Como desativar o xmlrpc.php no WordPress

O xmlrpc.php é um arquivo presente no núcleo do WordPress que permite a comunicação remota entre o site e outros aplicativos ou serviços por meio do protocolo XML-RPC. Esse recurso foi originalmente desenvolvido para facilitar a interação com o WordPress, permitindo a execução de tarefas como publicação de conteúdo, gerenciamento de comentários e outras operações remotas.

No entanto, ao longo do tempo, o xmlrpc.php tornou-se um alvo comum para ataques de força bruta e explorações de segurança. Isso ocorre porque, se não estiver adequadamente protegido, o XML-RPC pode ser utilizado para realizar ataques de login, comprometendo a segurança do site. Como medida de precaução, desativar o xmlrpc.php pode ser relevante em ambientes onde a funcionalidade remota não é necessária, pois isso reduz a superfície de ataque potencial e ajuda a mitigar possíveis ameaças à segurança.

Desativar via PHP

Adicione o trecho de código abaixo no arquivo functions.php do tema ou plugin

add_filter( 'xmlrpc_enabled', '__return_false' );

Desativar via .htaccess

Adicione o seguinte trecho de código ao final no arquivo .htaccess do seu site. Lembre-se de manter um backup dele por via das dúvidas.

<Files "xmlrpc.php">
  Require all denied
</Files>