Init Void Shield – Zero-DB, Honeypot, Anti-Spam

Nhật ký thay đổi

1.11 – 23 tháng 9, 2026

• Đã sửa lỗi: một người truy cập thật vẫn có thể bị từ chối trên form Đăng nhập (và các form tài khoản khác) khi trình duyệt tự động điền mật khẩu đã lưu và họ nhấp “Đăng nhập” trong giây đầu tiên. Token JS trước đây chỉ tồn tại sau khi Độ trễ Token JavaScript đã trôi qua, và Thời gian gửi tối thiểu so sánh theo giây trọn vẹn, nên một cú nhấp như vậy bị đánh dấu là “Thiếu hoặc token JS không hợp lệ” hoặc “Gửi quá nhanh”. Đã thêm Submit Hold: trên các form gửi không dùng AJAX (form lõi WordPress, bình luận, form tài khoản WooCommerce, bbPress, BuddyPress), một lượt gửi sớm giờ được giữ lại trong chốc lát và gửi tự động khi lớp bảo vệ sẵn sàng, thay vì bị từ chối. Không có kiểm tra phía máy chủ nào bị nới lỏng — lượt gửi được giữ chỉ đơn giản đến khi nó thỏa mãn các kiểm tra đó. Tên/giá trị của nút đã nhấp được giữ nguyên, và các cú nhấp lặp lại trong lúc giữ chỉ tạo ra một lượt gửi duy nhất.
• Bảo mật: token JS không còn là chuỗi cố định human_verified, vốn giống hệt nhau trên mọi site và có thể được một bot gửi mà không chạy bất kỳ JavaScript nào. Giờ nó là một bằng chứng đã ký gắn với token thời gian và ngữ cảnh riêng của form, được nhúng trong trang chỉ ở dạng đã niêm phong. Một lượt gửi mang bằng chứng bị thiếu, tĩnh, hoặc không khớp sẽ bị từ chối với lý do chặn mới “Invalid JS proof”. Lazy Fetch giờ làm mới bằng chứng cùng với token thời gian. Hãy xóa bộ nhớ đệm trang của bạn một lần sau khi cập nhật — các trang đã lưu đệm với script trước đó sẽ thất bại kiểm tra này.
• Đã thêm Chặn gửi liên trang trong Bảo vệ nâng cao (bật theo mặc định): từ chối một lượt gửi mà chính trình duyệt báo cáo là gửi từ một website khác (Sec-Fetch-Site: cross-site). Một yêu cầu không có header này không bao giờ bị kiểm tra này từ chối. Có thể loại trừ theo từng yêu cầu qua init_plugin_suite_void_shield_cross_site_exempt.
• Tăng cường Phát hiện trình duyệt headless: giờ cũng đánh dấu User-Agent HeadlessChrome/PhantomJS, các biến toàn cục tự động hóa DOM/Nightmare/PhantomJS, và dấu hiệu Selenium ChromeDriver.
• Tăng cường Chặn User Agent không phải trình duyệt: đã thêm chữ ký HeadlessChrome, PhantomJS, HTTPX, aiohttp, axios, undici, HTTPie, và Colly.
• Đã thêm filter nội dung bình luận trong Comments (mỗi cái tùy chọn tham gia, tắt theo mặc định): Số liên kết tối đa mỗi bình luận, Chặn liên kết BBCode, và Chặn URL trong tên tác giả. Chúng cũng áp dụng cho bình luận wpDiscuz, mà các lớp honeypot không thể xác minh. Filter mới init_plugin_suite_void_shield_skip_content_filters và init_plugin_suite_void_shield_comment_content_violation (để thêm quy tắc riêng của bạn).
• Đã thêm lớp bảo vệ Đăng nhập WooCommerce (My Account và lời nhắc đăng nhập lúc thanh toán) và Quên mật khẩu WooCommerce trong Tích hợp cộng đồng & Thương mại điện tử, cả hai đều tắt theo mặc định. Cả hai đều dùng Thời gian gửi tối thiểu cho form tài khoản và hưởng lợi từ Submit Hold.
• Đã sửa lỗi: khi Bảo vệ form Quên mật khẩu được bật, mọi yêu cầu đặt lại mật khẩu WooCommerce trước đây đều bị từ chối, kể cả những yêu cầu hợp lệ, vì trình xử lý đặt lại của WooCommerce chạy cùng kiểm tra lõi nhưng form của nó không bao giờ mang các trường honeypot. Form quên mật khẩu WooCommerce giờ luôn được bảo vệ khi lớp bảo vệ Quên mật khẩu lõi được bật, và mỗi form được xác minh theo ngữ cảnh riêng của nó.
• Đã sửa lỗi: việc gỡ cài đặt plugin trước đây để sót lại các tùy chọn Thời gian gửi tối thiểu cho form tài khoản, Yêu cầu Referer cùng site, và Chặn User Agent không phải trình duyệt.
• Thống kê: các lượt chặn WooCommerce giờ được nhóm là “Form tài khoản WooCommerce”, với các lý do chặn mới cho các kiểm tra nêu trên.
• Đã cập nhật bản dịch tiếng Việt và mẫu .pot cho các chuỗi mới.

