn brute force không nhất quán. Khi thử nhập sai liên tiếp trên trang đăng nhập, iThemes chỉ chặn trên 1 trang mà không chặn trang kia. Sự khác biệt duy nhất: trang đầu có mã độc, trang sau không. Mã độc thường là kết quả của tấn công đăng nhập thành công, nên sự khác biệt này không likely là nguyên nhân. Sau vài giờ test lặp lại, kết quả không xác định. Chúng tôi bỏ cuộc tìm hiểu cái vẻ như là bug.

Sau bài tập chán nản đó, kiểm tra log iThemes. Mỗi lần đăng nhập sai được ghi nhận là brute force, kể cả khi chúng tôi thật sự quên mật khẩu. Và plugin vẫn không chặn tất cả. Rất lạ và do đó không tin cậy.

Với Wordfence, xem cài đặt trước. Bảo vệ brute force bật mặc định, vào mục tường lửa để tùy chỉnh.

Bạn có thể thiết lập khóa tài khoản sau số lần đăng nhập sai, và thời gian khóa. Đặc biệt hay: họ giải thích chi tiết từng tùy chọn trong tài liệu, và cách dùng hiệu quả nhất để bảo vệ web.

Có thể whitelist IP không bị tường lửa kiểm tra. Đã thấy tính năng này nhiều plugin, nhưng với IP thiết bị thay đổi thường xuyên, nó không quá hợp lý.

Tùy chọn mật khẩu mạnh cũng ở đây. Buộc mật khẩu mạnh, ngăn dùng mật khẩu xuất hiện trong data breach, và hơn nữa.

Cuối cùng test, bảo vệ brute force hoạt động chính xác theo cài đặt chúng tôi chọn. Hoàn hảo mỗi lần.

Nhật ký hoạt động (Activity Log)

Nhật ký hoạt động iThemes không ghi lại tất cả sự kiện, nên vô nghĩa. Wordfence không có nhật ký hoạt động nào.

Chúng tôi là người ủng hộ nhiệt thành nhật ký hoạt động đơn giản. Nó là công cụ bảo mật cần thiết vì hacker lợi dụng việc ghi log thiếu hụt để tấn công. Lý tưởng là log tin cậy với thông tin chính xác về hoạt động trang web.

Không như cái của iThemes. Log iThemes hứa hẹn thông tin tốt: hoạt động user, quản lý phiên bản, quét web, brute force. Nhưng không ghi chính xác, không thể tin cậy để tranh biện đúng. Ngoài ra, không có gì về plugin/theme.

Wordfence, bất ngờ, không có activity log. Có tùy chọn bật debug từ mục Diagnostics dưới Tools, cho log tường lửa chi tiết hơn. Có log hoạt động đầy đủ cho sự kiện Wordfence chỉ trong mục Scan, nhưng đó không phải activity log. Hơn nữa, đó là log thô chỉ dành cho developer Wordfence. Bật chế độ debug cũng tiêu tốn thêm tài nguyên máy chủ. Rõ ràng nêu trong mục đó.

Xác thực hai yếu tố (Two-Factor Authentication)

iThemes có 2FA xuất sắc, hoạt động mượt mà ngay lập tức. Wordfence cũng vậy.

2FA hoạt động hoàn hảo trên cả hai plugin. Cả hai đều có bộ tùy chọn tốt, thiết lập tối thiểu. Với Wordfence, 2FA từng là tính năng premium, hiện đã mở cho user miễn phí.

Chỉ có một quan sát nhỏ với iThemes pro. Nhiều cài đặt xóa token đăng nhập trong phiên bản pro: đăng nhập không mật khẩu, thiết bị tin cậy, magic link, v.theo ý kiến chúng tôi, những thứ này trực tiếp đối lập nguyên tắc 2FA bằng cách làm quy trình đăng nhập dễ dàng hơn.

Sử dụng tài nguyên máy chủ (Server Resource Usage)

iThemes rất "nhẹ nhàng" với tài nguyên máy chủ, vì nó không làm gì cả. Wordfence thực sự bị cấm bởi một số nhà cung cấp hosting vì chi phí tài nguyên khổng lồ.

Chúng tôi khá hào hứng test Wordfence. Ngạc nhiên thực sự khi kiểm tra hiệu suất web. Quét làm gấp đôi, thậm chí gấp ba dung lượng disk khi quét Wordfence diễn ra. Chúng tôi thừa nhận trang web test rất nhỏ, nên ban đầu không tiêu thụ nhiều tài nguyên, nhưng đây là nhảy vọt đáng kể. Trên trang web lớn, hình phạt sẽ lớn hơn nhiều.

