EmDash 1.0: Hệ quản trị nội dung ổn định với kho plugin bảo mật

Khi chúng tôi giới thiệu EmDash vào ngày 1 tháng 4 như là "người kế thừa tinh thần của WordPress", sự bàn tán về nó là điều khó có thể phớt lờ. Đi dạo quanh một hội nghị WordPress vào tháng đó, chúng tôi không thể đi đâu xa mà không nghe thấy những lời xì xào về EmDash từ những người tham dự.

Nhưng bên cạnh sự phấn khích và tò mò, vẫn có những hạt giống nghi ngờ trong lòng một số người trong ngành. Liệu đây có phải chỉ là một trò đùa ngày Cá tháng Tư?

Không phải vậy. Hôm nay, chúng tôi phát hành EmDash 1.0: một CMS ổn định, miễn phí và mã nguồn mở được xây dựng trên Astro, sẵn sàng để vận hành một trang web thực tế, nền tảng "vibe-coding" cho agency của bạn hoặc trải nghiệm xây dựng trang web của công ty hosting.

Các lập trình viên xây dựng với Astro, biên tập viên quản lý nội dung thông qua trang quản trị EmDash, và các tác nhân (agent) có thể làm việc thông qua API, CLI hoặc máy chủ MCP tích hợp. EmDash 1.0 kết hợp các thành phần đó lại với nhau cùng các quy trình biên tập, quản lý phương tiện, bản địa hóa, di chuyển và triển khai đã được kiểm chứng trong môi trường thực tế.

Chúng tôi cũng đang ra mắt một kho plugin phi tập trung cho phép các lập trình viên xuất bản mà không cần phải bàn giao quyền sở hữu danh tính hoặc các bản phát hành của họ cho một chợ ứng dụng tập trung, trong khi chủ sở hữu trang web có thể khám phá và cài đặt các plugin của họ trực tiếp từ bên trong EmDash.

Hành trình đến phiên bản 1.0

Kể từ bản beta đầu tiên của EmDash, các lập trình viên đã khởi chạy những trang web thực tế với nó. Mặc dù vậy, chúng tôi vẫn liên tục nhận được một phản hồi hợp lý: "Thứ này trông thú vị đấy. Hãy cho tôi biết khi nào nó đạt bản 1.0." Trước khi tin tưởng sử dụng EmDash cho trang web của mình, họ muốn sự đảm bảo rằng nó ổn định, an toàn, các bản nâng cấp sẽ bảo vệ nội dung của họ và chúng tôi hoàn toàn cam kết duy trì nó.

EmDash 1.0 chính là câu trả lời của chúng tôi cho điều đó. Trong năm tháng qua, chúng tôi đã làm việc với các cộng tác viên và người dùng thực tế trên những phần của CMS mà mọi trang web đều phụ thuộc vào: bảo mật dữ liệu, di chuyển cơ sở dữ liệu, quy trình biên tập, bản địa hóa, bảo mật plugin, hiệu suất và độ tin cậy của trang quản trị, API, MCP và trải nghiệm phương tiện.

Các dự án triển khai thực tế đã định hình phần lớn công việc đó, giúp khám phá các trường hợp biên (edge cases) và xác định những nhu cầu chỉ xuất hiện khi một trang web phục vụ lưu lượng truy cập thực và được sử dụng bởi các đội ngũ biên tập viên thực thụ.

Một ví dụ điển hình cho điều này là Avulux đã chuyển đổi một microsite tùy chỉnh sang EmDash sau khi phải đối mặt với gánh nặng bảo trì của WordPress quá lâu. Vì EmDash là người bạn tốt nhất của các tác nhân (agent), việc sử dụng Kỹ năng Tác nhân EmDash đã giúp quá trình chuyển đổi đó hoàn tất trong chưa đầy một ngày.

"Trang web phải nhanh và đơn giản để đội ngũ của chúng tôi cập nhật," Greg Barbosa, Giám đốc Đổi mới và Hệ thống tại Avulux cho biết. "WordPress đã trở nên ngược lại với điều đó. Với EmDash, chúng tôi hiện có một nền tảng chung mà các lập trình viên có thể mở rộng và các nhà tiếp thị có thể chỉnh sửa nội dung."

