Como desativar o XML-RPC com segurança no WordPress
O que é o XML-RPC no WordPress?
O XML-RPC é um protocolo antigo de acesso remoto do WordPress, exposto pelo arquivo xmlrpc.php na raiz do site. Ele permite publicar por apps externos, pingbacks e algumas integrações legadas. O problema é de segurança: o método system.multicall deixa o atacante testar centenas de senhas em uma única requisição (força bruta amplificada), e o pingback é usado em ataques de negação de serviço refletida. A maioria dos sites hoje usa a REST API e não precisa do XML-RPC, então desativá-lo é uma medida de hardening segura.
Como identificar
- No log de acesso aparecem dezenas de POST para “/xmlrpc.php” vindos do mesmo IP em segundos.
- O plugin de segurança reporta “XML-RPC multicall attempt” ou bloqueios repetidos no xmlrpc.php.
- Picos de CPU e lentidão coincidindo com requisições a xmlrpc.php no relatório do servidor.
- Recebe pingbacks de spam ou seu site aparece como origem de um ataque de pingback reportado pelo host.
Como prevenir
- Mantenha o xmlrpc.php bloqueado por padrão em sites que não dependem dele
- Use um firewall/WAF que limite requisições a xmlrpc.php e bloqueie multicall
- Prefira a REST API para integrações modernas, que tem controle de autenticação mais granular
Causa
- O xmlrpc.php fica ativo por padrão em toda instalação WordPress, mesmo sem app remoto configurado.
- O método system.multicall permite testar muitas senhas numa só chamada, burlando limites de tentativa de login.
- O recurso de pingback (X-Pingback) é explorado para ataques DDoS refletidos usando seu site como amplificador.
- Bots varrem a internet em busca de xmlrpc.php aberto porque é um vetor de ataque conhecido e padronizado.
- Plugins de cache ou firewall mal configurados deixam o xmlrpc.php fora das regras de bloqueio.
Como resolver
- Confirme se você realmente não usa o XML-RPC: verifique se algum app móvel, o Jetpack clássico ou uma integração externa pública via xmlrpc.php. Se nada depende dele, pode bloquear com segurança.
- Bloqueie o arquivo no servidor (Apache): no Apache, a forma mais robusta é negar acesso ao xmlrpc.php direto no .htaccess da raiz, antes mesmo de o PHP rodar. Use o bloco de código abaixo, que recusa qualquer requisição ao arquivo.
- No Nginx, negue pela configuração do site: adicione um bloco location para xmlrpc.php retornando 403 e peça ao host para recarregar a configuração.
- Alternativa via filtro do WordPress: se não puder editar o servidor, desative o XML-RPC por código no functions.php do tema-filho ou em um plugin de snippets, com o filtro xmlrpc_enabled e a remoção do cabeçalho de pingback.
- Valide o bloqueio: acesse seudominio.com/xmlrpc.php no navegador. Bloqueado certo, retorna 403 Forbidden em vez da mensagem "XML-RPC server accepts POST requests only".
# .htaccess da raiz - nega acesso ao xmlrpc.php antes de o PHP rodar (Apache)
<Files xmlrpc.php>
Require all denied
</Files>
# Em servidores Apache mais antigos (2.2), use a sintaxe equivalente:
# <Files xmlrpc.php>
# Order Deny,Allow
# Deny from all
# </Files>Perguntas frequentes
Desativar o XML-RPC quebra alguma coisa no meu site?
Bloquear pelo .htaccess é melhor que desativar por plugin?
O XML-RPC é o mesmo que a REST API do WordPress?
Como sei se estou sob ataque de força bruta pelo XML-RPC?
Preciso desativar o XML-RPC se já uso um firewall?
Como reativo o XML-RPC se precisar depois?
Como corrigir This site ahead contains harmful programs no WordPress
O aviso harmful programs no WordPress ("This site ahead contains harmful programs") é a tela vermelha que o Chrome mostra quando a Navegação Segura do Google detecta malware no seu site. Ele afasta os visitantes e só some após limpar a infecção e pedir reanálise no Search Console.
Como corrigir o checkout bloqueado pelo firewall do All in One Security no WooCommerce
O checkout bloqueado pelo firewall do All in One Security acontece quando uma regra avancada do AIOS inspeciona o POST da finalizacao de compra e devolve 403 Forbidden, impedindo o cliente de concluir o pedido. A causa quase sempre e o filtro de string avancado ou as regras 6G barrando a rota admin-ajax.php ou a Store API do WooCommerce.
Como remover malware de um site WordPress
Remover malware do WordPress significa localizar e apagar o código malicioso injetado em arquivos e no banco, restaurar os arquivos do núcleo a partir de cópias limpas e fechar a falha que permitiu a invasão, para o site não reinfectar.
Como corrigir o bloqueio de login (lockout) no All in One Security
O login lockout do AIOS acontece quando o All in One Security tranca o seu IP no recurso Login Lockdown depois de exceder o limite de tentativas, ou quando o Cookie-Based Brute Force Prevention esconde o wp-login.php e te redireciona para 127.0.0.1 por falta do cookie secreto. Em ambos os casos você perde o acesso ao painel.
Como corrigir Your connection is not private no WordPress
Your connection is not private e o aviso que o navegador mostra quando não consegue validar o certificado SSL do site. No WordPress costuma vir de certificado vencido, emitido para outro domínio ou com a cadeia de confianca incompleta no servidor.
Como corrigir o acesso de alunos bloqueado pelo All in One Security no Tutor LMS
O acesso de alunos bloqueado pelo AIOS no Tutor LMS acontece quando a Brute Force Prevention do All in One Security esconde o wp-login.php atras de uma URL com palavra secreta e o login do frontend, que não tem o cookie, cai num bloqueio ou e jogado para o redirect padrão. O aluno tenta logar pelo painel do curso e nunca entra.
Saúde e Bem-Estar
Restaurantes & Alimentação
Hotelaria & Turismo
Imobiliárias & Construção
Negócios Locais & Franquias
E-commerce & Lojas Virtuais
Educação & Cursos
Profissionais Liberais & Serviços
Agências Digitais & Freelancers
MEIs e Autônomos
Agências e Freelancers
Pequenas Empresas
Startups
Franquias
Elementor PRO
Rank Math
SEOPress
Happy Addons
Tutor LMS
WP Optimize
Crocoblock
WP Rocket
Ultimate Addons
Perfmatter
Funnel Kit
AIOS
Astra PRO
ACF
Essential Addons
WP Forms
UpdraftPlus
Ver mais
FULL CRM 
FULL Widget
FULL Woo
FULL Pop-up
FULL Security
FULL NPS
FULL Update
FULL Social Proof
FULL Analytics
FULL Templates
FULL Creator AI
FULL Backup
FULL Safe Login
FULL SMTP
FULL Monitor
FULL Speed
FULL Cache
FULL Whitelabel
