XML-RPC no WordPress: o que é e se o deve desligar

WordPress e CMS·· 31 visualizações· 2 min de leitura

A resposta curta: o xmlrpc.php é um arquivo antigo do WordPress que deixa programas de fora publicar no seu site. A maioria dos sites já não precisa dele, e os robôs adoram-no para tentar senhas. Se não usa nenhuma aplicação que dependa dele, pode bloqueá-lo; se usa, fica como está.

Precisa dele?

Se usa… Precisa do XML-RPC?
Só o painel do WordPress, no navegador Não. O painel não o usa.
A aplicação de celular do WordPress, em sites antigos Pode precisar, consoante a versão. Teste depois de bloquear.
Plugins que ligam o site a um serviço de fora Alguns precisam (veja a documentação do plugin). Teste depois de bloquear.
Publicar de um programa de escritório ou de um editor externo Os mais antigos precisam; os recentes usam outra via.
Nada do que está acima Pode bloquear. Menos uma porta aberta.

Bloquear, passo a passo

1 Faça uma cópia do arquivo .htaccess da pasta do site: O que copiar antes de atualizar.
2 Escolha uma via. A mais simples é um plugin de segurança que tenha a opção «desativar XML-RPC». A outra é acrescentar ao .htaccess estas linhas: <Files xmlrpc.php>
Require all denied
</Files>
3 Abra o endereço o-seu-dominio.com/xmlrpc.php. Se estiver bloqueado, deve ver «403 Proibido» (ou o equivalente); antes dizia «XML-RPC server accepts POST requests only».
4 Teste o que usa: publique um artigo de teste e confirme que as aplicações ligadas ao site continuam funcionando. Se alguma falhar, tire as linhas do .htaccess.
5 Se o site deu erro 500 depois de gravar o .htaccess, volte à cópia: Erro 500.
Bloquear o XML-RPC não substitui o resto da proteção. Continue a ter uma senha forte, um captcha e o limite de tentativas no login: Proteger o login do WordPress. É uma peça, não a defesa toda.
Um pico de pedidos ao xmlrpc.php, sem ninguém a usá-lo, é um sinal de ataque: Ataque DDoS ou só um pico de visitas.

Não sabe se o seu site precisa dele? Abra um pedido com o endereço e o nome dos plugins.

Abrir pedido de suporte

VEJA TAMBÉM

Proteger a entrada do WordPress: três passos por ordem de efeito

ModSecurity e firewalls de aplicações web: o que fazem, e o que fazer quando um bloqueia o seu pedido

Instalar plugins no WordPress: onde, quais, e quantos

PRODUTO RECOMENDADO

Alojamento WordPress

Instalação num clique, actualizações tratadas e velocidade a sério. desde R$ 36,30/mês (plano de 3 anos, com cupom)

Ver planos
Esta resposta foi útil? Sua resposta nos ajuda a melhorar este artigo.

Artigos Relacionados

WordPress e CMS 1.411 Como instalar o WordPress em poucos cliques Não precisa de baixar o WordPress, criar um banco de dados e enviar arquivos à mão. O instalador do cPanel faz tudo isso...
WordPress e CMS 1.254 Erros comuns do WordPress: tela branca, erro crítico e como achar a causa O site deixou de abrir e mostra uma tela branca, ou a linha «Ocorreu um erro crítico neste site». São duas caras do mesm...
WordPress e CMS 786 Não consigo entrar no painel do WordPress: as seis causas habituais O site abre, mas o painel de administração não. Ou pede a senha em ciclo sem fim, ou diz que os dados estão errados quan...
WordPress e CMS 746 Como remover o WordPress de um domínio, sem deixar restos Quer o WordPress fora de um domínio, porque a instalação partiu, porque vai começar de novo, ou porque o site vai passar...
WordPress e CMS 1.151 Proteger a entrada do WordPress: três passos por ordem de efeito O endereço de entrada do WordPress é o mesmo em todos os sites do mundo: /wp-admin e /wp-login.php. Isso quer dizer que...
WordPress e CMS 61 Importar o conteúdo de demonstração de um tema sem estragar o site A resposta curta: muitos temas trazem um botão «Importar demonstração» que copia para o seu site as páginas, as imagens...