Vào tháng 8, chúng tôi đã di chuyển Blog Cloudflare sang EmDash như một phần trong phương pháp "Khách hàng số 0" của mình. Làm việc cùng đội ngũ kỹ thuật nội dung đã cung cấp những thông tin chi tiết hữu ích về bản địa hóa, quản lý phương tiện, trải nghiệm trình chỉnh sửa quản trị và khả năng mở rộng. Việc xử lý thoải mái lưu lượng truy cập cho Blog Cloudflare đồng nghĩa với việc sẵn sàng cho hàng triệu lượt xem trang mỗi tuần, các đợt tăng vọt lên tới 5.000 yêu cầu mỗi giây (RPS) từ lưu lượng truy cập hợp lệ hoặc các cuộc tấn công DDoS lẻ tẻ. Các tính năng tùy chọn như bộ nhớ đệm đối tượng KV, bộ điều hợp cơ sở dữ liệu Hyperdrive và tương thích bộ nhớ đệm Workers đều là những tính năng được tạo ra từ dự án di chuyển của chúng tôi và hiện đã có sẵn rộng rãi cho tất cả khách hàng.

Xây dựng công khai, mở cho mọi người

Một CMS nằm ở trung tâm sự hiện diện trên web của một tổ chức. Nó được tin tưởng giao phó những dữ liệu quan trọng nhất và thường được hàng chục biên tập viên sử dụng mỗi ngày. Họ cần biết rằng họ có thể dựa vào nó mà không sợ bị khóa vào nhà cung cấp (vendor lock-in) hay các ưu tiên kinh doanh thay đổi. Vì lý do đó, EmDash hoàn toàn miễn phí và mã nguồn mở, sử dụng giấy phép MIT linh hoạt và cởi mở.

EmDash 1.0 không thể tồn tại nếu thiếu cộng đồng phát triển mã nguồn mở của nó. Tại thời điểm viết bài, hơn 175 người đã đóng góp cho dự án, với hơn 1.800 lần commit. Sự trỗi dậy của các công cụ lập trình dựa trên tác nhân (agentic coding tools) đã mang đến cả thách thức và cơ hội cho các dự án mã nguồn mở, và chúng tôi đã cố tình xây dựng một dự án nơi các tác nhân có thể hỗ trợ các lập trình viên con người thay vì lấn át họ.

Chúng tôi đặc biệt biết ơn nhóm nòng cốt gồm những cộng tác viên tận tâm nhất, những người đã cùng nhau đóng góp hàng trăm cải tiến cho tất cả các lĩnh vực của dự án. Họ bao gồm @swissky, @danielmlr, @MA2153, @marcusbellamyshaw-cell và hàng chục người khác. Các cộng tác viên đã dịch EmDash sang 25 ngôn ngữ, từ tiếng Ả Rập đến tiếng Ukraina.

Sự ghi nhận đặc biệt dành cho Noah Pham, người đã gia nhập Cloudflare với tư cách là thực tập sinh và trở thành người duy trì thứ hai của EmDash cùng với Matt. Noah đã đóng góp hơn 80 thay đổi, đảm nhận các phần chính của thư viện phương tiện, trình chỉnh sửa nội dung và giao diện quản trị. Chúng tôi từng nói rằng thực tập sinh thực hiện những công việc có ý nghĩa tại Cloudflare; công việc của Noah hiện đang là trái tim của EmDash 1.0.

Còn rất nhiều thứ để xây dựng, và đóng góp không nhất thiết phải là viết mã. Nếu bạn muốn giúp đỡ về mã nguồn, bản dịch, tài liệu, kiểm thử, thiết kế, phân loại vấn đề, trả lời câu hỏi hoặc chỉ đơn giản là chào đón người dùng mới, hãy tham gia cùng hơn 800 người khác trong cộng đồng EmDash trên Discord.

Một hệ sinh thái đang phát triển

Một hệ thống quản lý nội dung sẽ phát triển mạnh mẽ khi hệ sinh thái xung quanh nó lành mạnh và được hỗ trợ. Chúng tôi rất phấn khích trước các công ty làm theme, các cửa hàng plugin, các agency và các nền tảng đang tạo ra các dịch vụ và sản phẩm mới sử dụng EmDash.

