Thiết kế và vận hành trang web
Các lựa chọn thay thế cho WordPress lấy cảm hứng từ lỗ hổng PHP
So sánh xem nên tiếp tục với WordPress hay chuyển sang trang web tĩnh hoặc CMS được quản lý. Chúng tôi sẽ giải thích WAF, biểu mẫu yêu cầu và ví dụ về giá của Cloudflare cho mục đích sử dụng chung và mục đích sử dụng của công ty kèm theo hình ảnh minh họa.
Sau khi trải nghiệm phản hồi đối với các lỗ hổng WordPress, một số người có thể thắc mắc: ``Chúng ta có thể tiếp tục hoạt động với cùng một hệ thống không?'' Ngay cả khi bạn đang tìm kiếm một điểm đến mới, có rất nhiều thuật ngữ kỹ thuật và có thể khó hiểu điều gì sẽ thay đổi.
Bài viết này giải thích cách tiếp tục sử dụng WordPress và cách chuyển sang hệ thống khác dành cho những người điều hành blog cá nhân, trang web sở thích và trang web công ty. Chúng tôi cũng sẽ giới thiệu các biện pháp an toàn, biểu mẫu liên hệ và nguyên tắc về giá khi sử dụng Cloudflare.
Thoát khỏi WordPress không phải là câu trả lời cho tất cả các trang web. Bằng cách sắp xếp các ``các chức năng cần thiết'', ``người sẽ cập nhật'' và ``người chịu trách nhiệm bảo trì'', bạn sẽ có thể tìm ra phương pháp phù hợp với mình.
Bài viết này là sự so sánh và xem xét thiết kế dựa trên các tài liệu chính thức. Nó không trình bày kết quả thực tế của công việc di chuyển, tái tạo cuộc tấn công hoặc giảm chi phí.
Vấn đề lần này là ở PHP, nền tảng của WordPress.
WordPress là phần mềm đăng bài và quản lý bài viết. Một trong những cơ chế hỗ trợ hoạt động này là PHP, chạy trên máy chủ.
Vào tháng 10 năm 2026, các lỗ hổng nghiêm trọng sau đây trong PHP đã được công bố. Lỗ hổng là điểm yếu của phần mềm có thể bị khai thác trong một cuộc tấn công.
- CVE-2026-109618:Khi quá trình xử lý bị gián đoạn do không đủ bộ nhớ, quá trình xử lý hậu kỳ sẽ xử lý dữ liệu nội bộ không đầy đủ.
- CVE-2026-109619: Sự cố trong đó thông tin nội bộ trỏ đến bộ nhớ đã được sử dụng vẫn còn và các yêu cầu tiếp theo sẽ tham chiếu đến thông tin cũ.
Các điều kiện có thể cho phép các bên bên ngoài thực thi mã tùy ý trên máy chủ của bạn. Đây là một vấn đề riêng biệt với chính WordPress nên ngoài việc cập nhật WordPress và plugin, bạn cũng cần kiểm tra các bản sửa lỗi ở phía PHP.
Các phiên bản được cung cấp bản sửa lỗi lần đầu tiên là PHP 8.2.35, 8.3.36, 8.4.27 và 8.5.12. Vui lòng kiểm tra hướng dẫn từ công ty lưu trữ hoặc nhà cung cấp hệ điều hành của bạn để được hỗ trợ thực tế. Ngoài số phiên bản, bạn cần kiểm tra xem nhà cung cấp có áp dụng biện pháp khắc phục nào không.
Tham khảo: IPA: Các lỗ hổng PHP hiện tại và biện pháp đối phó / PHP chính thức: Vấn đề xử lý OOM ／ PHP chính thức: Sự cố với trạng thái nội bộ cũ còn lại
Trước tiên, hãy kiểm tra trạng thái tương thích của dịch vụ bạn đang sử dụng và áp dụng mọi chỉnh sửa cần thiết. Việc điều tra và phục hồi cũng được yêu cầu nếu nghi ngờ có vi phạm. Việc chuyển sang dịch vụ khác không có nghĩa là vi phạm hiện tại đã được giải quyết.
