Cum și de ce să activați și să dezactivați XMLRPC.PHP în WordPress

xmlrpc.php este un fișier din WordPress care permite accesul de la distanță la site-ul dvs. web. Acesta permite aplicațiilor externe, cum ar fi aplicații mobile, instrumente terțe și pingback-uri, să interacționeze cu site-ul WordPress. Deși această funcționalitate poate fi utilă, vine și cu riscuri de securitate, motiv pentru care mulți proprietari de site-uri WordPress aleg să dezactiveze xmlrpc.php atunci când nu au nevoie de el.

Acest ghid vă va prezenta ce este xmlrpc.php, de ce ați putea dori să îl activați sau să îl dezactivați și cum să faceți acest lucru în siguranță.

Ce este xmlrpc.php în WordPress?

• xmlrpc.php este un fișier de bază WordPress care permite accesul de la distanță la site-ul dvs. web prin protocolul XML-RPC.
• Acesta este utilizat pentru a efectua acțiuni precum:
  • Publicarea postărilor din aplicații la distanță.
  • Gestionarea comentariilor de la distanță.
  • Activarea pingback-urilor și trackback-urilor.
  • Conectarea aplicațiilor WordPress de pe dispozitive mobile la site-ul dvs. web.
• Exemple de cazuri de utilizare:
  • Publicarea postărilor din aplicațiile WordPress pentru dispozitive mobile.
  • Pluginul Jetpack utilizează xmlrpc.php pentru unele dintre caracteristicile sale.
  • Integrarea serviciilor terțe care utilizează XML-RPC pentru transferul de date.

De ce ar trebui să dezactivați xmlrpc.php?

xmlrpc.php poate prezenta riscuri de securitate, motiv pentru care mulți proprietari de site-uri web aleg să îl dezactiveze, mai ales dacă nu folosesc caracteristici care se bazează pe el.

Riscuri comune de securitate asociate cu xmlrpc.php:

1. Atacuri prin forța brută:
   • Atacatorii pot utiliza xmlrpc.php pentru a efectua atacuri de forță brută prin încercarea mai multor nume de utilizator și parole prin intermediul cererilor XML-RPC.
   • Acest lucru poate fi realizat mai eficient folosind xmlrpc.php deoarece o singură cerere poate încerca mai multe tentative de autentificare.
2. Atacuri DDoS:
   • xmlrpc.php poate fi utilizat în atacuri de tip DDoS (Distributed Denial of Service) pentru a copleși un site cu cereri de pingback, ducând la epuizarea resurselor și la întreruperea activității.
3. Exploatarea pingback-urilor:
   • Actorii rău intenționați pot utiliza funcția pingback din xmlrpc.php pentru a amplifica atacurile DDoS sau pentru a genera volume mari de spam.

Când ar trebui să activați xmlrpc.php?

• Ar trebui să păstrați xmlrpc.php activat dacă:
  • Trebuie să publicați postări din aplicația mobilă WordPress.
  • Utilizați pluginuri sau instrumente care se bazează pe XML-RPC, cum ar fi Jetpack.
  • Aveți nevoie de capacități de publicare de la distanță prin servicii externe.

Dacă nu aveți nevoie de aceste caracteristici, este mai sigur să dezactivați xmlrpc.php pentru a minimiza riscurile de securitate.

Cum să dezactivați xmlrpc.php în WordPress

Metoda 1: Dezactivați xmlrpc.php utilizând un plugin (recomandat)

Utilizarea unui plugin este cel mai simplu mod de a dezactiva xmlrpc.php fără a atinge niciun cod.

Pasul 1: Instalarea unui plugin

• Instalați un plugin de securitate precum Disable XML-RPC-API sau All In One WP Security & Firewall.
• Puteți face acest lucru accesând Plugins > Add New în tabloul de bord WordPress, căutând pluginul și făcând clic pe Install Now, apoi pe Activate.