1.10 – 14 tháng 9, 2026

• Đã tổ chức lại màn hình Cài đặt: chuyển Thời gian gửi tối thiểu, Thời gian gửi tối thiểu cho form tài khoản, Độ trễ Token JavaScript, và Tuổi token tối đa ra khỏi “Comments” vào mục mới Timing & Token Engine, vì các cài đặt này được dùng chung bởi mọi form được bảo vệ, không chỉ bình luận. Không có tên cài đặt, giá trị, hay hành vi nào thay đổi.
• Đã cập nhật bản dịch tiếng Việt và mẫu .pot cho các chuỗi mục mới.

1.9 – 10 tháng 9, 2026

• Đã sửa lỗi: một người truy cập thật trên một form tự động điền (thường nhất là đăng nhập) trước đây có thể bị đánh dấu sai là “Không phát hiện tương tác thật” nếu bộ đếm giờ trễ JS kích hoạt ngay trước cú nhấp gửi của họ, ngay cả khi Yêu cầu tương tác người dùng thật hoạt động đúng như thiết kế. Giờ kết quả được kiểm tra lại tại thời điểm gửi và chỉ có thể nâng cấp một kết quả “không tương tác” đã được đánh dấu trước đó thành đã xác minh.
• Đã thêm cài đặt riêng Thời gian gửi tối thiểu cho form tài khoản (mặc định 1 giây), dùng bởi các lớp bảo vệ Đăng nhập, Đăng ký, Quên mật khẩu, Đăng ký Multisite, đăng ký WooCommerce, và đăng ký BuddyPress thay vì Thời gian gửi tối thiểu chung — tự động điền cho phép một người truy cập thật gửi nhanh hơn so với gõ một bình luận. Đặt thành 0 để tắt kiểm tra này chỉ cho form tài khoản. Các filter init_plugin_suite_void_shield_min_time và _max_time giờ cũng nhận ngữ cảnh bảo vệ làm tham số thứ hai.
• Đã tăng cường trường bẫy honeypot với readonly, để trình duyệt và trình quản lý mật khẩu tự động điền không bao giờ điền vào đó; khả năng bắt bot không bị ảnh hưởng.
• Đã cập nhật bản dịch tiếng Việt và mẫu .pot cho các chuỗi cài đặt mới.

