Jetpack สร้างโดย Automattic ผู้พัฒนา WordPress ต้นกำเนิด จึงเป็นตัวเลือกยอดนิยมและถูกแนะนำบ่อย มีฟีเจอร์อื่นๆ สำหรับจัดการเว็บในแผน Premium รวมอยู่ในแดชบอร์ดเดียว = ข้อเสนอที่ดึงดูด
iThemes พูดเก่งบนเว็บไซต์ และเป็นปลั๊กอินราคาถูกที่สุดสำหรับหลายเว็บไซต์ ราคา $199/ปี สำหรับเว็บไซต์ไม่จำกัด ยิ่งมีเว็บมาก ยิ่งคุ้ม
เราทดสอบปลั๊กอินความปลอดภัย WordPress ทอป 5 ตัว ตลอด 45 วัน ใช้ 3 เว็บไซต์ และ Vulnerabilities/Malware จำนวนมาก ทดสอบฟีเจอร์ความปลอดภัยทั้งหมด และตรวจสอบเวอร์ชันฟรีและพรีเมียม เพื่อดูว่าตัวไหนไว้ใจได้จริงในการรักษาความปลอดภัยเว็บไซต์
VERDICT: ระหว่าง Jetpack vs iThemes Security ไม่มีการแข่งขันจริง Jetpack ชนะชัดเจน ไม่ต้องโต้แย้ง กล่าวตรงๆ iThemes ไม่คุ้มค่าที่จะพิจารณา รายละเอียดการทดสอบและรีวิวในบทความ
ตัวเลือกของเรา
ในการทดสอบแต่ละปลั๊กอิน เราสร้าง 3 เว็บทดสอบ เว็บหนึ่งเป็นบล็อกทั่วไปมีโพสต์/เพจนิดหน่อยเป็น Control อีกเว็บติดตั้งปลั๊กอินล้าสมัย 3 ตัวที่มี Vulnerabilities ที่รู้จัก อีกเว็บ塞满มัลแวร์และ Backdoor ทั้งไฟล์และฐานข้อมูล เป็น Ultimate Litmus Test
เรายิงทุกอย่างนี้เข้าไปในแต่ละปลั๊กอิน 45 วัน ผลลัพธ์อยู่ในชุดบทความนี้ สิ่งหนึ่งชัดเจน: เราจะไม่ไว้ใจปลั๊กอินความปลอดภัยอื่นนอกจาก MalCare MalCare ชนะทุกประการ: สแกน ทำความสะอาด และป้องกัน นอกจากนี้ Configuration ง่ายที่สุดที่เคยเห็น และการจัดการเป็น Hands-off ทั้งหมด เราเห็นฟีเจอร์เยอะในปลั๊กอินอื่น แตไม่มีตัวไหนทำให้เว็บของเราปลอดภัยจริง
สรุปการเปรียบเทียบ Jetpack vs iThemes
ไม่มีการเปรียบเทียบจริงระหว่าง 2 ตัว: เหมือนเปรียบเทียบโทรศัพท์กับกระป๋องสองใบเชื่อมด้วยเชือก
iThemes Security ในบนutshell
เราสรุปว่า iThemes เป็นการเสียเวลาและเงิน หากคุณติดตั้ง iThemes อยู่ ควรสแกนเว็บทันที เว็บของคุณไม่มีความปลอดภัยเลย
iThemes เต็มไปด้วยฟีเจอร์ง่ายๆ ที่อาจให้ผู้ใช้ใหม่รู้สึกว่าเว็บปลอดภัย (Illusion) แม้ไม่ Claim ว่าทำความสะอาดมัลแวร์ แต Claim ว่าสแกนได้ นั่นคือจุดสำคัญ: เว็บไซต์ iThemes ไม่ได้ระบุชัดเจนว่าสแกนหามัลแวร์หรือตรวจจับช่องโหว่ แค่暗示 โดยวางคำว่า 'scan' ใกล้คำว่า 'vulnerabilities' และ 'malware' ทั้งเว็บไซต์ iThemes ถูกเขียนอย่างหลอกลวง ให้คิดว่าเว็บได้ความปลอดภัยดี
Spoiler alert: ไม่ได้เลย เราเกือบหยุดทดสอบทันที แตทำต่อไปเพื่อความเป็นธรรม
