Cloudflare vừa làm một chuyện mà cả làng WordPress phải quay đầu nhìn: họ tự viết lại WordPress từ đầu bằng TypeScript, đặt tên là EmDash, và chuyển hẳn blog chính thức blog.cloudflare.com sang nền tảng mới này. Mình đã đọc kỹ bài công bố và test qua hướng dẫn deploy, bài này mình sẽ tóm tắt EmDash là gì, tại sao kiến trúc plugin của nó đáng quan tâm, và cách bạn thử ngay trong 5 phút.
EmDash là gì và Cloudflare xây nó ra sao?
EmDash là một CMS mã nguồn mở viết hoàn toàn bằng TypeScript, chạy serverless, và được Cloudflare gọi là “kẻ thừa kế tinh thần của WordPress”. Nó được xây trên Astro 6.0, cấp phép MIT, mã nguồn mở trên GitHub. Điểm mấu chốt: không dùng một dòng code WordPress nào, nên thoát khỏi ràng buộc GPL. Cloudflare cho biết dự án này được AI coding agent của họ xây trong 2 tháng, sau thành công của việc viết lại Next.js trong 1 tuần.
Vì sao kiến trúc plugin WordPress lại là vấn đề an ninh?
Theo báo cáo Patchstack mà chính Cloudflare trích dẫn, 96% lỗ hổng bảo mật của website WordPress đến từ plugin, và năm 2025 số lỗ hổng nghiêm trọng nhiều hơn hai năm trước cộng lại. Gốc rễ vấn đề: plugin WordPress là file PHP chạy cùng ngữ cảnh với core, có toàn quyền truy cập database và filesystem. Cài một plugin là bạn phải tin tưởng tuyệt đối nó. EmDash giải quyết bằng cách chạy mỗi plugin trong một Dynamic Worker isolate riêng, chỉ cấp quyền qua bindings dựa trên manifest khai báo tĩnh:
import { definePlugin } from "emdash";
export default () =>
definePlugin({
id: "notify-on-publish",
version: "1.0.0",
capabilities: ["read:content", "email:send"],
hooks: {
"content:afterSave": async (event, ctx) => {
if (event.collection !== "posts" || event.content.status !== "published") return;
await ctx.email!.send({
to: "[email protected]",
subject: `New post published: ${event.content.title}`,
text: `"${event.content.title}" is now live.`,
});
},
},
});Plugin ở trên chỉ được đọc nội dung và gửi email, không thể truy cập mạng nếu không khai báo hostname cụ thể. Tương tự như OAuth scope, bạn biết chính xác mình cấp gì trước khi cài. Đây là thứ mà kiến trúc PHP hiện tại của WordPress không thể làm được, và cũng là lý do hàng loạt CVE CVSS 9.8 như mình từng phân tích vẫn xuất hiện đều đặn mỗi tuần. Bạn có thể đọc lại bài về plugin supply chain attack để thấy rủi ro của mô hình tin tưởng toàn phần hiện nay.
Cách deploy EmDash thử trong 5 phút như thế nào?
Mình đã chạy thử và quy trình rất gọn. EmDash đang ở bản v0.1.0 preview, bạn có hai đường:
Cách 1 — chạy local qua CLI:
npm create emdash@latestCLI sẽ hỏi tên project, tạo schema, nội dung mẫu và khởi động site. Vì là Node.js thuần, nó chạy được trên bất kỳ server nào, không phụ thuộc Cloudflare.
Cách 2 — deploy thẳng lên Cloudflare Workers: dùng nút “Deploy to Cloudflare” trong repo template blog-cloudflare. Ưu điểm của kiến trúc isolate workerd là scale-to-zero: không có request thì không tốn CPU tiền, có spike traffic thì tự bung isolate mới ngay lập tức, không cần can thiệp VPS như hosting WordPress truyền thống.
Nếu chỉ muốn nghịch giao diện admin trước, truy cập EmDash Playground trên trang chủ emdashcms.com, không cần cài gì.
Migrate từ WordPress sang EmDash có khó không?
Không khó, Cloudflare chuẩn bị hai đường: xuất file WXR từ wp-admin rồi import, hoặc cài plugin EmDash Exporter trên site WordPress cũ, nó tạo endpoint bảo mật bằng Application Password, kéo toàn bộ post, page và media library sang trong vài phút. Custom post type sẽ được map thành EmDash collection riêng, thay vì nhồi vào bảng posts như cách ACF vẫn làm trên WordPress.
EmDash có những tính năng gì WordPress không có?
Ngoài plugin sandbox, mình thấy ba điểm đáng giá:
1. Xác thực bằng Passkey mặc định: không có mật khẩu để lộ, không có brute-force. Có RBAC sẵn với administrator, editor, author, contributor, và hỗ trợ SSO.
2. AI-native với MCP built-in: mỗi instance EmDash có sẵn MCP server, EmDash CLI để agent quản lý nội dung, schema, media, cùng bộ Agent Skills hướng dẫn port theme WordPress sang. Việc nhàm chán như dọn custom field hay đổi cấu trúc nội dung giao cho agent làm.
3. Hỗ trợ x402 thanh toán per-request: mỗi site EmDash có sẵn chuẩn x402, cho phép thu phí theo lượt truy cập nội dung, không cần subscription. Hợp thời đại AI agent đọc web thay chủ nhân, đúng hướng mà mình từng bàn trong bài về Cloudflare Monetization Gateway.
Nên chuyển từ WordPress sang EmDash ngay không?
Theo mình: chưa, nhưng nên theo dõi sát. Ba lý do. Thứ nhất, EmDash mới là v0.1.0 preview, hệ sinh thái plugin và theme gần như con số không so với 60.000+ plugin của WordPress. Thứ hai, chiến lược tốt ngay lúc này là hybrid: site tin tức, landing page tĩnh, blog cá nhân với yêu cầu bảo mật cao là ứng viên lý tưởng để thử. Thứ ba, giá trị lớn nhất của EmDash không phải bản thân nó, mà là áp lực nó tạo lên WordPress: nếu mô hình capability-based security của EmDash được chứng minh, cộng đồng WordPress sẽ phải nghiêm túc suy nghĩ lại kiến trúc plugin sau 24 năm.
Còn nếu bạn đang giữ site WordPress production, việc cần làm ngay vẫn là cũ nhưng đúng: cập nhật plugin đều đặn, bỏ plugin không dùng, và theo dõi CVE hằng tuần. Còn về phần mình, EmDash đã có chỗ đứng trong danh sách thứ cần test kỹ trong các bài tiếp theo.