1.8 – 8 tháng 9, 2026

• Đã sửa lỗi: một ký tự ‘&’ thô bên trong script honeypot trước đây có thể bị mã hóa thành thực thể HTML bởi một số môi trường (bộ nén HTML, plugin đa ngôn ngữ, plugin bảo mật/lọc kết quả xuất, hoặc convert_chars() của chính WordPress), biến && thành văn bản nguyên văn && trên trang. Trình duyệt không bao giờ giải mã thực thể bên trong nội dung <script>, nên điều này làm hỏng hoàn toàn việc phân tích JS và âm thầm từ chối mọi lượt gửi. Script không còn phát ra bất kỳ ký tự & thô nào.
• Đã sửa lỗi: bình luận của một người truy cập thật lần đầu trước đây có thể bị từ chối sai là chưa xác minh (chỉ thành công khi thử lại) trên các site dùng tối ưu “trì hoãn thực thi JavaScript”, vì script trước đây chỉ lắng nghe DOMContentLoaded, vốn đã kích hoạt trước khi một script bị trì hoãn như vậy chạy. Giờ nó kiểm tra document.readyState và chạy ngay nếu tài liệu đã qua trạng thái đang tải.
• Đã thêm Phát hiện User-Agent không phải trình duyệt (bật theo mặc định): từ chối các lượt gửi có User-Agent nhận diện là một client HTTP dạng script (curl, Python requests, Go, Scrapy, và tương tự) thay vì một trình duyệt thật. Danh sách chữ ký có thể tùy chỉnh qua init_plugin_suite_void_shield_blocked_user_agent_signatures.
• Đã thêm jitter Độ trễ Token JavaScript: giờ có thêm một khoảng thời gian ngẫu nhiên nhỏ (lên đến 400ms, có thể tùy chỉnh) bên trên độ trễ đã cấu hình để không thể đọc được từ mã nguồn trang và canh thời điểm.
• Tăng cường Yêu cầu tương tác người dùng thật: một sự kiện tương tác giờ chỉ được tính khi một độ trễ tối thiểu ngắn đã trôi qua kể từ lúc script khởi tạo, khép lại một lỗ hổng mà một bot có thể thỏa mãn kiểm tra bằng một sự kiện giả tại lúc tải trang.
• Đã thêm Yêu cầu Referer cùng site cho bình luận (tùy chọn tham gia, tắt theo mặc định): từ chối một lượt gửi có header Referer bị thiếu hoặc trỏ đến một site khác. Sự đánh đổi được công khai, cùng tinh thần với Login Guard Scope — một số trình duyệt tập trung vào quyền riêng tư loại bỏ Referer ngay cả trên các lượt gửi hợp lệ.
• Đã loại bỏ mọi chú thích khỏi script honeypot nội tuyến được dựng trên mọi form được bảo vệ, vì nó in ra mã nguồn trang công khai ở mỗi lần tải. Lý giải giờ chỉ nằm trong mã nguồn PHP của plugin. Giảm khoảng một phần ba kích thước script được dựng.

1.7 – 1 tháng 9, 2026

• Đã sửa lỗi: bộ làm sạch dữ liệu cho ô đánh dấu dùng chung trước đây coi bất kỳ giá trị nào có mặt là đã bật, khiến mọi ô đánh dấu chưa chọn bị lưu thành 1 ở lần lưu đầu tiên. Đã siết chặt để yêu cầu giá trị '1' rõ ràng trước khi coi một ô đánh dấu là đã bật.

1.6 – 30 tháng 8, 2026

• Đã sửa lỗi: một cài đặt trước đây có thể bị kẹt vĩnh viễn ở giá trị đã lưu và âm thầm từ chối thay đổi khi Lưu — dễ nhận thấy nhất ở “Bật Init Void Shield”, vì một bản cài mới bắt đầu đã ở giá trị mặc định là đã chọn. Nguyên nhân do tham số default của register_setting(), kích hoạt một trường hợp biên của lõi WordPress trong update_option() khi giá trị của một cài đặt khớp với giá trị mặc định đó. Đã loại bỏ khỏi mọi cài đặt trong plugin này; giá trị mặc định hiển thị không bị ảnh hưởng.
• Đã thêm tương thích tự động với wpDiscuz: wpDiscuz dựng các lượt gửi bình luận của nó từ một tập trường cố định thay vì tuần tự hóa form của nó, nên các kiểm tra của plugin này không bao giờ có thể thấy hoặc xác minh chúng. Khi wpDiscuz được phát hiện đang hoạt động, bình luận của nó giờ được âm thầm loại trừ khỏi việc xác minh thay vì bị từ chối.
• Đã sửa lỗi: việc xác minh bình luận giờ xác định ID bài viết từ giá trị mà lõi WordPress đã phân tích, thay vì đọc lại trường POST comment_post_ID thô — không phải mọi form bình luận đều gửi nó dưới đúng tên đó.