คุณสามารถใช้ iThemes เปิด Two-Factor Authentication (2FA) บนหน้า Login ได้ดี และฟีเจอร์ Hardening บางอย่าง เช่น บล็อค PHP Execution ในโฟลเดอร์ Brute Force Login Protection ทำงานไม่สม่ำเสมอ แค่บางครั้ง
เราเข้าใจว่าตอนแรกดูแล้ว Security ไม่จำกัดเว็บเพียง $199 ดูคุ้ม จริงๆ แล้วคุณจ่ายเงินเพื่อ 2FA พร้อม Frills และ Furbelows (ของตกแต่ง) และการ Implement reCAPTCHA บนหน้า Login
ฟีเจอร์เหล่านี้มีค่าด้าน Security แตไม่เพิ่มความปลอดภัยจริงให้เว็บ ปลั๊กอินความปลอดภัยที่แข็งแกร่งกว่าจะมีฟีเจอร์เหล่านี้เป็นมาตรฐาน (Par for course) หรือเลือกปลั๊กอินเฉพาะทาง (Dedicated plugin) แทน
รวมๆ การทดสอบ iThemes ประสบการณ์แย่มาก เพราะเราไม่ไหวจะจินตนาการว่ามีเว็บกี่พันที่เชื่อว่าได้รับการปกป้องจากความปลอดภัยที่ไม่มีจริง หากคุณใช้ iThemes บน WordPress ควรสแกนเว็บทันที
Jetpack Security ในบนutshell
แผน Scan ของ Jetpack มีสแคนเนอร์ระดับกลาง (Medium-grade) จะพบมัลแวร์ในไฟล์บางส่วน ทำงานไม่錯ในการตรวจจับช่องโหว่ของปลั๊กอินและธีม เราไม่แนะนำแผน Security Daily เพราะ Jetpack ไม่ใช่ปลั๊กอินความปลอดภัยที่ดี จับได้แค่ส่วนน้อยของมัลแวร์ และแม้แค่ 1% ที่พลาด ก็จะสร้างความวุ่นวาย เราแนะนำ Deep Scan เพื่อหามัลแวร์อย่างมีประสิทธิภาพ
แผนฟรีของ Jetpack มี Brute Force Protection ต่อการโจมตี Login อัปเกรดเป็นแผน Scan จะได้สแคนเนอร์ที่ดีพอสมควร เราชอบที่ Jetpack ไม่สัญญาอะไรที่ทำไม่ได้ โดยเฉพาะเมื่อเปรียบเทียบกับ iThemes
Jetpack มี Activity Log ดี เหมาะสำหรับ Debug ปัญหา และเป็นเครื่องมือสำคัญใน WordPress Security จัดการฟังก์ชันเว็บทั้งหมดจาก External WordPress.com Dashboard ได้ = ดีมาก Jetpack ยังส่งอีเมลแจ้งเตือนเมื่อตรวจพบปัญหาที่ต้องการความสนใจ
ด้านลบ: Brute Force Login Protection ไม่ทำงาน นั่นแย่พอ แต่แย่กว่านั้นคือ มัลแวร์และช่องโหว่ที่พลาด เราเปรียบเทียบผลสแกน Jetpack กับ MalCare พบว่า Jetpack ไม่ตรวจพบไฟล์ติดมัลแวร์ประมาณ 30% จาก 3 ปลั๊กอินที่มีช่องโหว่ ตรวจพบแค่ 2 ตัว
ยอมรับว่าไม่มีปลั๊กอินความปลอดภัยที่สมบูรณ์แบบ และภัยคุกคามเปลี่ยนแปลงตลอดเวลา แตหากต้องเลือก เราจะเลือกตัวที่ Performance ดีกว่า เพราะแค่หนึ่งการแฮกที่ผ่านเข้ามา จะสร้างความวุ่นวายใหญ่
ควรหาอะไรในโซลูชันความปลอดภัย
ปลั๊กอินความปลอดภัยที่ดี ประหยัดเงินจริง (Real terms) การลงทุนปลั๊กอินความปลอดภัย ป้องกันรายได้หายไป, โฆษณาถูกบล็อค, SEO Ranking แย่ แตปลั๊กอินความปลอดภัยไม่ได้สร้างเหมือนกัน จะเลือกตัวไหนดี?
