xmlrpc.php<\/span> provenienti da bot.<\/p>\nVerificare se XML-RPC \u00e8 attivo<\/h2>\n
Per verificare se il tuo sito ha XML-RPC attivo, apri il browser e vai a:<\/p>\n
https:\/\/tuodominio.com\/xmlrpc.php<\/pre>\nSe vedi il messaggio “XML-RPC server accepts POST requests only”<\/em>, significa che XML-RPC \u00e8 attivo e raggiungibile. Se ricevi un errore 403 o 404, \u00e8 gi\u00e0 disabilitato.<\/p>\nPuoi anche usare il servizio online xmlrpc.eritreo.it<\/strong> per testare se il tuo XML-RPC risponde a richieste.<\/p>\nMetodo 1: disabilitare XML-RPC con un filtro PHP<\/h2>\n
Il metodo pi\u00f9 pulito \u00e8 aggiungere un filtro nel file functions.php<\/span> del tuo tema child o in un plugin personalizzato:<\/p>\nadd_filter('xmlrpc_enabled', '__return_false');<\/pre>\nQuesta singola riga disabilita tutte le funzionalit\u00e0 XML-RPC a livello applicativo. WordPress risponder\u00e0 comunque alle richieste ma restituir\u00e0 un errore. Il vantaggio \u00e8 che PHP viene comunque eseguito, quindi il server processa la richiesta. Per bloccare le richieste prima che raggiungano PHP, usa il metodo seguente.<\/p>\n
Metodo 2: bloccare l’accesso a livello server<\/h2>\n
Bloccare le richieste a xmlrpc.php<\/span> direttamente nel server web \u00e8 pi\u00f9 efficiente perch\u00e9 la richiesta viene respinta prima di caricare WordPress e PHP.<\/p>\nPer Apache (.htaccess):<\/strong><\/p>\n<Files xmlrpc.php>\nOrder Allow,Deny\nDeny from all\n<\/Files><\/pre>\nPer Nginx:<\/strong><\/p>\nlocation = \/xmlrpc.php {\n deny all;\n return 403;\n}<\/pre>\nQuesto metodo restituisce un errore 403 Forbidden senza eseguire nessun codice PHP, risparmiando risorse del server.<\/p>\n
Metodo 3: usare un plugin<\/h2>\n
Se non ti senti a tuo agio con la modifica dei file, puoi usare il plugin Disable XML-RPC<\/strong>. Lo installi, lo attivi e XML-RPC viene disabilitato. Nessuna configurazione necessaria. In alternativa, plugin di sicurezza come Wordfence<\/strong> permettono di bloccare l’accesso a xmlrpc.php dalle impostazioni del firewall.<\/p>\nCosa fare se usi Jetpack<\/h2>\n
Se usi il plugin Jetpack<\/strong>, non puoi disabilitare completamente XML-RPC perch\u00e9 Jetpack lo usa per comunicare con i server WordPress.com. In questo caso, invece di bloccarlo del tutto, puoi:<\/p>\n\n- Disabilitare solo i pingback:<\/strong> aggiungi nel functions.php: add_filter(‘xmlrpc_methods’, function($methods) { unset($methods[‘pingback.ping’]); return $methods; });<\/span><\/li>\n
- Limitare l’accesso per IP:<\/strong> permetti l’accesso a xmlrpc.php solo dagli IP di Automattic e blocca tutti gli altri.<\/li>\n
- Usare il firewall di Wordfence:<\/strong> Wordfence pu\u00f2 bloccare gli attacchi brute force su XML-RPC senza disabilitare le funzionalit\u00e0 legittime di Jetpack.<\/li>\n<\/ul>\n
Monitorare le richieste a xmlrpc.php<\/h2>\n
Anche dopo aver disabilitato XML-RPC, \u00e8 utile monitorare quante richieste arrivano al file per capire l’entit\u00e0 degli attacchi. Puoi controllare i log di accesso del server:<\/p>\n
grep xmlrpc.php \/var\/log\/apache2\/access.log | wc -l<\/pre>\nO per Nginx:<\/p>\n
grep xmlrpc.php \/var\/log\/nginx\/access.log | wc -l<\/pre>\nSe il numero \u00e8 elevato (migliaia al giorno), il blocco a livello server \u00e8 particolarmente importante per risparmiare risorse.<\/p>\n
Proteggere anche la REST API<\/h2>\n
Dopo aver disabilitato XML-RPC, ricorda che la REST API<\/strong> di WordPress \u00e8 un altro punto di ingresso che merita attenzione. Per impostazione predefinita, la REST API espone informazioni come la lista degli utenti all’endpoint \/wp-json\/wp\/v2\/users<\/span>. Puoi limitare l’accesso alla REST API solo agli utenti autenticati:<\/p>\nadd_filter('rest_authentication_errors', function($result) {\n if (!is_user_logged_in()) {\n return new WP_Error('rest_not_logged_in', 'Accesso non autorizzato.', array('status' => 401));\n }\n return $result;\n});<\/pre>\nFai attenzione: questo blocca anche le richieste REST API legittime da plugin come i form di contatto. Un approccio pi\u00f9 mirato \u00e8 bloccare solo l’endpoint utenti:<\/p>\n
add_filter('rest_endpoints', function($endpoints) {\n if (isset($endpoints['\/wp\/v2\/users'])) {\n unset($endpoints['\/wp\/v2\/users']);\n }\n if (isset($endpoints['\/wp\/v2\/users\/(?P<id>[\\d]+)'])) {\n unset($endpoints['\/wp\/v2\/users\/(?P<id>[\\d]+)']);\n }\n return $endpoints;\n});<\/pre>\nDisabilitare XML-RPC e proteggere la REST API riduce significativamente la superficie di attacco del tuo sito WordPress.<\/p>\n
Serve assistenza?<\/h2>\n
Se il tuo sito subisce attacchi attraverso XML-RPC o hai bisogno di disabilitarlo mantenendo la compatibilit\u00e0 con Jetpack, il team di SoccorsoWP<\/strong> pu\u00f2 configurare tutto per te. Apri un ticket<\/a> e proteggi il tuo sito.<\/p>\n","protected":false},"excerpt":{"rendered":"Come disabilitare XML-RPC in WordPress e perch\u00e9 dovresti farlo XML-RPC \u00e8 un protocollo che permette ad applicazioni esterne di comunicare con WordPress. \u00c8 il sistema…<\/p>\n","protected":false},"author":1,"featured_media":25848,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"Come disabilitare XML-RPC in WordPress e perch\u00e9 dovresti farlo","_seopress_titles_desc":"XML-RPC \u00e8 un rischio per la sicurezza di WordPress. Scopri perch\u00e9 dovresti disabilitarlo e tre metodi per farlo: filtro PHP, .htaccess\/Nginx e plugin.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","footnotes":""},"categories":[1700],"tags":[],"class_list":["post-25847","post","type-post","status-publish","format-standard","has-post-thumbnail","category-sicurezza-wordpress"],"_links":{"self":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts\/25847","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/comments?post=25847"}],"version-history":[{"count":0,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/posts\/25847\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/media\/25848"}],"wp:attachment":[{"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/media?parent=25847"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/categories?post=25847"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/soccorsowp.it\/blog\/wp-json\/wp\/v2\/tags?post=25847"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}