Desactivar XML-RPC WordPress: protege tu web de ataques

📅 Publicado el 25 de octubre, 2026 · Por Equipo RedServicio

Desactivar XML-RPC en WordPress es de esas medidas que todos los administradores recomiendan y casi nadie aplica. Lo he comprobado. El protocolo, incluido en WordPress desde 2005, nació para permitir la comunicación remota con tu sitio, pero con los años se ha convertido en una de las puertas de entrada preferidas de los atacantes. Aquí te cuento qué es exactamente XML-RPC, por qué puede comprometer la seguridad de tu web y cómo comprobar si alguien anda intentando colarse por ahí. Y si no quieres complicarte la vida, en RedServicio nuestros planes de hosting incluyen soporte 24/7 para ayudarte con este tipo de configuraciones.

¿Qué es XML-RPC y para qué se usa en WordPress?

XML-RPC es un protocolo que codifica sus llamadas en XML y usa HTTP como mecanismo de transporte. En WordPress, su función original era sencilla: permitir que aplicaciones externas interactuaran con tu sitio sin pasar por el panel de administración. La app móvil de WordPress, clientes de escritorio como Open Live Writer y las funciones de pingback y trackback dependen de este protocolo para funcionar.

Funciones habituales que dependen de XML-RPC

• Publicación remota: escribir y publicar entradas desde apps móviles o editores externos.
• Pingbacks y trackbacks: notificaciones automáticas cuando otro sitio enlaza el tuyo.
• Gestión mediante plugins: herramientas de automatización como Jetpack lo utilizan para comunicarse con WordPress.com.
• Integraciones con servicios de terceros: algunos plugins de marketing y automatización hacen sus llamadas a través de este protocolo.

¿Y por qué se habla tanto de desactivarlo? Desde WordPress 4.9, la API REST nativa ha reemplazado la mayor parte de sus funcionalidades. La gran mayoría de los sitios actuales pueden prescindir de XML-RPC sin perder nada importante. Si no usas la app móvil ni Jetpack conectado a WordPress.com, casi con seguridad no lo necesitas.

Por qué XML-RPC representa un riesgo de seguridad real

Aquí está el problema de fondo. XML-RPC permite enviar múltiples credenciales en una sola petición HTTP mediante el método system.multicall. Traducido: un atacante puede probar cientos o miles de combinaciones de usuario y contraseña en una única solicitud. Sin repetir la petición. Con lo cual, los plugins de protección por fuerza bruta que bloquean por número de intentos se quedan mirando. xmlrpc.php se convierte así en un objetivo ideal para ataques automatizados.

Y no queda ahí. El protocolo también se aprovecha para ataques DDoS de amplificación mediante pingbacks: el atacante induce a miles de sitios WordPress legítimos a enviar peticiones hacia un objetivo concreto, usando tu servidor como arma sin que te enteres. El resultado puede ser una caída de servicio y un consumo de recursos que se nota en tu factura de hosting.

Cómo saber si tu sitio está siendo atacado vía XML-RPC

Detectar estos ataques a tiempo marca la diferencia entre un susto y un problema. Hay varias señales que puedes comprobar tú mismo:

1. Revisa los logs de acceso de tu servidor: busca peticiones frecuentes a /xmlrpc.php. Si ves cientos de entradas POST consecutivas hacia ese archivo, estás siendo objetivo de un ataque de fuerza bruta. Sin vueltas.
2. Vigila el consumo de recursos: picos inusuales de CPU o memoria sin explicación aparente pueden indicar peticiones masivas a XML-RPC.
3. Comprueba plugins de seguridad: herramientas como Wordfence o Sucuri registran intentos de acceso maliciosos y suelen identificar ataques dirigidos a xmlrpc.php.
4. Observa la velocidad de tu web: una ralentización repentina y constante puede deberse a la carga generada por estos intentos de conexión.

Un ejemplo típico en un log de acceso sería una secuencia como esta, repetida miles de veces: POST /xmlrpc.php HTTP/1.1″ 200. Si localizas ese patrón, tomo medidas ya. En la siguiente parte del artículo te mostramos, paso a paso, cómo desactivar XML-RPC mediante plugins, código y configuración del servidor.

