WordPress 如何关闭 XML-RPC？外贸独立站必做的安全设置教程

如果你在做外贸独立站安全优化，除了修改登录地址之外，还有一个经常被忽略的高风险入口——xmlrpc.php。

很多站长只关注 /wp-admin，却忽略了真正被大量攻击的接口：

yourdomain.com/xmlrpc.php

本篇文章将详细讲解：

• 什么是 XML-RPC
• 为什么建议 WordPress 关闭 XML-RPC
• 多种 xmlrpc.php 禁用方法
• 如何确认是否关闭成功
• 外贸独立站安全优化建议

一、什么是 XML-RPC？为什么会有安全风险？

XML-RPC 是 WordPress 的远程通信接口，主要作用包括：

• 远程发布文章
• WordPress 手机 APP 登录
• Jetpack 连接
• 第三方 API 对接

但问题在于：

XML-RPC 支持批量身份验证请求。

这意味着攻击者可以通过 xmlrpc.php 进行高频暴力破解，比普通登录方式更隐蔽、更高效。

因此，在大多数不使用远程功能的情况下，WordPress 关闭 XML-RPC 是非常推荐的安全操作。

二、为什么外贸独立站更需要关闭 XML-RPC？

外贸独立站通常面向全球市场，服务器会遭遇：

• 海外扫描机器人
• 自动化暴力破解程序
• 批量登录尝试
• API 接口攻击

很多攻击日志中，大量请求并非来自 /wp-admin，而是来自 /xmlrpc.php。

因此，关闭 XML-RPC 可以：

• 减少暴力破解
• 降低服务器压力
• 提升网站安全性
• 减少异常登录尝试

对于长期运营的外贸网站来说，这是基础安全配置之一。

三、WordPress 关闭 XML-RPC 的 4 种方法

方法一：使用插件关闭（推荐新手）

• Wordfence
• All In One WP Security
• Disable XML-RPC

方法二：通过 .htaccess 禁用（Apache）

<Files xmlrpc.php>
Order Allow,Deny
Deny from all
</Files>

方法三：Nginx 服务器关闭

location = /xmlrpc.php {
    deny all;
}

方法四：使用代码禁用（轻量方式）

add_filter('xmlrpc_enabled', '__return_false');

四、如何检测 XML-RPC 是否关闭成功？

访问：

yourdomain.com/xmlrpc.php

如果看到：

XML-RPC server accepts POST requests only.

⚠ 说明未做服务器层关闭。

如果返回：

• 403 Forbidden
• 404 Not Found

说明已做入口级别屏蔽。

代码方式正确检测方法

使用 curl 发送 POST 请求：

curl -d '<?xml version="1.0"?><methodCall><methodName>wp.getUsersBlogs</methodName></methodCall>' https://yourdomain.com/xmlrpc.php

如果返回：

XML-RPC services are disabled on this site.

说明代码方式关闭成功。

五、什么时候不建议关闭 XML-RPC？

• 使用 Jetpack
• 使用 WordPress 官方 APP
• 第三方远程发布工具
• 部分 WooCommerce API 对接

六、外贸独立站完整安全建议

1. 修改 WordPress 登录地址
2. 关闭 XML-RPC
3. 限制登录次数
4. 使用强密码
5. 启用 Cloudflare 防火墙
6. 定期备份

七、总结

如果你不使用远程发布或 Jetpack，
WordPress 关闭 XML-RPC 是非常推荐的安全优化措施。

它可以明显减少暴力破解风险，同时降低服务器资源消耗。
对于外贸独立站而言，这是必做的基础安全配置之一。