XML-RPC w WordPressie — czy warto wyłączyć?

XML-RPC to interfejs, przez który zewnętrzne programy mogą „rozmawiać" z WordPressem — publikować wpisy, dodawać komentarze, zbierać statystyki. Powstał w czasach, gdy pisało się na blogu z osobnej aplikacji na komputerze. Dziś większość stron w ogóle go nie potrzebuje, a dla botów jest wygodną furtką.

Dlaczego atakujący go lubią

Plik xmlrpc.php pozwala na dwie nieprzyjemne rzeczy. Po pierwsze — zgadywanie haseł hurtowo: jednym zapytaniem można sprawdzić kilkadziesiąt kombinacji login-hasło, co przyspiesza atak słownikowy. Po drugie — pingback DDoS: cudze strony z włączonym XML-RPC można wykorzystać do zalania ofiary ruchem.

Kiedy XML-RPC jest jeszcze potrzebny

Zanim wyłączysz, sprawdź, czy nie korzystasz z czegoś, co go używa:

• aplikacja mobilna WordPress,
• wtyczka Jetpack (część funkcji),
• niektóre integracje i narzędzia do publikacji z zewnątrz.

Jeśli publikujesz i zarządzasz stroną wyłącznie przez przeglądarkę — z bardzo dużym prawdopodobieństwem XML-RPC możesz spokojnie wyłączyć.

Zasada jest prosta: jeśli czegoś nie używasz, a może posłużyć do ataku — wyłącz to. Mniej włączonych funkcji to mniejsza powierzchnia ataku.

Jak to wyłączyć bezpiecznie

Najczystsze podejście to filtr w WordPressie (xmlrpc_enabled ustawione na fałsz) albo blokada dostępu do samego pliku xmlrpc.php na poziomie serwera. Obie metody są odwracalne — w razie potrzeby przywracasz stan sprzed zmiany. Ważne, by przed zmianą zrobić kopię i sprawdzić stronę po jej wprowadzeniu.

Nie musisz robić tego samodzielnie

Wyłączenie XML-RPC to jeden z kilkunastu drobnych kroków, które razem realnie podnoszą bezpieczeństwo strony — obok blokady edycji plików, ukrycia wersji WordPressa czy limitu prób logowania. W ramach stałej opieki robimy to za Ciebie, świadomie i z kopią zapasową.

Chcesz, żeby ktoś przejrzał ustawienia Twojej strony i domknął takie furtki? Napisz do nas — sprawdzimy, co warto zmienić.