Saludos Wecindario , revisas las estadísticas de tu WordPress y todo parece normal: no estás en época de rebajas ni has lanzado ninguna campaña de publicidad masiva. Sin embargo, al entrar en el panel de tu hosting, ves con preocupación que el uso de la CPU está al 100% y que la web carga con una lentitud desesperante. ¿Qué está pasando?
En el ecosistema de WordPress existe una pasarela de comunicación antigua que los bots y hackers adoran explotar para saturar servidores: el archivo xmlrpc.php. Hoy analizamos el peligro de los ataques XML-RPC en WordPress, por qué los plugins de seguridad no bastan para frenarlos y cómo bloquearlos de forma nativa desde el servidor de tu hosting.
Índice de contenidos
¿Qué es XML-RPC y por qué es una debilidad de seguridad?
El archivo xmlrpc.php fue introducido en los inicios de WordPress para permitir que aplicaciones externas se comunicaran con tu web de forma remota (por ejemplo, para publicar un artículo desde la app móvil oficial de WordPress o para gestionar conexiones con herramientas externas como Jetpack).
Hoy en día, WordPress realiza casi todas estas tareas de forma mucho más segura a través de la **REST API**. Sin embargo, el archivo sigue activo de serie por compatibilidad con sistemas antiguos. Esto se ha convertido en un caramelo para los ciberdelincuentes, quienes utilizan dos técnicas muy dañinas:
- Ataques de Fuerza Bruta Amplificados: A diferencia de un ataque normal al formulario de login (`wp-login.php`) donde el bot prueba una contraseña por cada petición, el protocolo XML-RPC permite probar *cientos de combinaciones de usuario y clave en una sola solicitud HTTP*. Tu servidor tiene que procesar cientos de llamadas a la base de datos de golpe, colapsando la CPU.
- Ataques DDoS por Pingback: Los atacantes usan miles de webs de WordPress vulnerables para mandar solicitudes de "pingback" (avisos de enlace) masivas contra un único objetivo objetivo, saturando por completo el ancho de banda y los hilos de PHP del hosting de la víctima.
El gran error: Bloquearlo mediante plugins de WordPress
Existen muchos plugins excelentes que prometen desactivar XML-RPC con un solo clic. El problema es que para que el plugin funcione, la petición maliciosa del bot *tiene que entrar al servidor, arrancar WordPress, cargar la base de datos y ejecutar el código PHP* antes de decirle al bot que el acceso está denegado.
Si recibes un ataque de miles de bots simultáneos, el simple hecho de arrancar WordPress para decirles "no" consumirá todos los recursos de tu plan de hosting, tirando tu página igualmente. La seguridad eficiente exige frenar el ataque en la puerta de entrada: **el servidor web (Nginx o Apache)**.
Cómo bloquear XML-RPC desde tu panel de Hoswedaje
En Hoswedaje te ofrecemos un entorno de máxima seguridad gobernado por el panel Plesk, lo que te permite aplicar reglas de protección perimetrales en segundos sin arriesgarte a romper el código de tu sitio web:
Opción A: Si tu servidor utiliza Nginx (Recomendado por rendimiento)
Ve a la sección Configuración de Apache y Nginx de tu dominio en el panel de Hoswedaje. En el cuadro de texto libre de "Directivas adicionales de Nginx", copia y pega la siguiente regla quirúrgica:
location = /xmlrpc.php {
deny all;
access_log off;
log_not_found off;
}Esta directiva rechaza la conexión con un código de estado 403 Forbidden inmediatamente a nivel de hardware, sin tocar PHP ni consumir un solo megabyte de RAM de tu plan.
Opción B: Si tu hosting funciona con el archivo .htaccess (Apache)
Abre el administrador de archivos de tu panel de Hoswedaje, edita el archivo raíz .htaccess de tu WordPress e inserta este bloque de código de seguridad:
<Files xmlrpc.php>
Order Deny,Allow
Deny from all
</Files>Infraestructura blindada y libre de estrés con Hoswedaje
Capar las conexiones de protocolos obsoletos es una de las técnicas de WPO y seguridad más efectivas que existen. Al aplicar estas reglas, garantizas que la CPU de tu hosting se reserve exclusivamente para atender a clientes reales, procesar checkouts de WooCommerce y indexar tu contenido en Google.
En Hoswedaje estructuramos todos nuestros planes de alojamiento sobre hardware NVMe de alta velocidad protegido por cortafuegos perimetrales avanzados y sistemas automatizados de detección de intrusiones (Fail2ban). Así te garantizamos que tu WordPress esté protegido las 24 horas del día frente a ataques automatizados, permitiéndote gestionar tu negocio digital con absoluta tranquilidad.
