XML-RPC sur WordPress : le désactiver ou non

À quoi sert xmlrpc.php

La documentation de l'API XML-RPC, relue le 15 octobre 2026, la présente comme l'interface qui a succédé aux anciennes API de Blogger, MovableType et metaWeblog. Elle permettait aux éditeurs hors ligne et aux applications de publier sans passer par l'administration. La même porte sert aux pingbacks, ces notifications qu'un site WordPress envoie à un autre quand il le cite.

Aujourd'hui, l'éditeur de WordPress et la plupart des outils passent par une autre interface, l'API REST, sous /wp-json/. XML-RPC reste présent pour la compatibilité.

Pourquoi les robots le visent

XML-RPC accepte un identifiant et un mot de passe à chaque appel, et une seule requête peut regrouper de nombreux essais. C'est pourquoi on le trouve dans les journaux d'un site attaqué, à côté de wp-login.php : voir Attaque par force brute.

Un fichier qui ne sert à personne sur votre site n'a donc que des inconvénients.

Qui en a encore besoin

Avant de bloquer, vérifiez qu'aucun de ces usages ne vous concerne :

• Jetpack. Son aide sur les problèmes connus le dit : une extension qui restreint l'accès à xmlrpc.php pose des problèmes à Jetpack, qui s'en sert pour sa connexion à WordPress.com.
• L'application mobile Jetpack, pour gérer un site depuis un téléphone. Sa page de démarrage compte parmi les conditions d'usage un fichier XML-RPC accessible publiquement.
• Un ancien outil de publication ou un service extérieur qui publie sur votre site par cette interface. Si vous ne savez pas, interrogez la personne qui a construit le site.

Si aucun ne s'applique, le blocage ne change rien pour vos visiteurs ni pour l'administration de WordPress.

Bloquer xmlrpc.php avec WP Toolkit

WP Toolkit range ce blocage parmi ses mesures de sécurité. Sur le serveur, il ajoute une règle qui refuse toute requête vers xmlrpc.php par une erreur 403, avant même que WordPress ne la reçoive. Les étapes suivent le guide de WP Toolkit de la documentation de Plesk, relu le 15 octobre 2026, dont les noms de boutons sont en anglais : votre panneau peut les afficher traduits. Le nom de la mesure est celui de l'interface française de WP Toolkit.

1. Faites d'abord une sauvegarde du site : le guide de Plesk le conseille avant toute mesure de sécurité.
2. Dans Plesk, ouvrez la rubrique WordPress, puis la fiche du site.
3. Cliquez sur le message à côté de « Security », par exemple « Check security » ou « Fix security ».
4. Dans la liste des mesures, cochez « Bloquer l'accès au fichier xmlrpc.php ».
5. Cliquez sur « Secure ».

Pour vérifier, ouvrez https://votre-domaine.fr/xmlrpc.php dans le navigateur : une page d'erreur 403 confirme le blocage.

Pour revenir en arrière, rouvrez la même liste, cochez la mesure et cliquez sur « Revert ». Le même écran propose de couper les pingbacks, si vous voulez garder XML-RPC pour un outil tout en fermant cette autre porte.

Chez Hubspace

Sur nos offres, vous appliquez et annulez vous-même les mesures de sécurité de WP Toolkit, sur Départ, Sérénité et Business. Le blocage de xmlrpc.php est en place sur une partie des sites que nous hébergeons, pas sur tous : regardez dans WP Toolkit où en est le vôtre plutôt que de le supposer. Vos sites sont aussi protégés en amont par notre pare-feu applicatif et par le bannissement temporaire des adresses qui échouent trop souvent à se connecter. Les autres réglages utiles sont dans Sécuriser WordPress.

Questions fréquentes