Cách Tắt XML-RPC Trong WordPress An Toàn

XML-RPC là một API quan trọng trong WordPress, cho phép người dùng kết nối trang web của mình với các ứng dụng, công cụ, và dịch vụ từ bên thứ ba. Tuy nhiên, tắt XML-RPC có thể giúp bảo vệ trang WordPress của bạn khỏi nguy cơ bị tin tặc lợi dụng tấn công và chiếm quyền truy cập.

Việc bảo mật trang web luôn là ưu tiên hàng đầu, và vô hiệu hóa XML-RPC là một trong những cách hiệu quả để bảo vệ website của bạn. Tùy thuộc vào trình độ kỹ thuật, bạn có thể áp dụng nhiều phương pháp khác nhau.

Nếu bạn là người có kinh nghiệm, bạn có thể vô hiệu hóa XML-RPC bằng cách chỉnh sửa tệp .htaccess hoặc thêm đoạn mã cụ thể vào trang web. Đối với những người dùng mới, sử dụng plugin chuyên dụng là cách đơn giản nhất, giúp bạn thực hiện mà không cần can thiệp vào mã nguồn.

Bài viết này sẽ hướng dẫn chi tiết từng phương pháp để bạn dễ dàng vô hiệu hóa XML-RPC trong WordPress, đảm bảo an toàn và tối ưu hóa hiệu suất website.

XML-RPC là gì?

XML-RPC là một API cốt lõi của WordPress, được tự động kích hoạt kể từ phiên bản WordPress 3.5 ra mắt vào năm 2012. API này cho phép các nhà phát triển kết nối và tương tác với trang web WordPress thông qua giao thức XML và HTTPS.

Chức năng chính của XML-RPC là hỗ trợ truy cập và quản lý blog từ xa. Ví dụ, nếu bạn muốn sử dụng ứng dụng di động để quản lý trang web hoặc tích hợp với các dịch vụ tự động hóa như Uncanny Automator hoặc Zapier, bạn cần kích hoạt XML-RPC.

Tuy nhiên, nếu bạn không sử dụng ứng dụng di động hoặc các dịch vụ tương tự, nhiều chuyên gia bảo mật WordPress khuyến nghị tắt XML-RPC. Việc này sẽ giúp hạn chế nguy cơ bị khai thác bởi tin tặc nhằm xâm nhập và gây hại cho trang web của bạn.

Nếu bạn muốn vô hiệu hóa XML-RPC một cách hiệu quả và tiết kiệm tài nguyên, chỉnh sửa tệp .htaccess là phương pháp tối ưu. Ngoài ra, người mới bắt đầu có thể sử dụng các phương pháp dễ dàng hơn, chẳng hạn như cài đặt plugin hỗ trợ.

Hãy cùng khám phá chi tiết cách vô hiệu hóa XML-RPC API trong WordPress để tăng cường bảo mật cho trang web của bạn.

Cách 1: Tắt XML-RPC trong WordPress bằng tệp .htaccess

Phương pháp này phù hợp với những người dùng có kinh nghiệm vì yêu cầu chỉnh sửa trực tiếp tệp .htaccess của trang web. Nếu bạn là người mới bắt đầu, hãy tham khảo cách 2 hoặc 3 để dễ thực hiện hơn.

Ưu điểm của cách này:

• Cho phép bạn và nhóm của bạn quyền truy cập từ xa, trong khi hạn chế truy cập từ bên ngoài.
• Không ảnh hưởng đến hiệu suất trang web vì các yêu cầu XML-RPC bị vô hiệu hóa trước khi được xử lý bởi WordPress.

Hướng dẫn thực hiện:

Bạn cần thêm đoạn mã sau vào tệp .htaccess:

    order deny,allow
    deny from all
    allow from 111.222.333.444

• deny from all: Chặn tất cả các yêu cầu XML-RPC.
• allow from 111.222.333.444: Cho phép một địa chỉ IP cụ thể (thay bằng IP của bạn hoặc nhóm của bạn).

Để thực hiện, bạn có thể:

1. Kết nối với trang web bằng FTP client hoặc File Manager trong cPanel.
2. Nếu bạn sử dụng Yoast SEO hoặc Rank Math SEO, có thể tận dụng công cụ biên tập tệp .htaccess tích hợp sẵn trong plugin này để thêm đoạn mã mà không cần truy cập máy chủ.

Lưu ý: Khi chỉnh sửa .htaccess, hãy sao lưu tệp trước để đảm bảo bạn có thể khôi phục nếu xảy ra lỗi.

Cách này không chỉ an toàn mà còn tối ưu hiệu suất, đặc biệt phù hợp với các trang web yêu cầu bảo mật cao.

Để cấp quyền truy cập từ xa cho một người dùng cụ thể, bạn chỉ cần thay thế 111.222.333.444 trên dòng 5 bằng địa chỉ IP của họ. Nếu muốn cho phép nhiều địa chỉ IP cùng lúc, hãy thêm các địa chỉ IP đó và phân tách bằng dấu cách.

