Что такое Xmlrpc.php для WordPress и как его отключить / сайт грузит запросами POST //xmlrpc.php HTTP/1.0 в журналах access.log

Очень часто можно встретить в логах журналов www-запросов access.log следующую запись:

159.192.139.106 — — [22/Aug/2023:18:23:40 +0300] «POST //xmlrpc.php HTTP/1.0» 200 623 «-» «Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/89.0.4389.114 Safari/537.36»

Xmlrpc.php в WordPress используется для удаленного доступа к вашему сайту, через сторонние приложения. Данный инструмент появился, когда WordPress только зарождался и скорость интернета не позволяла быстро создавать и публиковать записи на сайт. Существовал офлайн-клиент, в котором администратор создавал и редактировал записи, а затем через xmlrpc.php записи публиковались на сайт.

В 2008 году было выпущено приложение WordPress для iPhone и поддержка XML-RPC была включена по умолчанию, без возможности отключить.

Зачем отключать xmlrpc.php

Одна из важных причин, из-за которой стоит отключить XML-RPC — это угроза безопасности вашего сайта. Злоумышленники часто используют эту лазейку для взлома пароля от админки вашего сайта, а также для DDoS-атаки.

Часто причиной нагрузки на CPU в хостинг панели является нежелательные подключение через XML-RPC, из-за чего работа вашего хостинга может быть приостановлена.

Чтобы отключить xmlrpc.php вручную без установки плагина, нужно сделать следующее:

• Перейдите в корневую папку вашего сайта на WordPress.
• Откройте файл .htaccess и вставьте в конце файла строки: <Files xmlrpc.php> order deny,allow deny from all </Files>
• Сохраните изменения.

После отключения XML-RPC доступ через xmlrpc.php будет закрыт. Тем самым вы дополнительно обезопасите свой сайт и сможете избежать блокировки услуги хостинга из-за нагрузки на CPU.