Как и защо да активирате и деактивирате XMLRPC.PHP в WordPress
xmlrpc.php е файл в WordPress, който позволява отдалечен достъп до вашия уебсайт. Той позволява на външни приложения, като например мобилни приложения, инструменти на трети страни и pingbacks, да взаимодействат с вашия WordPress сайт. Въпреки че тази функционалност може да бъде полезна, тя е свързана и с рискове за сигурността, поради което много собственици на WordPress сайтове избират да деактивират xmlrpc.php, когато не се нуждаят от него.
Това ръководство ще ви запознае с това какво представлява xmlrpc.php, защо може да искате да го активирате или деактивирате и как да го направите безопасно.
Какво е xmlrpc.php в WordPress?
- xmlrpc.php е основен файл на WordPress, който позволява отдалечен достъп до вашия уебсайт чрез протокола XML-RPC.
- Той се използва за извършване на действия като:
- Публикуване на публикации от отдалечени приложения.
- Управление на коментари от разстояние.
- Активиране на pingbacks и trackbacks.
- Свързване на приложенията на WordPress на мобилни устройства с вашия уебсайт.
- Примерни случаи на използване:
- Публикуване на публикации от мобилни приложения на WordPress.
- Плъгинът Jetpack използва xmlrpc.php за някои от функциите си.
- Интегриране на услуги на трети страни, които използват XML-RPC за прехвърляне на данни.
Защо трябва да забраните xmlrpc.php?
xmlrpc.php може да представлява риск за сигурността, поради което много собственици на уебсайтове избират да го деактивират, особено ако не използват функции, които разчитат на него.
Общи рискове за сигурността, свързани с xmlrpc.php:
- Атаки с груба сила:
- Нападателите могат да използват xmlrpc.php, за да извършват атаки с груба сила, като изпробват множество потребителски имена и пароли чрез XML-RPC заявки.
- Това може да се извърши по-ефективно чрез xmlrpc.php, тъй като с една заявка могат да се правят множество опити за влизане в системата.
- DDoS атаки:
- xmlrpc.php може да се използва при разпределени атаки за отказ на услуга (DDoS), за да се претовари сайтът със заявки за достъп, което води до изчерпване на ресурсите и прекъсване на работата.
- Използване на Pingbacks:
- Злонамерени участници могат да използват функцията за обратна връзка в xmlrpc.php, за да засилят DDoS атаките или да генерират големи количества спам.
Кога трябва да разрешите xmlrpc.php?
- Трябва да поддържате xmlrpc.php активиран, ако:
- Трябва да публикувате публикации от мобилното приложение на WordPress.
- Използвате плъгини или инструменти, които разчитат на XML-RPC, например Jetpack.
- Нуждаете се от възможности за отдалечено публикуване чрез външни услуги.
Ако не се нуждаете от тези функции, е по-безопасно да деактивирате xmlrpc.php, за да сведете до минимум рисковете за сигурността.
Как да деактивирате xmlrpc.php в WordPress
Метод 1: Деактивиране на xmlrpc.php с помощта на плъгин (препоръчително)
Използването на плъгин е най-лесният начин да деактивирате xmlrpc.php, без да засягате никакъв код.
Стъпка 1: Инсталиране на плъгин
- Инсталирайте плъгин за сигурност като Disable XML-RPC-API или All In One WP Security & Firewall.
- Можете да направите това, като отидете на Plugins (Плъгини) > Add New (Добавяне на нови) в таблото за управление на WordPress, потърсите плъгина и щракнете върху Install Now (Инсталиране), след което Activate (Активиране).
Стъпка 2: Конфигуриране на плъгина
- Ако използвате Disable XML-RPC-API:
- След като активирате плъгина, xmlrpc.php ще бъде автоматично деактивиран.
- Ако използвате All In One WP Security & Firewall:
- Отидете на WP Security > Firewall.
- Намерете раздела XML-RPC и деактивирайте опциите XML-RPC.
Метод 2: Деактивиране на xmlrpc.php чрез .htaccess (за напреднали)
Ако ви е удобно да редактирате файла .htaccess, можете да блокирате достъпа до xmlrpc.php директно на ниво сървър.
Стъпка 1: Редактиране на файла .htaccess
- Осъществете достъп до главната директория на WordPress чрез FTP или файловия мениджър на вашия уеб хост (често наречен public_html).
- Отворете файла .htaccess за редактиране.
- Добавете следния код в края на файла .htaccess:# Блокирайте целия достъп до xmlrpc.php <Файлове xmlrpc.php> Order Allow,Deny Deny from all
- Запазете промените и качете актуализирания файл .htaccess обратно на сървъра си.
Резултат:
- Този код предотвратява всякакъв външен достъп до xmlrpc.php, като на практика го деактивира.
Метод 3: Деактивиране на xmlrpc.php чрез Functions.php (потребителски код)
Можете също така да забраните XML-RPC чрез файла functions.php на вашата тема.
Стъпка 1: Редактирайте functions.php
- Отидете на Appearance (Външен вид) > Theme Editor (Редактор на теми) в таблото за управление на WordPress.
- Изберете файла functions.php от дясната странична лента.
- Добавете следния код:// Деактивирайте XML-RPC add_filter(‘xmlrpc_enabled’, ‘__return_false’);
- Щракнете върху Update File (Актуализиране на файла), за да запазите промените.
Резултат:
- Този код ще деактивира функцията XML-RPC в WordPress.
Метод 4: Използване на настройките за сигурност на вашия уеб хост
Някои уеб хостинги предоставят опции за деактивиране на XML-RPC чрез контролния си панел:
- Влезте в уеб хостинг акаунта си.
- Потърсете опции, свързани със сигурността на WordPress или настройките на приложенията.
- Ако има такава възможност, деактивирайте достъпа до XML-RPC чрез панела за сигурност.
Как да разрешите xmlrpc.php в WordPress
Ако преди това сте деактивирали xmlrpc.php и трябва да го активирате отново, просто обърнете стъпките, използвани за деактивирането му:
- Ако сте използвали плъгин като Disable XML-RPC-API, деактивирайте или деинсталирайте плъгина.
- Ако сте добавили код в .htaccess или functions.php, премахнете кода и запазете промените.
- Ако сте деактивирали XML-RPC чрез вашия уеб хост, използвайте контролния панел на хостинга, за да активирате отново достъпа до XML-RPC.
Обобщение
xmlrpc.php в WordPress предоставя възможности за отдалечен достъп, като позволява на приложения и услуги да взаимодействат с вашия уебсайт. Въпреки че тази функционалност може да бъде полезна, тя също така крие рискове за сигурността, като атаки с груба сила и DDoS атаки. Затова много собственици на уебсайтове избират да деактивират xmlrpc.php, ако не се нуждаят от неговите функции.
За да деактивирате xmlrpc.php, можете да използвате плъгини, да добавите персонализиран код в .htaccess или functions.php или да използвате настройките на вашия уеб хост. Ако трябва да активирате отново xmlrpc.php, просто обърнете стъпките, предприети за деактивирането му. Разбирането на това кога и как да активирате или деактивирате тази функция може да ви помогне да запазите сигурността на вашия WordPress уебсайт, като същевременно поддържате необходимата ви функционалност.
