XML-RPC est une fonctionnalité de WordPress qui permet aux applications externes de communiquer avec ton site en utilisant le protocole XML pour envoyer des requêtes HTTP. Bien que cela puisse être utile pour certaines fonctionnalités, comme la publication à distance via des applications mobiles ou des logiciels de gestion, il peut également exposer ton site à des vulnérabilités de sécurité. En raison de cela, de nombreux utilisateurs choisissent de désactiver XML-RPC sur leur site WordPress pour améliorer la sécurité.

Dans cet article, nous allons expliquer pourquoi tu pourrais vouloir désactiver XML-RPC, et surtout, comment le faire efficacement.

---

Pourquoi Désactiver XML-RPC sur WordPress ? 🛑

1. Vulnérabilités de Sécurité

XML-RPC a été ciblé par des attaquants pour des attaques telles que les attaques par force brute. Ces attaques consistent à essayer plusieurs combinaisons de noms d’utilisateur et de mots de passe pour accéder à ton site. Grâce à XML-RPC, les pirates peuvent envoyer des milliers de tentatives de connexion en une seule requête, ce qui rend cette attaque bien plus rapide et efficace.

2. Attaques DDoS (Distributed Denial of Service)

XML-RPC peut également être utilisé pour lancer des attaques DDoS sur ton site. Ces attaques sont particulièrement dangereuses car elles génèrent une trafic élevé en envoyant des requêtes XML-RPC malveillantes à ton site, surchargent ton serveur et le rendent hors ligne.

3. Fonctionnalités Peu Utilisées

Si tu n’utilises pas de services externes comme WordPress Mobile App ou des plugins tiers qui nécessitent XML-RPC, il n’y a pas de raison de le laisser activé. En le désactivant, tu réduis ta surface d’attaque sans compromettre les fonctionnalités de ton site.

4. Réduire la Surface d’Attaque

Moins il y a de fonctionnalités activées, moins il y a de vecteurs d’attaque. Désactiver XML-RPC élimine une cible potentielle pour les pirates.

---

Comment Désactiver XML-RPC sur WordPress ? ⚙️

Il existe plusieurs méthodes pour désactiver XML-RPC sur WordPress. Voici les plus courantes :

1. Désactiver XML-RPC via le Fichier .htaccess (Méthode Recommandée)

Cette méthode est simple et rapide. Elle consiste à ajouter une ligne de code dans ton fichier .htaccess pour bloquer l’accès à XML-RPC.

Étapes :

1. Accède au répertoire racine de ton installation WordPress via un client FTP (par exemple, FileZilla) ou en utilisant le gestionnaire de fichiers de ton hébergeur.
2. Trouve le fichier .htaccess dans le répertoire racine de ton site WordPress.
3. Avant de modifier ce fichier, assure-toi d’en faire une copie de sauvegarde pour éviter tout problème.
4. Ouvre le fichier .htaccess avec un éditeur de texte et ajoute la ligne suivante à la fin du fichier :apacheCopierModifier# Désactivation de XML-RPC <Files xmlrpc.php> Order Allow,Deny Deny from all </Files>
5. Sauvegarde et ferme le fichier.

2. Désactiver XML-RPC avec un Plugin de Sécurité

Si tu préfères une méthode plus simple, tu peux utiliser un plugin de sécurité comme Wordfence ou iThemes Security pour désactiver XML-RPC.

Étapes avec Wordfence :

1. Installe et active le plugin Wordfence.
2. Va dans le menu Wordfence > Options.
3. Fais défiler la page jusqu’à la section Advanced Firewall Options.
4. Active l’option Block XML-RPC requests.
5. Enregistre les modifications.

Étapes avec iThemes Security :

1. Installe et active le plugin iThemes Security.
2. Va dans le menu Security > Settings.
3. Active la section XML-RPC Settings.
4. Coche la case Désactiver XML-RPC.
5. Enregistre les modifications.

3. Désactiver XML-RPC avec un Code Personnalisé dans le functions.php

Si tu préfères ajouter du code personnalisé, tu peux ajouter un petit morceau de code dans le fichier functions.php de ton thème enfant. Cela va désactiver XML-RPC sans avoir besoin d’un plugin.

Étapes :

1. Ouvre ton dossier de thème via FTP ou un gestionnaire de fichiers.
2. Accède au fichier functions.php de ton thème enfant.
3. Ajoute ce code à la fin du fichier functions.php :phpCopierModifieradd_filter( 'xmlrpc_enabled', '__return_false' );
4. Sauvegarde les modifications.

4. Désactiver XML-RPC en Modifiant le wp-config.php (Option Avancée)

Une autre méthode pour désactiver XML-RPC consiste à ajouter une ligne de code dans le fichier wp-config.php.

Étapes :

1. Accède à ton fichier wp-config.php via FTP ou un gestionnaire de fichiers.
2. Ajoute cette ligne de code avant la ligne qui dit /* That's all, stop editing! Happy publishing. */ :phpCopierModifierdefine( 'XMLRPC_REQUEST', false );
3. Sauvegarde les modifications.

---

5. Vérifier que XML-RPC est Bien Désactivé ✔️

Une fois que tu as désactivé XML-RPC, il est important de vérifier que cela a bien été effectué. Tu peux faire un test simple en essayant d’accéder à l’URL http://tonsite.com/xmlrpc.php. Si XML-RPC est bien désactivé, tu devrais obtenir un message d’erreur comme « 403 Forbidden » ou « 404 Not Found », ce qui indique que l’accès est bloqué.

---

Conclusion : Sécuriser Ton Site WordPress en Désactivant XML-RPC 🔒

Bien que XML-RPC puisse offrir des fonctionnalités utiles, comme la gestion de ton site à distance, il peut également exposer ton site à des vulnérabilités. En désactivant XML-RPC, tu réduis les risques d’attaques et renforce la sécurité de ton site WordPress. Que tu utilises un fichier .htaccess, un plugin de sécurité ou un code personnalisé, il existe plusieurs façons de désactiver cette fonctionnalité en toute sécurité. 🚀

💬 As-tu déjà désactivé XML-RPC sur ton site WordPress ? Quelle méthode as-tu utilisée ? 👇