ตอนทดสอบ เราดู Efficacy และ Ease of use ในจุดเหล่านี้:
- Essential Security Features
- Malware Scanning
- Malware Cleaning
- Firewall
- Vulnerability Detection
- Brute Force Login Protection
- Activity Log
- Good-to-have Security Features
- Two-Factor Authentication
- Potential Problems
- Impact on Server Resources
เกณฑ์ Non-negotiable ของเราสำหรับปลั๊กอินความปลอดภัยที่ดี: ต้องปกป้องเว็บจากแฮกเกอร์และบอท สแกนหามัลแวร์ได้ และช่วยทำความสะอาดเว็บให้สะอาดอีกครั้ง MalCare ทำทั้งหมดนี้ - และมากกว่านั้น - ได้อย่างราบรื่น ดังนั้นเราจึงมีมาตรฐานสูง
Jetpack vs iThemes: เปรียบเทียบฟีเจอร์ Head-to-head
ตอนเริ่มทดสอบปลั๊กอินอื่น เรารู้เร็วมากว่ามีฟีเจอร์เยอะที่มีผลต่อความปลอดภัยเว็บน้อยหรือศูนย์ บางกรณีเป็น Placebo ใส่ไว้เพื่อให้แดชบอร์ดและหน้าตั้งค่าดูดี เราจึงปรับกระบวนการทดสอบ เน้น Real Security Features ก่อน แล้วค่อย So-called Security Features และสุดท้ายคือสิ่งอื่นที่ทำให้ปลั๊กอินดี (UI, Dashboard, Pricing, ฯลฯ)
Malware Scanning
Jetpack พลาดมัลแวร์ส่วนใหญ่ เพื่อความประหลาดใจ iThemes ไม่ตรวจพบอะไรเลย
เราทดสอบแผน Scan และ Security Daily ของ Jetpack เพราะเวอร์ชันฟรีไม่มีสแคนเนอร์
เรายิงมัลแวร์เยอะเข้า Jetpack มัน Flag บางไฟล์ที่มีมัลแวร์ บางไฟล์ที่มีโค้ดร้าย ไม่ได้ Flag เลย สแคนเนอร์แน่นอนไม่ได้ 100% Alarm ไร้ความหมาย เพราะแสดงแค่ "malicious code pattern"
หากทดสอบ Jetpack ก่อน อาจไม่ประทับใจ แตโชคดีที่ลอง iThemes ก่อน มันตั้งมาตรฐานต่ำมาก เพื่อความประหลาดใจ เราพบว่า iThemes Scanner แค่เช็คว่าเว็บอยู่ใน Google Transparency Report (Blacklist) หรือไม่
นั่นคือขีดจำกัดความสามารถในการสแกนทั้งหมด ทั้ง 2 เว็บทดสอบที่วางมัลแวร์ไว้ ได้รับ Clean Bill of Health จาก iThemes เพราะไม่อยู่ใน Blacklist ของ Google
Malware Cleaning
Jetpack และ iThemes ไม่ Claim ว่าทำความสะอาดมัลแวร์ ได้ ดังนั้นจึงทำไม่ได้และไม่ทำ
รายละเอียดแผน Jetpack ให้ความหวังเล็กน้อยว่าบางมัลแวร์อาจ Fix อัตโนมัติ แตไม่มีไฟล์ที่ถูกแฮกของเราที่ Fix ได้ ปลั๊กอินแนะนำติดต่อ Service Provider ขอทำความสะอาด หรือลองลบด้วยตนเองแล้วสแกนใหม่ เพื่อเป็นประโยชน์ โค้ดร้ายถูก Mark ในผลสแกน ดูเหมือนจะให้เราลบจากไฟล์เอง
iThemes สแกนมัลแวร์ไม่ได้ ดังนั้นทำความสะอาดไม่ได้ ในทางปกป้องของพวกเขา พวกเขาไม่ได้ Claim ว่าทำได้
