Bloquear ataques de fuerza en bruto a XML-RPC en WordPress

Si usas WordPress llevas por defecto activado el API XML-RPC y el archivo xmlrpc.php, forma parte de WordPress, desafortunadamente estas últimas semanas hay una oleada de ataques de fuerza en bruto a este archivo para hackear WordPress a nivel mundial.

Esta es una variante de los ataques de fuerza en bruto al login de WordPress pero a través de este archivo y este API que sirve por ejemplo para publicar post a través del email o en el caso de Jetpack para conectarse con WordPress.com.

Si utilizas unas contraseñas débiles o tu WordPress está desactualizado o tienes plugins vulnerables es muy posible que tu WordPress se vea comprometido, pero hoy vamos a ver algunas formas de como protegernos de este tipo de ataques.

Incluso si utilizas plugins como Wordfence que bloquea ataques de fuerza en bruto te pueden llegar cientos de emails de aviso de intento de acceso (esto es normal, Wordfence solo te indica que está haciendo su trabajo) o incluso si tienes activado algún sistema de doble autenticación, esto es debido a que esta protección lo que hace es proteger el archivo wp-login.php que no el archivo xmlrpc.php, por eso muchos os sorprenderá ver los avisos de ataque de fuerza en bruto cuando tenéis activadas estas protecciones, la explicación es esa, atacan al archivo xmlrpc.php.

La primera técnica protección que podemos hacer y si no publicamos por email o no utilizamos Jetpack, es borrar el archivo de nuestra instalación, no pasa nada, no afecta al rendimiento de WordPress ni dejan de funcionar la cosas, importante saber que cuando actualicemos WordPress este archivo volverá a aparecer por lo que hay que recordar volver a borrarlo.

Incluso en el caso de usar Jetpack lo podemos borrar si previamente hemos realizado la conexión con WordPress.Com, ya que Jetpack prácticamente lo utiliza para la primera conexión. Si lo hemos borrado y necesitamos reconectar con Jetpack, simplemente tenemos que volver a subir el archivo xmlrpc.php, conectar y volver a borrar o renombrar, esta técnica de protección es muy sencilla y útil.

Otro método alternativo es bloquear la peticiones a xmlrpc.php mediante .htaccess añadiendo estas líneas:

Más alternativas, podemos utilizar plugins, uno excepcional como Ninjafirewall varias veces recomendado en este blog por todas las prestaciones que ofrece, una de ellas es la opción de bloquear las peticiones al API XML-RPC.

Otro plugin que hace algo similar es Disable XML-RPC.

Como podemos comprobar tenemos varias opciones de proteger nuestras instalaciones de WordPress de este tipo de ataques, tanto manualmente como con plugins.

Si eres cliente nuestro o tienes pensado serlo, nuestros servidores utilizan un WAF Web Application Firewall con reglas personalizadas para WordPress que protegen de este tipo de ataques, incluido en todos nuestros planes de Hosting para WordPress.

También alojándote con nosotros dispones del CDN CloudFlare que lo puedes activar en un clic y te protege de este tipo de ataques entre otros.

Ya lo sabes, si está sufriendo este tipo de ataques, toma acción y protege tus instalaciones.