19.12.2024

Wie und warum man XMLRPC.PHP in WordPress aktivieren und deaktivieren kann

xmlrpc.php ist eine Datei in WordPress, die den Fernzugriff auf Ihre Website ermöglicht. Sie ermöglicht es externen Anwendungen wie mobilen Apps, Tools von Drittanbietern und Pingbacks, mit Ihrer WordPress-Website zu interagieren. Diese Funktion kann zwar nützlich sein, birgt aber auch Sicherheitsrisiken, weshalb sich viele WordPress-Site-Besitzer dafür entscheiden, xmlrpc.php zu deaktivieren, wenn sie sie nicht benötigen.

In diesem Leitfaden erfahren Sie, was xmlrpc.php ist, warum Sie es aktivieren oder deaktivieren sollten und wie Sie dies sicher tun können.

Was ist xmlrpc.php in WordPress?

xmlrpc.php ist eine WordPress-Kerndatei, die den Fernzugriff auf Ihre Website über das XML-RPC-Protokoll ermöglicht.
Sie wird verwendet, um Aktionen auszuführen wie:
- Veröffentlichung von Beiträgen aus entfernten Anwendungen.
- Kommentare aus der Ferne verwalten.
- Aktivieren von Pingbacks und Trackbacks.
- Verbinden von WordPress-Apps auf mobilen Geräten mit Ihrer Website.
Beispielhafte Anwendungsfälle:
- Veröffentlichen von Beiträgen aus WordPress-Mobilanwendungen.
- Das Jetpack-Plugin verwendet xmlrpc.php für einige seiner Funktionen.
- Integration von Diensten Dritter, die XML-RPC für die Datenübertragung verwenden.

Warum sollten Sie xmlrpc.php deaktivieren?

xmlrpc.php kann Sicherheitsrisiken bergen, weshalb sich viele Website-Besitzer dafür entscheiden, sie zu deaktivieren, vor allem, wenn sie keine Funktionen nutzen, die auf sie angewiesen sind.

Allgemeine Sicherheitsrisiken im Zusammenhang mit xmlrpc.php:

Brute-Force-Angriffe:
- Angreifer können mit xmlrpc.php Brute-Force-Angriffe durchführen, indem sie über XML-RPC-Anfragen mehrere Benutzernamen und Passwörter ausprobieren.
- Dies kann mit xmlrpc.php effizienter durchgeführt werden, da mit einer einzigen Anfrage mehrere Anmeldeversuche unternommen werden können.
DDoS-Angriffe:
- xmlrpc.php kann bei DDoS-Angriffen (Distributed Denial of Service) verwendet werden, um eine Website mit Pingback-Anfragen zu überschwemmen, was zur Erschöpfung der Ressourcen und zu Ausfallzeiten führt.
Ausnutzung von Pingbacks:
- Böswillige Akteure können die Pingback-Funktion in xmlrpc.php nutzen, um DDoS-Angriffe zu verstärken oder große Mengen an Spam zu erzeugen.

Wann sollten Sie xmlrpc.php aktivieren?

Sie sollten xmlrpc.php aktiviert lassen, wenn:
- Sie Beiträge über die WordPress-Mobil-App veröffentlichen müssen.
- Sie Plugins oder Tools verwenden, die auf XML-RPC angewiesen sind, wie z. B. Jetpack.
- Sie Remote-Publishing-Funktionen über externe Dienste benötigen.

Wenn Sie diese Funktionen nicht benötigen, ist es sicherer, xmlrpc.php zu deaktivieren, um die Sicherheitsrisiken zu minimieren.

So deaktivieren Sie xmlrpc.php in WordPress

Methode 1: Deaktivieren von xmlrpc.php mithilfe eines Plugins (empfohlen)

Die Verwendung eines Plugins ist der einfachste Weg, xmlrpc.php zu deaktivieren, ohne den Code zu verändern.

Schritt 1: Installieren Sie ein Plugin

Installieren Sie ein Sicherheits-Plugin wie Disable XML-RPC-API oder All In One WP Security & Firewall.
Gehen Sie dazu in Ihrem WordPress-Dashboard auf Plugins > Neu hinzufügen, suchen Sie nach dem Plugin und klicken Sie auf Jetzt installieren und dann auf Aktivieren.

