xmlrpc.php open

Waarom het belangrijk is

Limieten op inlogpogingen houden vaak alleen de inlogpagina in de gaten. Via xmlrpc.php kan een bot in bulk wachtwoorden raden zonder te worden gestopt. Bijna geen enkele site heeft het nog nodig.

Hoe Snaglist dit controleert

Dit hoort bij de veiligheidscheck, een eigen check naast de crawl, in Studio en Bureau, en alleen op een site die je hebt geverifieerd. Snaglist kijkt alleen naar wat elke bezoeker van buitenaf kan zien. Hij logt nooit in, raadt geen wachtwoorden en stuurt geen aanvallen. Hij vraagt xmlrpc.php op zoals elke bezoeker kan en controleert of het antwoordt, en of het veel verzoeken in één toestaat (multicall).

Veelvoorkomende oorzaken

• WordPress laat xmlrpc.php standaard open
• Een oude app of dienst die het gebruikte
• Geen beveiligingsplugin of serverregel die het afsluit

Hoe je het oplost

1. Controleer of je de Jetpack of WordPress-app gebruikt. Deze hebben het mogelijk nog nodig.
2. Zet xmlrpc.php uit met een beveiligingsplugin of een regel in .htaccess.
3. Draai de veiligheidscheck opnieuw ter controle.

Zo staat het in het rapport

In het rapport voor je klant staat dit onder de kop "Er staat een oude achterdeur open om wachtwoorden te raden". Is alles in orde, dan meldt het rapport: "De oude achterdeur xmlrpc is dicht".