7/24 Türkçe destek:[email protected]Sistem durumuDestek talebi

WordPress XML-RPC Nasıl Kapatılır?

Okuma süresi: 2 dk

Kısa yanıt: Kullanmıyorsanız sitenizin kök dizinindeki .htaccess dosyasına <Files xmlrpc.php> Require all denied bloğunu ekleyerek XML-RPC’yi tamamen kapatın. Jetpack veya WordPress mobil uygulaması kullanıyorsanız tamamen kapatmak yerine yalnızca kimlik doğrulama yöntemlerini devre dışı bırakın.

Bu rehber kimin için: WordPress site sahipleri · Gereken süre: 5 dakika · Seviye: Orta

XML-RPC, WordPress’in eski uzaktan yayın arayüzüdür. Günümüzde çoğu işlev REST API’ye taşındı; ancak xmlrpc.php hâlâ tek istekte yüzlerce şifre denemesine izin veren system.multicall yöntemi ve pingback kötüye kullanımı nedeniyle sık hedef alınır.

.htaccess ile kapatma

  1. Dosyayı açın: cPanel › Dosya Yöneticisi › public_html › .htaccess; gizli dosyalar görünmüyorsa Ayarlar’dan “Gizli dosyaları göster”i açın.
  2. Kuralı ekleyin: # BEGIN WordPress satırının üstüne <Files xmlrpc.php> Require all denied bloğunu ekleyin.
  3. Kaydedin: Değişikliği kaydedin.
  4. Test edin: alanadiniz.com/xmlrpc.php adresini açın; 403 hatası görmelisiniz.
  5. Etkileri kontrol edin: Jetpack, mobil uygulama veya uzaktan yayın yapan araçların çalışmaya devam ettiğini doğrulayın.

Kısmi kapatma

Jetpack gibi XML-RPC’ye ihtiyaç duyan bir eklenti kullanıyorsanız tema veya site eklentinize add_filter( 'xmlrpc_enabled', '__return_false' ); ekleyin. Bu filtre kimlik doğrulama gerektiren yöntemleri kapatır; pingback için ayrıca xmlrpc_methods filtresiyle pingback.ping yöntemini kaldırabilirsiniz. Çoğu güvenlik eklentisi de bu ayarı tek bir anahtarla sunar.

Kapatmalı mıyım?

Sitenize mobil uygulamadan veya harici bir editörden yazı göndermiyorsanız ve Jetpack kullanmıyorsanız XML-RPC’ye ihtiyacınız yoktur. Kapatmak, saldırı yüzeyini daraltır ve bot trafiğinin yarattığı kaynak kullanımını azaltır.

Hâlâ çözülmediyse

Kuraldan sonra site 500 hatası veriyorsa sözdizimini kontrol edin; Apache 2.2 tarzı Order/Deny kuralları LiteSpeed’de de çalışır ama karışık kullanmayın. .htaccess kurallarını .htaccess oluşturucu ile hazırlayabilirsiniz. Koruma katmanları hazır gelen WordPress hosting paketlerimizi inceleyin.

Sık sorulan sorular

REST API’yi de kapatmalı mıyım?

Hayır. Blok düzenleyici ve birçok eklenti REST API’yi kullanır; yalnızca kullanıcı listeleme uç noktasını kısıtlamak yeterlidir.

403 yerine 404 döndürebilir miyim?

Fark etmez; amaç isteğin PHP’ye ulaşmadan engellenmesidir.

İlgili rehberler