Trước khi tìm kiếm giải pháp thay thế, hãy sắp xếp phong cách viết bài của bạn và các tính năng cần thiết
Điều tôi muốn bắt đầu so sánh là cách tôi thường cập nhật. Bạn muốn viết từ điện thoại thông minh của mình hay bạn có thể chỉnh sửa tệp trên máy tính của mình? Bạn có cần ý kiến, đăng ký thành viên và chức năng bán hàng không? Các lựa chọn của bạn sẽ thay đổi tương ứng.
Tùy chọn 1: Tiếp tục với WordPress và xem xét bảo trì
Nếu bạn thấy màn hình chỉnh sửa hiện tại và các tính năng dễ sử dụng, bạn có tùy chọn để tiếp tục. Plugin là các thành phần bổ sung thêm chức năng. Quyết định ai sẽ chịu trách nhiệm cập nhật thiết bị chính, plugin, chủ đề và PHP cũng như quy trình khôi phục từ bản sao lưu.
Khi ủy thác việc bảo trì cho một công ty bảo trì hoặc dịch vụ được quản lý, hãy kiểm tra phạm vi công việc, bao gồm cả liệu họ có thể giải quyết các vấn đề về trình cắm và quá trình khôi phục hay không.
Tham khảo: Hướng dẫn an toàn chính thức của WordPress
Tùy chọn 2: Sử dụng CMS được quản lý hoặc dịch vụ tạo trang web
CMS là một hệ thống cho phép bạn tạo và quản lý bài viết từ trình duyệt. Nếu đó là một dịch vụ được quản lý, bạn có thể giao việc bảo trì máy chủ, v.v. cho nhà điều hành. Phạm vi trách nhiệm khác nhau tùy thuộc vào dịch vụ.
Ngoài màn hình chỉnh sửa, dễ sử dụng bằng tiếng Nhật, các chức năng cần thiết và giá cả, chúng tôi sẽ kiểm tra xem bạn có thể xuất bài viết, hình ảnh và chuyển sang dịch vụ khác hay không. Chúng tôi sẽ không xếp hạng các dịch vụ cụ thể về mặt an toàn ở đây.
Tùy chọn 3: Biến nó thành một trang tĩnh
Trang web tĩnh là một phương pháp phân phối các trang được tạo sẵn. Các trang web chủ yếu xuất bản văn bản và hình ảnh là ứng cử viên. Mặt khác, màn hình đăng bài phải được chuẩn bị riêng.
Có nhiều cách để chỉnh sửa trực tiếp các tệp trang được gọi là HTML, sử dụng các công cụ tạo trang từ bản thảo và kết hợp chúng với CMS để chỉnh sửa. Bạn càng bù đắp cho việc dễ dàng cập nhật thì bạn càng phải duy trì nhiều cơ chế hơn.
Cloudflare có các dịch vụ phân phối trang và các biện pháp bảo mật, nhưng việc chỉ chọn Trang hoặc Tài sản tĩnh của công nhân sẽ không cung cấp màn hình đăng bài như WordPress. ``Cách viết bài'' và ``nơi phân phối trang'' được xem xét riêng biệt.
| Điều tôi muốn tập trung vào | Hướng xem xét |
|---|---|
| Bạn muốn dễ dàng đăng bài trên điện thoại thông minh hoặc trình duyệt của mình? | CMS dễ sử dụng với màn hình chỉnh sửa hoặc tiếp tục WordPress |
| Tôi muốn nhiều người chỉnh sửa và phê duyệt | CMS với chức năng quản lý và phê duyệt quyền |
| Chủ yếu là văn bản và hình ảnh cũng như các tập tin cũng có thể được chỉnh sửa. | Công cụ tạo trang hoặc HTML tĩnh |
| Yêu cầu lịch sử thành viên/thanh toán/mua hàng | Xem xét bao gồm các dịch vụ chuyên dụng và xử lý động |
Giảm các cuộc tấn công trước với WAF của Cloudflare
Cloudflare có WAF để kiểm tra các thông tin liên lạc đáng ngờ trước trang web. Nó đóng vai trò tương tự như bảo mật tại bàn tiếp tân và có thể chặn các liên lạc tương tự như các cuộc tấn công đã biết và hạn chế quyền truy cập theo nguồn hoặc số lần nó được gửi.
