WordPress bood altijd al mogelijkheden om je website op afstand te beheren. Lange tijd was het bestand xmlrpc.php hiervoor de oplossing, maar tegenwoordig is het meer een probleem dan een oplossing.
Wat is xmlrpc.php in WordPress?
XML-RPC is een onderdeel van WordPress die het mogelijk maakt om data te verzenden, waarbij HTTP fungeert als transportmechanisme en XML als coderingsmechanisme. Omdat WordPress geen op zichzelf staand systeem is en af en toe moet communiceren met andere systemen, werd dit gebruikt om die taak te verwerken.
Hoewel de meeste moderne WordPress plugins de voorkeur geven aan het alternatief, de REST API, zijn er nog steeds enkele plugins die (deels) afhankelijk zijn van XML-RPC. Het is echter belangrijk op te merken dat dit vaak oudere plugins zijn of plugins met specifieke functionaliteiten die mogelijk nog niet volledig zijn overgezet naar de REST API.
Mogelijke scenario's voor gebruik van XML-RPC:
- Oudere plugins: Sommige oudere plugins die al langere tijd niet zijn bijgewerkt, kunnen nog steeds gebruikmaken van XML-RPC voor bepaalde functies.
- Plugins met specifieke functionaliteiten: Er zijn mogelijk plugins die XML-RPC gebruiken voor specifieke taken, zoals het communiceren met legacy systemen of het ondersteunen van verouderde apparaten.
- Plugins die compatibiliteit behouden: Sommige plugins kiezen er mogelijk voor om XML-RPC te blijven ondersteunen om compatibiliteit te garanderen met oudere WordPress versies of andere systemen die nog afhankelijk zijn van XML-RPC.
Het is echter belangrijk op te merken:
- Veiligheidsrisico's: XML-RPC staat bekend om zijn veiligheidsrisico's. Het is belangrijk om plugins die XML-RPC gebruiken zorgvuldig te evalueren en ervoor te zorgen dat ze regelmatig worden bijgewerkt en beveiligingsmaatregelen hebben getroffen.
- Alternatieven: In de meeste gevallen zijn er moderne alternatieven beschikbaar die gebruikmaken van de REST API. Deze alternatieven zijn vaak veiliger, efficiënter en bieden meer functionaliteit.
Waarom ondersteunt WordPress nog steeds RPC-XML
Het is een goede vraag waarom WordPress XML-RPC nog steeds actief houdt, gezien de nadelen en de beschikbaarheid van de modernere REST API. Er zijn een paar mogelijke redenen:
Compatibiliteit met oudere systemen: Hoewel de meeste moderne applicaties en plugins zijn overgestapt op de REST API, zijn er mogelijk nog oudere systemen of plugins die afhankelijk zijn van XML-RPC. WordPress behoudt XML-RPC mogelijk om compatibiliteit met deze oudere systemen te waarborgen.
Legacy code: Het kan zijn dat XML-RPC diep in de codebase van WordPress is verweven en het verwijderen ervan complex of riskant is. Het is mogelijk dat de ontwikkelaars van WordPress het nog niet hebben kunnen of willen verwijderen vanwege de potentiële gevolgen voor de stabiliteit van het platform.
Specifieke use cases: Hoewel de REST API de meeste functionaliteiten van XML-RPC kan vervangen, zijn er mogelijk nog enkele specifieke use cases waar XML-RPC nog steeds relevant is. Het kan zijn dat WordPress XML-RPC behoudt om deze niche-gevallen te ondersteunen.
Geleidelijke uitfasering: Het is mogelijk dat WordPress van plan is om XML-RPC in de toekomst uit te faseren, maar dit geleidelijk doet om verstoringen te voorkomen. Door het niet abrupt te verwijderen, geeft WordPress ontwikkelaars de tijd om hun systemen en plugins aan te passen aan de REST API.
Waarom moet je XML-RPC uitschakelen op jouw webite?
- Beveiligingslekken: XML-RPC is een bekend doelwit voor brute force-aanvallen. Kwaadwillenden kunnen proberen om via XML-RPC toegang tot je website te krijgen door herhaaldelijk in te loggen met verschillende wachtwoorden.
- Pingback-aanvallen: XML-RPC kan worden misbruikt voor DDoS-aanvallen. Door pingbacks naar je website te sturen, kunnen aanvallers je server overbelasten en je website platleggen.
- Onnodig: De meeste functionaliteiten van XML-RPC zijn vervangen door de modernere REST API. Deze API is veiliger, efficiënter en biedt meer mogelijkheden.
Hoe schakel je XML-RPC uit?
Er zijn verschillende manieren om XML-RPC uit te schakelen:
- Plugin: De eenvoudigste manier is om een plugin te gebruiken, zoals Disable XML-RPC API. Installeer en activeer de plugin om XML-RPC uit te schakelen.
- Handmatig: Je kunt XML-RPC ook handmatig uitschakelen door code toe te voegen aan je .htaccess-bestand of functions.php-bestand. Dit is echter wel wat technischer en vereist enige kennis van code.
→ 
