มองครั้งแรก iThemes Security ดูเป็นปลั๊กอินความปลอดภัยที่ดีและราคาถูกสำหรับ WordPress โดยเฉพาะคิดว่า ปกป้องเว็บไซต์ไม่จำกัดเพียง $199
Sucuri ตรงข้าม เป็นปลั๊กอินความปลอดภัย WordPress ยอดนิยมที่สุดหนึ่ง มี Scanner และ Firewall รวมถึง Malware Removal แล้วใน Head-to-head นี้ Sucuri นำหน้า iThemes แล้ว
แตสรุปคือ: ปลั๊กอินความปลอดภัยตัวไหนให้การปกป้องที่ดีที่สุดจากแฮกเกอร์และมัลแวร์ เราทดสอบ 5 ปลั๊กอิน Security ทอปบน WordPress บน 3 เว็บไซต์ เว็บเต็มไปด้วยมัลแวร์และช่องโหว่ เราทดสอบปลั๊กอินต่างๆ อย่างเข้มข้น อ่านต่อเพื่อดูผลทดสอบ และหาว่าตัวไหนจะปกป้อง WordPress จริง
VERDICT iThemes Security vs Sucuri: iThemes ตกออกจากการแข่งขันไปเลย ในการแข่งขันนี้ Sucuri ชนะชัดเจน แตด้วยนั้น เรายังไม่ไว้ใจ Sucuri ในการปกป้องเว็บของเรา รายละเอียดการทดสอบด้านล่าง
ตัวเลือกของเรา
เราสร้าง 3 เว็บ WordPress ทดสอบปลั๊กอินความปลอดภัย เว็บหนึ่งเป็นบล็อกทั่วไปเป็น Test Control อีกเว็บติดตั้งปลั๊กอินล้าสมัย 3 ตัวที่มี Vulnerabilities ที่เผยแพร่แล้ว อีกเว็บ塞满มัลแวร์และ Backdoor ทั้งไฟล์และฐานข้อมูล เราไว้ใจเว็บสุดท้ายนี้จะแยก "แป้งจากเปลือก" และมันทำได้จริง
แต่ละปลั๊กอินถูกทดสอบ 45 วัน ทดสอบ Scanners, Cleaners, Firewalls, Brute Force Protection - ทุกอย่าง ท้ายที่สุด สรุปชัดเจน: MalCare ชนะทุกประการ
คำถามของชุดบทความนี้ง่าย: ปลั๊กอินความปลอดภัยตัวไหนรับประกันปกป้อง WordPress จากแฮกเกอร์? คำตอบชัดเจน: MalCare
สรุปการเปรียบเทียบ iThemes Security vs Sucuri
iThemes Security คือ Placebo ของปลั๊กอินความปลอดภัย WordPress คุณคิดว่าเว็บปลอดภัยจากแฮกเกอร์ แตสิ่งที่ปกป้องจริงคือ Wishful Thinking และ Positive Vibes เท่านั้น Sucuri ดีกว่าชัดเจน แต "ดีกว่า" เป็น Relative Term ทุกอย่าง มันไม่ใช่ปลั๊กอินความปลอดภัยที่ยอดเยี่ยม
iThemes Security ในบนutshell
Bottom line: iThemes ไม่ปกป้องเว็บของคุณ เราแนะนำข้าม iThemes ทั้งหมดหากพิจารณาสำหรับ WordPress Security และหากติดตั้งอยู่แล้ว โปรดสแกนเว็บทันที เว็บของคุณไม่มีความปลอดภัย
First Impressions ของ iThemes ดีจริง เว็บไซต์พูดเก่ง ให้ความมั่นใจด้วยการพูดเกี่ยว WordPress Security อย่างมีอำนาจ ข้อผิดพลาดเดียวที่เห็น: ไม่สามารถใช้ปลั๊กอิน Clean Malware ได้ ไม่อידיאל แตยังทำงานเป็น Scanner ได้
หรือเราคิด
iThemes Scanner ไม่ตรวจจับมัลแวร์เลย เราคาดเดาว่ามันไม่ได้สแกนไฟล์และข้อมูลเลย เพราะสแกนเสร็จในไม่กี่วินาที iThemes 'Scanner' ทำได้แค่เช็ค Google Transparency Report ว่าเว็บอยู่ในลิสต์นั้นหรือไม่ เราไม่ต้องการปลั๊กอิน Security ทำอย่างนี้ เรากลับเช็คเว็บไซต์อีกครั้ง และประหลาดใจว่า Features ไม่ได้ระบุชัดเจนว่า Scan for Malware แค่บอกว่า Malware Detection เป็น Key Step ใน WordPress Security นั่นคือ Doublespeak (พูดสองความหมาย)