1.5 – 30 tháng 8, 2026

• Đã thêm Login Guard Scope: một tùy chọn mới “chỉ wp-login.php” cho Login Guard, ngừng hoàn toàn việc bảo vệ một cách dùng wp_login_form() ở frontend (ví dụ một trang đăng nhập tùy chỉnh, widget, hoặc modal) trong khi vẫn giữ bảo vệ đầy đủ trên form wp-login.php gốc. Dành cho các site mà form frontend đó nằm trên một trang mà cache toàn trang có thể phục vụ dữ liệu cũ; dùng header Referer làm cơ chế suy đoán để phân biệt hai form (một sự đánh đổi được công khai, không phải một đảm bảo mã hóa). Mặc định (“Mọi nơi”) không thay đổi và vẫn là tùy chọn mạnh nhất.
• Đã nâng giới hạn Tuổi token tối đa từ 24 giờ lên 30 ngày, để các site có cache toàn trang tồn tại lâu dài có thể đặt một giá trị bao trùm thoải mái thời gian tồn tại bộ nhớ đệm của họ.
• Đã thêm Lazy Fetch (Token an toàn với cache) trong Bảo vệ nâng cao (tắt theo mặc định): làm mới token thời gian qua một yêu cầu fetch() cùng nguồn nhỏ (JavaScript thuần, không jQuery, không dịch vụ bên ngoài) ngay khi trang thực sự tải, thay vì chỉ dựa vào giá trị có sẵn từ lúc dựng trang — vốn, trên một trang đã lưu đệm, phản ánh thời điểm bộ nhớ đệm được tạo ra chứ không phải thời điểm một người truy cập thật tải nó. Áp dụng cho mọi form được bảo vệ. Quay về dùng token có sẵn ban đầu nếu yêu cầu thất bại hoặc JavaScript không khả dụng, nên việc bật nó chỉ có thể giúp ích, không bao giờ tạo ra chế độ lỗi mới. Route REST của nó được đăng ký trong namespace initvoshi/v1, khớp với quy ước đặt tên dùng trên toàn Init Plugin Suite.

1.4 – 30 tháng 8, 2026

• Bảo mật: token thời gian đã ký giờ được gắn với ngữ cảnh bảo vệ cụ thể mà nó được cấp cho (trước đây nó chỉ là một hàm của timestamp, nên một token hợp lệ bắt được từ một form — ví dụ một form bình luận công khai — về lý thuyết có thể bị phát lại nhắm vào một ngữ cảnh khác, nhạy cảm hơn, như lớp bảo vệ đăng nhập). Tên trường trước đây đã khác nhau theo ngữ cảnh, nhưng bản thân token thì không.
• Bảo mật: đã thêm cài đặt Tuổi token tối đa (mặc định 1 giờ) để một token không thể bị bắt lấy một lần và lưu đệm để phát lại vô thời hạn. Các lượt gửi mang token cũ hơn mức này giờ bị từ chối với lý do chặn mới token_expired.
• Đã sửa lỗi: các cài đặt Thời gian gửi tối thiểu và Độ trễ Token JavaScript trên trang cài đặt trước đây không thực sự được đọc trong lúc xác minh/hiển thị — mã luôn dùng giá trị mặc định của filter (3 giây / 1000ms) bất kể đã lưu gì. Giờ cả hai cài đặt đều có hiệu lực như mong đợi; các filter dành cho lập trình viên tương ứng vẫn áp dụng bên trên. Lưu ý cho người dùng hiện tại: nếu bạn trước đây đã thay đổi một trong hai giá trị khác với mặc định, nó trước đây âm thầm không có tác dụng — sau khi cập nhật nó giờ sẽ thực sự được áp dụng, nên đáng để xem lại cả hai giá trị trên trang cài đặt để xác nhận chúng vẫn là điều bạn muốn.
• Đã thêm kiểm tra Yêu cầu tương tác người dùng thật tùy chọn trong Bảo vệ nâng cao (tắt theo mặc định): cũng yêu cầu ít nhất một sự kiện chuột, bàn phím, chạm, hoặc cuộn thật trước khi một lượt gửi được chấp nhận, để bắt các bot chỉ đơn giản chờ hết độ trễ JS mà không tương tác với trang.
• Đã thêm tích hợp honeypot tùy chọn cho WooCommerce (form đăng ký My Account), bbPress (form Chủ đề mới và Trả lời), và BuddyPress (form đăng ký) — mỗi cái đều tắt theo mặc định, chỉ kích hoạt nếu plugin tương ứng đang hoạt động.
• Đã thêm lớp bảo vệ đăng ký Multisite tùy chọn cho wp-signup.php (tắt theo mặc định, chỉ có hiệu lực trên bản cài Multisite).
• Đã thêm widget Bảng điều khiển tùy chọn (tắt theo mặc định) hiển thị tóm tắt gọn “Lượt gửi bị chặn” với các kênh và lý do bị chặn hàng đầu.
• Đã cập nhật mẫu dịch (.pot) và bản dịch tiếng Việt cho mọi chuỗi mới.