Schritt 2: Konfigurieren Sie das Plugin

Wenn Sie die XML-RPC-API deaktivieren:
- Nach der Aktivierung des Plugins wird die Datei xmlrpc.php automatisch deaktiviert.
Wenn Sie All In One WP Security & Firewall verwenden:
- Gehen Sie zu WP Security > Firewall.
- Suchen Sie den Abschnitt XML-RPC und deaktivieren Sie die XML-RPC-Optionen.

Methode 2: Deaktivieren Sie xmlrpc.php mit .htaccess (Fortgeschrittene)

Wenn Sie mit der Bearbeitung der .htaccess-Datei vertraut sind, können Sie den Zugriff auf xmlrpc.php direkt auf Serverebene blockieren.

Schritt 1: Bearbeiten Sie die .htaccess-Datei

Greifen Sie per FTP oder über den Dateimanager Ihres Webhosts auf das WordPress-Stammverzeichnis zu (oft public_html genannt).
Öffnen Sie die .htaccess-Datei zur Bearbeitung.
Fügen Sie den folgenden Code am Ende der .htaccess-Datei ein:
# Blockieren Sie alle Zugriffe auf xmlrpc.php Order Allow,Deny Deny from all
Speichern Sie die Änderungen und laden Sie die aktualisierte .htaccess-Datei zurück auf Ihren Server.

Ergebnis:

Dieser Code verhindert jeglichen externen Zugriff auf xmlrpc.php und schaltet es damit effektiv aus.

Methode 3: Deaktivieren von xmlrpc.php mit Functions.php (eigener Code)

Sie können XML-RPC auch über die Datei functions.php Ihres Themes deaktivieren.

Schritt 1: Bearbeiten Sie functions.php

Gehen Sie in Ihrem WordPress-Dashboard zu Erscheinungsbild > Theme-Editor.
Wählen Sie die Datei functions.php in der rechten Seitenleiste aus.
Fügen Sie den folgenden Code ein:
// Deaktivieren Sie XML-RPC add_filter(‘xmlrpc_enabled’, ‘__return_false’);
Klicken Sie auf Datei aktualisieren, um die Änderungen zu speichern.

Ergebnis:

Mit diesem Code wird die XML-RPC-Funktionalität in WordPress deaktiviert.

Methode 4: Verwendung der Sicherheitseinstellungen Ihres Webhosts

Einige Webhoster bieten Optionen zur Deaktivierung von XML-RPC über ihr Kontrollpanel an:

Melden Sie sich bei Ihrem Webhosting-Konto an.
Suchen Sie nach Optionen für die WordPress-Sicherheit oder Anwendungseinstellungen.
Falls verfügbar, deaktivieren Sie den XML-RPC-Zugriff über das Sicherheits-Panel.

So aktivieren Sie xmlrpc.php in WordPress

Wenn Sie xmlrpc.php zuvor deaktiviert haben und es wieder aktivieren möchten, kehren Sie einfach die Schritte um, die Sie zum Deaktivieren verwendet haben:

Wenn Sie ein Plugin wie Disable XML-RPC-API verwendet haben, deaktivieren oder deinstallieren Sie das Plugin.
Wenn Sie Code zu .htaccess oder functions.php hinzugefügt haben, entfernen Sie den Code und speichern Sie die Änderungen.
Wenn Sie XML-RPC über Ihren Webhoster deaktiviert haben, verwenden Sie das Hosting-Kontrollpanel, um den XML-RPC-Zugriff wieder zu aktivieren.

Zusammenfassung

xmlrpc.php in WordPress bietet Remote-Zugriffsfunktionen, die es Anwendungen und Diensten ermöglichen, mit Ihrer Website zu interagieren. Diese Funktion kann zwar nützlich sein, birgt aber auch Sicherheitsrisiken wie Brute-Force-Angriffe und DDoS-Attacken. Daher entscheiden sich viele Website-Besitzer dafür, xmlrpc.php zu deaktivieren, wenn sie die Funktionen nicht benötigen.

Um xmlrpc.php zu deaktivieren, können Sie Plugins verwenden, benutzerdefinierten Code zu .htaccess oder functions.php hinzufügen oder die Einstellungen Ihres Webhosters verwenden. Wenn Sie xmlrpc.php wieder aktivieren wollen, machen Sie einfach die Schritte zum Deaktivieren rückgängig. Wenn Sie wissen, wann und wie Sie diese Funktion aktivieren oder deaktivieren, können Sie Ihre WordPress-Website sicher halten und gleichzeitig die benötigten Funktionen beibehalten.