Thực tế, bất kỳ thay đổi cài đặt mặc định nào đều kèm cảnh báo sẽ tiêu thụ thêm tài nguyên máy chủ. An toàn khi giả định Wordfence dùng tài nguyên trang web để thực hiện mọi tác vụ.

Đã đủ tệ, nhưng sẽ tệ hơn với tường lửa. Bất kỳ tấn công kéo dài nào sẽ làm choáng váng trang web ngay cả khi nó được bảo vệ chống lại các exploit đó.

Sử dụng tài nguyên máy chủ hiếm khi được nhắc đến trong bảo mật web, nhưng thường plugin bảo mật gây tác động đáng kể đến hiệu suất. Đến mức admin phải đánh đổi giữa bảo mật và khả năng sử dụng. Chúng tôi không nghĩ điều đó nên xảy ra, và bạn có thể "cả có béo vừa có ngon" với MalCare.

iThemes tốt cho tài nguyên máy chủ. Không thể nói vậy cho bảo mật trang web.

Cảnh báo (Alerts)

iThemes không gửi bất kỳ cảnh báo nào. Wordfence gửi quá nhiều.

Cảnh báo cần đạt điểm cân bằng giữa không có và quá nhiều. Cả hai cực đoan đều tồi tệ, vì kết quả là bạn không biết thực trạng bảo mật trang web ra sao.

Trình quét Wordfence tạo ra nhiều false positive, nên bạn không biết khi nào web thực sự bị hack. Sau một thời điểm, nó giống như "cậu bé nói dối sói". Tương tự với tường lửa. Tường lửa nên chặn tấn công mà không cần báo động mỗi lần, vì không phục vụ mục đích. Ý kiến của chúng tôi: Wordfence tạo quá nhiều báo động đến mức không còn hữu ích.

iThemes gửi đống email vô nghĩa, vô bổ: báo cáo thay đổi file, backup database, xác nhận cài đặt. Cũng có bản tóm tắt bảo mật hàng ngày, và báo cáo lỗ hổng hàng tuần. Chúng tôi tưởng tượng đây để admin biết, từ đó tự cập nhật plugin/theme lỗi trên một hoặc nhiều trang web.

Cài đặt, cấu hình và khả năng sử dụng

Wordfence cài đặt "như ăn kẹo". Không cài đặt phức tạp và cấu hình khó hiểu. iThemes, mặt khác, rất khó khăn.

iThemes lừa dối dễ dàng ban đầu, rồi dần rơi vào đống cài đặt vô dụng. Có quy trình cấu hình dài dòng phải lội qua trước khi bảng điều khiển được tạo. Thực ra chúng tôi nên đọc dấu hiệu và bỏ cuộc sớm. Nhưng chúng tôi "nuông chiều" bản thân để vượt qua vì lợi ích chung.

Cài đặt Wordfence rất dễ, không có tùy chọn cấu hình upfront. Màn hình đầu tiên là đăng ký email, rõ ràng nêu bạn nhận tin tức bảo mật. Màn tiếp theo nhắc nâng cấp premium. Lúc đó chúng tôi chưa biết tính năng miễn phí có gì, nên không nhập license premium ngay.

Có 3 tooltip hướng dẫn khi truy cập bảng điều khiển wp-admin lần đầu. Khả năng sử dụng và ngôn ngữ của Wordfence tuyệt vời. Có giải thích rõ ràng cho tính năng và tác động bảo mật. Không quá tải, cũng không đơn giản hóa quá mức.

Thiết kế bảng điều khiển rất trực quan, bạn nhìn thấy ngay tất cả khía cạnh bảo mật quan trọng của trang web. Tổng thể, ấn tượng đầu tiên về Wordfence tuyệt vời.

Thêm vào đó, Wordfence đưa ra khuyến nghị cấu hình hữu ích. Tài liệu, truy cập từ tooltip trên bảng điều khiển, rất bối cảnh (contextual). Rõ ràng nêu từng tính năng làm gì và tại sao, thêm cách thiết lập tối ưu cho trang web. Lại lần nữa, ngôn ngữ tiếp cận đáng chú ý.

iThemes: Các tính năng bổ sung

Sau khi review các khía cạnh bảo mật cốt lõi và thấy iThemes thiếu hụt trầm trọng, phần này gần như gây cười.

iThemes nhồi nhét plugin với hàng tá tính năng, ít hoặc không ảnh hưởng đến bảo mật. Ví dụ: tính năng whitelist IP. IP thiết bị chúng ta thay đổi thường xuyên, nên đây không phải bảo chứng ai đó sẽ được truy cập web — mục đích dự kiến chứ?

Có cả file change monitor, gửi báo cáo email mỗi 24h. Báo cáo chứa danh sách file thay đổi. Không phải thay đổi gì, ai làm, hay khi nào chính xác. Chỉ một email: "Chào! Tất cả này trên web bạn giờ khác hôm qua. Tạm biệt!"