Malware Cleaning เป็นส่วนยากและอึ้งอัดที่สุดในการจัดการแฮก บริการกำจัดแฮกคิดค่าบริการแพงมาก MalCare มี Auto-clean Feature built-in ในปลั๊กอิน (และ Subscription) ทำให้ไม่ต้องจ้างบริการกำจัดแฮกเลย
Firewall
ไม่มี Firewall ที่นี่เลย
Firewall เป็นส่วนสำคัญของ WordPress Security เพราะกัน Traffics ร้ายและป้องกันเว็บจากแฮกเกอร์ แฮกเกอร์หาช่องโหว่ exploit บนเว็บ Firewall สำคัญมากในการป้องกัน
Jetpack และ iThemes ไม่มี Firewall รู้ไหมว่าปลั๊กอินไหนมี Intelligent Firewall ที่ออกแบบมาเฉพาะปกป้อง WordPress? MalCare
Vulnerability Detection
Jetpack ตรวจพบช่องโหว่ส่วนใหญ่บนเว็บทดสอบ อีกครั้ง iThemes ตกต่ำ ตรวจพบศูนย์
Jetpack ตรวจพบปลั๊กอินที่มีช่องโหว่ และเสนอ Auto-fix คืออัปเดต ด้วยแผน Security Daily ที่มี Backup รวม เราทดสอบได้ และทำงานราบรื่น ข้อผูกมัด: สแคนเนอร์ตรวจพบแค่ 2 จาก 3 ปลั๊กอินที่มีช่องโหว่
iThemes ไม่สามารถเช็คเวอร์ชันปลั๊กอิน/ธีมได้ มี Counter เหลือเชื่อบนแดชบอร์ด แสดง Summary ของ Updates ที่ทำไป ไม่รู้ข้อมูลนี้มีประโยชน์ยังไง
Brute Force Login Protection
Jetpack บล็อค Brute Force Login Attempts อย่างสง่างาม iThemes Login Protection ไม่เชื่อถือได้
iThemes ติ้งธงทุกครั้งที่ Login ผิดว่าเป็น Brute Force = น่ากลัวโดยไม่จำเป็น ตอนเราลอง Brute Force หน้า Login 2 เว็บทดสอบ iThemes บล็อคได้แค่ 1 เว็บ
ความแตกต่าง: เว็บหนึ่งมีมัลแวร์ อีกเว็บไม่มี ลองเว็บที่ 3 ก็ไม่ทำงานเลย รวมผลลัพธ์ Inconclusive เราสรุปว่าฟีเจอร์ทำงาน Sporadically = ไม่มีประโยชน์
Jetpack ให้ Brute Force Attack Protection ในแผนฟรี Login Attempts ไม่ถูกจำกัด แตจะเห็น Numeric Challenge แบบไม่รบกวนบนหน้า Login หลังพยายามผิด 10 ครั้ง Log ทุกครั้งที่ผิดหลัง 3 ครั้งแรกว่าเป็น Malicious Login Attempts = น่าสมควร
เราคาดหวังว่า IP จะถูกบล็อคหลังพยายามผิด 50+ ครั้งในไม่กี่นาที ความคาดหวังมาจาก Option Whitelist Admin IPs เพื่อป้องกัน Lockout Lockout เป็นบาปของปลั๊กอิน Security ที่เขียนโค้ดไม่ดี นั่นอาจเป็นเหตุผลที่ Option นี้มีอยู่ ไม่ว่าใคร เราลอง Force IP Block แตไม่ได้
Activity Log
Activity Log ของ Jetpack ดี แตข้อมูลมีแค่ 30 วัน iThemes Logs ไม่ครบ จึงไม่มีประโยชน์
