La numerosa comunidad de usuarios de WordPress que existe alrededor del mundo permite conocer rápidamente cualquier fallo o vulnerabilidad que se detecta en el código de este CMS. El objetivo de esto es aumentar la seguridad en Wordpress, y evitar posibles hackeos de páginas web y conseguir una web mucho más segura. Un buen ejemplo de ello es el que te mostraré a continuación: los ataques al archivo xmlrpc.php
¿Cómo se detecta un ataque al archivo xmlrpc.php de WordPress?
Pues bien, uno de los principales síntomas de que tu aplicación se ha visto afectada por este ataque son las caídas periódicas en tu web por culpa de ataques de fuerza bruta desde cientos de direcciones IP diferentes y en un corto espacio de tiempo.
Estos ataques implican peticiones numerosísimas a la web y finalmente impiden acceder a ella, porque el tráfico que generan de manera artificial es insostenible. En resumen, es un ataque DDoS contra tu web de WordPress.
¿Qué hacer ante una situación así?
El archivo xmlrpc.php sirve para poder postear de forma remota en WordPress, es decir, para utilizar otra aplicación para publicar posts: Microsoft Word, Textmate, Thunderbird, tu smartphone. Y, con el ataque a este fichero, se puede acceder a tu aplicación y obtener los datos de acceso al panel de administración de WordPress.
Como es lógico, nadie que tiene una web para su negocio o a nivel personal le gusta que puedan obtener la contraseña de su aplicación web y que accedan a su proyecto contra su voluntad. Por eso, como en la mayor parte de las ocasiones este fichero no se necesita (no es muy habitual postear de forma remota en WordPress), te recomiendo bloquear el acceso al archivo xmlrpc.php.
Si no utilizas WordPress de forma remota, lo mejor es bloquear el archivo xmlrpc.php.
Al quedar bloqueado, aunque el archivo xmlrpc.php sea atacado, y por muchas peticiones que se realicen constantemente, resulta imposible dejar inaccesible una página web utilizando este método.
Bloqueo del archivo xmlrpc.php
Si tú también quieres mantener tu WordPress a salvo y mejorar la seguridad de tu web, simplemente deberás acceder al fichero .htaccess y añadir las siguientes líneas de código:
<Files xmlrpc.php>
order allow,deny
deny from all
</Files>Si trabajas con la versión de Apache 2.4, añade las siguientes líneas:
<Files xmlrpc.php>
Require all denied
</Files>Una vez hecho esto, tu web de WordPress queda completamente protegida contra los ataques realizados contra el archivo xmlrpc.php.