เราเกือบเขียนว่า iThemes Tests ไร้ประโยชน์ แตทำต่อไปเพื่อความเป็นธรรม
ปลั๊กอินมี 2FA Feature ที่แข็งแกร่งบนหน้า Login และ Hardening Features บางอย่างดี เช่น Block PHP Execution ในโฟลเดอร์ Brute Force Login Protection ทำงานแค่บางครั้ง อีกจุดดำ
Takeaway ของเรา: ฟีเจอร์ที่มีค่า Security จริงคือ 2FA และ reCAPTCHA บน wp-login ที่ง่าย ฟีเจอร์ทั้งสองไม่คุ้มค่า $199 เพราะมีปลั๊กอิน Security ที่ดีกว่า ให้ฟีเจอร์เหล่านี้มาตรฐาน พร้อมความปลอดภัยจริงเพิ่ม
การทดสอบ iThemes ประสบการณ์แย่มาก เพราะเราไม่ไหวจินตนาการว่ามีเว็บกี่พันที่เชื่อว่าถูกปกป้องโดย Security ที่ไม่มีจริง iThemes Users: โปรดสแกนเว็บทันที
Sucuri ในบนutshell
Sucuri มี Firewall ระดับดี และ Malware Removal Services ยอดเยี่ยม แตล้มเหลวอย่างน่าประหลาดในฐานะ Malware Scanner หากไม่รู้ว่าเว็บมีมัลแวร์ ไม่มีทางกำจัดได้ นี่คือส่วน Non-negotiable ของปลั๊กอิน Security
ตอนเริ่มทดสอบ Sucuri เราคาดหวังมาก เป็นปลั๊กอิน Security WordPress ยอดนิยมที่สุด เราประหลาดใจที่ Scanner ล้มเหลว ตรวจพบมัลแวร์บนเว็บทดสอบที่วางมัลแวร์ไว้ เราจะรายละเอียดในส่วนหน้า แตสิ่งนี้ตั้ง Tone สำหรับการทดสอบทั้งหมด
นอกจากความล้มเหลว การสแกนใช้เวลานาน และใช้ Server Resources ของเรา Sucuri เอง勸阻 (Discourage) การสแกนบ่อย เพราะผลกระทบต่อ Performance ของเว็บ Trade-off ระหว่าง Performance และ Security ที่แย่และไม่ควรเป็นเช่นนั้น
ต่อไป Firewall และ Malware Removal Services Sucuri ทำดี Firewall ตั้งค่ายากมาก ใช้เวลานานมาก แตบล็อคโจมตีที่เราลอง และเราไม่สามารถ Exploit Vulnerabilities ได้
Malware Removal Service เป็น Highlight ของการทดสอบ แม้ Scanner ให้ Clean Bill of Health บนเว็บที่เราวางมัลแวร์ไว้ เรารู้ว่ามีมัลแวร์ เพราะเราวางไว้เอง และ MalCare Scans ยืนยัน ทีม Sucuri ลบมัลแวร์ทุกอย่างออกจากเว็บ สะอาดพร้อมพร้อม Fantastic! Cherry on top: Unlimited Malware Removal Requests ในแผน = Deal ดี
นอกจาก Firewall Settings ต่างๆ น่าปวดหัว เราหงุดหงิดกับ Jargon ที่ใช้ แม้มี Expertise ใน WordPress Security Interface ไม่ User-friendly และเราแน่ใจว่าคนเยอะจะรู้สึก Alarm อย่างไม่จำเป็น Minus point สำหรับ Sucuri
รวมๆ เราคิดว่า Sucuri ไม่ใช่ Best Security Solution สำหรับ WordPress สักเกียรติไปที่ MalCare เพราะ Scanner ที่ทำงานทุกครั้ง MalCare ยังได้ Bonus Points จากการไม่ทำให้เรารู้สึก Obtuse (鈍感/เข้าใจยาก)
วิธีเลือกปลั๊กอินความปลอดภัยที่เหมาะสำหรับ WordPress
Security สำหรับ WordPress Non-negotiable มัลแวร์ทำให้ธุรกิจสูญเสียมากมาย: รายได้หาย คดี มาก ค่า Cleanup ผลกระทบ Branding สูญเสีย Organic Traffic และอื่นๆ การลงทุนปลั๊กอินที่ถูกต้อง ป้องกันแฮกเกอร์ มัลแวร์ และปัญหาที่มัลแวร์ทิ้งไว้
คำถามคือ: จะเลือกปลั๊กอิน Security ที่มีประสิทธิภาพยังไง?