Miễn phí có các quy tắc đối với một số mối đe dọa và Pro trở lên có phạm vi quy tắc được quản lý rộng hơn. Quy tắc được quản lý là các quy tắc phán đoán được Cloudflare chuẩn bị và cập nhật. Các biện pháp đối phó DDoS là các biện pháp đối phó với các cuộc tấn công khiến một trang web không thể sử dụng được do lượng truy cập lớn.
Các quy tắc bảo vệ lỗ hổng PHP này cũng đã được công bố. Tuy nhiên, có các điều kiện ứng dụng tùy thuộc vào cài đặt và đó là biện pháp đối phó với các cuộc tấn công đã biết. Không thể kết luận rằng nếu bạn sử dụng Cloudflare thì không cần cập nhật PHP.
Tham khảo: So sánh tính năng WAF / Các biện pháp đối phó và điều kiện của WAF đối với lỗ hổng PHP này
Nếu máy chủ ban đầu được đặt riêng biệt thì cũng cần có các biện pháp để ngăn chặn việc vượt qua WAF bằng cách truy cập trực tiếp vào máy chủ đó. Ngay cả đối với các trang web tĩnh, hãy cân nhắc các vấn đề như chiếm đoạt tài khoản công cộng, vấn đề với các dịch vụ bên ngoài và việc gửi biểu mẫu không được yêu cầu.
Chỉ cần đưa ra yêu cầu và để Cloudflare xử lý việc đó.
Điều này không có nghĩa là bạn không thể thực hiện yêu cầu trên một trang web tĩnh. Trang vẫn ở trạng thái tĩnh và bạn chỉ có thể thêm xử lý vào phần chấp nhận yêu cầu.
Workers là dịch vụ chạy các chương trình nhỏ như nhận biểu mẫu trên Cloudflare. Turnstile là một cơ chế nhằm giảm việc gửi bởi bot và Dịch vụ Email chịu trách nhiệm gửi email thông báo.
Gửi email là miễn phí nếu bạn chỉ muốn thông báo cho địa chỉ quản trị viên đã được xác minh. Để tự động trả lời những người hỏi, hãy sử dụng tính năng Gửi email và trả phí cho nhân viên, có thể gửi cho bất kỳ người nhận nào. Gửi email đang trong giai đoạn thử nghiệm tại thời điểm xác nhận thông tin.
Định tuyến email là dịch vụ chuyển tiếp các email được gửi đến miền riêng của bạn tới hộp thư đến hiện có của bạn. Nó không cung cấp hộp thư đến để đọc email. Ngoài ra, việc thông báo cho quản trị viên từ biểu mẫu và chuyển tiếp email đến miền riêng của bạn là các chức năng riêng biệt.
Để tránh mất câu hỏi, chúng tôi cũng thiết kế hướng dẫn trong trường hợp đường truyền bị lỗi, xử lý việc truyền lại và xác nhận đã nhận. Điều quan trọng nữa là không yêu cầu quá nhiều thông tin bí mật trong một biểu mẫu và quyết định nơi lưu thông tin đó, ai có thể xem thông tin đó và thông tin đó sẽ được lưu giữ trong bao lâu. Nếu bạn hiện có dịch vụ email, hãy đảm bảo rằng bạn không vô tình thay đổi cài đặt DNS xác định người nhận.
Turnstile yêu cầu JavaScript trong trình duyệt của bạn. Chúng tôi sẽ cung cấp cho bạn các phương thức liên hệ thay thế để bạn có thể liên hệ với chúng tôi ngay cả khi yêu cầu không hợp lệ hoặc quá trình truyền không thành công. Văn bản trang web và mục lục có thể được tách khỏi biểu mẫu và được định cấu hình để có thể đọc được bằng HTML thông thường.
