Sabia que o seu site WordPress pode estar em risco neste exato momento, por causa de um simples ficheiro chamado xmlrpc.php? Este componente, muitas vezes ignorado pelos administradores, já foi útil no passado… mas hoje representa uma porta aberta para ataques cibernéticos devastadores.
Neste artigo revelador, vai perceber o que é realmente o xmlrpc.php, para que foi criado, e por que razão desactivá-lo pode ser uma das decisões mais inteligentes que pode tomar para proteger o seu site WordPress.
O que é afinal o xmlrpc.php no WordPress? Prepare-se para se surpreender!
O xmlrpc.php é um ficheiro incluído por defeito no WordPress, concebido para permitir a comunicação remota entre o seu site e outras aplicações. Utiliza o protocolo XML-RPC, que transmite dados através de HTTP, com a codificação XML.
Este sistema servia, por exemplo, para publicar artigos no site a partir de dispositivos móveis, activar notificações de trackbacks e pingbacks, ou ainda para algumas funcionalidades do famoso plugin Jetpack. Numa era anterior ao REST API, esta era a ponte tecnológica para ligar WordPress a aplicações externas.
Como surgiu o xmlrpc.php e porque foi usado durante anos
Nos primórdios da internet – tempos em que criar e publicar conteúdos era um verdadeiro desafio técnico – o XML-RPC surgiu como solução inovadora para autores conseguirem compor conteúdos offline e depois enviá-los para o blog assim que tivessem acesso à internet.
Inicialmente desactivado por defeito, o XML-RPC tornou-se uma funcionalidade integrada a partir do WordPress 2.6. Já com a versão 3.5, foi activado automaticamente para todos os sites, ao mesmo tempo que desapareceu a opção de o controlar pelo painel de administração.
O declínio do xmlrpc.php: uma funcionalidade obsoleta e perigosa
Com a chegada do REST API em 2015 – uma evolução natural e segura para a comunicação entre aplicações – o uso do xmlrpc.php entrou em desuso. No entanto, apesar de ultrapassado, continua ativo por padrão em milhões de sites WordPress em todo o mundo.
E aqui começa o verdadeiro problema.
ALERTA: Por que razão deve desactivar o xmlrpc.php IMEDIATAMENTE
🔐 Vulnerabilidades Graves à Espreita
O maior perigo não está na função do xmlrpc.php em si, mas sim na forma como é explorado por hackers. Eis duas das ameaças mais comuns:
- Ataques de força bruta – Através do
xmlrpc.php, um cibercriminoso pode enviar um único comando para testar centenas de combinações de utilizador e senha, ultrapassando facilmente os mecanismos normais de bloqueio. - Ataques DDoS massivos – Utilizando a funcionalidade de pingbacks, é possível sobrecarregar milhares de sites com pedidos simultâneos, derrubando servidores e tornando sites inacessíveis.
💡 Dica Pro:
Proteger o seu site começa com a escolha de um alojamento WordPress fiável. Um bom fornecedor de hosting implementa medidas de segurança avançadas que complementam o bloqueio destas ameaças.
Resumindo: para proteger o seu site de verdade, é imperativo desactivar o xmlrpc.php, mesmo que use senhas fortes e plugins de segurança.
Como saber se o xmlrpc.php está activo no seu site
Pode usar a ferramenta XML-RPC Validator para verificar se o ficheiro está ativo. Se receber uma mensagem de erro, significa que está desactivado – o que é ótimo. Se aparecer uma mensagem de sucesso, não espere mais: desactive-o o quanto antes!
Métodos Eficazes para Desactivar o xmlrpc.php no WordPress
🔧 1. Usar um plugin – Simples e rápido!
No seu painel WordPress, vá a Plugins → Adicionar Novo, pesquise por Disable XML-RPC-API, instale e ative. Assim que o plugin estiver ativo, bloqueia automaticamente o acesso ao xmlrpc.php.
⚠️ Nota: Alguns plugins podem depender desta funcionalidade. Teste o seu site após a desactivação para garantir que tudo continua a funcionar normalmente.
💻 2. Método Manual – Para utilizadores mais técnicos
Prefere controlar tudo à mão? Pode bloquear o xmlrpc.php directamente através do ficheiro .htaccess. Siga estes passos:
- Aceda ao gestor de ficheiros do seu alojamento ou use um cliente FTP.
- Localize e edite o ficheiro
.htaccess(lembre-se de activar a visualização de ficheiros ocultos). - Cole o seguinte código no final:
# Bloquear pedidos ao xmlrpc.php
<Files xmlrpc.php>
Order Deny,Allow
Deny from all
Allow from xxx.xxx.xxx.xxx
</Files>⚠️ Substitua xxx.xxx.xxx.xxx pelo IP autorizado (caso precise de acesso) ou elimine essa linha para bloquear completamente.
Conclusão: Não Seja a Próxima Vítima – Proteja o Seu Site Hoje!
Durante anos, o xmlrpc.php foi uma ferramenta valiosa. Hoje, é uma vulnerabilidade grave e totalmente desnecessária, graças à REST API.
Se valoriza a segurança do seu site, desactive já o xmlrpc.php – com recurso a plugin ou via .htaccess – e durma mais tranquilo sabendo que fechou mais uma porta contra ataques cibernéticos.