Métodos para desactivar XML-RPC WordPress: plugins, código y .htaccess

Tienes tres caminos para desactivar XML-RPC en WordPress, y van de menos a más técnicos. No hay uno universalmente mejor: depende de tu nivel y de cuánto control quieras tener sobre el asunto.

Opción 1: con plugin (recomendada para principiantes)

La vía rápida. Instalas un plugin como Disable XML-RPC, Wordfence o iThemes Security y listo. Disable XML-RPC, en concreto, no tiene ni opciones: lo activas y bloquea todo acceso a xmlrpc.php. Si trabajas con Wordfence, el bloqueo está en Wordfence → All Options → Firewall options.

Opción 2: con código en tu tema

¿No quieres sumar un plugin más a la pila? Entonces toca añadir un filtro al functions.php de tu tema hijo (o, mejor, mediante un plugin de snippets como Code Snippets):

1. add_filter(‘xmlrpc_enabled’, ‘__return_false’); — esto apaga la funcionalidad XML-RPC entera.
2. Puedes además vaciar los métodos expuestos en las respuestas: add_filter(‘xmlrpc_methods’, ‘__return_empty_array’);

Dos líneas. Con ellas, cualquier petición a XML-RPC se estrella contra un 403. Comprueba luego en https://tudominio.com/xmlrpc.php que aparece el mensaje de denegación.

Opción 3: bloqueo a nivel de servidor con .htaccess

Este es el método más eficiente, porque la petición muere antes de llegar a PHP. Se ahorra procesamiento. Antes de tocar nada, copia de seguridad del archivo. Después, añade esto al .htaccess de la raíz:

• <Files xmlrpc.php>
• Order Allow,Deny
• Deny from all
• </Files>

¿Servidor Nginx? La regla equivalente sería location ~* ^/xmlrpc.php$ { return 403; } dentro del bloque del servidor.

En cualquier caso, si tu web está alojada con nosotros en RedServicio, nuestros planes de hosting con soporte 24/7 incluyen bloqueo de XML-RPC a nivel de servidor cuando lo pides. Sin tocar una línea de código.

Qué hacer si necesitas mantener XML-RPC activo

Hay proyectos que no pueden prescindir de él. Si publicas desde la app móvil en zonas con conectividad irregular, usas Jetpack o trabajas con algún cliente de blog externo, desactivarlo del todo no es opción. Pero hay un punto intermedio:

• Bloquear solo los métodos peligrosos: mediante el filtro xmlrpc_methods puedes eliminar system.multicall y pingback.ping, justo los dos que explotan los atacantes, y dejar el resto funcionando.
• Limitar los intentos de autenticación: Login LockDown o las opciones de Wordfence permiten restringir las peticiones fallidas a XML-RPC por IP, lo que neutraliza la fuerza bruta.
• Restringir el acceso por IP: si solo lo usa tu oficina o tu app, modifica la regla de .htaccess con Allow from TU.IP.AQUI para permitir únicamente esas direcciones.
• Mantén todo actualizado: core, plugins y temas al día, contraseñas fuertes y autenticación en dos pasos en las cuentas con permisos de publicación.

Esta vía pide más atención en el mantenimiento, lo advierto. Pero permite conservar la funcionalidad sin dejar la puerta abierta a los ataques más comunes.

Conclusiones: blinda tu WordPress y duerme tranquilo

Cinco minutos de mantenimiento. Eso cuesta desactivar XML-RPC WordPress, y el impacto en la seguridad es enorme. Para la mayoría de sitios —blogs corporativos, tiendas, webs de servicios— la función es puro lastre: una superficie de ataque sin utilidad real. Quitarla reduce drásticamente el riesgo de fuerza bruta, DDoS por pingback y explotación de vulnerabilidades.

1. Antes de decidir nada, comprueba si de verdad necesitas XML-RPC.
2. Desactívalo con plugin, filtro en functions.php o regla en .htaccess, según tu nivel.
3. Si tienes que mantenerlo, limita los métodos peligrosos y refuerza la autenticación.
4. Revisa los logs con regularidad para detectar patrones de ataque a tiempo.

¿Y si prefieres no pensar en nada de esto? Pues en RedServicio.net llevamos años gestionando hosting con soporte 24/7, firewall configurado y acompañamiento experto, para que tú solo tengas que ocuparte de hacer crecer tu proyecto. Asegura tu web hoy: mañana puede ser demasiado tarde.