ตอน Setup Tests เราพิจารณาปัจหลายอย่าง: Security ไปปุ่ย Ease of Use และ Value for Money แตเรารู้เร็วว่า ปัจจัยอื่นๆ นอกจาก Security ไร้ความหมาย เพราะว่า ปลั๊กอินมีประสิทธิภาพด้าน Security เพียงใด คือสิ่งเดียวที่ควรพิจารณา
ปัจจัยที่ควรพิจารณาเลือกปลั๊กอิน Security:
- Essential Security Features
- Malware Scanning
- Malware Cleaning
- Firewall
- Good-to-have Security Features
- Vulnerability Detection
- Brute Force Login Protection
- Activity Log
- Two-Factor Authentication
- Potential Problems
- Impact on Server Resources
เห็นจากรายการ: มีแค่ 3 ปัจจัยที่ Essential จริงๆ MalCare ทำได้ดีทั้ง 3: สแกนและทำความสะอาดมัลแวร์ที่ปลั๊กอินอื่นรับประกันว่าจะพลาด และปกป้องเว็บจาก Traffics ร้ายด้วย Firewall ทรงพลัง ยิ่งไปกว่านั้น MalCare ทำได้ดีกว่าปลั๊กอิน Security อื่นๆ ที่มีอยู่
iThemes Security vs Sucuri: เปรียบเทียบฟีเจอร์ Head-to-head
เราจัด Layout การเปรียบเทียบ: เริ่มจาก Essential Features แล้วค่อย Observations อื่นๆ ที่พบระหว่างทดสอบ บ่อยครั้งเห็น Features/Settings ที่ทำได้ไม่ได้ (พูดถึง iThemes) แต่วาดภาพ Illusion ของ Security อย่างซับซ้อน เราตัดผ่าน Chaos เพื่อหา Wheat (ข้าวสาลี/สิ่งมีค่า) ไม่ง่าย แตเราจะนำเสนอข้อมูลอย่างชัดเจนและเป็นธรรม
หากอยากข้าม Teardown นี้ เราแนะนำติดตั้ง MalCare
Malware Scanning
Sucuri Scanners ไม่ตรวจพบมัลแวร์บนเว็บของเราเลย จากความเร็วที่สแกนเสร็จ iThemes ไม่ได้สแกนหามัลแวร์บนเว็บของเราเลย
Sucuri Free และ Paid ทั้งคู่มี Scanners เราสนใจว่าทำงานต่างกันไหม Free Version Powered by Sucuri SiteCheck Online Utility สแกนส่วน Publicly Visible ของเว็บหามัลแวร์ มี Limitations Clean chit จาก SiteCheck ไม่รับประกันว่าเว็บไร้มัลแวร์
Paid Plan มี Server-level Scanner ต้องติดตั้งบน Web Server เอง ติดตั้ง Manual หรือใส่ FTP Details ใน Sucuri Dashboard ติดตั้ง Auto = กระบวนการค่อนข้าง Painless
Scanner ตั้งให้รันทุกวัน แตสแกน On-demand ได้ - ระดับหนึ่ง Additional Scan Requests เข้า Queue แล้ว Execute ต่อไป Sucuri เตือนอย่าสแกนบ่อย เพราะ Scans ใช้ Server Resources
นี่ทำให้เราหยุดคิด เพราะเราตระหนักว่า Sucuri ใช้ Resources ของเว็บเรารัน Scans ด้วยเว็บทดสอบของเรา Drain ไม่รุนแรง เพราะเว็บเล็กและไม่มี External Traffic แตเราเห็น CPU Usage Blip แน่นอน รายละเอียดในส่วนหน้า
Pro Version ก็ไม่ตรวจพบมัลแวร์บนเว็บที่เราแฮกไว้ น่าประหลาด เพราะ MalCare Scan ชี้มัลแวร์ชัด เราจึง Raise Manual Removal Request เมื่อ Request ถูกจัดการโดยทีม Sucuri เว็บแสดง Clean บน MalCare แตตรงนั้น Sucuri Scanner Flag ว่าเว็บติดเชื้อ = แปลกมาก
โชคดีกับ iThemes Scanner ไม่มีปริศนา มันไม่สแกนหามัลแวร์ Final แค่เช็คว่าเว็บอยู่ใน Google Blacklist หรือไม่ เว็บของเราไม่ได้อยู่ใน Blacklist เพราะไม่ได้ Index = Clean Bill of Health จาก iThemes
Malware Cleaning
Malware Cleaning ไม่อยู่ใน Feature List ของ iThemes จึงไม่สามารถและไม่ทำ Sucuri มี Unlimited Malware Removal Services ในแผนพรีเมียม ขึ้นกับแผน เว็บจะสะอาดใน 6-30 ชั่วโมง
แม้ Scan Results ของ Sucuri บอกว่าเว็บไม่มีมัลแวร์ เรารู้ว่ามีมัลแวร์ทุกที่: ไฟล์และฐานข้อมูล มี Backdoor เยอะ MalCare Scanners ยืนยันเว็บทดสอบ Infested มัลแวร์
เรา Raise Malware Removal Request กับ Sucuri ระบุชัดว่าสงสัยว่ามีมัลแวร์ ต้องกรอก Form และให้ FTP Details สำหรับ Cleanup แล้วรอผล
Side Note: มี Dropdown น่าสนใจใน Removal Request Form รายการ Symptoms ที่อาจเห็น และท้าทายความสนุก: ต้องระบุ Technical Proficiency Level เราเลือก: "No proficiency, please explain everything clearly."