Pasul 2: Configurați pluginul

• Dacă utilizați Dezactivați XML-RPC-API:
  • După activarea pluginului, xmlrpc.php va fi dezactivat automat.
• Dacă utilizați All In One WP Security & Firewall:
  • Mergeți la WP Security > Firewall.
  • Găsiți secțiunea XML-RPC și dezactivați opțiunile XML-RPC.

Metoda 2: Dezactivați xmlrpc.php utilizând .htaccess (avansat)

Dacă vă este ușor să editați fișierul .htaccess, puteți bloca accesul la xmlrpc.php direct la nivelul serverului.

Pasul 1: Editarea fișierului .htaccess

1. Accesați directorul rădăcină WordPress prin FTP sau managerul de fișiere al gazdei dvs. web (adesea numit public_html).
2. Deschideți fișierul .htaccess pentru editare.
3. Adăugați următorul cod la sfârșitul fișierului .htaccess:
   # Blocați tot accesul la xmlrpc.php Order Allow,Deny Deny from all
4. Salvați modificările și încărcați fișierul .htaccess actualizat înapoi pe server.

Rezultat:

• Acest cod împiedică orice acces extern la xmlrpc.php, dezactivându-l efectiv.

Metoda 3: Dezactivarea xmlrpc.php utilizând Functions.php (cod personalizat)

De asemenea, puteți dezactiva XML-RPC prin intermediul fișierului functions.php al temei dvs.

Pasul 1: Editați fișierul functions.php

1. Mergeți la Appearance > Theme Editor în tabloul de bord WordPress.
2. Selectați fișierul functions.php din bara laterală din dreapta.
3. Adăugați următorul cod:
   // Dezactivați XML-RPC add_filter(‘xmlrpc_enabled’, ‘__return_false’);
4. Faceți clic pe Update File pentru a salva modificările.

Rezultat:

• Acest cod va dezactiva funcționalitatea XML-RPC în WordPress.

Metoda 4: Utilizarea setărilor de securitate ale gazdei dvs. web

Unele gazde web oferă opțiuni pentru dezactivarea XML-RPC prin intermediul panoului lor de control:

• Conectați-vă la contul dvs. de găzduire web.
• Căutați opțiuni legate de setările de securitate sau de aplicații WordPress.
• Dacă sunt disponibile, dezactivați accesul XML-RPC prin intermediul panoului de securitate.

Cum să activați xmlrpc.php în WordPress

Dacă ați dezactivat anterior xmlrpc.php și trebuie să îl activați din nou, pur și simplu inversați pașii utilizați pentru a-l dezactiva:

• Dacă ați folosit un plugin precum Disable XML-RPC-API, dezactivați sau dezinstalați pluginul.
• Dacă ați adăugat cod la .htaccess sau functions.php, eliminați codul și salvați modificările.
• Dacă ați dezactivat XML-RPC prin intermediul gazdei dvs. web, utilizați panoul de control al gazdei pentru a reactiva accesul XML-RPC.

Rezumat

xmlrpc.php în WordPress oferă capabilități de acces la distanță, permițând aplicațiilor și serviciilor să interacționeze cu site-ul dvs. web. Deși această funcționalitate poate fi utilă, ea prezintă, de asemenea, riscuri de securitate, cum ar fi atacurile prin forță brută și atacurile DDoS. Prin urmare, mulți proprietari de site-uri web aleg să dezactiveze xmlrpc.php dacă nu au nevoie de caracteristicile sale.

Pentru a dezactiva xmlrpc.php, puteți utiliza plugin-uri, adăuga cod personalizat la .htaccess sau functions.php sau puteți utiliza setările gazdei dvs. web. Dacă trebuie să activați din nou xmlrpc.php, trebuie doar să inversați pașii parcurși pentru a-l dezactiva. Înțelegerea când și cum să activați sau să dezactivați această caracteristică vă poate ajuta să vă păstrați site-ul WordPress securizat, menținând în același timp funcționalitatea de care aveți nevoie.