Ir al contenido principal

Cómo desactivar XML-RPC en WordPress

Esta guía te muestra cómo desactivar XML-RPC, una vía de acceso remoto muy usada para ataques de fuerza bruta y DDoS contra WordPress. Si no publicas desde apps móviles ni servicios externos, no lo necesitas. Lleva un minuto.

1. Requisitos previos

  • Acceso de administrador a WordPress o a cPanel.

2. Instrucciones paso a paso

Opción 1: con plugin

  1. Ve a Plugins > Añadir nuevo, busca Disable XML-RPC-API, instálalo y actívalo.

Captura de pantalla 1 de la guía

2. En sus ajustes, comprueba que las opciones de XML-RPC están en OFF.

Captura de pantalla 2 de la guía

Opción 2: en .htaccess

  1. Abre el .htaccess de la carpeta de WordPress (activa archivos ocultos si no lo ves).

Captura de pantalla 3 de la guía

2. Añade y guarda:

<Files xmlrpc.php>

Require all denied

</Files>

Captura de pantalla 4 de la guía

3. Resultado esperado

Al abrir tudominio.com/xmlrpc.php obtienes un error 403 o 404. También puedes comprobarlo en XML-RPC tester.

Captura de pantalla 5 de la guía

Captura de pantalla 6 de la guía

4. Solución de problemas

Si: La app de WordPress o Jetpack dejó de funcionar.

Solución: Usan XML-RPC. Si los necesitas, no lo desactives; usa limitación de intentos y 2FA.

¿Ha quedado contestada tu pregunta?