AHAGO Spam Anti VN Comment Guard

• Phiên bản: 1.2.3
• WordPress: 7.0+
• PHP: 8.3+
• Cập nhật: 2026-10-07 14:54

Nhật ký thay đổi

1.2.3

• Bảo mật: cập nhật Ahago SDK 1.0.4 (thêm bẫy chống bẻ khóa); thêm cổng kiểm tra license thứ hai trong các hàm bảo vệ.

1.2.2

• Bảo mật: cập nhật Ahago SDK 1.0.3 — khóa tính năng khi key vượt số site, chưa được xác nhận cho site này hoặc không đọc được.

1.2.1

• Tối ưu: cập nhật Ahago SDK 1.0.3 (key lưu không còn phụ thuộc salt WP).

1.2.0

• Tính năng: chuyển sang Ahago License — không có license hợp lệ thì plugin không chạy tính năng nào; nhận cập nhật từ ahago.net.

1.1.4

• Sửa lỗi:
• WooCommerce: khách tạo tài khoản ngay ở trang thanh toán cổ điển không còn bị chặn (vẫn áp dụng giới hạn tần suất, GeoIP, chặn email dùng một lần).
• Bảo mật:
• Không còn tự thêm IP vào danh sách tin cậy mỗi khi mở trang cấu hình (tránh tin cậy nhầm IP 4G dùng chung).

1.1.3

• Sửa lỗi:
• Trang cấu hình: bật/tắt liên tiếp khi đang lưu không còn bị mất thay đổi.
• Không còn ghi đè trạng thái spam/thùng rác/lỗi do WordPress hoặc plugin khác (Akismet, từ khóa cấm) thành chờ duyệt.
• Giới hạn tần suất không còn cho lọt quá ngưỡng ở ranh giới cửa sổ thời gian.

1.1.2

• Sửa lỗi bảo mật nghiêm trọng:
• Vá lỗ hổng cho phép bỏ qua hoàn toàn bằng chứng xử lý: bản 1.1.1 chấp nhận mọi yêu cầu có token hợp lệ nhưng bỏ trống đáp án PoW, nên chỉ cần gọi endpoint cấp token rồi gửi biểu mẫu là qua được tường lửa. Nay trường hợp này không bị chặn cứng (giữ nguyên tinh thần bản vá chống tự khóa) nhưng phải trả giá: token bị đốt ngay, bình luận bị giữ lại kiểm duyệt, đăng ký bị giới hạn 1 lượt / 30 phút / IP
• Vá lỗi chống phát lại: nhánh thiếu đáp án PoW trước đây chỉ ghi mà không đọc kho token đã dùng, khiến một chữ ký dùng lại được không giới hạn trong suốt 10 phút. Nay mọi token hợp lệ đều bị kiểm tra và đốt đúng một lần
• Giới hạn endpoint cấp token công khai còn 30 lượt / 10 phút / IP, chặn việc thu gom token hàng loạt
• Challenge chuyển sang `random_bytes(8)` thay vì dải số ~10^7, loại bỏ khả năng hai khách truy cập trùng chữ ký và chặn nhầm lẫn nhau
• Sửa lỗi chặn nhầm người dùng thật:
• Bình luận và đánh giá sao gửi qua REST (giao diện dựng bằng khối, biểu mẫu đánh giá AJAX) trước đây bị chặn cứng 100% vì không thể mang theo trường bảo vệ. Nay được đưa vào hàng chờ kiểm duyệt thay vì từ chối
• Đăng ký WooCommerce không hoạt động: mã JS gọi `form.submit()` làm mất cặp name/value của nút bấm mà WooCommerce bắt buộc phải có, đồng thời vô hiệu hóa trình xác thực của giao diện và plugin khác. Nay dùng `requestSubmit()` kèm nhánh dự phòng
• Bổ sung nhánh giải PoW trên luồng chính cho trình duyệt thiếu Web Worker
• Lưu cấu hình qua REST với một phần dữ liệu không còn xóa sạch các công tắc vắng mặt
• Sửa lỗi logic chấm điểm:
• Bẫy thời gian trước đây bỏ qua yêu cầu không gửi trường thời gian, tức là bot chỉ cần lược bỏ trường đó. Nay thiếu trường cũng bị tính điểm, và đồng hồ soạn thảo chạy từ lúc tải trang nên luôn có giá trị thật
• Đếm liên kết không còn tính một thẻ `` thành hai
• Chống trùng lặp chỉ ghi mã băm sau khi bình luận thực sự được lưu, không còn tính trùng oan khi lần gửi đầu bị từ chối vì lý do khác
• Bộ lọc từ khóa thêm ranh giới từ, không còn bắt nhầm "alphabet", "Seoul", "sherbet"
• Độ khó PoW được gửi kèm và xác minh một lần thay vì dò ngược cả dải, nên đổi cấu hình không làm hỏng token đang lưu thông
• Sửa lỗi khác:
• Thống kê không còn bốc hơi: bộ đếm tạm giữ một tuần và được dồn định kỳ bằng cron thay vì chỉ khi có người mở bảng điều khiển
• Hỗ trợ nhiều biểu mẫu được bảo vệ trên cùng một trang (trường chèn chuyển từ id sang class)
• Chống lỗi PHP khi dữ liệu điểm vi phạm cũ sai cấu trúc

1.1.1

• Nới thời gian tối đa giải PoW phía trình duyệt từ 30 lên 45 giây
• Không hard-code trần độ khó PoW (6) ở hai nơi nữa, dùng chung hằng số POW_DIFFICULTY_MAX
• Cập nhật yêu cầu tối thiểu: WordPress 7.0+, PHP 8.3+

1.1.0

• Trang cấu hình chuyển sang tự động lưu qua REST API (fetch + debounce, có AbortController), bỏ nút lưu thủ công
• Giao diện quản trị làm mới: CSS hiện đại, chỉ báo trạng thái lưu, hỗ trợ giảm chuyển động
• Toàn bộ chuỗi hiển thị cho quản trị viên và người dùng cuối chuẩn hóa sang tiếng Việt chuyên ngành
• Mở khóa ba tham số trước đây bị ghi đè cứng: độ khó PoW, số lần gửi tối đa, độ dài cửa sổ giới hạn (có kẹp biên hợp lệ)
• Giới hạn tần suất chuyển sang cửa sổ trượt, không gia hạn thời hạn vô hạn, không cộng điểm phạt cho hành vi gửi nhanh đơn thuần
• Sửa lỗ hổng quyền riêng tư: trình xuất dữ liệu nay chỉ trả về bản ghi khớp đúng email người yêu cầu (trước đây trả về toàn bộ IP của mọi người)
• Bổ sung trình xóa dữ liệu cá nhân theo yêu cầu (GDPR erasure)
• Nhật ký bị chặn lưu cấu trúc rõ ràng: IP, lý do, mã băm email, thời điểm
• Đã rà soát tương thích WordPress 7.0

6.2.0

• Token PoW cấp qua AJAX thay vì kết xuất vào HTML (an toàn bộ nhớ đệm)
• Từ chối yêu cầu thiếu dấu bảo vệ khi PoW/Honeypot bật
• Xác minh mã PoW trước khi đánh dấu token đã dùng
• Ký cố định độ khó vào chữ ký, chống lệch độ khó
• Giới hạn thời gian và xử lý lỗi cho luồng tính PoW phía trình duyệt
• Gộp ghi thống kê qua transient thay vì ghi thẳng option trên đường nóng

6.1.0

• Bộ máy lai cao cấp: PoW, Honeypot, Zero-Trust, chấm điểm

1.0.0

• Phiên bản đầu tiên