Disable XML-RPC-API for WordPress

Se você já administra um site WordPress há algum tempo, provavelmente já ouviu histórias horríveis sobre o XML-RPC ser uma temporada de caça para hackers ou bots que martelam seu login. Sim, foi isso que me levou a tentar desativar XML-RPC-API para WordPress. É um plugin simples que basicamente desliga a interface XML-RPC que muitos ataques visam, para que seu site não se jogue na linha de fogo. Eu não tinha certeza do quanto isso importava até que vi o uso da CPU do meu servidor cair depois de configurá-lo. Além disso, me senti melhor sabendo que mais uma porta estava bem trancada.

As coisas boas

O que realmente me impressionou foi como foi fácil de configurar. Sem configurações complicadas ou permissões estranhas. Basta instalar, ativar e o acesso ao boom-XML-RPC será desativado. Também gostei do fato de ele não bloquear cegamente o xmlrpc.php. Você pode colocar IPs na lista de permissões, se desejar, o que é útil se você usar aplicativos remotos ou serviços legítimos que ainda precisam de XML-RPC. Além disso, ele limpa links de pingback que não são apenas irritantes, mas também podem ser explorados para ataques DDoS, por isso é um ótimo bônus.

Outra parte interessante é a opção de renomear o slug XML-RPC ou desabilitar a API JSON REST. Não mexi muito com isso pessoalmente, mas é bom ter esses extras para ter um pouco mais de controle sobre como seu site se comunica com o mundo exterior. E escondendo sua versão do WordPress? É sempre bom manter os hackers intrometidos na dúvida.

O não tão bom

O problema é o seguinte: este plugin é bastante básico. Não há painel chamativo ou lembretes constantes, o que algumas pessoas podem achar muito discreto. Se você depende muito do XML-RPC para coisas como Jetpack ou determinados aplicativos móveis, isso pode interromper seu fluxo de trabalho, a menos que você mexa na lista de permissões. Além disso, não há muitas informações sobre quem fez isso ou com que frequência é atualizado, o que me fez fazer uma pausa inicialmente. Os plug-ins de segurança precisam ser mantidos atentos ou correm o risco de se tornarem inúteis, então eu gostaria de ver mais transparência antes de depender deles a longo prazo.

Por último, não possui uma versão de avaliação gratuita ou premium, mas, honestamente, pelo que faz, tudo bem.

Resultado final

Se você estiver executando um site WordPress e quiser uma maneira rápida e simples de impedir ataques XML-RPC, vale a pena usar Desativar XML-RPC-API para WordPress. É gratuito, simples e, uma vez ativado, você provavelmente poderá esquecê-lo enquanto seu servidor relaxa um pouco mais. Só não espere que ele substitua um pacote de segurança completo ou ajude se você precisar de XML-RPC por motivos legítimos. Para a maioria das pessoas, especialmente aquelas que não usam aplicativos WordPress remotos, este plugin fará o trabalho e manterá as coisas um pouco mais seguras e sem complicações.