xmlrpc.php offen

Warum es wichtig ist

Einschränkungen für Login-Versuche überwachen oft nur die Login-Seite. Über xmlrpc.php kann ein Bot Passwörter in großen Mengen raten, ohne gestoppt zu werden. Kaum eine Website braucht es noch.

Wie Snaglist es prüft

Das ist Teil der Sicherheitsprüfung, eine separate Überprüfung neben dem Crawl, in Studio und Bureau, und nur auf einer verifizierten Website. Snaglist prüft nur, was jeder Besucher von außen sehen kann. Es loggt sich nie ein, rät keine Passwörter und führt keine Angriffe aus. Es fragt xmlrpc.php so ab, wie es jeder Besucher kann, und prüft, ob es antwortet und ob es viele Anfragen in einer (Multicall) zulässt.

Häufige Ursachen

• WordPress lässt xmlrpc.php standardmäßig offen
• Eine alte App oder ein Dienst, die es genutzt haben
• Kein Sicherheits-Plugin oder keine Server-Regel, die es schließt

So behebst du es

1. Prüfe, ob du die Jetpack- oder WordPress-App nutzt. Sie benötigen es möglicherweise noch.
2. Deaktiviere xmlrpc.php mit einem Sicherheits-Plugin oder einer Regel in der .htaccess.
3. Führe die Sicherheitsprüfung erneut aus, um es zu bestätigen.

So wird es im Bericht dargestellt

Im Bericht für deinen Kunden erscheint das unter der Überschrift „Eine alte Hintertür für Passwort-Raten ist offen“. Wenn alles in Ordnung ist, steht im Bericht: „Die alte xmlrpc-Hintertür ist geschlossen“.