Como e por que ativar e desativar o XMLRPC.PHP no WordPress

o xmlrpc.php é um arquivo no WordPress que permite o acesso remoto ao seu site. Ele permite que aplicativos externos, como aplicativos móveis, ferramentas de terceiros e pingbacks, interajam com o seu site WordPress. Embora essa funcionalidade possa ser útil, ela também apresenta riscos de segurança, razão pela qual muitos proprietários de sites do WordPress optam por desativar o xmlrpc.php quando não precisam dele.

Este guia o orientará sobre o que é o xmlrpc.php, por que você pode querer ativá-lo ou desativá-lo e como fazer isso com segurança.

O que é xmlrpc.php no WordPress?

• o xmlrpc.php é um arquivo central do WordPress que permite o acesso remoto ao seu site por meio do protocolo XML-RPC.
• Ele é usado para executar ações como:
  • Publicar posts de aplicativos remotos.
  • Gerenciar comentários remotamente.
  • Ativação de pingbacks e trackbacks.
  • Conectar aplicativos WordPress em dispositivos móveis ao seu site.
• Exemplos de casos de uso:
  • Publicação de posts de aplicativos móveis do WordPress.
  • O plug-in Jetpack usa xmlrpc.php para alguns de seus recursos.
  • Integração de serviços de terceiros que usam XML-RPC para transferência de dados.

Por que você deve desativar o xmlrpc.php?

o xmlrpc.php pode representar riscos à segurança, e é por isso que muitos proprietários de sites optam por desativá-lo, especialmente se não usarem recursos que dependam dele.

Riscos comuns de segurança associados ao xmlrpc.php:

1. Ataques de força bruta:
   • Os invasores podem usar o xmlrpc.php para realizar ataques de força bruta, tentando vários nomes de usuário e senhas por meio de solicitações XML-RPC.
   • Isso pode ser feito com mais eficiência usando o xmlrpc.php porque uma única solicitação pode tentar várias tentativas de login.
2. Ataques DDoS:
   • o xmlrpc.php pode ser usado em ataques de negação de serviço distribuído (DDoS) para sobrecarregar um site com solicitações de pingback, levando à exaustão de recursos e ao tempo de inatividade.
3. Exploração de pingbacks:
   • Os agentes mal-intencionados podem usar o recurso de pingback no xmlrpc.php para ampliar os ataques DDoS ou gerar grandes volumes de spam.

Quando você deve habilitar o xmlrpc.php?

• Você deve manter o xmlrpc.php ativado se:
  • Precisar publicar posts do aplicativo móvel do WordPress.
  • Você usa plug-ins ou ferramentas que dependem do XML-RPC, como o Jetpack.
  • Você precisar de recursos de publicação remota por meio de serviços externos.

Se você não precisar desses recursos, é mais seguro desativar o xmlrpc.php para minimizar os riscos de segurança.

Como desativar o xmlrpc.php no WordPress

Método 1: Desativar o xmlrpc.php usando um plug-in (recomendado)

O uso de um plug-in é a maneira mais fácil de desativar o xmlrpc.php sem mexer em nenhum código.

Etapa 1: instalar um plug-in

• Instale um plug-in de segurança como Disable XML-RPC-API ou All In One WP Security & Firewall.
• Você pode fazer isso acessando Plugins > Adicionar novo no painel do WordPress, procurando o plug-in e clicando em Instalar agora e depois em Ativar.

Etapa 2: Configurar o plug-in

• Se estiver usando Desativar XML-RPC-API:
  • Depois de ativar o plug-in, o xmlrpc.php será automaticamente desativado.
• Se estiver usando o All In One WP Security & Firewall:
  • Vá para WP Security > Firewall.
  • Localize a seção XML-RPC e desative as opções XML-RPC.

Método 2: Desativar xmlrpc.php usando .htaccess (avançado)

Se você se sentir à vontade para editar o arquivo .htaccess, poderá bloquear o acesso ao xmlrpc.php diretamente no nível do servidor.

Etapa 1: Editar o arquivo .htaccess

1. Acesse o diretório raiz do WordPress por meio de FTP ou do gerenciador de arquivos do seu host da Web (geralmente chamado de public_html).
2. Abra o arquivo .htaccess para edição.
3. Adicione o seguinte código no final do arquivo .htaccess:
   # Bloqueie todo o acesso ao xmlrpc.php Order Allow,Deny Deny from all
4. Salve as alterações e faça o upload do arquivo .htaccess atualizado de volta para o seu servidor.

Resultado:

• Esse código impede qualquer acesso externo ao xmlrpc.php, desativando-o de fato.

Método 3: desativar o xmlrpc.php usando o Functions.php (código personalizado)

Você também pode desativar o XML-RPC por meio do arquivo functions.php do seu tema.

Etapa 1: Editar o arquivo functions.php

1. Vá para Appearance > Theme Editor no painel do WordPress.
2. Selecione o arquivo functions.php na barra lateral direita.
3. Adicione o seguinte código:
   // Desative o XML-RPC add_filter(‘xmlrpc_enabled’, ‘__return_false’);
4. Clique em Update File (Atualizar arquivo) para salvar as alterações.

Resultado:

• Esse código desabilitará a funcionalidade XML-RPC no WordPress.

Método 4: Usando as configurações de segurança do seu host da Web

Alguns hosts da Web oferecem opções para desativar o XML-RPC por meio do painel de controle:

• Faça login em sua conta de hospedagem na Web.
• Procure opções relacionadas à segurança do WordPress ou às configurações do aplicativo.
• Se disponível, desative o acesso ao XML-RPC por meio do painel de segurança.

Como habilitar o xmlrpc.php no WordPress

Se você tiver desativado o xmlrpc.php anteriormente e precisar reativá-lo, basta reverter as etapas usadas para desativá-lo:

• Se você usou um plug-in como Disable XML-RPC-API, desative ou desinstale o plug-in.
• Se você adicionou código ao .htaccess ou functions.php, remova o código e salve as alterações.
• Se você desativou o XML-RPC por meio do seu host da Web, use o painel de controle de hospedagem para reativar o acesso ao XML-RPC.

Resumo

o xmlrpc.php no WordPress fornece recursos de acesso remoto, permitindo que aplicativos e serviços interajam com seu site. Embora essa funcionalidade possa ser útil, ela também apresenta riscos de segurança, como ataques de força bruta e ataques DDoS. Portanto, muitos proprietários de sites optam por desativar o xmlrpc.php se não precisarem de seus recursos.

Para desativar o xmlrpc.php, você pode usar plug-ins, adicionar código personalizado ao .htaccess ou functions.php ou usar as configurações do seu host da Web. Se você precisar reativar o xmlrpc.php, basta reverter as etapas realizadas para desativá-lo. Entender quando e como ativar ou desativar esse recurso pode ajudá-lo a manter seu site WordPress seguro e, ao mesmo tempo, manter a funcionalidade de que você precisa.