xmlrpc.php abierto

Por qué importa

Los límites de intentos de inicio de sesión suelen vigilar solo la página de inicio. A través de xmlrpc.php, un bot puede adivinar contraseñas en masa sin ser detenido. Casi ningún sitio lo necesita ya.

Cómo lo comprueba Snaglist

Esto forma parte de la comprobación de seguridad, una verificación independiente junto al rastreo, en Studio y Bureau, y solo en un sitio que hayas verificado. Snaglist solo examina lo que cualquier visitante puede ver desde fuera. Nunca inicia sesión, no adivina contraseñas ni envía ataques. Solicita xmlrpc.php como puede hacerlo cualquier visitante y verifica si responde y si permite muchas solicitudes en una (multicall).

Causas habituales

• WordPress deja xmlrpc.php abierto por defecto
• Una aplicación o servicio antiguo que lo usaba
• Ningún plugin de seguridad o regla del servidor que lo cierre

Cómo solucionarlo

1. Comprueba si usas la aplicación Jetpack o WordPress. Es posible que aún lo necesiten.
2. Desactiva xmlrpc.php con un plugin de seguridad o una regla en .htaccess.
3. Ejecuta de nuevo la comprobación de seguridad para confirmar.

Cómo aparece en el informe

En el informe para tu cliente, esto aparece bajo el encabezado "Una puerta trasera antigua está abierta para adivinar contraseñas". Cuando todo está en orden, el informe indica: "La antigua puerta trasera xmlrpc está cerrada".