xmlrpc.php ouvert

Pourquoi c'est important

Les limites de tentatives de connexion surveillent souvent uniquement la page de connexion. Via xmlrpc.php, un bot peut deviner des mots de passe en masse sans être arrêté. Presque aucun site n'en a encore besoin.

Comment Snaglist le vérifie

Ceci fait partie de la vérification de sécurité, une vérification distincte à côté du crawl, dans Studio et Bureau, et uniquement sur un site que vous avez vérifié. Snaglist examine uniquement ce qu'un visiteur peut voir de l'extérieur. Il ne se connecte jamais, ne devine pas de mots de passe et n'envoie pas d'attaques. Il interroge xmlrpc.php comme tout visiteur peut le faire et vérifie s'il répond, et s'il permet plusieurs requêtes en une seule (multicall).

Causes fréquentes

• WordPress laisse xmlrpc.php accessible par défaut
• Une ancienne application ou service qui l'utilisait
• Aucun plugin de sécurité ou règle serveur qui le ferme

Comment le corriger

1. Vérifiez si vous utilisez l'application Jetpack ou WordPress. Elles peuvent encore en avoir besoin.
2. Désactivez xmlrpc.php avec un plugin de sécurité ou une règle dans .htaccess.
3. Relancez la vérification de sécurité pour confirmer.

Présentation dans le rapport

Dans le rapport pour votre client, ceci apparaît sous le titre « Une ancienne porte dérobée est ouverte pour deviner les mots de passe ». Lorsque tout est en ordre, le rapport indique : « L'ancienne porte dérobée xmlrpc est fermée ».