desativando solicitações xmlrpc.php pelo servidor de hospedagem

O que é xmlrpc.php e o que ele faz?

O sistema WordPress vem com um XML-RPC protocolo que permite software externo usar os serviços do WordPress para publicar postagens, salvar cópias, opções avançadas de edição, publicar em vários blogs simultaneamente e muito mais. Tudo isso sob uma interface conveniente e rápida. Essas opções representam um risco de segurança porque abrem a porta para receber informações externas sem interrupção. A partir da versão 3.5 do WordPress, essa função é ativada por padrão e não há como desativá-la através da interface de gerenciamento do WordPress. No entanto, você pode editar arquivos através da interface de gerenciamento de armazenamento do site para desativá-la.

Eu preciso disso?

Provavelmente não. A maioria dos usuários não precisa do xmlrpc.php, e a maioria das pessoas prefere a interface visual que vem com o WordPress. No entanto, sites como o Blogger e programação móvel para WordPress preciso do protocolo.

Desabilitando o xmlrpc.php a partir do arquivo .htaccess

Digamos que queremos permitir acesso apenas do endereço IP 123.123.123.123 e bloquear todos os outros. Para bloquear todas as solicitações ao arquivo xml-rpc.php, exceto para o IP que especificarmos, insira estas linhas no arquivo .htaccess:  

# Bloquear requisições ao xmlrpc.php do WordPress order deny,allow deny from all allow from 123.123.123.123

Quando desativar o XML-RPC ajuda

Desativar ou filtrar o xmlrpc.php é útil quando tentativas de força bruta e abuso de pingback geram muito ruído. Não é uma solução universal, mas em muitos ambientes WordPress reduz significativamente a superfície de ataque.

• Bloquear ou limitar a taxa de xmlrpc.php no nível do WAF ou do servidor web.
• Mantenha o comportamento da API REST inalterado para integrações obrigatórias.
• Monitorar recursos de plugins que ainda dependem do XML-RPC.

Validação e Monitoramento

Após mudanças na política, verifique a funcionalidade de login, os requisitos de publicação móvel e a compatibilidade dos plugins. Acompanhe os logs 403 e 429 para confirmar o ganho de segurança sem interromper fluxos de trabalho legítimos.