XML-RPC-Protokoll in WordPress blockieren

Wenn Sie XML-RPC nicht ver­wen­den, soll­ten Sie es auf Ihrer Website deak­ti­vie­ren, um zu ver­hin­dern, dass Bots/Hacker Ihre Website hacken oder Ihre Website durch wie­der­hol­te XML-RPC-Angriffe ver­lang­sa­men. Das größ­te Problem bei XML-RPC-Angriffen ist in der Regel nicht, dass sie ein­drin­gen, son­dern dass sie Ihren Server mit so vie­len blo­ckier­ten Anfragen lahmlegen.

• XML-RPC wird übli­cher­wei­se ver­wen­det, um von einer mobi­len App oder einem Remote-Publishing-Dienst aus eine Verbindung zu Ihrer Website und Ihrem Blog her­zu­stel­len. Wenn Sie nie von irgend­wo­her auf Ihre Website publi­zie­ren, son­dern direkt in der WordPress-Verwaltung selbst, kön­nen Sie es pro­blem­los deaktivieren!
• Sie kön­nen ganz ein­fach alle xmlrpc.php-Anfragen mit .htac­cess blo­ckie­ren, um zu ver­hin­dern, dass sie über­haupt an WordPress wei­ter­ge­lei­tet wer­den. Machen Sie sich nicht die Mühe, dafür ein Sicherheits-Plugin zu ver­wen­den, da die­se ent­we­der lang­sa­mer sind, um die Blockierung zu ver­ar­bei­ten, oder im Grunde das Gleiche tun, indem sie das glei­che klei­ne Stück Code zu Ihrer htac­cess hinzufügen.

Apache/LiteSpeed-Server kön­nen den fol­gen­den Code in ihre .htac­cess-Datei ein­fü­gen (vor­zugs­wei­se ganz oben):

# WordPress xmlrpc.php blockieren
order deny,allow
deny from all
allow from 123.123.123.123

Kurzer Hinweis… wenn Sie es für bestimm­te IPs ein­ge­schal­tet las­sen müs­sen, kön­nen Sie Ihre IP und auch die IPs von Jetpack (wenn Sie es ver­wen­den) auf eine Whitelist setzen.

Nginx-Server kön­nen den fol­gen­den Code in die functions.php ein­fü­gen (ein­ge­reicht von Regev):

// Disables XML-RPC
add_filter( ‘xmlrpc_enabled’, ‘__return_false’ );
func­tion disable_x_pingback( $hea­ders ) {
unset( $headers[‘X‑Pingback’] );
return $hea­ders;
}
add_filter( ‘wp_headers’, ‘disable_x_pingback’ );
add_filter( ‘xmlrpc_methods’, func­tion( $methods ) {
unset( $methods[‘pingback.ping’] );
return $methods;
} );