Activity Log เป็นเครื่องมือสำคัญปกป้องเว็บ เพราะแฮกเกอร์ใช้ Logging ที่ไม่เพียงพอในการโจมตี iThemes Log กิจกรรมผู้ใช้ Version Management Site Scans และ Brute Force Attacks เราไม่เห็น Log ประเภทอื่นในช่วงทดสอบ ถือเป็น Activity Log แยกต่างหาก Performance = Fair ควรมี Log การเปลี่ยนแปลง Settings ที่ปลั๊กอินทำ ตัวอย่างเราติดตั้ง Jetpack พร้อมกัน มันเปลี่ยน Settings เยอะ ไม่มีอะไรปรากฏบน Activity Log
แตพิจารณา iThemes Activity Log รวมกับ Scanner ที่ไม่มี และ Brute Force Protection ที่แตกตา Rating ของเราตกต่ำมาก Logs คือที่แอดมินไปดูสถานะความปลอดภัย ควรเป็น Snapshot ที่ถูกต้อง แตมันไม่ได้วาดภาพที่ถูกต้อง
Jetpack ตรงข้าม มี Activity Log ยอดเยี่ยม ลองชิมได้ในแผนฟรี แตดูจริงในแผนพรีเมียม Track ทุก User Actions, Threats (บนแผนพรีเมียม) และการเปลี่ยนแปลง Settings จอ Activity ยังทำหน้าที่ Mini-Dashboard ชี้สิ่งที่ต้องสนใจ เช่น ปลั๊กอิน/ธีมล้าสมัย หรือมัลแวร์
ข้อผูกมัดของ Jetpack Activity Log: แม้แผนพรีเมียม ข้อมูลมีแค่ 30 วัน = ไม่พอ
Two-Factor Authentication (2FA)
iThemes มี 2FA Feature ที่แข็งแกร่ง Jetpack ไม่มีฟีเจอร์นี้เลย
เรื่องตลก: 2FA เป็นฟีเจอร์แรกที่เราทดสอบกับ iThemes ประทับใจมาก มี Customization เยอะ ทำงาน Out-of-the-box ได้ดี User เลือก Token ได้ ทำงานเยี่ยม
แต— ใช่ มี "แต" — แผน Pro มี Settings เยอะที่ Remove Login Tokens อื่นๆ นั่นคือ Passwordless Login, Trusted Devices, Magic Links ทั้งหมดให้วิธี Login ทางเลือก และจริงๆ แล้วทำลายจุดประสงค์ของ 2FA: ซึ่งคือ Additional Real-time Login Token วิธีแก้คือ อย่าใช้ฟีเจอร์เหล่านั้น
Jetpack ไม่มี 2FA
การใช้ทรัพยากรเซิร์ฟเวอร์ (Server Resource Usage)
Jetpack Scanning ทำให้ Server Resources Spike iThemes ไม่เพราะ ไม่ทำอะไรเลย จึงไม่มีคำถามเรื่อง Server Usage
น่าสนใจ: หลายคนไม่ถามเรื่อง Server Resources ในบริบท Security แตควรคิดว่า: เว็บควรปลอดภัย และไม่ช้าลงในกระบวนการ สำหรับเว็บเล็ก อาจไม่ใช่ Big Deal แตเว็บใหญ่? ต้องพิจารณาผลกระทบแน่นอน
iThemes เราข้ามได้ เพราะ No Scan - No Protect - No Clean = No Load มันชนะจุดนี้ เพราะนาฬิกาเสียก็ถูกวันละ 2 ครั้ง
Jetpack ทำให้ Server Resources Spike ระหว่าง Scanning เว็บของเราเบามาก Database แค่ 60 MB หากเว็บหนักกว่าหรือ E-commerce ผลกระทบจะชัดเจนมาก = สาเหตุกังวล
การแจ้งเตือน (Alerts)
Jetpack ส่ง Email Alerts สำหรับมัลแวร์และช่องโหว่ที่ตรวจพบ iThemes ไม่ส่ง Alerts เลย