Trong trường hợp bạn muốn vô hiệu hóa hoàn toàn XML-RPC, hãy xóa dòng 5 khỏi đoạn mã. Điều này sẽ ngăn chặn mọi yêu cầu XML-RPC, đảm bảo an toàn tối đa cho trang web của bạn.

Cách 2: Tắt XML-RPC trong WordPress bằng code (Khuyến nghị)

Phương pháp này yêu cầu bạn thêm mã vào trang web WordPress. Nếu chưa quen với việc này, bạn có thể tham khảo hướng dẫn chi tiết về cách sao chép và dán mã tùy chỉnh trong WordPress.

Tại sao nên dùng WPCode?
WPCode là giải pháp đơn giản và an toàn nhất để quản lý các đoạn mã trên WordPress. Công cụ này giúp bạn dễ dàng thêm mã mà không lo gây ra lỗi nghiêm trọng ảnh hưởng đến trang web.

Trong phương pháp này, chúng ta sẽ sử dụng một đoạn mã tích hợp sẵn trong WPCode để vô hiệu hóa XML-RPC.

Hướng dẫn từng bước:

1. Cài đặt WPCode
   Trước tiên, bạn cần cài đặt plugin WPCode miễn phí. Nếu chưa biết cách, hãy tham khảo hướng dẫn chi tiết về cách cài đặt plugin WordPress.
2. Thêm đoạn mã vô hiệu hóa XML-RPC
   • Sau khi kích hoạt WPCode, truy cập Code Snippets » Add Snippet.
   • Trong thư viện WPCode, tìm kiếm từ khóa “xml” để tìm đoạn mã liên quan đến XML-RPC.
   • Khi đã tìm thấy, nhấn vào nút ‘Sử dụng đoạn trích’ để kích hoạt đoạn mã.
   • Khi tìm thấy đoạn mã trong thư viện WPCode, hãy nhấp vào nút ‘Use snippet’.
   • Chuyển nút ‘Active’ sang vị trí ‘On’ để kích hoạt đoạn mã.
   • Cuối cùng, nhấp vào nút ‘Update’ để lưu thay đổi.

Sau khi hoàn thành các bước trên, đoạn mã sẽ được áp dụng, và API XML-RPC sẽ bị vô hiệu hóa trên trang web của bạn. Cách này không chỉ dễ thực hiện mà còn đảm bảo an toàn cho người mới bắt đầu, giúp bạn vô hiệu hóa XML-RPC mà không cần chỉnh sửa tệp .htaccess hoặc thao tác trực tiếp trên mã nguồn.

Cách 3: Tắt XML-RPC trong WordPress bằng Plugin

Nếu bạn muốn vô hiệu hóa XML-RPC mà không cần thực hiện bất kỳ tùy chỉnh nào trên mã nguồn, sử dụng plugin là lựa chọn đơn giản và nhanh chóng.

Hướng dẫn sử dụng Plugin

1. Cài đặt và kích hoạt plugin
   Tải về và kích hoạt plugin Disable XML-RPC-API. Nếu cần hướng dẫn chi tiết, bạn có thể tham khảo cách cài đặt plugin WordPress.
2. Tự động vô hiệu hóa XML-RPC
   Plugin này sẽ tự động vô hiệu hóa XML-RPC ngay sau khi được kích hoạt, giúp bảo vệ trang web của bạn mà không cần thêm cấu hình phức tạp.
3. Tùy chỉnh cài đặt
   • Điều hướng đến XML-RPC Security » XML-RPC Settings.
   • Tại đây, bạn có thể tùy chỉnh cài đặt như thêm địa chỉ IP vào danh sách trắng để cấp quyền truy cập cho một số người dùng cụ thể.

Cách này phù hợp cho người dùng không rành về kỹ thuật nhưng vẫn muốn đảm bảo an toàn cho trang web WordPress của mình.

Kiểm tra WordPress XML-RPC đã vô hiệu hóa hay chưa

Sau khi hoàn tất các bước, bạn nên kiểm tra xem API XML-RPC trên trang web WordPress của mình đã được vô hiệu hóa thành công hay chưa.

Cách kiểm tra

Truy cập vào URL:

Lưu ý: Thay thế yourdomain.com bằng tên miền của trang web của bạn.

http://tenmiencuaban.com/xmlrpc.php

Mở trình duyệt và nhập URL sau:

Quan sát kết quả:

• Nếu XML-RPC đã bị vô hiệu hóa, trình duyệt sẽ hiển thị thông báo lỗi:
  “Bị cấm: Bạn không có quyền truy cập vào tài nguyên này.”

Chúng tôi hy vọng bài viết này giúp bạn biết cách dễ dàng vô hiệu hóa XML-RPC trong WordPress.