xmlrpc.php aperto

Perché conta

I limiti ai tentativi di login spesso controllano solo la pagina di login. Tramite xmlrpc.php un bot può indovinare password in blocco senza essere fermato. Quasi nessun sito ne ha ancora bisogno.

Come lo controlla Snaglist

Questa è parte della verifica di sicurezza, un controllo separato accanto alla scansione, in Studio e Bureau, e solo su un sito che hai verificato. Snaglist guarda solo ciò che qualsiasi visitatore può vedere dall'esterno. Non effettua login, non indovina password e non invia attacchi. Richiede xmlrpc.php come può fare qualsiasi visitatore e verifica se risponde e se consente molte richieste in una (multicall).

Cause frequenti

• WordPress lascia xmlrpc.php aperto di default
• Una vecchia app o servizio che lo utilizzava
• Nessun plugin di sicurezza o regola del server che lo chiuda

Come risolverlo

1. Verifica se utilizzi l'app Jetpack o WordPress. Potrebbero ancora averne bisogno.
2. Disattiva xmlrpc.php con un plugin di sicurezza o una regola in .htaccess.
3. Esegui nuovamente la verifica di sicurezza per confermare.

Come appare nel report

Nel report per il tuo cliente appare sotto il titolo "Una vecchia backdoor è aperta per indovinare le password". Quando tutto è a posto, il report riporta: "La vecchia backdoor xmlrpc è chiusa".