Credit ให้ Sucuri ทีมของพวกเขาลบมัลแวร์ทั้งหมดจากเว็บของเรา แม้แผนบอกอาจใช้ 30 ชั่วโมง เราได้ตอบกลับในไม่กี่ 10 ชั่วโมง = Thumbs up ใหญ่สำหรับ Malware Removal Service ของ Sucuri
เรายืนยันกับ MalCare ว่ามัลแวร์หมดแล้ว แล้วประหลาดใจว่า Sucuri Scanner ตอนนี้ Flag ว่าเว็บติดเชื้อ — หลังทีมของพวกเขาทำความสะอาดแล้ว นี่แปลก
อีกฝั่ง iThemes Clean Malware ไม่ได้ ไม่มีอะไรทดสอบ ขอบคุณที่ไม่ Claim ว่าทำได้บนเว็บไซต์
ตรงๆ Malware Cleaning เป็นส่วนยากและอึ้งอัดที่สุดของ WordPress Security และมักแพงที่สุด Sucuri Paid Plans มี Unlimited Cleanups = Terrific เพราะหาก Vulnerabilities ไม่ได้รับการแก้ไข มัลแวร์อาจเกิดซ้ำ หากหาข้อบกพร่องของ Cleaning Service: ต้องรอ Resolution ในกรณีมัลแวร์ เราเห็น Infection โต Exponential ในช่วงสั้น = จุดกังวล
กับ MalCare เราใช้ Auto-clean กำจัดมัลแวร์ในนาที ระหว่างรอ Sucuri เรารู้สึกคุณค่าอันมหาศาลของ Quick Cleanup สำหรับ Business-critical Website
Firewall
Firewall ของ Sucuri ทำงาน และกันโจมตีทั่วไป iThemes ไม่มี Firewall
Firewall เป็น Component สำคัญใน Website Security เพราะกัน Traffics ร้าย และป้องกัน Exploits จนถึงจุดนี้ คุณไม่ควรประหลาดใจที่ iThemes ไม่มี Firewall ทำไมต้องมี? มันล้มเหลวในทุกด้านเป็นปลั๊กอิน Security
Sucuri ตรงข้าม ปกป้องเว็บจาก WordPress Attacks เราทดสอบกับ Vulnerabilities เช่น Unrestricted File Uploads, XSS, SQL Injection Firewall บล็อคทุกครั้งที่เราลอง Exploit และอัปโหลดมัลแวร์ เราไม่ทดสอบโจมตีซับซ้อนมาก โปร่งใส
ดังนั้น Firewall ของ Sucuri ทำงาน แตเราต้องบอกว่าตั้งค่า Firewall รำคาญมาก ใช้เวลานานเกินไป Firewall ทำงานเป็น Layer ระหว่าง Incoming Traffic และเว็บ ทุก Traffic โดน Firewall ก่อน แล้ว Redirect ไปเว็บ = ดี แตปวดหัวตอน Setup หากไม่มี Expertise กับ Nameservers และ DNS Config
รวมๆ โซลูชัน Security ที่ทำงาน Out-of-the-box ดีกว่ามาก ไม่ต้อง Config ซับซ้อนปกป้องเว็บ คุณรู้จักแบบที่ได้กับ MalCare
Vulnerability Detection
Sucuri ตรวจพบ Vulnerabilities ส่วนใหญ่บนเว็บ แตไม่ใช่ทั้งหมด iThemes ไม่พบอะไรเลย
หลังเปิด Server-side Scanner Sucuri ตรวจพบว่ามีปลั๊กอิน Vulnerable ติดตั้งอยู่ ไม่ได้ตรวจพบหมด คำแนะนำคือแค่ Update
นอกจากนี้ มี Post-hack View บน wp-admin แสดง Plugins/Themes ติดตั้ง เวอร์ชันติดตั้ง และ Latest Versions ใน Description ส่วนนี้ Sucuri บอกว่า Vulnerabilities ผูกมัดกับ Security และ Update ทุกอย่างเป็น Good Practice ไม่น่าใครจะไปตกที่นี่ Routine Glance ผ่านปลั๊กอิน วางไว้ที่นี่ Useful ไหม?
