xmlrpc.php de wordpress, protégete contra los ataques
El protocolo XMLRPC utiliza XML para la estructuración de datos y HTTP para la transmisión de los datos en XML. WordPress utiliza XMLRPC como API para comunicarse con otras aplicaciones externas y permite la interactuación de WordPress con servicios externos.
Relamente dicho así, el 90% de las instalaciones de WordPress realizada no necesitan este protocolo para funcionar correctamente. Sin embargo este protocolo es el culpable de muchos ataques por fuerza bruta contra WordPress, lo mejor es desactivarlo.
En versiones antiguas, este protocolo estaba por defecto desactivado en WordPress, sin embargo, en las últimas versiones está activado por defecto. ¿El por qué?, pues los desarrolladores de WordPress tendrán sus motivos, pero nosotros no los compartimos en absoluto.
Cuando un Worpress está sufriendo un ataque contra XMLRPC utiliza muchísimos recursos de CPU en el servidor o plan de alojamiento donde está alojada, pudiendo incluso dejar exhausto el procesador y la memoria RAM hasta llegar a producir un «Internal Server Error» en la web.
¿Como podemos protegernos de estos ataques?
La mayoría de los ataques utilizan la función «pingback» de XMLRPC, con lo que la mejor manera es desactivarlo si no es estrictamente necesario. Si no sabes si lo necesitas, es porque simplemente no te hace falta: desactívalo.
Aunque se puede desactivar y ocultar modificando ciertos aspectos del archivo config.php de WordPress, nosotros optamos por la manera más fácil de hacerlo que es mediante la instalación de plugins que se encargan de ello.
Puedes utilizar
- Disable XML-RPC: Este plugin desactiva por completo este protocolo
- Disable XML-RPC Pingback: Como su nombre indica, desactiva solamente las funciones de Pingback pero permite seguir utilizando alguna de sus funciones.
Esta claro que si no lo necesitas, instala el primero. Ambos plugins no tienen configuración, simplemente instala, activa y ya estarás protegido.