1.3 – 24 tháng 8, 2026

• Đã sửa lỗi: lớp bảo vệ đăng nhập giờ cũng bao trùm wp_login_form() (dùng để đặt một form đăng nhập ở bất kỳ đâu trên frontend, ví dụ một widget hoặc mẫu theme). Trước đây chỉ form wp-login.php gốc được bảo vệ; một lượt gửi wp_login_form() ở frontend không mang trường honeypot nào và luôn bị từ chối với “Invalid login attempt.” khi lớp bảo vệ đăng nhập được bật.
• Đã thêm ba filter dành cho lập trình viên — init_plugin_suite_void_shield_skip_login_verification, init_plugin_suite_void_shield_skip_register_verification, và init_plugin_suite_void_shield_skip_lostpassword_verification — để chủ động tắt mỗi lớp bảo vệ Form lõi WordPress cho một yêu cầu cụ thể bất kể công tắc trên trang cài đặt.

1.2 – 23 tháng 8, 2026

• Đã thêm lớp bảo vệ honeypot tùy chọn cho các form đăng nhập, đăng ký, và quên mật khẩu mặc định của WordPress (mỗi cái đều tắt theo mặc định; bật riêng trong Form lõi WordPress).
• Đã thêm tích hợp honeypot tùy chọn cho Contact Form 7, WPForms, và Gravity Forms (mỗi cái đều tắt theo mặc định; chỉ kích hoạt nếu plugin tương ứng đang hoạt động).
• Đã thêm cài đặt tiền tố tên trường honeypot tùy chỉnh trong Bảo vệ nâng cao.
• Đã thêm luân phiên bẫy CSS: kỹ thuật ẩn nội tuyến và thứ tự trường bẫy giờ được ngẫu nhiên hóa theo từng lượt dựng để làm việc học mẫu hình khó hơn cho các bot nhận biết CSS.
• Đã thêm thống kê nhẹ, có thể tắt (bộ đếm lượt gửi bị chặn theo tổng/kênh/lý do) được lưu trong một tùy chọn duy nhất với autoload bị tắt rõ ràng, cùng một hành động đặt lại trên trang cài đặt.
• Đã thêm phát hiện trình duyệt headless phía client (navigator.webdriver, cửa sổ kích thước 0) đặt bên trên kiểm tra token JS hiện có; không có lệnh gọi bên ngoài.
• Đã tái cấu trúc công cụ honeypot thành một module nội bộ dùng chung, được tái sử dụng bởi form bình luận, các lớp bảo vệ form lõi WP, và cả ba tích hợp plugin form.
• Đã sửa lỗi thông báo quản trị “Settings saved.” bị trùng lặp trên trang cài đặt (lõi WordPress đã tự động in ra thông báo này cho các trang trong menu Settings; plugin không còn in nó lần thứ hai).
• Thay đổi: tham số thứ hai của filter init_plugin_suite_void_shield_honeypot_html giờ là chuỗi ngữ cảnh bảo vệ chung (ví dụ comment_123, login, cf7_4) thay vì chỉ là ID bài viết bình luận dạng số.

1.1 – 13 tháng 8, 2026

• Đã thêm Lớp 5 tùy chọn: cài đặt “Chặn bình luận qua REST API” để từ chối các bình luận gửi trực tiếp qua endpoint REST wp/v2/comments, mà honeypot 4 lớp cổ điển không thể bao trùm vì nó không bao giờ thấy các yêu cầu đó.
• Đã loại bỏ dự phòng script nội tuyến kiểu cũ trước 5.7; plugin giờ luôn dùng wp_get_inline_script_tag(), khớp với yêu cầu “Requires at least: 5.7” hiện có.

1.0 – 30 tháng 7, 2026

• Phát hành lần đầu
• Honeypot 4 lớp: trường động, bẫy ẩn bằng CSS, token thời gian đã ký, xác minh JS
• Trang cài đặt: bật/tắt, áp dụng cho người dùng đã đăng nhập, thời gian gửi tối thiểu, độ trễ JS
• API filter đầy đủ cho lập trình viên
• Không dấu vết cơ sở dữ liệu
• Giết mềm với HTTP 200 để đánh lừa bot