Importância do xmlrpc.php para a Segurança do seu WordPress

O arquivo xmlrpc.php do WordPress é um dos assuntos mais debatidos quando falamos de segurança em sites. Embora tenha sido fundamental para a evolução da plataforma, hoje ele representa tanto funcionalidades úteis quanto riscos consideráveis.

Neste post, descubra para que serve o xmlrpc.php, os perigos associados e as melhores práticas para proteger seu site.

O que é o xmlrpc.php e para que serve?

O xmlrpc.php está presente em todas as instalações WordPress desde a versão 3.5. Ele permite a comunicação remota com o seu site, possibilitando que aplicativos, plugins e outros serviços externos interajam com o WordPress por meio de requisições HTTP e dados em XML.

Com ele, você pode:

• Publicar posts via aplicativos móveis do WordPress
• Utilizar plugins como Jetpack e ferramentas de automação
• Permitir trackbacks e pingbacks, que são referências de outros sites para suas postagens

⚠️ Por que o xmlrpc.php representa um risco de segurança?

Apesar de útil, o xmlrpc.php é um dos vetores de ataque mais explorados por cibercriminosos. Os principais riscos incluem:

• Ataques de força bruta: O método system.multicall permite milhares de tentativas de senha em poucas requisições, burlando sistemas de bloqueio convencionais.
• DDoS via pingback: Hackers usam o recurso de pingback para amplificar ataques de negação de serviço, sobrecarregando servidores com solicitações simultâneas.
• Spam e abuso de recursos: O pingback pode ser explorado para gerar spam e consumir recursos do seu site.

🟢 Quando você deve manter o xmlrpc.php ativo?

Mantenha o xmlrpc.php habilitado apenas se realmente precisar de suas funcionalidades, como:

•  Publicação remota via aplicativos móveis
•  Uso de plugins que dependem do XML-RPC, como Jetpack
•  Integração com serviços externos que exigem esse tipo de comunicação

Se você não utiliza nenhum desses recursos, desative o xmlrpc.php para reduzir a superfície de ataque do seu site.

🛡️ Boas práticas de segurança para lidar com o xmlrpc.php

Se precisar manter o xmlrpc.php ativo, siga estas práticas para minimizar riscos:

• Use senhas fortes e únicas
• Implemente autenticação de dois fatores (2FA)
• Restrinja o acesso por IP (via .htaccess ou configurações do servidor)
• Utilize plugins de segurança (ex: Disable XML-RPC, Stop XML-RPC Attack)
• Desative pingbacks e trackbacks para reduzir riscos de DDoS e spam
• Monitore atividades suspeitas com plugins de monitoramento
• Mantenha WordPress e plugins atualizados para corrigir falhas conhecidas

Como desativar o xmlrpc.php com segurança

Se não precisa do xmlrpc.php, veja três formas seguras de desativá-lo:

1. Via plugin

Plugins como Disable XML-RPC facilitam o processo para quem não quer mexer em código.

2. Manual pelo .htaccess

Adicione o código abaixo ao seu .htaccess:

<Files xmlrpc.php>
Order Allow,Deny
Deny from all
</Files>

Isso bloqueia qualquer acesso ao arquivo.

3. Via código no functions.php

Para usuários avançados, adicione:

add_filter('xmlrpc_enabled', '__return_false');

Nunca exclua o arquivo xmlrpc.php manualmente, pois isso pode gerar incompatibilidades com plugins e o próprio WordPress.

Alternativas ao xmlrpc.php

Com a chegada da REST API, a maioria das integrações modernas já não depende do xmlrpc.php. Sempre que possível, prefira ferramentas e plugins que utilizem a REST API, mais segura e eficiente.

Resumindo

O xmlrpc.php oferece funcionalidades importantes, mas também abre portas para ataques sérios. Avalie se você realmente precisa dele. Caso não precise, desative-o. Se precisar, reforce sua segurança com as práticas recomendadas acima.

Manter seu site WordPress seguro depende de atenção constante e ações preventivas. Cuide do seu site!