XML-RPC
Definición
XML-RPC es un endpoint de API antiguo de WordPress que los atacantes suelen abusar para fuerza bruta y amplificación.
También se llama: xmlrpc, xml rpc
Última actualización
Por qué importa en WordPress
xmlrpc.php puede permitir muchos intentos de contraseña en una sola petición HTTP (multicall) y se ha usado en inundaciones basadas en pingback. Bastantes sitios modernos no lo necesitan. Dejarlo abierto sin límites es superficie de ataque gratis.
Cómo se ve en la práctica
- Mucho tráfico a
/xmlrpc.phpen los logs de acceso - Intentos de fuerza bruta que apenas tocan el formulario normal de login
- Jetpack, apps móviles antiguas o automatización que aún llaman a XML-RPC (comprueba antes de desactivar)
- Picos de CPU en hosting barato por tormentas multicall
Qué hacer
- Desactiva o bloquea XML-RPC si nada de lo que usas lo necesita.
- Si lo necesitas, limita el ritmo y monitoriza de cerca.
- Prefiere la REST API con autenticación sólida para integraciones nuevas.
- Confirma que Jetpack, apps y automatización siguen funcionando tras cualquier cambio.
En WP Security Ninja
Si aún necesitas XML-RPC, mantén los límites de la protección de acceso y considera cortar abuso ruidoso con el firewall en la nube. Si nada lo necesita, desactívalo o bloquéalo en el host o en el firewall. Endurecimiento de login más amplio (EN): WordPress login security guide.
Ir más allá
¿Quieres el recorrido completo?
Esta página se queda corta a propósito. La guía (en inglés) cubre pasos, ejemplos y qué comprobar en un sitio WordPress en vivo.
Abrir guía completa (EN)Términos relacionados
Ideas cercanas en el diccionario
- Fuerza bruta Un ataque de fuerza bruta prueba muchas contraseñas o tokens hasta que uno funciona, normalmente contra el formulario de acceso.
- Limitación de ritmo La limitación de ritmo pone tope a cuántas veces puede ocurrir una acción desde una IP o cuenta, y así frena el abuso automatizado.
- DDoS Un ataque DDoS inunda un sitio o su infraestructura con tráfico para que los visitantes legítimos no puedan pasar.
- REST API La REST API de WordPress es una interfaz HTTP JSON en /wp-json/ usada por el editor, apps y muchos plugins.