ส่วนหนึ่งของ Malware Removal Request Sucuri ส่งข้อความแนะนำ Hardening Measures และ Update (2 จาก 3) Vulnerable Plugins นี่เป็นส่วนของ Post-hack Checklist
iThemes ไม่ Flag Vulnerabilities มี Counter เหลือเชื่อบน Dashboard แสดง Updates ที่ทำไปนับจากติดตั้งปลั๊กอิน ไม่รู้ข้อมูลนี้มีประโยชน์ยังไง
Brute Force Login Protection
Sucuri ควรบล็อค Brute Force และ Alert แตไม่ทำทั้งสอง iThemes บางครั้งทำ บางครั้งไม่ ทำไงดี
iThemes Log ทุกครั้งที่ Login ผิดว่าเป็น Brute Force = น่ากลัวโดยไม่จำเป็น ตอนเราลืมรหัสผ่านจริง
ตอนลอง Brute Force หน้า Login ผลลัพธ์ Uneven iThemes บล็อคได้ 1 เว็บ แตอีกเว็บไม่ได้ เราลองหาสาเหตุ Discrepancy แตความต่างเดียวคือ มัลแวร์บนเว็บ เนื่องจากมัลแวร์มักเป็นผลของ Brute Force ที่สำเร็จ เราไม่คิดว่าเป็นเหตุผล น่าจะเป็น Bug ทำให้ Feature ทำงาน Sporadically = ไม่มีประโยชน์
Sucuri ให้ความหวัง เพราะมี Granular Options สำหรับ Brute Force ตั้งจำนวน Failed Attempts ที่นับว่าเป็น Brute Force เราตั้ง 30 Attempts/ชั่วโมง แม้ Login Attacks ปกติหลายร้อยต่อนาที
เห็น Lockout Settings เยอะ เรากลัวถูก Lockout ปิด MalCare ไว้ก่อน เพื่อ MalCare Login Protection ไม่บล็อค ลองผิด 40+ ครั้งใน 3 นาที แต Sucuri ไม่ Alert ไม่ Lockout ไม่มีอะไร Check Audit Logs Failed Authentication แสดงออกมาได้ แตไม่มี Alerts Lockouts Nothing
Activity Log
iThemes มี Activity Log Feature ไม่ครบ Sucuri มีที่ดี แต Obscure (คลุมเครือ)
Sucuri มี Feature เรียก Audit Logs Track ทุก Actions จาก Users, Plugins, Themes Feature ทำงาน nhưคาด แต Setting หนึ่งทำให้หยุดคิด: ต้องการ API Key เพื่อ "Prevent attackers from deleting logs" นี้ Authorize Sucuri Collect และ Store Data Offsite = OK แตภาษาที่ใช้ Jarring (รบกวน/รุนแรง) รายละเอียดใน Usability Section
Logs ทำงานเป็น Logs เก็บ Timestamp, User, Action แต Obscure มาก ตัวอย่าง: เราติดตั้ง Plugin ใหม่ แสดง Plugin Activated Good แตมี 7 Entries เพิ่ม แสดงสิ่งที่ Installation Affects ไม่มีอธิบายว่าคืออะไร Changed Files/ Folders? ไม่ เรารู้ภายหลังว่า Plugin นั้น (Gallery Plugin) เปลี่ยน Template สำหรับ Posts ทำให้เข้าใจ แต Revelation ไม่ได้มาจาก Sucuri
Activity Log เป็นส่วนสำคัญของ Security Toolkit แฮกเกอร์ใช้ Logging ที่ไม่เพียงพอโจมตี ควรมี Log ที่น่าเชื่อถือ แชร์ข้อมูลถูกต้อง
พื้นฐาน ไม่แบบ iThemes Activity Log มี Info บางอย่างมีประโยชน์: User Activity, Version Management, Site Scans, Brute Force Attacks ไม่มี Plugins/Themes มี Feature แยกส่ง File Change Report ทุกวัน รวมทั้งหมด Logs Inadequate เพราะไม่ได้ภาพที่ถูกต้องของเว็บ
Two-Factor Authentication (2FA)
iThemes มี 2FA Feature ที่แข็งแกร่ง ทำงาน Out-of-the-box Sucuri ไม่มี
หลัง Trash iThemes ในบทความนี้และชุดบทความอื่น เรายินดีรายงาน: นี่คือหนึ่งในฟีเจอร์ Security เพียงอย่างที่ทำงานจริงบน iThemes — และทำงานดีมาก
2FA บน iThemes แข็งแกร่งมาก Customization เยอะ ทำงาน Out-of-the-box ไม่มีปัญหา Plugin ช่วย Enforce Strong Passwords ที่เราโปร่งการอย่างแข็งแกร่ง
ข้อกังวลเดียว: iThemes Pro มี Settings เยอะที่ Remove Login Tokens เพื่อ Ease of Use: Passwordless Login, Trusted Devices, Magic Links ฟีเจอร์เหล่านี้ Smooth Over การ Login แตทำลายจุดประสงค์ของ 2FA: Additional Real-time Login Token
