Security
Solid Security 与 Kakapo Security 对比：聚焦安全加固
Solid Security（原名 iThemes Security）和 Kakapo Security 解决的是同一项任务，只是侧重点不同。前者长于登录保护和安全加固，后者则额外提供可查阅的扫描，以及一份能看出是否被改动过的日志。
简短的回答
Solid Security 是一款成熟的工具，拥有众多安全加固开关、登录保护、基于身份验证器应用的双重验证，还有免费版本。它用户众多、文档完善，对大多数网站来说已经足够。
Kakapo Security 具备同样的基础功能——限制失败尝试、迁移登录地址、会话管理、安全加固——并在此之上增加了模式防火墙、扫描和链式日志记录。一切都在本地运行；识别过程中不会向外查询任何内容。
简而言之：如果你需要通过应用进行双重验证，并希望免费起步，Solid Security 是顺理成章的选择。如果你想查阅它在扫描什么，并需要一份能让篡改显露出来的日志，Kakapo Security 更合适。
两者都能做到的
- 限制失败尝试并封锁地址
- 迁移登录地址
- 加固用户账号，关闭后台的文件编辑功能
- 检测文件变更
- 记录登录和封锁情况的日志
- 邮件通知
两者的区别在哪里
| 问题 | Solid Security | Kakapo Security |
|---|---|---|
| 价格 | 免费，有 Pro 版本 | 付费插件，一个许可证涵盖九款 |
| 双重验证 | 身份验证器应用（TOTP） | 仅邮件验证码 |
| 插件内置的模式防火墙 | 需核实 | 40 个模式，可在源代码中查阅 |
| 扫描 wp-content | 取决于套餐 | 22 个模式，已弃用的方案有文档记录 |
| 核心文件与原始文件比对 | 是 | 是，与 api.wordpress.org 比对 |
| 放行发现项 | 可以 | 与文件的校验和绑定 |
| 防篡改的日志链 | — | 是，结合 wp-config.php 中的一个值计算 |
| 登录时按国家封锁 | 取决于套餐 | 内置 |
| 登录时间窗口（时段） | — | 内置 |
| 是否有数据经过厂商？ | 需核实 | 否 |
最重要的区别：可查阅性
只有知道一款安全工具在查找什么，才能对它作出评判。Kakapo Security 的防火墙模式和扫描模式都写在随插件发布的源代码中——另附一份清单，列出经实测产生过多误报的方案，并注明各自的误报数量。
这不是营销话术，而是可以核查的：这份清单就显示在界面中。想知道为什么缺少某个模式的人，能在那里看到理由，而不是一处空白。
同时使用两款安全插件并不等于双重安全。它们会互相把对方锁在门外，日志重复记录，每条提示都变得含义不明。一款就够了——前提是设置得当。
何时 Solid Security 是更好的选择
- 你需要通过身份验证器应用进行双重验证
- 你想免费起步
- 你在找一款用户极多、教程丰富的工具
何时 Kakapo Security 是更好的选择
- 你想查阅它到底在扫描什么
- 不应有任何数据发送给安全服务商
- 你需要一份能看出是否被改动过的日志
- 你希望无需额外升级就能使用登录时间窗口或国家封锁
- 你用一个许可证管理多个网站
切换：需要做什么
- 记下封锁列表、例外规则和迁移后的登录地址。先记登录地址——忘了它的人会把自己锁在门外。
- 安装 Kakapo Security 并填入许可证密钥。
- 把防火墙设为“监控”（德语：„Beobachten“），让它并行运行一周。
- 查看日志，调整那些拦到真实流量的规则，让它们不再那么严格。
- 在网站经证实干净的时候，记录文件基准。
- 停用旧插件，之后再切换为“拦截”（德语：„Blockieren“）。
常见问题
我会失去封锁列表吗？
会，封锁列表是各插件专有的。事先记下最重要的条目；大多数条目反正几天之内就会自行重新填满。
迁移后的登录地址怎么办？
它属于旧插件。在新插件中重新设置——并在切换完成之前，把旧地址准备好。
我仍然需要通过应用进行双重验证吗？
如果你们的规章制度有此要求：需要，这样就得另外安装一个插件。Kakapo Security 只提供邮件验证码，并在界面中明确写出这一点。
没有有效许可证时会怎样？
运行会暂停，基准和日志会保留。