Tham khảo: Cách xác thực Turnstile / Tổng quan về dịch vụ email / Định cấu hình chuyển tiếp email
Chi phí cho mục đích sử dụng chung/sử dụng của công ty là bao nhiêu?
Sau đây là ví dụ về cấu hình giả sử một trang web tĩnh có một tên miền và một biểu mẫu yêu cầu nhỏ. Không bao gồm các dịch vụ bổ sung như màn hình đăng CMS, chức năng thành viên/thanh toán, lưu trữ tệp đính kèm, giám sát/gửi lại. Nếu bạn muốn giữ WordPress, bạn sẽ phải trả tiền riêng cho máy chủ.
Số tiền được tính bằng đô la Mỹ kể từ ngày 25 tháng 10 năm 2026. Không bao gồm thuế, tỷ giá hối đoái, việc mua lại và gia hạn các miền, hộp thư đến và chi phí lao động cho sản xuất và bảo trì. Hãy coi nó như ``phí hàng tháng tối thiểu + số tiền vượt quá mức sử dụng đã bao gồm''.
Sử dụng chung: Nếu bạn chỉ muốn thông báo cho quản trị viên, hãy bắt đầu với bậc miễn phí.
Đối với blog cá nhân, trang web sở thích, v.v., sẽ thật tuyệt nếu có thể xem các câu hỏi trong hộp thư đến của riêng bạn. Sẽ không có phản hồi tự động và kết quả truyền sẽ được hiển thị trên màn hình.
| Mục đích | Sử dụng cái gì | Ước tính phí hàng tháng |
|---|---|---|
| Phân phối trang | Pages／Workers Static Assets | $0 |
| Các biện pháp an toàn lối vào | Gói miễn phí trang web | $0 |
| Các biện pháp chống bot | Turnstile Free | $0 |
| tiếp nhận yêu cầu | Workers Free | $0 (trong bậc miễn phí) |
| Thông báo của quản trị viên | Gửi đến đích đã xác nhận | $0 |
| Tổng số gần đúng | $0 (cấp miễn phí/giới hạn) | |
Cấp miễn phí có đủ hay không không chỉ phụ thuộc vào số lượng truy cập mà còn phụ thuộc vào thời gian xử lý và triển khai. Ngay cả khi email thông báo tới quản trị viên là miễn phí, vẫn có những hạn chế khác đối với việc thực hiện chương trình tiếp nhận.
Sử dụng cho doanh nghiệp: Thêm trả lời tự động và WAF trả phí
Đây là ví dụ về việc trả lại email tiếp nhận cho người hỏi và sử dụng các quy tắc WAF rộng hơn. Điều này không có nghĩa là bạn nhất thiết cần có kế hoạch này chỉ vì bạn là một công ty. Chọn theo vai trò của trang web và tác động của việc ngừng hoạt động.
| Mục đích | Sử dụng cái gì | Ước tính thanh toán hàng tháng |
|---|---|---|
| Phân phối trang | Pages／Workers Static Assets | $0 |
| WAF trả phí, v.v. | Kế hoạch trang web chuyên nghiệp | $25 |
| Các biện pháp chống bot | Turnstile Free | $0 |
| Tiếp nhận/Trả lời tự động | Workers Paid＋Email Sending | Tối thiểu $5 |
| Thông báo của quản trị viên | Gửi đến đích đã xác nhận | $0 |
| Tổng số gần đúng | Tối thiểu $30/tháng + mức sử dụng vượt mức | |
Workers Paid bao gồm khoản trợ cấp gửi email hàng tháng là 3.000 email với mức giá cơ bản tối thiểu là 5 USD/tháng. Phí quá hạn là 0,35 USD trên 1.000 email. Gửi đến quản trị viên đã được xác nhận không được bao gồm trong khung này. Vì việc gửi lại và các mục đích khác cũng sử dụng hạn ngạch gửi nên không có gì đảm bảo rằng chúng tôi sẽ có thể nhận được 3.000 câu hỏi.
