Cómo mejorar la seguridad de WordPress tratando el archivo Xmlrpc.php
¿Qué es Xmlrpc.php?
XML-RPC es un fichero característico de WordPress que permite transmitir datos con HTTP y XML al propio CMS.
Dado que WordPress no es un sistema encerrado en sí mismo y ocasionalmente necesita comunicarse con otros sistemas, en un principio se creó para transmitirle peticiones al CMS y que el interactuase con sus componentes (pluggins, tema, etc).
Un ejemplo de uso para el que fue creado por el equipo de WordPress fue el siguiente:
Te encuentras sin acceso a tu ordenador con el que sueles gestionar tu WordPress y te gustaría realizar una publicación con tu teléfono móvil. Podrías usar la función de acceso remoto habilitada por xmlrpc.php para hacerlo.
¿Para que se utiliza actualmente?
Antiguamente existía la posibilidad de deshabilitar las funciones de este fichero, pero en el 2008 juntamente con la aparición de la aplicación de WordPress para iPhone, la opción de XML-RPC se habilitó por defecto, y no había ninguna opción para desactivar esta configuración.
Esto se ha mantenido así al día de hoy, pero la utilidad de este fichero es prácticamente nula a dia de hoy, ya que ha ido quedando en desuso y el propio equipo de WordPress ha ido eliminando funciones de las que podía hacer uso ya que están trabajando en una nueva API para el CMS, la cual sustituiría totalmente a este fichero.
¿Por qué deberías deshabilitar Xmlrpc.php?
Los mayores problemas con XML-RPC están relacionados con la seguridad. Los problemas no tienen que ver directamente con XML-RPC, sino con cómo el archivo se puede usar para permitir un ataque de fuerza bruta a tu sitio.
Para verificar si XML-RPC está activo en tu sitio, puedes ejecutarlo a través de una herramienta llamada XML-RPC Validator. Ejecuta tu sitio a través de la herramienta, y si recibes un mensaje de error, significa que no tienes habilitado XML-RPC.
Si recibes un mensaje de éxito, puedes detener xmlrpc.php con uno de los dos métodos siguientes.
Si ya no es posible deshabilitarlo desde WordPress… ¿Como deshabilito el Xmlrpc.php?
Deshabilitar XML-RPC en tu sitio de WordPress es bastante sencillo, se realiza siguiendo los siguientes pasos:
-
- Deberás dirigirte a la sección Plugins
- Daremos clic en Añadir nuevo, ahí buscaremos Disable XML-RPC y lo instalaremos.
Este plugin insertará automáticamente el código necesario para desactivar XML-RPC.
También se puede desactivar mediante el uso del fichero .htaccess, donde podremos añadir este fragmento de código:
<Files xmlrpc.php>
order deny,allow
deny from all
allow from xxx.xxx.xxx.xxx
</Files>
Donde xxx.xxx.xxx.xxx será la IP desde la que permitiremos acceso al uso del fichero en caso de querer seguir disponiendo del uso de este.
Para más información no duden en contactarnos o para la resolución de cualquier duda que pueda surgir mediante [email protected] o bien llamando al 931763976 / 915939943