เราหา 2FA ตอนทดสอบ Sucuri มีอยู่บน Sucuri Dashboard แตเราตื่นตาและหงุดหงิด: 2FA สำหรับ Sucuri Account ไม่ใช่ WordPress Website ของคุณ
การใช้ทรัพยากรเซิร์ฟเวอร์ (Server Resource Usage)
iThemes ไม่ Drain Server Resources เพราะ ไม่ทำอะไรเลย Sucuri จะ Cripple Performance ของเว็บด้วย Scans
น่าสนใจ: คนไม่ถาม Server Resources ในบริบท Security บ่อย แต Ideal: เว็บควรปลอดภัย และไม่ช้าลง Sucuri Scanner จะทำให้เว็บช้า
Sucuri Scans Claim ใช้ Website Server Resources โดยตรง พวกเขา Discourage Frequent Scans เพราะเหตุผลนี้ ตรงๆ นี่แย่มาก ทำไมต้องเลือก между Performance/Server Bills ที่สมเหตุสมผล และ Security? พวกเขาไม่ได้เล่น มี Spike ใหญ่ใน Server Resources ทันทีติดตั้ง Sucuri และรัน Scan ครั้งที่ 2 หากเว็บเล็ก Difference ชัดเจน เว็บใหญ่จะมากกว่านี้มาก
เพิ่มเติม ใน General Settings บน Dashboard มี Setting Data Storage บ่งชี้ Sucuri Store ข้อมูลเยอะ (Logs ส่วนใหญ่) บนเว็บเอง Default อยู่ใน Uploads Folder = Publicly Accessible Folder นั่นอาจเป็นเหตุผลที่ต้องการ API Key มี Option เปลี่ยน Storage ไป Non-publicly Accessible Folder แตควรเป็น Default ตั้งแต่แรก
iThemes ไม่ Drain Server Resources ทำไงได้? เพราะไม่ทำอะไรเลย
การแจ้งเตือน (Alerts)
iThemes ไม่ Alert อะไรเลย Sucuri Alert แตต้องระวัง Alerts ที่อยากได้ Inbox อาจเต็มในไม่กี่ชั่วโมง
Sucuri ให้ตั้ง Alerts ส่งคนเฉพาะ Customize Format และอื่นๆ เพิ่ม IP Ranges ให้ไม่ Flag Alerts ระวัง Jargon-filled Descriptions 'Classless Inter-domain Routing' คืออะไร? ไม่อยากรู้ อยากปกป้องเว็บ
จาก Granular Settings สำหรับ Alerts Sucuri รู้สึกตัวว่าส่ง Alerts มากเกินไป มี Setting Config Max Alerts/ชั่วโมง เช่น 5 Emails ปัญหา: หาก 5 อันแรก False Positives และอันที่ 6 จริง? มี Disclaimer แต Better to have actual info vs useless feature Takeaway: Admin ไม่เห็น Forest for the trees Noise เยอะเกิน
น่าประหลาด: เรายัง Review iThemes ไม่ยอมแพ้ iThemes ส่ง File Change Notifications, Database Backups, Confirmations Settings เรา Subscribe Daily Security Digest และ Weekly Vulnerability Report เพื่อ Check Off กับเว็บ แตแค่ 1 เว็บแย่แล้ว หลายเว็บจะ Out of Hand
Installation, Configuration, และ Usability
iThemes Installation น่าประหลาดยาก เพราะ Configuration Options สับสน Sucuri Straightforward แต Configuration Options ในปลั๊กอิน น่ากลัวมาก
iThemes เป็นปลั๊กอินแรกที่ทดสอบ ดูง่ายตอนแรก มัน Set Bar สำหรับ Most Useless Settings ต้องผ่าน Configuration เพื่อสร้าง Security Dashboard เราไปทุก Setting แตไม่มี Real Impact ต่อ Security ตั้ง Random แล้วทิ้ง
Sucuri Install ไม่มีปัญหา Plugin Setup เองส่วนใหญ่ ต้องสร้าง Account กับ Sucuri เข้าถึง Paid Features เหนือชี้: เพื่อติดตั้ง Server-side Scanner ต้องใช้ Sucuri External Dashboard ไมยากหากมี FTP Details แตไม่เห็นประโยชน์ เพราะไม่ตรวจพบมัลแวร์
iThemes Dashboard บน wp-admin = Noise ไม่มี Security-related Info ที่ Relevant
Sucuri Dashboard และ Settings ซับซ้อนรุนแรง เราใช้ชั่วโมงพยายามเข้าใจ Technical Terms ที่ใช้ บางกรณี Plugin บอก Recommended Setting User ทำงานบน Blind Faith ปัญหา: Sucuri ไม่ Inspire Blind Faith เพราะ Malware Scanner ไม่ทำงาน!
