19.12.2024

Cómo y por qué activar y desactivar XMLRPC.PHP en WordPress

xmlrpc.php es un archivo de WordPress que permite el acceso remoto a su sitio web. Permite que aplicaciones externas, como aplicaciones móviles, herramientas de terceros y pingbacks, interactúen con tu sitio de WordPress. Aunque esta funcionalidad puede ser útil, también conlleva riesgos de seguridad, por lo que muchos propietarios de sitios WordPress optan por desactivar xmlrpc.php cuando no lo necesitan.

Esta guía te explicará qué es xmlrpc.php, por qué deberías activarlo o desactivarlo y cómo hacerlo de forma segura.

¿Qué es xmlrpc.php en WordPress?

xmlrpc.php es un archivo del núcleo de WordPress que permite el acceso remoto a su sitio web a través del protocolo XML-RPC.
Se utiliza para realizar acciones como:
- Publicar posts desde aplicaciones remotas.
- Gestión remota de comentarios.
- Activar pingbacks y trackbacks.
- Conectar aplicaciones de WordPress en dispositivos móviles a su sitio web.
Ejemplos de uso:
- Publicación de entradas desde aplicaciones móviles de WordPress.
- El plugin Jetpack utiliza xmlrpc.php para algunas de sus funciones.
- Integración de servicios de terceros que utilizan XML-RPC para la transferencia de datos.

Por qué debería desactivar xmlrpc.php?

xmlrpc.php puede plantear riesgos de seguridad, por lo que muchos propietarios de sitios web optan por desactivarlo, especialmente si no utilizan funciones que dependen de él.

Riesgos de seguridad comunes asociados con xmlrpc.php:

Ataques de Fuerza Bruta:
- Los atacantes pueden utilizar xmlrpc.php para realizar ataques de fuerza bruta intentando múltiples nombres de usuario y contraseñas a través de peticiones XML-RPC.
- Esto se puede hacer de manera más eficiente usando xmlrpc.php porque una sola solicitud puede probar múltiples intentos de inicio de sesión.
Ataques DDoS:
- xmlrpc.php puede ser utilizado en ataques de Denegación de Servicio Distribuido (DDoS) para saturar un sitio con peticiones de pingback, llevando al agotamiento de recursos y tiempo de inactividad.
Explotación de Pingbacks:
- Los actores maliciosos pueden utilizar la función pingback en xmlrpc.php para amplificar los ataques DDoS o generar grandes volúmenes de spam.

Cuándo se debe habilitar xmlrpc.php?

Debe mantener xmlrpc.php habilitado si:
- Necesitas publicar entradas desde la aplicación móvil de WordPress.
- Utilizas plugins o herramientas que dependen de XML-RPC, como Jetpack.
- Necesitas capacidades de publicación remota a través de servicios externos.

Si no necesitas estas funciones, es más seguro desactivar xmlrpc.php para minimizar los riesgos de seguridad.

Cómo desactivar xmlrpc.php en WordPress

Método 1: Deshabilitar xmlrpc.php usando un plugin (Recomendado)

Usar un plugin es la forma más fácil de deshabilitar xmlrpc.php sin tocar ningún código.

Paso 1: Instale un plugin

Instala un plugin de seguridad como Disable XML-RPC-API o All In One WP Security & Firewall.
Para ello, vaya a Plugins > Añadir nuevo en el panel de control de WordPress, busque el plugin y haga clic en Instalar ahora y, a continuación, en Activar.

Paso 2: Configurar el plugin

Si utiliza Disable XML-RPC-API:
- Después de activar el plugin, xmlrpc.php se desactivará automáticamente.
Si utiliza All In One WP Security & Firewall:
- Vaya a WP Security > Firewall.
- Encuentre la sección XML-RPC y desactive las opciones XML-RPC.

Método 2: Deshabilitar xmlrpc.php usando .htaccess (Avanzado)

Si se siente cómodo editando el archivo .htaccess, puede bloquear el acceso a xmlrpc.php directamente a nivel del servidor.

Paso 1: Editar el archivo .htaccess

Acceda al directorio raíz de WordPress a través de FTP o del gestor de archivos de su proveedor de alojamiento web (a menudo denominado public_html).
Abra el archivo .htaccess para editarlo.
Añada el siguiente código al final del archivo .htaccess:
# Bloquear todos los accesos a xmlrpc.php Orden Permitir,Denegar Denegar desde todos .
Guarde los cambios y suba el archivo .htaccess actualizado a su servidor.

Resultado:

Este código previene cualquier acceso externo a xmlrpc.php, deshabilitándolo efectivamente.

Método 3: Deshabilitar xmlrpc.php usando Functions.php (código personalizado)

También puede desactivar XML-RPC a través del archivo functions.php de su tema.

Paso 1: Editar functions.php

Vaya a Apariencia > Editor de temas en su panel de WordPress.
Seleccione el archivo functions.php de la barra lateral derecha.
Añada el siguiente código:
// Desactivar XML-RPC add_filter(‘xmlrpc_enabled’, ‘__return_false’);
Haga clic en Actualizar archivo para guardar los cambios.

Resultado:

Este código desactivará la funcionalidad XML-RPC en WordPress.

Método 4: Utilizar la configuración de seguridad de su alojamiento web

Algunos proveedores de alojamiento web ofrecen opciones para desactivar XML-RPC a través de su panel de control:

Acceda a su cuenta de alojamiento web.
Busque opciones relacionadas con la seguridad de WordPress o la configuración de aplicaciones.
Si está disponible, deshabilite el acceso a XML-RPC a través del panel de seguridad.

Cómo habilitar xmlrpc.php en WordPress

Si previamente deshabilitó xmlrpc.php y necesita volver a habilitarlo, simplemente invierta los pasos utilizados para deshabilitarlo:

Si utilizó un plugin como Disable XML-RPC-API, desactive o desinstale el plugin.
Si has añadido código a .htaccess o functions.php, elimina el código y guarda los cambios.
Si desactivó XML-RPC a través de su proveedor de alojamiento web, utilice el panel de control del proveedor de alojamiento para volver a activar el acceso a XML-RPC.

Resumen

xmlrpc.php en WordPress proporciona capacidades de acceso remoto, permitiendo a aplicaciones y servicios interactuar con su sitio web. Aunque esta funcionalidad puede ser útil, también presenta riesgos de seguridad como ataques de fuerza bruta y ataques DDoS. Por lo tanto, muchos propietarios de sitios web optan por desactivar xmlrpc.php si no necesitan sus funciones.

Para desactivar xmlrpc.php, puede utilizar plugins, añadir código personalizado a .htaccess o functions.php, o utilizar la configuración de su proveedor de alojamiento web. Si necesita volver a habilitar xmlrpc.php, simplemente invierta los pasos realizados para deshabilitarlo. Entender cuándo y cómo habilitar o deshabilitar esta función puede ayudarte a mantener tu sitio web WordPress seguro mientras mantienes la funcionalidad que necesitas.