Sau khi hết bực mình, chúng tôi muốn công nhận iThemes có hệ thống quản lý mật khẩu tốt. Buộc mật khẩu mạnh, từ chối mật khẩu bị lộ. Chúng tôi không test kết luận, nhưng kết quả cũng không ổn định.

Có một tính năng cứng hóa hữu ích: chặn thực thi PHP trong thư mục uploads. Các cái khác vô nghĩa.

Wordfence: Các tính năng bổ sung

Các tính năng thêm của Wordfence đều liên quan chặt chẽ đến bảo mật. Không có tính năng phụ trợ hữu ích như cập nhật hay quản lý user. Nhưng có rất nhiều extra.

Sau cài đặt, thấy mục thông báo cập nhật trang web. Trên trang test, nó cho thấy 5 plugin cần cập nhật.

Có Wordfence Central status cho phép quản lý nhiều trang từ wp-admin của từng trang. Hợp lý nếu bạn có vài trang trên cùng tài khoản, nhưng không gian hạn chế, không phù hợp agency với hàng trăm trang. May mắn là có dashboard bên ngoài. Bạn phải tạo tài khoản trên web Wordfence để truy cập Wordfence Central. Theo chúng tôi, không hợp lý khi để hộp central trên dashboard trang web.

Thêm tất cả trang test vào Wordfence Central, có cái nhìn tổng quan (bird's eye view) tất cả chúng. Bố cục không tốt cho hơn 20 trang. Ý tưởng tốt, thực thi kém.

Kiểm tra mục Tools. Có panel live traffic, nhìn đầu tiên giống Google Analytics, nhưng nhiều hơn đó. Bạn có thể thiết lập log traffic bao gồm tất cả hoặc chỉ traffic liên quan bảo mật. Log rất tốt, vì có legend rõ ràng chỉ loại traffic: human, bot, warning, blocked.

Có tra cứu Whois, nếu bạn muốn xem ai đang tấn công web. Đây chỉ là phụ kiện, vì tính năng này dễ dàng có online.

Mục Diagnostics thú vị. Chứa nhiều thông tin về web: từ process owner đến bảng database và hơn nữa. Giống như spec trang web tại một nơi, kèm trạng thái từng thứ. Khó tưởng tượng user thường (non-dev) dùng info này như thế nào, nhưng chắc chắn hữu ích cho developer.

Thiếu gì ở iThemes Security và Wordfence

iThemes thiếu trình quét, dọn dẹp và tường lửa. Cũng tốt nếu nó có bảo vệ brute force hoạt động, activity log, và phát hiện lỗ hổng đôi khi. Có thể hy vọng.

Wordfence thiếu bảo vệ bot và activity log. Ngoài ra, nó là plugin bảo mật toàn diện và toàn diện.

Wordfence vs iThemes Security: Giá cả

Không đáng mua iThemes Security, vì tính năng đáng giá duy nhất là 2FA, có sẵn miễn phí. Wordfence premium $99/năm, nhưng phiên bản miễn phí đủ mạnh tự đứng vững.

Plugin miễn phí Wordfence thực sự tuyệt vời, xem xét nó miễn phí. License premium tối đa $99/trang web, và giảm dần theo số lượng license mua nhiều hơn.

Điểm "chốt đơn" là dịch vụ dọn dẹp trang web giá $490/trang, và mặc dù tính năng ghi "unlimited pages", chi phí thêm có thể áp dụng cho trang web trên 10GB — hợp lý. Có bảo hành dọn dẹp mã độc 1 năm, nhưng có điều khoản nhỏ. Hãy đọc kỹ.

Sau khi đọc bài này, bạn biết iThemes không đáng tiền. Dùng cho 2FA hoặc cài plugin chuyên biệt cho tính năng đó.

Lựa chọn tốt hơn iThemes Security và Wordfence: MalCare

Điều tốt nhất bạn làm cho trang web là đầu tư vào plugin bảo mật tốt. Plugin nên quét, dọn dẹp và bảo vệ trang web khỏi mọi mối đe dọa. Trong loạt test, chỉ một plugin nổi bật: MalCare. Nó vượt trội hơn iThemes mọi mặt, và có quét, dọn dẹp tự động, tường lửa, thông báo tốt hơn nhiều so với Wordfence. Quyết định dễ dàng.

Gói Basic $99 của MalCare bao gồm dọn dẹp không giới hạn, tương đương gói $99 của Wordfence và $490 mỗi lần dọn dẹp sau đó.

Kết luận

Hy vọng bài viết giúp bạn quyết định hướng đi cho bảo mật trang web. Nếu có câu hỏi hoặc ý kiến, hãy liên hệ. Chúng tôi rất乐意 lắng nghe!