หากเว็บมีปัญหา ต้องรู้ทันทีเพื่อแก้ไข Jetpack แจ้งเตือนมัลแวร์และช่องโหว่ทันทีหลังสแกนเสร็จ มี Dashboard Notifications สำหรับมัลแวร์ด้วย = ดีมาก เพราะ Alerts เป็น Mission Critical ต้องรู้ทันทีเมื่อสถานการณ์แย่
แตเรายังทดสอบ Downtime Monitoring เพราะมารวมในแผน และอยากรู้ Jetpack จัดการ Downtime ยังไง ผลคือ Jetpack ไม่แจ้งเตือนเวลเว็บ Down เราลอง Crash เว็บหลายวิธี: เปลี่ยนชื่อ index.php ได้ Forbidden Error, เปลี่ยนชื่อ wp-load.php เว็บเข้าถึงไม่ได้ ไม่มีอะไรทำให้ Jetpack ส่ง Alert
Downtime Monitoring ไม่ใช่ Security Feature อย่างเคร่งครัด แต Downtime เป็นอาการของมัลแวร์ อย่างอื่น เราอยากรู้ทันทีเวลาเว็บ Down มัน Critical จริงๆ เรา Conflicted ในการ Rate Alerts ของ Jetpack: มุมมอง Security ทำงาน แตไม่ทำตามสัญญา ทำให้เราลังเลไว้ใจปลั๊กอิน
จนถึงจุดนี้ คุณรู้ว่า iThemes ไม่ทำอะไรมีประโยชน์ เราได้ File Change Reports, Notifications สำหรับ Database Backup, เข้าร่วม Brute Force Network และ Confirmations อื่นๆ ยัง Subscribe Daily Security Digest ที่ข้อมูลไร้ประโยชน์ และ Weekly Email รายการ WordPress Vulnerabilities ที่ค้นพบ
อาจคาดหวังให้เราเช็คธีม/ปลั๊กอินกับรายการนี้ และดำเนินการ แตเรากลุ้มแค่ 1 เว็บ ลืมอีก 2 เว็บ ไม่สามารถจัดการได้หากมีเว็บเยอะ
Installation, Configuration, และ Usability
อีกครั้ง Jetpack ชนะ iThemes ในการที่ iThemes เติม Noise เต็มปลั๊กอิน เพื่อแสดงว่าประณีต.Security นั่นคือคำอธิบายเดียว
iThemes Installation ดูง่าย ไม่ต้องสร้าง Account เริ่มได้เลย เลือก Config ตอนติดตั้ง หรือข้ามไปทำทีหลัง แตถ้าข้าม Config Security Dashboard จะไม่ถูกสร้าง = ส่วนง่ายจบลงที่นี่
Configuration Options สับสนสำหรับผู้ใช้ใหม่ ให้ความรู้สึกว่า Granular Control แตไม่มี Impact จริงต่อ Security เราอ่าน Settings ทั้งหมดเข้าใจว่าต้องทำอะไรเพื่อเว็บปลอดภัย แตเปลืองเวลากับ iThemes
Jetpack Installation ค่อนข้างเจ็บปวด ไม่สามารถไปต่อฟีเจอร์ Security ได้ หากไม่สร้างหรือเชื่อมต่อ WordPress.com Account ซึ่งเป็น External Dashboard
ยังโดน Prompt เลือกแผนซ้ำๆ และถูก Redirect ออกจาก wp-admin หลายครั้ง เพื่อให้ได้ First Impression ของปลั๊กอิน เราเลือกแผน Scan Configuration ง่ายกว่ามาก เพราะไม่ได้ถูกขว้าง Customizations และ Options ที่ไม่จำเป็น มาจริงๆ เราต้อง Customize Brute Force Email ที่ส่งให้แอดมินไหม iThemes? ไม่ต้อง!
