--- title: "xmlrpc.php en WordPress: qué es, para qué sirve y cómo desactivarlo de forma segura" description: "Si gestionas un sitio web en WordPress, tarde o temprano te toparás con un archivo llamado xmlrpc.php en la raíz de tu instalación. Aunque discreto, este archivo es una pieza histórica dentro del ecos..." url: https://wpdirecto.com/xmlrpc-php-en-wordpress-que-es-para-que-sirve-y-como-desactivarlo-de-forma-segura/ date: 2025-05-28 modified: 2025-05-16 author: "MyR" image: https://wpdirecto.com/wp-content/uploads/2025/05/xmlrpc-wordpress.jpg categories: ["Actualidad"] tags: ["xmlrpc"] type: post lang: es --- # xmlrpc.php en WordPress: qué es, para qué sirve y cómo desactivarlo de forma segura Si gestionas un sitio web en WordPress, tarde o temprano te toparás con un archivo llamado `[xmlrpc.php](https://wpdirecto.com/tag/xmlrpc/)` en la raíz de tu instalación. Aunque discreto, este archivo es una pieza histórica dentro del ecosistema WordPress. Durante años fue esencial para permitir la publicación remota, conectar apps móviles o integrar plugins avanzados como Jetpack. Sin embargo, los tiempos han cambiado. Hoy en día, `xmlrpc.php` es más una fuente potencial de vulnerabilidades que una necesidad real. En este artículo te explicamos qué hace, por qué sigue presente, qué riesgos supone y cómo puedes **desactivarlo correctamente** si no lo necesitas. --- ## ¿Qué es xmlrpc.php? `xmlrpc.php` es un archivo que permite que aplicaciones externas se comuniquen con WordPress utilizando el protocolo **XML-RPC**, un estándar que codifica comandos en XML y los transmite vía HTTP. Este archivo permite, entre otras cosas: - Publicar entradas desde aplicaciones móviles. - Conectar herramientas externas sin usar el panel de WordPress. - Sincronizar datos con plugins como Jetpack. - Gestionar pingbacks y trackbacks entre blogs. Fue especialmente útil cuando los dispositivos móviles comenzaron a integrarse en la administración de contenido, en una época anterior a la llegada de la REST API. --- ## ¿Por qué existe xmlrpc.php? La funcionalidad remota que ofrecía era clave antes de que WordPress incorporase una API moderna. Entre sus usos más comunes: - **Publicación remota** desde apps de escritorio o móviles. - **Intercambio de pingbacks y trackbacks** entre blogs. - **Integración con servicios de terceros** que automatizaban tareas o enviaban contenido. Desde **WordPress 3.5**, `xmlrpc.php` se activa por defecto. Sin embargo, desde WordPress 4.7, la **REST API** es el método preferido y más seguro para integrar sistemas externos. --- ## REST API vs xmlrpc.php: ¿cuál es mejor? | Característica | `xmlrpc.php` | REST API de WordPress | | --- | --- | --- | | Formato de datos | XML | JSON | | Protocolo | XML-RPC sobre HTTP | RESTful HTTP | | Autenticación | Usuario/Contraseña | OAuth, Application Passwords | | Extensibilidad | Limitada | Muy flexible | | Seguridad | Vulnerable a fuerza bruta/DDoS | Autenticación más robusta | | Estado actual | Deprecado (pero activo) | Recomendado desde WP 4.7 | **Conclusión:** hoy en día, REST API ofrece mayor seguridad, mejor rendimiento y una integración más sencilla para desarrolladores. --- ## Riesgos de seguridad asociados a xmlrpc.php Aunque útil en su momento, `xmlrpc.php` es un objetivo habitual de ataques automatizados: - 🔓 **Fuerza bruta por amplificación**: permite hacer múltiples intentos de inicio de sesión en una sola solicitud (`system.multicall`). - 🚨 **Ataques DDoS mediante pingbacks**: el archivo puede ser usado para redirigir tráfico masivo a terceros como parte de una red de ataque. - 🧾 **Exposición de credenciales**: envía usuario y contraseña en cada solicitud, lo que representa un riesgo en conexiones no cifradas. - 🖥️ **Sobrecarga del servidor**: muchas llamadas simultáneas pueden agotar recursos, sobre todo en hosting compartido. --- ## ¿Cómo saber si xmlrpc.php está habilitado? ### Método 1: Navegador Abre `https://tusitio.com/xmlrpc.php` en el navegador. - Si ves el mensaje: `"XML-RPC server accepts POST requests only"` → **está habilitado**. - Si obtienes error 403 o 404 → **está bloqueado o deshabilitado**. ### Método 2: cURL en terminal ``` curl -d "system.listMethods" https://tusitio.com/xmlrpc.php Lenguaje del código: HTML, XML (xml) ``` - Si recibes una respuesta estructurada en XML → xmlrpc.php está **activo**. --- ## ¿Cómo desactivar xmlrpc.php? ### 1. 🔒 Bloquear con `.htaccess` (servidores Apache) Edita el archivo `.htaccess` en el directorio raíz (`/public_html`) y añade: ``` Order Allow,Deny Deny from all Lenguaje del código: HTML, XML (xml) ``` Para Apache 2.4 o superior: ``` Require all denied Lenguaje del código: HTML, XML (xml) ``` ### 2. 🔧 Bloquear en NGINX Añade esto en tu bloque del servidor (`server {}`) dentro de `nginx.conf`: ``` location = /xmlrpc.php { deny all; } ``` Recuerda reiniciar Nginx después: ``` sudo nginx -t sudo systemctl reload nginx ``` --- ## ¿Cuándo debes mantener xmlrpc.php habilitado? Solo en casos muy concretos: - Si usas **Jetpack** en modo remoto. - Si gestionas entradas desde apps móviles **antiguas**. - Si tu sitio depende de plugins antiguos que aún lo utilizan. ⚠️ Si no estás seguro, **lo más recomendable es desactivarlo**. La mayoría de servicios actuales ya utilizan la REST API. --- ## Buenas prácticas adicionales - 🛡️ **Usa contraseñas fuertes** y activa la autenticación en dos pasos (2FA). - 🔄 **Mantén WordPress y plugins actualizados**. - 🔍 **Monitoriza el archivo de acceso** (access.log) para detectar abusos. - ⚙️ Utiliza plugins de seguridad como Wordfence, iThemes Security o Sucuri. - 🧪 Prueba cualquier cambio primero en un entorno de staging o de desarrollo. --- ## Preguntas frecuentes ### ❓ ¿Qué es `xmlrpc.php`? Es un archivo del núcleo de WordPress que permite conexiones remotas usando el protocolo XML-RPC. ### ❓ ¿Es seguro tenerlo activado? No siempre. Si no lo usas, representa una **puerta de entrada** innecesaria para ataques automatizados. ### ❓ ¿Debo eliminarlo? No se recomienda eliminar archivos del núcleo. **Basta con bloquearlo** por `.htaccess` o `nginx.conf`. ### ❓ ¿Afectará al SEO? No. Este archivo no tiene relación con el rastreo o posicionamiento de tu sitio. --- ## Conclusión `xmlrpc.php` fue vital en los inicios de WordPress, pero hoy está casi obsoleto. Si no lo necesitas, desactivarlo es una medida **recomendada para reforzar la seguridad de tu web**. La clave está en conocer sus funciones, evaluar si tienes alguna dependencia y actuar en consecuencia. Porque en un entorno cada vez más expuesto a ciberataques, **cerrar accesos innecesarios es siempre buena práctica**.