เราอยากให้ Plugin นี้เข้าใจง่ายกว่า ดูซับซ้อนและทำอะไรมาก แตไม่แน่ใจ เพราะสิ่งที่เรารู้ว่าสำคัญ เช่น Brute Force Protection ไม่ทำงาน
Firewall และ Server-side Scanner ต้อง Enable แยกกัน ใช้เวลากว่า 1 สัปดาห์เข้าใจปลั๊กอินนี้กับ 3 เว็บ เราสั่นคิดว่าจะเกิดอะไรกับคนจัดการเยอะกว่านี้ มัน Tedious (น่าเบื่อ/ใช้เวลา) มาก
เราต้องเน้นอีกครั้ง: Settings ยากต่อการเข้าใจสำหรับ Non-tech Users เราไม่รู้ว่ามี Log Analysis Software เราเห็น Messaging สำหรับ Reverse Proxy ที่ Sucuri ช่วยบอก: อย่ากังวล Option นี้ หากไม่รู้ว่ามันคืออะไร ขอบคุณ Confusion พร้อม Condescension (ทบทวน/ดูถูก)
iThemes: Extras
มี Whitelist Feature แบบละเอียดบน iThemes น่าประหลาดจนเรารู้ว่ามี Site Lockout Complaints เยอะมาก มี 2 ปัญหา: Device IPs เปลี่ยนได้ Whitelist IP ไม่ใช่ Safeguard มาก และ เราลองทุกอย่าง Trigger Lockout แตไม่เกิด
File Change Monitor ฟีเจอร์อื่นที่ดูดี เว้นแต่คุณรู้ Security แฮกเกอร์เปลี่ยน File Timestamps ได้ จนดูเหมือนไฟล์ไม่ถูก Edit มาปีกว่าๆ เพิ่มเติม มี Filetype Exclusion List สำหรับ Monitor นี่แสดง Lack of Understanding ของมัลแวร์ มัลแวร์ซ่อนในไฟล์ไหนได้ รวม .ico files
iThemes มี Password Management System ดี Enforce Strong Passwords และ Refuse Compromised Passwords สามารถตั้ง Application Passwords สำหรับ XML-RPC ได้
สุดท้าย iThemes มี Hardening Features บางอย่างที่เราไม่แนะนำ ตัวเดียวที่มีความหมาย: Block PHP Execution ใน Uploads Folder ป้องกันมัลแวร์ประเภทหนึ่ง อื่นๆ เราแนะนำไม่สนใจ
Sucuri: Extras
Sucuri Dashboard บน wp-admin ดู Impressive แตทันทีเห็น Biggest Infobox คือ WordPress Integrity หวังว่าเป็นแค่ Free Version เพราะนี้คือ Dressed up File Change Monitor สำหรับ WordPress Core Files
บางกรณีอาจ Useful เพราะมัลแวร์เยอะเข้า Core Files ตรงข้าม เราเห็นว่ามันอาจเป็น Sinecure (ตำแหน่งง่ายเงินเยอะ) เพราะคนไม่มี Experience อาจเชื่อว่าแค่นั้นคือมัลแวร์ทั้งหมด = Scary Thought Funnily 2 ใน 3 WordPress Integrity Files ที่ Flagged มาจาก MalCare: Emergency Connector และ Firewall
ลึกใน Settings มี Integrity Diff Utility เปรียบเทียบ Core Files หาความต่าง อาจง่ายกว่า Online Diffchecker
มี Hardening Options เยอะ บางอย่าง Useful บางอย่างไม่ เราชอบ Block PHP ใน Uploads Folder, Firewall, Activate Automatic Secret Keys Update (เปลี่ยน WordPress Salts)
แต Verify WordPress Version, Remove WordPress Version, Avoid Information Leakage (ลบ Readme File ที่ WordPress Recreate ซ้ำ), Verify Default Admin Account = Silly Features ด้วย Miniscule Security Impact ทั้ง Security Industry Move On จาก Tricks นี้ไปแล้ว