iThemes Dashboard บน wp-admin = Noise ไม่มีข้อมูล Security ที่เกี่ยวข้อง Brute Force Logs ไร้ความหมายหาก Attempts ไม่ Log ถูกต้อง ไม่ต้องการรายการ Scans ว่าเว็บอยู่ใน Blacklist Google หรือไม่ Jetpack wp-admin Dashboard ดีกว่า แตเล็กน้อย ถ้าเป็น Free User จะเห็นแค่ว่าแผนทำอะไรได้/ไม่ได้ จะมี Counter โจมตีที่ป้องกันได้ แตไม่มี Granular Data เกี่ยวกับโจมตี ตัวเลขเดียว = Vanity Metric ของ Jetpack และอาจเป็น Soothing Metric สำหรับแอดมินที่ขี้กลัว
iThemes: Extras
เห็น Complaint เยอะว่าแอดมินโดน Lockout โดย iThemes นั่นอาจเป็นเหตุผลที่มี Whitelist Feature แบบละเอียด จน Detect Current IP ได้ เราลองหลายครั้ง เนื่องจาก Device IP เปลี่ยนได้ Whitelist จึงมีหลาย IP น่าสนใจ: ควรทำให้รู้สึกปลอดภัยว่าไม่โดน Lockout แตจากสิ่งที่เราเรียนรู้ คุณไม่ได้โดน Lockout จริงๆ กับ iThemes อยู่ดี ไม่เกี่ยวกับ Whitelist
ต่อไป iThemes มี File Change Monitor การ Monitor การเปลี่ยนแปลงไฟล์มีค่า Security จำกัด เพราะแฮกเกอร์เปลี่ยน Timestamp ได้ จนดูเหมือนไฟล์ไม่ถูกแก้ไขมาปีกว่าๆ นอกจากนี้ มี File Extension Exclusion List สำหรับ Monitor นี้ เราหงุดหงิดเห็น .ico files อยู่ใน Exclusion List ตัวอย่างไฟล์ที่มัลแวร์ซ่อนได้
iThemes มี User Management System แบบ Granular มาก ตั้งค่าลงถึง User Role แตซ่อนอยู่ใน Noise ทั้งหมด มี Password Management Policies ที่ดีมาก: Enforce Strong Passwords และ Refuse Compromised Passwords สามารถตั้ง Application Passwords แยกจาก Account Password เพื่อใช้ XML-RPC ได้
สุดท้าย iThemes มี Hardening Features บางอย่างที่เรา Debunked ในบทความอื่นว่า Counterintuitive ตัวอย่าง: อย่าเปลี่ยน Login URL iThemes เองบอกว่า Bad Idea สามารถ Disable File Editor แตค่าใช้จ่ายจำกัด เพราะแฮกเกอร์ที่มี Admin Access สามารถติดตั้งปลั๊กอินแทนได้
ฟีเจอร์ที่เราคิดว่ามีความหมาย: Block PHP Execution ในโฟลเดอร์ Uploads แต iThemes แนะนำทำในโฟลเดอร์ Plugins และ Themes ด้วย = ความบ้าคลั่ง เพราะบางปลั๊กอินมี Scripts ที่ต้อง Access โดยตรง และแน่ใจจะพัง ไม่มีทางผู้ใช้ทั่วไปตัดสินได้ว่าปลั๊กอินไหนต้องการ Access โดยตรง
Jetpack: Extras
