¿Qué es xmlrpc.php y qué hace?
El sistema de WordPress viene con un XML-RPC protocolo que permite software externo usar los servicios de WordPress para publicar entradas, guardar copias, opciones avanzadas de edición, publicar en múltiples blogs simultáneamente y más. Todo bajo una interfaz conveniente y rápida. Estas opciones representan un riesgo de seguridad porque abren la puerta a recibir información externa sin interrupciones. A partir de la versión 3.5 de WordPress, esta función está habilitada por defecto, y no hay manera de desactivarla a través de la interfaz de gestión de WordPress. Sin embargo, puedes editar archivos a través de la interfaz de gestión del almacenamiento del sitio web para desactivarla.¿Lo necesito?
Probablemente no. La mayoría de los usuarios no necesitan xmlrpc.php, y la mayoría de las personas prefieren la interfaz visual que viene con WordPress. Sin embargo, sitios como Blogger y programación móvil para WordPress necesito el protocolo.Deshabilitando xmlrpc.php desde el archivo .htaccess
Digamos que queremos permitir el acceso solo desde la dirección IP 123.123.123.123 y bloquear todas las demás. Para bloquear todas las solicitudes al archivo xml-rpc.php excepto para la IP que especificamos, introduce estas líneas en el archivo .htaccess:# Bloquear solicitudes a xmlrpc.php de WordPressorder deny,allow deny from all allow from 123.123.123.123
Cuándo ayuda desactivar XML-RPC
Desactivar o filtrar xmlrpc.php es útil cuando los intentos de fuerza bruta y el abuso de pingback generan mucho ruido. No es una solución universal, pero en muchos entornos de WordPress reduce significativamente la superficie de ataque.
- Bloquear o limitar la tasa de xmlrpc.php a nivel de WAF o servidor web.
- Mantener el comportamiento de la API REST sin cambios para las integraciones requeridas.
- Monitorea las funciones del complemento que todavía dependen de XML-RPC.
Validación y Monitoreo
Después de los cambios en la política, verifica la funcionalidad de inicio de sesión, los requisitos de publicación móvil y la compatibilidad de los plugins. Rastrea los registros 403 y 429 para confirmar la mejora de la seguridad sin interrumpir los flujos de trabajo legítimos.
