XML-RPC’yi kapatmak gerçekten güvenlik kazancı mı, yoksa yan etki mi?

Birçok güvenlik rehberi, kullanılmıyorsa xmlrpc.php erişimini kapatmayı öneriyor. Mantıklı bir önlem olabilir; ancak bazı kurulumlarda Jetpack gibi entegrasyonlar veya XML-RPC kullanan mobil uygulamalar devre dışı kalabiliyor. Bu yüzden dosyayı herkeste doğrudan engellemek yerine, sitenin gerçekten kullanıp kullanmadığını kontrol etmek daha sağlıklı geliyor.

Ben olsam önce şu iki noktaya bakardım:

• Erişim kayıtlarında xmlrpc.php istekleri var mı, varsa hangi kaynaklardan ve hangi sıklıkta geliyor? Tek başına istek sayısı saldırı kanıtı değil; ama olağandışı yoğunluk incelemeye değer.
• XML-RPC’ye ihtiyaç varsa, tamamen kapatmak yerine barındırma sağlayıcısının veya güvenlik eklentisinin sunduğu hız sınırlama ve erişim denetimi seçenekleri değerlendirilebilir. Kullanılmıyorsa da değişikliği önce test ortamında deneyip site özelliklerinin etkilenmediğinden emin olmak iyi olur.

Bir de XML-RPC’yi kapatmanın yönetici hesabını ve diğer giriş yollarını tek başına korumadığını unutmamak gerek. Güçlü, benzersiz parolalar ve mümkünse iki aşamalı doğrulama hâlâ önemli.

Siz sitelerinizde xmlrpc.php dosyasını tamamen engelliyor musunuz, yoksa ihtiyaca göre sınırlandırıyor musunuz? Özellikle Jetpack veya mobil uygulama kullananlar deneyimlerini paylaşırsa yeni başlayanlara da yol gösterir.