Jetpack รวม Backups กับ Security เราเป็น Advocate ของ Backup มาก จึง Pro ฟีเจอร์นี้มาก เราไม่ได้ทดสอบ เพราะTechnically ไม่ใช่ Security Feature แตเป็น Good-to-have ในทุกกรณี
น่าประหลาด: Jetpack มี Preventing Lockout เป็นฟีเจอร์ ตามเว็บไซต์ IP อาจถูกบล็อคจาก Brute Force Protection แตเราไม่เจอ Block ตอนลอง Brute Force หน้า Login สามารถเพิ่ม IP ใน Whitelist แต Device IP เปลี่ยนได้ = ไม่คุ้มค่า
ตอนสร้าง Jetpack Account = สร้าง WordPress.com Account นั่นคือ External Dashboard และข้อมูลส่วนใหญ่แสดงที่นี่ Jetpack บน wp-admin แค่ Snapshot
สิ่งที่ขาดหายจาก iThemes และ Jetpack
ทั้ง Jetpack และ iThemes ไม่มี Firewall = ไม่สามารถปกป้องเว็บจากบางประเภทการโจมตี นี่คือช่องว่างใหญ่ เพราะหากเว็บมีช่องโหว่ Firewall แข็งแกร่งลดจำนวน Exploits ได้มาก
เราอยากให้ Jetpack มี Hardening Features เพิ่ม และ Security Features แข็งแกร่งขึ้น
Jetpack vs iThemes: ราคา + ข้อคิดสุดท้าย
iThemes เสียเงินเปล่า Jetpack Scan Plan $80/เว็บ/ปี สำหรับ Scanner ระดับกลาง Security Daily Plan ไม่คุ้มราคา
หากอ่านส่วนไหนส่วนหนึ่งของบทความ รู้ว่า iThemes ไม่คุ้มเงินเด็ดขาด ฟีเจอร์ที่คุ้มค่าเพียงอย่างเดียวคือ 2FA ที่มีในแผนฟรี แผน Pro ใกล้จะเป็น Scam
Jetpack Scanner ไม่สมบูรณ์ ไม่จับมัลแวร์หมด ไม่จับช่องโหว่หมด แตช่วย Pinpoint ไฟล์ที่มีมัลแวร์ ไม่มี Malware Cleaning ดังนั้น Security Daily Plan ไม่คุ้มพิจารณาจากมุมมอง Security
แผนฟรี Non-starter Brute Force Protection สำคัญ แตเราอยากเห็น Scanning อย่างน้อยในแผนฟรี ไม่มีทางเช็คมัลแวร์ในแผนฟรี
ตัวเลือกที่ดีกว่า iThemes และ Jetpack: MalCare
ความปลอดภัยที่ดีที่สุดสำหรับ WordPress คือลงทุนปลั๊กอินที่ดี ให้ Scanning, Cleaning, Protection MalCare คือ Better Alternative ที่กว่า iThemes และ Jetpack ในทุกเกณฑ์ทดสอบของเรา
จริงๆ แผน Plus $150 ของ MalCare เทียบเท่า Security Daily $300 ของ Jetpack ฟีเจอร์ดีกว่า ราคาครึ่งหนึ่ง ไม่มีการแข่งขัน
สรุป
หากต้องประหยัด ความปลอดภัยเว็บไซต์ไม่ใช่ที่จะประหยัด การจ่ายเงินซื้อปลั๊กอินความปลอดภัย Premium เพื่อปกป้องเว็บ คือการลงทุนที่ดี เพราะจัดการกับผลลัพธ์ของมัลแวร์แพงกว่ามาก
มีความคิดเห็นอะไรไหม? ติดต่อเราได้เลย เรายินดีฟัง!
