Cum activezi protecția împotriva XML-RPC în WordPress

Cum activezi protecția împotriva XML-RPC în WordPress. XML-RPC poate fi util în anumite scenarii, dar reprezintă și un vector frecvent de atacuri.

Dacă website-ul dumneavoastră nu folosește activ această funcționalitate, este recomandat să o blocați complet sau să o restricționați.

Astfel, reduceți riscurile și consolidați securitatea platformei WordPress.

Cum activezi protecția împotriva XML-RPC?

Funcționalitatea XML-RPC din WordPress permite interacțiunea la distanță cu website-ul prin diverse aplicații sau servicii externe.

Cu toate acestea, XML-RPC este adesea folosit de atacatori pentru a lansa atacuri de tip brute force sau DDoS.

În acest articol explicăm ce este XML-RPC, de ce poate fi periculos și cum puteți activa protecția împotriva acestuia.

1. Ce este XML-RPC în WordPress?

XML-RPC este o interfață care permite aplicațiilor externe să comunice cu website-ul WordPress prin cereri HTTP. Este utilizat de aplicații precum:

• Aplicația mobilă WordPress
• Servicii de publicare automată (Jetpack, IFTTT, etc.)
• Instrumente de management de la distanță

Fișierul xmlrpc.php se află în rădăcina instalării WordPress și poate fi o poartă de acces pentru atacatori.

2. De ce trebuie protejat?

Există mai multe riscuri asociate activării necontrolate a XML-RPC:

• Atacuri de tip brute force prin metoda system.multicall
• Exploatarea pentru pingback DDoS
• Posibilitatea de acces neautorizat prin token-uri compromise

Dacă nu folosiți activ XML-RPC, este recomandat să îl dezactivați sau să limitați accesul la acesta.

3. Metoda 1: Dezactivare completă prin fișierul .htaccess

Adăugați următorul cod în fișierul .htaccess din rădăcina WordPress:

<Files xmlrpc.php>
  Order Deny,Allow
  Deny from all
</Files>

Acest cod blochează toate cererile către xmlrpc.php.

4. Metoda 2: Utilizarea unui plugin de securitate

Dacă nu doriți să modificați fișierele manual, puteți folosi pluginuri care oferă protecție împotriva XML-RPC. Exemple populare:

• Disable XML-RPC
• Wordfence Security
• iThemes Security

Aceste pluginuri oferă opțiuni pentru dezactivarea completă sau controlată a funcției.

5. Metoda 3: Limitarea accesului doar la IP-uri de încredere

Dacă utilizați servicii legitime care necesită XML-RPC, puteți limita accesul doar la anumite IP-uri:

<Files xmlrpc.php>
  Order Deny,Allow
  Deny from all
  Allow from 123.123.123.123
</Files>

Înlocuiți 123.123.123.123 cu IP-ul serviciului de încredere.

6. Verificarea activității XML-RPC

Pentru a verifica dacă XML-RPC este utilizat sau abuzat, puteți:

• Monitoriza log-urile de acces din cPanel sau server
• Folosi Wordfence pentru a detecta cererile suspecte
• Verifica Google Search Console pentru comportamente anormale

7. Alte bune practici de securitate

Pe lângă blocarea XML-RPC, este recomandat să implementați:

• Autentificare cu doi factori (2FA)
• Limitarea tentativelor de autentificare
• Utilizarea unui firewall WordPress
• Scanarea periodică a fișierelor pentru malware