Отключение XML-RPC — Disable XML-RPC

Не поможет вам оружие —
Не из крови моя плоть.
Оборона неуклюжая
Бесполезна.

Не дадут жизни. Снова враги ломятся в дверь. Стену шатают, трубу ломают. Сделай сайт, наполняй его контентом, продвигай и защищай. Какое-то ММО RPG получается. Собственно лирика, пора и к делу переходить.

Производственному процессу способствует грамотное распределение ресурсов как производственных так и трудовых. Поэтому на сайте не должно быть ничего бесполезного и ненужного. Отключены плагины — убрать, есть неиспользуемые темы — зачистить, есть ненужные сервисы — отключить, бесполезные функции — убрать. Это трудоемкий процесс, но позволяет избежать неожиданных неприятностей в будущем.

Ломают, ты их в дверь, они в окно. Год назад спокойная жизнь кончилась. Злодеи стали подбирать пароль — сменил страницу логина, нашли страницу — плохое придумал название, поменял снова и закрыл к ней доступ капчей. Одно время все было спокойно, но вот снова началось, на этот раз стали лезть через XML RPC, сервис удаленной публикации. Удобно публиковать из поделки Microsoft и приложений iOS и Android. Старательно пробовали войти, естественно пароль из более 20 символов, с большими и маленькими буквами, и цифрами, и спецсимволами ни запомнить ни подобрать нереально, еще когда с другой стороны стоит блокировщик IP, который блочит на час при двух ошибках. Однако все это сильно грузит хост и владельцы начинают слать письма счастья о превышении лимита ресурсов. В нормальном состоянии нагрузка в пять раз меньше.

Ввиду неиспользования XML-RPC пришлось его отключить, делается это или плагином Disable XML-RPC, требуется просто активировать или вставкой кода в function.php:

add_filter(‘xmlrpc_enabled’, ‘__return_false’);

На том пока все и завершилось.

Для тех, кто не знает, что такое XML-RPC — это WordPress API, позволяющий (удалённо) публиковать, редактировать, создавать и удалять посты, таксономии (рубрики, метки и пользовательские таксономии), медиафайлы, пользователей и комментарии.

Пример сообщений о попытках подключения по XML-RPC в логах сайта:

«POST /xmlrpc.php HTTP/1.0» 200 441 «-» «Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10.6; fr; rv:1.9.

Если не используется удаленная публикация, то отключать ее. Позаботиться о более длинном пароле и нетривиальном имени пользователя, закрыть страницу логина и по возможности разрешить на нее заход только с доверенных IP.