XML-RPC no WordPress: o que é e se o deve desligar

A resposta curta: o xmlrpc.php é um ficheiro antigo do WordPress que deixa programas de fora publicar no seu site. A maioria dos sites já não precisa dele, e os robôs adoram-no para tentar senhas. Se não usa nenhuma aplicação que dependa dele, pode bloqueá-lo; se usa, fica como está.

Precisa dele?

Se usa… Precisa do XML-RPC?
Só o painel do WordPress, no navegador Não. O painel não o usa.
A aplicação de telemóvel do WordPress, em sites antigos Pode precisar, consoante a versão. Teste depois de bloquear.
Plugins que ligam o site a um serviço de fora Alguns precisam (veja a documentação do plugin). Teste depois de bloquear.
Publicar de um programa de escritório ou de um editor externo Os mais antigos precisam; os recentes usam outra via.
Nada do que está acima Pode bloquear. Menos uma porta aberta.

Bloquear, passo a passo

1 Faça uma cópia do ficheiro .htaccess da pasta do site: O que copiar antes de atualizar.
2 Escolha uma via. A mais simples é um plugin de segurança que tenha a opção «desativar XML-RPC». A outra é acrescentar ao .htaccess estas linhas: <Files xmlrpc.php>
Require all denied
</Files>
3 Abra o endereço o-seu-dominio.com/xmlrpc.php. Se estiver bloqueado, deve ver «403 Proibido» (ou o equivalente); antes dizia «XML-RPC server accepts POST requests only».
4 Teste o que usa: publique um artigo de teste e confirme que as aplicações ligadas ao site continuam a funcionar. Se alguma falhar, tire as linhas do .htaccess.
5 Se o site deu erro 500 depois de gravar o .htaccess, volte à cópia: Erro 500.
Bloquear o XML-RPC não substitui o resto da proteção. Continue a ter uma senha forte, um captcha e o limite de tentativas no login: Proteger o login do WordPress. É uma peça, não a defesa toda.
Um pico de pedidos ao xmlrpc.php, sem ninguém a usá-lo, é um sinal de ataque: Ataque DDoS ou só um pico de visitas.

Não sabe se o seu site precisa dele? Abra um pedido com o endereço e o nome dos plugins.

Abrir pedido de suporte

VEJA TAMBÉM

Proteger a entrada do WordPress: três passos por ordem de efeito

ModSecurity e firewalls de aplicações web: o que fazem, e o que fazer quando um bloqueia o seu pedido

Instalar plugins no WordPress: onde, quais, e quantos

PRODUTO RECOMENDADO

Alojamento WordPress

Instalação num clique, actualizações tratadas e velocidade a sério. desde 321,75 MT/mês (plano de 3 anos, com cupão)

Ver planos
  • 0 Utilizadores acharam útil
Esta resposta foi útil?

Artigos Relacionados

Como instalar o WordPress em poucos cliques Não precisa de descarregar o WordPress, criar uma base de dados e enviar ficheiros à mão. O instalador do cPanel faz tud...
Erros comuns do WordPress: ecrã branco, erro crítico e como achar a causa O site deixou de abrir e mostra um ecrã branco, ou a linha «Ocorreu um erro crítico neste site». São duas caras do mesmo...
Não consigo entrar no painel do WordPress: as seis causas habituais O site abre, mas o painel de administração não. Ou pede a senha em ciclo sem fim, ou diz que os dados estão errados quan...
Como remover o WordPress de um domínio, sem deixar restos Quer o WordPress fora de um domínio, porque a instalação partiu, porque vai começar de novo, ou porque o site vai passar...
Proteger a entrada do WordPress: três passos por ordem de efeito O endereço de entrada do WordPress é o mesmo em todos os sites do mundo: /wp-admin e /wp-login.php. Isso quer dizer que...
Importar o conteúdo de demonstração de um tema sem estragar o site A resposta curta: muitos temas trazem um botão «Importar demonstração» que copia para o seu site as páginas, as imagens...