So sánh bao gồm thanh toán hàng năm và kinh doanh
| Ví dụ cấu hình | Phí cơ bản hàng tháng | Chuyển đổi hàng tháng cho gói trang web thanh toán hàng năm |
|---|---|---|
| Sử dụng chung: Miễn phí + Miễn phí công nhân | $0 (trong bậc miễn phí) | $0 (trong bậc miễn phí) |
| Thêm trả lời tự động: Miễn phí + Trả phí cho công nhân | Tối thiểu $5 | Tối thiểu $5 |
| Ví dụ về cách sử dụng của công ty: Pro+Workers Paid | Tối thiểu $30 | Giá trị tối thiểu $25 |
| Nếu yêu cầu khắt khe: Doanh nghiệp + Công nhân được trả lương | Tối thiểu $255 | Giá trị tối thiểu là $205 |
Khoản thanh toán hàng năm cho Pro là 240 USD/năm và khoản thanh toán hàng năm cho Doanh nghiệp là 2.400 USD/năm. Tối thiểu $5/tháng cho Người lao động và việc sử dụng vượt mức sẽ được tính phí riêng. Đây không phải là hợp đồng mà bạn phải trả số tiền tương đương hàng tháng được hiển thị trong bảng hàng tháng.
Doanh nghiệp có SLA (thỏa thuận hợp đồng về thời gian hoạt động) cho các gói trang web, nhưng điều này không đảm bảo toàn bộ hệ thống, bao gồm xử lý biểu mẫu và gửi email. Nếu hoạt động liên tục là quan trọng, hãy đánh giá việc phát hiện lỗi, khôi phục lỗi và xử lý các tính năng beta.
Workers Paid là kế hoạch thực hiện chương trình, v.v. Pro/Business là kế hoạch dành cho các trang web như WAF. Ngay cả khi bạn đăng ký Worker Paid, WAF trả phí sẽ không được tự động đính kèm.
Yêu cầu đối với tệp tĩnh là miễn phí và không giới hạn nhưng có những hạn chế về số lượng tệp, dung lượng, v.v. WAF được coi là được đặt thành tuyến có thể áp dụng, chẳng hạn như tên miền riêng của mục tiêu và phải cẩn thận khi truy cập từ một URL công khai khác.
Trước khi di chuyển, hãy kiểm tra xem có vấn đề gì không trước khi cân nhắc giá cả.
Nếu việc cập nhật mỗi lần trở thành gánh nặng sau khi di chuyển, bạn sẽ khó tiếp tục sử dụng trang web. Chúng tôi nghĩ rằng trước tiên bạn nên thử đăng và xuất bản một số lượng nhỏ bài viết.
- Cập nhật:Người phụ trách có thể viết bài, thêm hình ảnh và đăng bài không?
- Trang hiện tại:URL trước đó có thể được duy trì không? Nếu tôi muốn thay đổi nó, tôi có thể được hướng dẫn/chuyển hướng từ URL cũ không?
- Chức năng đính kèm:Cách chuyển nhận xét, tìm kiếm, danh mục, RSS, biểu mẫu, v.v.
- Khôi phục:Nếu bạn xuất bản nội dung không chính xác, bạn có thể quay lại trạng thái trước đó không?
- Xuất: Bài viết và hình ảnh có thể được sao lưu và di chuyển đi nơi khác trong tương lai không?
- Quản lý:Tài khoản có thể được quản lý bởi nhiều người không? Tôi có thể thiết lập xác thực đa yếu tố không?
Ngoài ra còn có một cách để tiếp tục sử dụng WordPress và thiết lập hệ thống bảo trì. Bạn có thể để việc này cho một dịch vụ được quản lý hoặc bạn có thể đặt bên xuất bản ở trạng thái tĩnh. Tôi muốn chọn cấu hình phù hợp với trang web của mình bằng cách kiểm tra các chức năng cần thiết cũng như phạm vi cập nhật và bảo trì liên tục.
Hình minh họa là một sơ đồ giải thích được tạo ra cho bài viết này. Giá cả và điều kiện cung cấp có thể thay đổi.