• Lexington Themes cung cấp 44 theme Astro với các biến thể EmDash, mang đến cho các đội ngũ một điểm khởi đầu đẹp mắt và đầy đủ chức năng cho trang web của họ, hoàn chỉnh với các thành phần có thể tái sử dụng và các bộ sưu tập nội dung tích hợp.
• Urumi đang sử dụng chuyên môn về WooCommerce của họ để phát hành plugin thương mại điện tử đầu tiên cho EmDash.
• Empress đang ra mắt một nền tảng cho các thực thể đa thương hiệu, cung cấp sự linh hoạt trong việc quản lý hàng loạt trang web bằng ngôn ngữ tự nhiên hoặc bảng điều khiển quản trị CMS thông thường.

"Trải nghiệm đa trang web thú vị của Empress sẽ không thể thực hiện được nếu không có nền tảng mà EmDash đã đặt ra: các trang web nhanh, an toàn để mở rộng và dễ dàng cho con người cũng như các tác nhân đọc và thực hiện hành động," Raj Makker, người sáng lập Empress cho biết. "EmDash mở khóa khả năng kiểm soát mạnh mẽ đối với một trang web, và Empress xây dựng dựa trên đó để mang lại cho bạn quyền kiểm soát hoàn toàn đối với bao nhiêu trang web tùy thích. Chúng tôi rất hào hứng khi được là một phần của hành trình này."

Một kho plugin không sở hữu hệ sinh thái

Với EmDash 1.0, các lập trình viên có thể xuất bản các plugin trong môi trường sandbox và chủ sở hữu trang web có thể khám phá, kiểm tra và cài đặt chúng từ kho plugin EmDash.

Các kho plugin truyền thống thường kết hợp ba vai trò: họ cung cấp tài khoản của nhà xuất bản, lưu giữ hồ sơ gói chính thức và vận hành danh mục nơi người dùng khám phá chúng. Điều đó thuận tiện, nhưng nó cũng biến một công ty thành người gác cổng cho cả danh tính và phân phối. Nếu một tài khoản bị đình chỉ, một danh sách bị xóa, các quy tắc thay đổi hoặc dịch vụ ngừng hoạt động, các nhà xuất bản không thể mang cùng danh tính và lịch sử phát hành đó đi nơi khác.

EmDash tách biệt plugin khỏi danh mục. Các nhà phát hành vẫn giữ quyền kiểm soát đối với các gói và lịch sử phát hành của họ, trong khi EmDash cung cấp một nơi thuận tiện để mọi người tìm kiếm và cài đặt chúng. Các dịch vụ khác có thể lập chỉ mục cùng các ấn phẩm đó, xây dựng danh mục riêng và áp dụng chính sách riêng mà không yêu cầu nhà phát triển phải bắt đầu lại từ đầu.

Danh mục EmDash áp dụng kiểm duyệt nội dung mặc định cho tên, mô tả, liên kết và hình ảnh mà nó hiển thị. Việc kiểm duyệt có thể ẩn các tài liệu độc hại hoặc không phù hợp khỏi danh mục này, nhưng nó không viết lại bản phát hành, không giành quyền sở hữu plugin hoặc xóa bỏ ấn phẩm gốc.

Registry được xây dựng trên AT Protocol (atproto), một giao thức mạng phi tập trung vận hành Bluesky và một hệ sinh thái ứng dụng đang ngày càng phát triển. Tác giả plugin xuất bản bằng tài khoản Atmosphere, danh tính di động cũng được sử dụng trên các ứng dụng này. Các bản ghi gói và bản phát hành được ký bởi nhà phát hành và lưu trữ trong chính tài khoản của nhà phát hành đó.

