Доступность
Отвечает ли xmlrpc.php на запросы.
Безопасность
Проверка статуса XML-RPC
Открыт ли xmlrpc.php на вашем сайте — один из главных векторов брутфорса и DDoS.
Открыт
Бесплатно
Без регистрации
Введите адрес сайта
Проверим, отвечает ли xmlrpc.php на запросы и доступен ли pingback.ping. Ничего на сайте не меняем и пароли не подбираем.
Что проверяет инструмент
XML-RPC — устаревший протокол WordPress, через который проводится 90% брутфорс-атак и часть DDoS. На большинстве сайтов он не нужен и должен быть закрыт. Проверяем статус.
system.listMethods
Какие методы XML-RPC доступны.
pingback.ping
Можно ли использовать сайт для атаки на других (амплификация).
Как закрыть
Готовые правила для nginx, .htaccess или плагина.
Что мы делаем «под капотом»
Один POST-запрос с XML-RPC методом system.listMethods к xmlrpc.php. По ответу определяем, открыт он или закрыт, и какие методы доступны.
Что мы НЕ делаем
- Не запрашиваем доступ в админку и не предлагаем установить плагин.
- Не сохраняем результаты проверки — каждый запрос свежий.
- Не пытаемся подобрать пароль, не сканируем уязвимости.
- Работаем только с публично доступными данными (как поисковый бот).
Что означают цифры и оценки
Статус «открыт» — xmlrpc.php отвечает на POST: возможен брутфорс пароля и pingback-амплификация. «Закрыт» — 403/404 или пустой ответ. На сайтах без мобильного приложения Jetpack XML-RPC обычно не нужен — закрываем в .htaccess.
Типовые причины и что делать
Не вердикт «навсегда» — стартовый чек-лист. Для ремонта под ключ — ссылка ниже.
xmlrpc.php открыт по умолчанию
Так ставит WordPress — на shared-хостинге закрывают правилом в .htaccess.
Живой pingback.ping
Сайт могут использовать в DDoS на третьи домены — отключите pingback.
Слабый пароль + XML-RPC
Перебор wp.login через XML-RPC — сочетайте с лимитом входа.
Читайте по теме этого инструмента
WordPress REST API: защита wp-json, users и xmlrpc
По /wp-json/wp/v2/users бот видит логины — дальше брутфорс wp-login. Утечка через REST, author= и xmlrpc: закрываем без поломки редактора — не «отключите интернет».
11 минБезопасность WordPress: чек-лист защиты на 30 минут
Большинство взломов WordPress — автоматические сканеры, не «хакер лично на вас». Чек-лист за 30 минут отсекает подавляющее большинство ботов — не обзор платных «комплексных» решений.
12 мин
Хотите ту же проверку прямо сейчас?
Сделаем аудит руками
Запустили инструмент и нужна интерпретация результатов? Разберём вместе и подскажем, что чинить.
Заявка принята. В будни отвечу за 20 минут, в выходные по срочным поломкам — в течение 1–2 часов.
Не получилось отправить.
Позвоните или напишите — отвечу сразу:
Позвонить +7 (936) 315-70-99 Telegram
Ваш текст я сохранил — скопируйте его:
Текст скопирован.