Guía Definitiva: Cómo Desactivar xmlrpc.php en WordPress y Fortalecer tu Web

---

Introducción: La Puerta Trasera que Debes Cerrar

Si administras un sitio en WordPress, la seguridad es una de tus mayores prioridades. Has instalado plugins de seguridad, usas contraseñas fuertes y mantienes todo actualizado. Pero, ¿sabías que existe un archivo llamado xmlrpc.php que podría estar comprometiendo tus esfuerzos? En esta guía completa, te enseñaremos cómo desactivar xmlrpc.php en WordPress para blindar tu sitio contra vulnerabilidades conocidas.

¿Qué es Exactamente el Archivo xmlrpc.php?

El archivo xmlrpc.php es una interfaz de programación de aplicaciones (API) que ha estado en WordPress desde sus inicios. Su función original era permitir la comunicación entre tu sitio de WordPress y otras aplicaciones externas. Gracias a él, podías, por ejemplo, publicar un artículo en tu blog desde una aplicación de escritorio o móvil, o recibir notificaciones (trackbacks y pingbacks) de otros blogs. Aunque en el pasado fue muy útil, la mayoría de sus funcionalidades han sido reemplazadas por la API REST de WordPress, que es más moderna, segura y eficiente. Hoy en día, mantener xmlrpc.php activo suele generar más riesgos que beneficios para la mayoría de los usuarios.

Los Riesgos de Seguridad de Mantener XML-RPC Activado

El principal problema de xmlrpc.php es que se ha convertido en un objetivo predilecto para los atacantes. Las dos amenazas más comunes son:

1. Ataques de Fuerza Bruta: Un atacante puede usar la función system.multicall de XML-RPC para intentar adivinar cientos de combinaciones de usuario y contraseña en una sola solicitud HTTP. Esto hace que sea mucho más difícil de detectar y bloquear que un ataque de fuerza bruta tradicional, donde cada intento es una solicitud separada.
2. Ataques de Denegación de Servicio (DDoS): Los atacantes pueden explotar la funcionalidad de pingbacks para forzar a miles de sitios de WordPress a enviar peticiones a un único sitio web objetivo, sobrecargando su servidor hasta dejarlo inoperativo.

Considerando estos riesgos, la mejor decisión para la mayoría de los administradores es desactivar xmlrpc.php en WordPress por completo.

Cómo Desactivar xmlrpc.php en WordPress: 3 Métodos Efectivos

A continuación, te presentamos tres métodos sencillos y probados para deshabilitar este archivo. Puedes elegir el que mejor se adapte a tu nivel de comodidad técnica.

Método 1: Usar un Plugin de Seguridad (El más sencillo)

La forma más fácil de desactivar xmlrpc.php en WordPress es mediante un plugin. La mayoría de los plugins de seguridad «todo en uno» incluyen esta opción.

• Wordfence Security: Ve a «Firewall» > «All Firewall Options» > «Advanced Firewall Options» y asegúrate de que la opción «Disable XML-RPC authentication» esté marcada.
• iThemes Security (anteriormente Better WP Security): En la configuración del plugin, ve a «Ajustes Avanzados» > «WordPress Tweaks» y busca la opción para deshabilitar XML-RPC.
• Perfmatters: Este plugin de optimización también incluye un interruptor para desactivar XML-RPC con un solo clic en su panel de configuración.

Método 2: Modificar el Archivo .htaccess (Nivel Intermedio)

Si te sientes cómodo editando archivos del servidor, este método es muy eficaz. Simplemente añade el siguiente código al final de tu archivo .htaccess, que se encuentra en la carpeta raíz de tu instalación de WordPress:

# Bloquear peticiones a xmlrpc.php
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

Este código le indica al servidor que bloquee cualquier intento de acceso externo al archivo xmlrpc.php.

Método 3: Usar un Snippet de Código (Nivel Avanzado)

Para los que prefieren no tocar el .htaccess, pueden añadir una simple línea de código al archivo functions.php de su tema hijo (child theme) o a través de un plugin de snippets como «Code Snippets». Añade el siguiente filtro:

add_filter( 'xmlrpc_enabled', '__return_false' );

Esta línea de código utiliza un filtro de WordPress para desactivar la funcionalidad de XML-RPC directamente desde el núcleo del CMS.

¿Cómo Verificar si xmlrpc.php Está Desactivado?

Una vez que hayas aplicado uno de los métodos anteriores, es crucial comprobar que ha funcionado. Puedes usar una herramienta en línea como XML-RPC Validator.

1. Ve al sitio web del validador.
2. Introduce la URL de tu sitio web (por ejemplo, https://tusitio.com/xmlrpc.php).
3. Haz clic en «Check».

Si recibes un mensaje de error o un aviso de que no se pudo encontrar la página, ¡felicidades! Has logrado desactivar xmlrpc.php en WordPress con éxito.

Conclusión: Un Pequeño Cambio, una Gran Mejora en Seguridad

En un entorno digital donde las amenazas son constantes, cerrar puertas innecesarias es una de las estrategias de seguridad más inteligentes. Desactivar xmlrpc.php en WordPress es una tarea rápida y sencilla que reduce significativamente la superficie de ataque de tu sitio web. Ya sea a través de un plugin, modificando el .htaccess o con un simple código, este pequeño ajuste te dará una gran tranquilidad.