All-In-One Security 与 Kakapo Security 对比：看分数还是看证据？
All-In-One Security 是一款广受欢迎的免费安全插件，采用积分系统：每启用一项措施，安全评分就会提高。这很能激励人——但也容易诱使人去拨动那些自己并不了解作用的开关。
简短的回答
AIOS 涵盖登录保护、安全加固、简单的防火墙和文件变更检测，免费且容易上手。分数让进展一目了然，却无法说明哪项措施到底能带来多大作用。
Kakapo Security 不设分数，而是注重可查阅性：40 个防火墙模式和 22 个扫描模式都写在随插件发布的源代码中，另附一份清单，列出经实测产生过多误报的方案。活动日志采用链式结构，并结合 wp-config.php 中的一个值进行计算。
两者的区别在哪里
| 问题 | All-In-One Security | Kakapo Security |
|---|---|---|
| 价格 | 免费，另有 Premium 版本 | 付费插件，一个许可证涵盖九款 |
| 积分系统 | 是 | 否，有意为之 |
| 安全加固开关 | 很多 | 真正有效的那些，并附理由 |
| 防火墙 | 简单规则 | 40 个模式，可查阅，带自检 |
| 扫描 wp-content | 有限 | 22 个模式，已弃用的方案有文档记录 |
| 核心文件与原始文件比对 | 需核实 | 是，与 api.wordpress.org 比对 |
| 双重验证 | 取决于套餐 | 仅邮件验证码，不支持 TOTP |
| 防篡改的日志链 | — | 是 |
| 登录时间窗口和国家封锁 | 取决于套餐 | 内置 |
为什么不设分数
分数的前提是各项措施可以累加。但它们不能：及时更新加上第二个验证因素，效果胜过十几个小型安全加固开关——可在积分系统里，它们算的分却一样多。
更糟的是第二个效应：追求 100 分的人，也会启用那些在自己网站上有副作用的功能。一个换来一分却让页面构建器失灵的开关，是笔亏本买卖。
如果你使用的是带分数的工具：凡是无法用一句话说清作用的功能，一律不要启用。分数不是目标。
何时 All-In-One Security 是更好的选择
- 你想免费起步
- 你喜欢能看到进展的引导式设置
- 你只需要登录保护和基础安全加固
何时 Kakapo Security 是更好的选择
- 你想查阅它到底在扫描什么
- 你需要一份能看出事后是否被改动过的日志
- 不应有任何数据发送给安全服务商
- 你用一个许可证管理多个网站
切换：需要做什么
- 如果设置过迁移后的登录地址，先把它记下来——否则你会把自己锁在门外。
- 检查有哪些规则被写进了 .htaccess；安全插件很喜欢在那里留下规则块。
- 安装 Kakapo Security 并填入许可证密钥。
- 先把防火墙设为“监控”（德语：„Beobachten“），让它并行运行一周。
- 在网站经证实干净的时候，记录文件基准。
- 停用旧插件，然后再切换为“拦截”（德语：„Blockieren“）。
两者都无法替代的东西
安全插件只是一层防护，而不是屋顶。有三件事仍然是你的责任，而在实践中，它们阻止的安全事件比任何防火墙设置都多。
- 更新。绝大多数成功的入侵，利用的都是早就有更新可以修补的漏洞。
- 备份。发生事故后，只有备份才算数——而且即使你根本没有遭到攻击、只是自己把东西弄坏了，也只有备份能帮上忙。
- 清理过的账号。每一个不再有人需要的账号，都是一扇不再有人看守的门。
这三件事既不花钱，也不需要特别的知识。做到了这三点，安全插件能带来很大提升。没做到的话，买一个插件主要换来的只是更好的心理感受。
Kakapo Security 有意不做的事
为了让预期符合实际，这里直白地说明其局限：双重验证登录通过邮件发送验证码，不支持身份验证器应用。没有持续维护的恶意代码特征库——扫描查找的是模式，而不是按名称识别已知的恶意程序。漏洞比对虽然可以接收一个数据源的地址，但出厂时并不自带任何数据源。此外：防火墙在 WordPress 内部工作，而不是挡在它前面——让服务器过载的攻击，任何 PHP 插件都拦不住，无论是哪一款。
它实际做的事范围明确、可以核查：识别模式并予以拒绝，将核心文件与 api.wordpress.org 的校验和进行比对，察觉文件的变动，并把每一个决定记录在一条事后无法被悄悄篡改的链中。需要这四点的人，选它就对了。要找特征库的人，就不合适。
对于任何安全插件，都要检查防火墙位于哪里。位于服务器之前，更能抵御过载；位于 WordPress 内部，对发往 WordPress 本身的请求判断更精确。两者兼得，只有主机商配合才能做到。