Was ist eine xml-rpc Schnittstelle (xmlrpc.php) und wofür wir sie benötigt?

Ursprünglich diente die Wordpress-Spezifikation xmlrpc.php dazu, Anwendungen von außerhalb mit Wordpress kommunizieren zu lassen. Einst sehr hilfreich, ist die Schnittstelle in den meisten Fällen nicht mehr als ein gefährliches Überbleibsel aus alten Zeiten. 2015 wurde xmlrpc.php durch die Wordpresseigene REST API ersetzt und findet daher nur noch in äußerst seltenen Fällen Verwendung. Die REST API funktioniert einfach wesentlich flexibler und zuverlässiger.

Warum ist es sinnvoll xmlrpc.php zu deaktivieren?

Obwohl nicht mehr benötigt, ist die Datei immer noch fester Bestandteil einer jeden Wordpress Installation und stellt eine enorme Sicherheitslücke für Deine Webseite dar. Nicht selten dient die Schnittstelle als Angriffsziel für DDos- und Brute-Force-Attacken.

Wie lässt sich die xmlrpc.php Datei deaktivieren? Zuerst einmal gibt es mehrere Möglichkeiten die xmlrpc.php zu deaktivieren. Folgend nennen wir Dir die zwei gängigsten Methoden:

1. Deaktivierung der xmlrpc.php Datei mittels Plugin
Die Schnittstelle mit Hilfe eines Plugins im Wordpress Backend zu deaktivieren, ist der wohl einfachste und auch schnellste Weg die Sicherheitslücke zu schließen. Lade hierzu einfach das Plugin Disable XML-RPC Pingback herunter und installiere es in Deinem Wordpress Backend. Kleiner Tipp: Prüfe zuvor ob das Plugin mit Deiner Wordpress-Version kompatibel ist.

2. Manuelle Deaktivierung der xmlrpc.php per .htaccess
Wenn Du kein weiteres Plugin installieren möchtest, kannst Du die Datei ganz einfach über einen Code in Deiner .htaccess deaktivieren. Gehe hierzu folgendermaßen vor:

1. Logge Dich via FTP (z.B: mit FileZilla) in den Webspace Deiner Webseite
2. Erstelle eine Kopie Deiner .htaccess Datei und speichere sie auf dem Desktop
3. Öffne die originale .htaccess Datei und füge folgenden Code ein
   <Files xmlrpc.php>
   Order Allow,Deny
   Deny from all
   </Files>
4. Nachdem Du die Datei gespeichert hast, überprüfe Deine Webseite auf Fehlfunktionen

Wann ist es sinnvoll die xml-rpc Schnittstelle aktiv zu lassen?

Manchmal kann die xmlrpc.php Datei nicht deaktiviert werden, da u.U. die Kommunikation Deiner Webseite mit etwaigen Anwendungen nicht mehr funktioniert. Dies könnte der Fall sein, wenn:

• Deine Wordpress Version älter als 4.4 ist und Du sie nicht auf eine höhere Version updaten kannst. Ältere Versionen haben keinen Zugriff auf REST API und nutzen daher die Kommunikation via xmlrpc.php.
• Auf Deiner Webseite eine externe Anwendung eingebunden ist, die nicht über REST API kommunizieren kann. Wir empfehlen hier, die Anwendung zu Updaten (evtl. funktioniert eine aktuellere Version mit REST API) oder auf eine REST API kompatible Anwendung zu wechseln.

Solltest Du Fragen zum Thema xmlrpc haben, scheue Dich nicht, uns zu kontaktieren.

Eure Nicola von netGoose