Qué es XML-RPC
XML-RPC es un archivo de WordPress que permite conectarse a la web desde fuera del navegador (apps externas, publicación remota), pero que también es uno de los puntos más aprovechados para ataques automatizados si no se controla. También se conoce por su nombre de archivo, «xmlrpc.php».
Es como una puerta de servicio en la parte trasera de un edificio, pensada para que entren proveedores concretos sin pasar por la entrada principal: útil si realmente la usas, pero un punto de acceso extra que conviene vigilar si nadie la necesita. XML-RPC es un archivo que WordPress incluye por defecto para permitir que aplicaciones externas (como algunas apps móviles de gestión de blogs) se conecten y publiquen contenido sin pasar por el panel de administración habitual, pero esa misma vía también puede usarse para lanzar ataques de fuerza bruta de forma más eficiente que atacando directamente la página de acceso normal.
Cómo funciona
- WordPress incluye por defecto el archivo xmlrpc.php, activo desde la instalación.
- Cualquier aplicación externa compatible puede conectarse a través de ese archivo para publicar contenido o realizar otras acciones remotas.
- Ese mismo archivo permite, por diseño, probar varias combinaciones de usuario y contraseña en una sola petición, algo que lo hace especialmente atractivo para ataques automatizados.
- Si no usas ninguna aplicación externa que dependa de XML-RPC, ese punto de acceso queda activo sin ningún beneficio real, solo como riesgo.
- Desactivarlo (si no hace falta) o limitar su uso reduce ese riesgo sin afectar al resto de la web.
Ejemplo
Una agencia de alquiler vacacional en Ibiza recibía un volumen constante de peticiones dirigidas a xmlrpc.php, sin que nadie del equipo usara ninguna aplicación externa que necesitara esa conexión. Comprobamos que ninguna herramienta legítima dependía de ese archivo y lo desactivamos por completo, y el volumen de tráfico sospechoso dirigido a esa ruta desapareció, aliviando también la carga del servidor que generaban esos intentos.
Señales de que te afecta
- Un análisis de registros muestra muchas peticiones dirigidas a xmlrpc.php.
- No usas ninguna aplicación externa (de publicación remota, de gestión de contenido) que necesite esa conexión.
- Tu web ha sufrido intentos de acceso no autorizado que coinciden con este punto de entrada.
- No sabes si XML-RPC está activo en tu WordPress ni si lo necesitas realmente.
Cómo lo resolvemos
Comprobamos si alguna herramienta legítima de tu web depende de XML-RPC antes de tocar nada, y si no es el caso, lo desactivamos o limitamos su uso para cerrar ese punto de ataque sin afectar a ninguna función real. Si quieres que revisemos este punto en tu web, en nuestro servicio de seguridad WordPress nos encargamos de ello. Cerrar XML-RPC cuando no se usa es una de las medidas básicas de hardening, y reduce la eficacia de los ataques de fuerza bruta automatizados.
Preguntas frecuentes
¿Puedo desactivar XML-RPC sin riesgo?
Si no usas ninguna aplicación externa que dependa de él (algunas apps de publicación remota o ciertos servicios de terceros sí lo necesitan), se puede desactivar sin ningún problema para el funcionamiento normal de tu web.
¿Cómo sé si alguna herramienta mía usa XML-RPC?
Conviene revisar qué aplicaciones externas o integraciones usas con tu WordPress antes de desactivarlo; en caso de duda, se puede limitar su uso en lugar de desactivarlo por completo, como medida intermedia.
¿XML-RPC sigue siendo necesario hoy en día?
Cada vez menos: muchas de las funciones para las que se creó se cubren hoy de otras formas, por lo que en la mayoría de webs actuales se puede desactivar sin echarlo en falta.