Désactiver XML-RPC sous WordPress pour se protéger des attaques DDoS

Le protocole XML-RPC, ou XML Remote Procedure Call, permet l’accès distant de webservices à un site WordPress depuis sa version 2.6.

Cela peut permettre :

  • de se connecter à un site WP avec un SmartPhone
  • d’activer les TrackBacks et Pingbacks
  • d’utiliser Jetpack de manière très poussée
  • d’utiliser le logiciel Windows Live Writer
  • de lier des services tiers (Buffer, IFTTT, …)

Une fonctionnalité bien pratique mais seulement voilà, cette API est vieillissante et expose votre site à de nombreuses vulnérabilités (Attaques par force brute – Attaque HTTP Flood, attaques de déni de service – DDoS…)
En permettant ainsi d’étendre les fonctionnalités de WordPress, vous augmentez considérablement les possibilités d’être hacker ! → Lire la suite