EmDash lưu trữ các dịch vụ registry mặc định để các nhà phát hành và chủ sở hữu trang web có thể sử dụng chúng mà không cần tự vận hành cơ sở hạ tầng. Chúng tôi hy vọng những người khác sẽ xây dựng các danh mục, hệ thống kiểm duyệt, công cụ xuất bản mới và các dịch vụ khác mà chúng tôi chưa nghĩ tới. Để hỗ trợ điều này, chúng tôi đã phát hành tất cả các dịch vụ của mình dưới dạng phần mềm mã nguồn mở, bao gồm bộ tổng hợp vận hành registry plugin, dịch vụ dán nhãn sử dụng Workers AI để kiểm duyệt mô tả gói và trình tải nội dung trực tiếp Astro giúp việc đưa danh sách plugin vào bất kỳ trang web Astro nào trở nên dễ dàng. Chúng tôi rất hào hứng chờ xem cộng đồng sẽ xây dựng những gì với chúng!

Không có bộ điều khiển tập trung nào có thể tiếp quản các plugin hoặc xóa chúng tùy ý. Chúng tôi tin rằng tính bảo mật của các plugin và registry nên được tích hợp vào mã nguồn, thay vì tin tưởng vào bất kỳ cơ quan trung ương hay quy tắc ứng xử nào.

Xuất bản phi tập trung không có nghĩa là chấp nhận mã chưa được xác minh. Các kho lưu trữ Atproto sử dụng Merkle Search Trees đã ký, vì vậy bằng chứng bao gồm sẽ kết nối bản ghi phát hành chính xác với một commit đã ký từ tài khoản của nhà phát hành. Do đó, EmDash có thể xác minh bản ghi một cách độc lập thay vì tin tưởng vào bản sao của danh mục. Sau đó, nó kiểm tra tổng kiểm tra (checksum), tên gói, phiên bản, quyền truy cập được yêu cầu và bất kỳ nguồn gốc bản dựng bắt buộc nào của plugin, đồng thời xác nhận rằng gói đã tải xuống khớp với bản ghi đã ký.

Registry hiện hỗ trợ các plugin miễn phí và chúng tôi đặt mục tiêu bổ sung hỗ trợ cho các plugin trả phí trong tương lai, với cùng mô hình phi tập trung như hiện tại. Chúng tôi đang theo dõi Atproto Spaces Alpha với sự quan tâm đặc biệt. Bất kỳ ai cũng nên có khả năng vận hành một thị trường plugin trả phí an toàn. Chúng tôi muốn các nhà phát hành có thể kiếm tiền từ phần mềm của họ.

Hiện tại, các tác giả plugin có thể xuất bản phần mềm hữu ích mà không cần xin phép EmDash — và các chủ sở hữu trang web có thể hiểu chính xác phần mềm đó được phép làm gì trước khi chạy nó.

Các plugin với ranh giới rõ ràng

Plugin là cốt lõi của một hệ sinh thái CMS. Chúng giúp các nhà phát triển trang web không phải xây dựng lại các tích hợp và quy trình làm việc tương tự, đồng thời cung cấp cho các chuyên gia cách chia sẻ các phương pháp tốt nhất của họ — và có khả năng xây dựng một doanh nghiệp phần mềm.

Các tác nhân (agent) làm cho việc tái sử dụng đó trở nên giá trị hơn nữa. Một tác nhân có thể xây dựng một tích hợp dùng một lần, nhưng nó vẫn phải hiểu vấn đề, tạo và kiểm thử mã, sau đó duy trì nó. Một plugin nắm bắt được công việc đó. Một tác nhân khác có thể cài đặt và cấu hình một giải pháp đã được kiểm chứng thay vì bắt đầu lại từ đầu.

Sự tiện lợi đó tạo ra một mối lo ngại nghiêm trọng về bảo mật: plugin là mã bạn không viết, hoạt động cùng với nội dung và dữ liệu khách hàng có giá trị. Với WordPress, các plugin chạy bên trong cùng tiến trình PHP với phần còn lại của ứng dụng, với quyền truy cập trực tiếp vào cơ sở dữ liệu, hệ thống tệp và mạng của nó. Một plugin biểu mẫu liên hệ về mặt kỹ thuật có thể đọc các bài đăng chưa xuất bản, sửa đổi một plugin khác hoặc gửi dữ liệu đi bất cứ đâu. Các chủ sở hữu trang web phải tin tưởng rằng nó sẽ không làm vậy — và rằng một bản cập nhật trong tương lai sẽ không thay đổi hành vi của nó.

Bài gốc còn tiếp — xem tiếp tại bài gốc ↗