xmlrpc.php otwarty

Dlaczego to ważne

Limity prób logowania często dotyczą tylko strony logowania. Przez xmlrpc.php bot może zgadywać hasła hurtowo, nie będąc zatrzymanym. Prawie żadna strona już tego nie potrzebuje.

Jak Snaglist to sprawdza

To część sprawdzenia bezpieczeństwa, oddzielnego testu obok crawla, dostępnego w Studio i Bureau, tylko dla zweryfikowanych stron. Snaglist sprawdza tylko to, co widzi każdy odwiedzający z zewnątrz. Nigdy nie loguje się, nie zgaduje haseł ani nie przeprowadza ataków. Pyta xmlrpc.php tak, jak może to zrobić każdy odwiedzający, i sprawdza, czy odpowiada oraz czy pozwala na wiele żądań w jednym (multicall).

Częste przyczyny

• WordPress domyślnie pozostawia xmlrpc.php otwarty
• Stara aplikacja lub usługa, która go używała
• Brak wtyczki bezpieczeństwa lub reguły serwera, która go zamyka

Jak to naprawić

1. Sprawdź, czy używasz aplikacji Jetpack lub WordPress. Mogą nadal go potrzebować.
2. Wyłącz xmlrpc.php za pomocą wtyczki bezpieczeństwa lub reguły w pliku .htaccess.
3. Uruchom ponownie sprawdzenie bezpieczeństwa, aby potwierdzić.

Jak to wygląda w raporcie

W raporcie dla klienta to pojawia się pod nagłówkiem „Stare tylne drzwi są otwarte do zgadywania haseł”. Gdy wszystko jest w porządku, raport wyświetla: „Stare tylne drzwi xmlrpc są zamknięte”.