หาก Disable Plugin และ Theme Editor จะ Update ยาก รวม Caveat: บางปลั๊กอิน/ธีมต้อง Access PHP Files ในโฟลเดอร์เหล่านี้ Inadequate Case in point: Sucuri เอง Save PHP Files ใน Uploads Folder พวกเขาไม่ต้องการ Access ไฟล์ของตัวเองจาก External Dashboard? หรือเป็น Exception ของ Rule? ในกรณีนี้ Rule ยืดหยุ่นแบบซ่อนจาก User
เราสนใจ Post-hack Feature บน wp-admin Dashboard หลัง Cleanup อยากทำทุกอย่างปกป้องเว็บจาก Future Hacks เราชอบ Idea จนดูลึกกว่า
สามารถ Update Secret Keys — เปลี่ยน WordPress Salts — จาก Dashboard ปัญหา: อยู่ใน Plaintext มองเห็นได้ทุก Admin ที่ Login wp-admin หากแฮกเกอร์มี Admin Account = Dangerously Ridiculous Feature นี้ทำความได้ก็ต่อเมื่อ User Verify ว่าไม่มี Admin Accounts ถูก Compromise แล้วค่อยเปลี่ยน Salts จุดนี้ไม่ได้กล่าวไว้ที่ไหน
สามารถ Reset User Passwords ฟีเจอร์ดูดีจนอ่าน Fine Print: "Select users from list to change passwords, terminate sessions และ email password reset link โปรดทราบ: Plugin จะเปลี่ยน Password ก่อนส่ง Email หาก Web Server ส่ง Email ไม่ได้ Users จะ Locked Out"
มีที่ดู Plugin/Theme Updates Available = Basic Version Management ไม่เพิ่มอะไรให้ Admin Dashboard แตอาจ Educate ว่า Outdated Plugins/Themes เกี่ยวกับ Security
สิ่งที่ขาดหายจาก iThemes Security และ Sucuri
iThemes ไม่มี Firewall = ลักษณะขาด (Lacuna) ร้ายแรงสำหรับ WordPress Security Firewalls ปกป้องเว็บจากบางประเภทโจมตี และมีค่ามากหากเว็บมี Vulnerabilities
Sucuri Malware Scanner ไม่ Adequate ดังนั้นแม้ Malware Removal Service ดี คุณต้องเดาเองว่ามีมัลแวร์ เพราะ Scanner ไม่ Flag
iThemes Security vs Sucuri: Pricing
Sucuri Basic Platform Plan $199.99/ปี/เว็บ = Good Deal สำหรับ Unlimited Malware Removal Services แตพิจารณา: ควรมี Scanner ที่ทำงาน นั่นคือสิ่งที่ Subscription จะได้ iThemes ไม่คุ้มอะไรเลย อย่าสนใจ
เราทำความเข้าใจเรื่อง iThemes ชัดเจนในบทความนี้ ฟีเจอร์ที่คุ้มค่าเพียงอย่างเดียวคือ 2FA ในแผนฟรี เราไม่แนะนำ Pro Plan แน่นอน
Sucuri Pricing = Steal สำหรับ Malware Removal Service แต Fly in the ointment (จุดบกพร่อง) คือ Scanner หากไม่รู้ว่ามีมัลแวร์ ไม่มีทาง Submit Removal Request
ตัวเลือกที่ดีกว่า iThemes Security และ Sucuri: MalCare
ลงทุนปลั๊กอิน Security ที่ดี จะ Scan, Clean และ Protect เว็บจากแฮกเกอร์ จากปลั๊กอินที่เราทดสอบชุดนี้ MalCare โดดเด่นเป็น Best Option MalCare Trump iThemes ใน ทุกอย่าง และ Scan มัลแวร์ดีกว่า Sucuri
จริงๆ แผน Basic $99 ของ MalCare ดีกว่า Basic Platform $199.99 ของ Sucuri มี Instant Malware Removal ด้วย รวม Unlimited Cleanups
สรุป
ความปลอดภัยเว็บไซต์มีความสำคัญ suprême เราเห็นลูกค้าหลายคนประหยัดปลั๊กอิน Security แล้วเผชิญความเสียหายรุนแรงหลังโดนแฮก ลูกค้าคนหนึ่งถือหยุด และตัดสินใจ Rebuild เว็บจากศูนย์ Malware แพง MalCare ไม่แพง
บทความช่วยคุณตัดสินใจได้ไหม? เราอยากรู้! ติดต่อเราได้เลย
