AnabisolutionsPerlukah mematikan XML-RPC di WordPress? Risiko dan cara yang benar
Sebagian besar situs modern tidak membutuhkan XML-RPC, dan mematikannya mengurangi permukaan serangan brute force. Fitur ini hanya perlu dibiarkan jika Anda memakai layanan lama seperti aplikasi penerbitan jarak jauh atau plugin tertentu yang bergantung padanya. Pemblokiran paling efektif dilakukan di tingkat server, bukan hanya lewat plugin.
Apa itu XML-RPC dan kenapa berisiko?
XML-RPC adalah antarmuka lama WordPress lewat file xmlrpc.php yang memungkinkan aplikasi eksternal mengelola situs. Sejak WordPress 3.5 fitur ini aktif secara bawaan.
Risikonya ada pada metode system.multicall, yang memungkinkan banyak percobaan login dikirim dalam satu permintaan. Penyerang memanfaatkannya untuk menebak kata sandi dengan jumlah permintaan jauh lebih sedikit, sehingga lolos dari pembatasan yang hanya menghitung permintaan.
Kapan XML-RPC masih dibutuhkan?
Kebutuhannya sudah jarang karena aplikasi WordPress resmi dan banyak layanan kini memakai REST API. Periksa dulu sebelum mematikan.
- Plugin Jetpack pada versi tertentu masih memakai XML-RPC untuk komunikasi dengan server.
- Aplikasi penulisan blog pihak ketiga yang lama.
- Layanan otomasi yang mempublikasikan tulisan lewat protokol ini.
- Jika tidak ada satu pun dari daftar ini, kemungkinan besar Anda aman mematikannya.
Cara mematikan dengan benar
Ada tiga tingkat pemblokiran. Semakin dekat ke server, semakin hemat sumber daya karena permintaan ditolak sebelum PHP berjalan.
- Tingkat server: tolak akses ke xmlrpc.php lewat aturan .htaccess, konfigurasi Nginx, atau firewall aplikasi web.
- Tingkat WordPress: filter xmlrpc_enabled yang dikembalikan false menonaktifkan metode terautentikasi, tetapi file tetap merespons.
- Tingkat plugin keamanan: praktis, tetapi tetap membuat PHP berjalan untuk tiap permintaan.
Uji setelah memblokir
Buka alamat situs Anda diikuti /xmlrpc.php. Hasil yang benar adalah kode 403 atau 404, bukan pesan bahwa server XML-RPC hanya menerima POST.
Ringkasan dan langkah berikutnya
Matikan XML-RPC jika tidak dipakai, aktifkan pembatasan login, dan pasang autentikasi dua langkah untuk akun admin.
- Aktif bawaan sejak: WordPress 3.5.
- Respons yang diharapkan setelah diblokir: 403 atau 404.
- Waktu pengerjaan: sekitar 15 menit.
- Rujukan: dokumentasi keamanan WordPress di wordpress.org/documentation.
Topik terkait yang bisa Anda baca berikutnya: daftar periksa keamanan WordPress, cara mengamankan akses admin, mengamankan wp-config.php, REST API WordPress untuk integrasi, dan membersihkan situs WordPress yang diretas.
Kesalahan yang perlu dihindari
Kesalahan umum adalah merasa aman hanya karena menonaktifkan lewat filter, padahal file tetap menerima permintaan. Kesalahan lain adalah memblokir tanpa mengecek apakah Jetpack atau layanan otomasi bergantung padanya, sehingga integrasi tiba-tiba berhenti.
Pertanyaan singkat seputar topik ini
Apakah mematikan XML-RPC merusak situs WordPress?
Pada kebanyakan situs tidak, karena aplikasi dan plugin modern memakai REST API. Periksa dulu apakah Jetpack versi lama atau layanan otomasi Anda masih memakainya.
Cara paling efektif memblokir XML-RPC?
Blokir di tingkat server atau firewall agar permintaan ditolak sebelum PHP berjalan. Filter di WordPress saja tidak menutup file xmlrpc.php sepenuhnya.
Pertanyaan yang sering muncul
Ya, tanpa komitmen. Kami balas dalam 1×24 jam kerja.
Tentang Tim AnabisolutionsStudio digital dari Pekanbaru yang mengerjakan website, aplikasi, dan sistem untuk klien di Riau dan sekitarnya.
