วิธีปิด XML-RPC ใน WordPress อย่างเหมาะสม

การปิด XML-RPC อาจช่วยลดช่องทางที่บอตใช้ส่งคำขอเข้าสู่เว็บไซต์ แต่ควรตรวจสอบก่อนว่าเว็บไซต์พึ่งพาฟังก์ชันนี้หรือไม่ เพราะแอป WordPress บนมือถือ Jetpack และเครื่องมือเผยแพร่เนื้อหาบางชนิดอาจใช้งานไม่ได้หลังปิด

❶ ตรวจสอบก่อนว่าเว็บไซต์ใช้ XML-RPC หรือไม่

ตรวจปลั๊กอินและบริการที่เชื่อมต่อกับเว็บไซต์ โดยเฉพาะแอป WordPress บนมือถือ Jetpack และเครื่องมือจัดการหรือเผยแพร่เนื้อหาจากระยะไกล หากไม่แน่ใจ ให้ตรวจเอกสารของบริการหรือสอบถามผู้ดูแลเว็บไซต์ก่อน

① จดฟังก์ชันที่ต้องทดสอบ

ระบุงานที่เชื่อมต่อจากภายนอก เช่น เผยแพร่บทความผ่านแอป ดูสถิติ หรือรับการแจ้งเตือน เพื่อใช้ทดสอบหลังปิด XML-RPC

② สำรองข้อมูลและเลือกเวลาปรับตั้งค่า

สำรองไฟล์และฐานข้อมูลก่อนเปลี่ยนการตั้งค่า เลือกช่วงเวลาที่มีผู้ใช้งานน้อย และจดวิธีเปิดกลับไว้เผื่อบริการที่จำเป็นหยุดทำงาน

❷ เลือกวิธีปิดให้เหมาะกับระบบ

วิธีปิดมีหลายแบบ เช่น ใช้ปลั๊กอินความปลอดภัยหรือให้โฮสติ้งจำกัดการเข้าถึง แต่การตั้งค่าบางชนิดอาจปิดเฉพาะเมธอดที่ต้องยืนยันตัวตน ไม่ได้ปิด XML-RPC ทุกส่วน ดังนั้นควรตรวจคำอธิบายของวิธีที่เลือกให้ชัดเจน

① ใช้ปลั๊กอินที่เชื่อถือได้

ค้นหาปลั๊กอินที่ระบุชัดว่าปิด XML-RPC ได้ครบ และตรวจสอบผู้พัฒนา การอัปเดต และความเข้ากันได้กับเว็บไซต์ก่อนติดตั้ง หลีกเลี่ยงการติดตั้งปลั๊กอินหลายตัวเพื่อทำหน้าที่เดียวกัน

② ขอให้โฮสติ้งช่วยจำกัดการเข้าถึง

หากต้องการบล็อกการเข้าถึงที่ระดับเซิร์ฟเวอร์หรือ WAF ให้แจ้งผู้ให้บริการโฮสติ้งว่าต้องการจำกัด XML-RPC และระบุบริการที่เว็บไซต์ยังจำเป็นต้องใช้ วิธีนี้ช่วยให้ตรวจการตั้งค่าได้ตรงกับระบบเซิร์ฟเวอร์

③ เข้าใจข้อจำกัดของการตั้งค่าบางประเภท

การตั้งค่าภายใน WordPress บางแบบอาจปิดเฉพาะคำสั่งที่ต้องยืนยันตัวตน แต่ไม่ได้ปิด pingback หรือส่วนเชื่อมต่ออื่นทั้งหมด หากต้องการปิดทั้ง endpoint ควรใช้วิธีที่ผู้ให้บริการยืนยันว่าครอบคลุมและทดสอบผลจริง

❸ ปิด XML-RPC และทดสอบเว็บไซต์

เมื่อเลือกวิธีได้แล้ว ให้ดำเนินการผ่านปลั๊กอินหรือแผงควบคุมที่เลือก ไม่ควรแก้ไฟล์เซิร์ฟเวอร์หรือเพิ่มกฎที่ไม่เข้าใจเอง เพราะอาจทำให้เว็บไซต์เกิดข้อผิดพลาดหรือบล็อกบริการอื่นโดยไม่ตั้งใจ

① ทดสอบการทำงานปกติ

เปิดหน้าเว็บ เข้าสู่ระบบ และทดสอบการเผยแพร่เนื้อหาตามปกติ ตรวจว่าหน้าสำคัญและการทำงานของปลั๊กอินยังใช้ได้

② ทดสอบบริการที่เชื่อมต่อ

ลองใช้งานแอป WordPress, Jetpack หรือบริการภายนอกที่จดไว้ก่อนหน้า หากส่วนใดใช้งานไม่ได้ ให้ตรวจว่าบริการนั้นต้องใช้ XML-RPC หรือไม่ แล้วพิจารณาเปิดข้อยกเว้นหรือคืนการตั้งค่าตามความจำเป็น

③ ตรวจบันทึกและแจ้งเตือน

ติดตามบันทึกจากโฮสติ้งและปลั๊กอินความปลอดภัยหลังเปลี่ยนการตั้งค่า หากมีคำขอถูกบล็อกจำนวนมากหรือผู้ใช้จริงเข้าใช้งานไม่ได้ ให้ทบทวนกฎที่ตั้งไว้ ComSiam แนะนำให้เก็บบันทึกเวลาที่เปลี่ยนการตั้งค่าและผลการทดสอบไว้เพื่อใช้แก้ปัญหาได้เร็วขึ้น

❹ เปิด XML-RPC กลับเมื่อจำเป็น

หากพบว่าบริการสำคัญต้องใช้ XML-RPC ให้คืนการตั้งค่าผ่านปลั๊กอินหรือแผงควบคุมที่ใช้ปิดไว้ แล้วทดสอบบริการนั้นทันที อย่าปิดกฎหลายชั้นพร้อมกันโดยไม่บันทึกว่าแก้ส่วนใด เพราะอาจทำให้หาสาเหตุที่บริการหยุดทำงานได้ยาก

เมื่อต้องเปิดใช้งานต่อ ควรเสริมการป้องกันด้วยรหัสผ่านที่คาดเดายาก การยืนยันตัวตนสองขั้นตอน การจำกัดคำขอ และ WAF ตามที่โฮสติ้งรองรับ การปิด XML-RPC เป็นเพียงหนึ่งมาตรการ ไม่ได้ทดแทนการดูแลบัญชีผู้ใช้และอัปเดตเว็บไซต์

❺ ตรวจทบทวนหลังปรับตั้งค่า

ตรวจการเชื่อมต่อและบันทึกการทำงานอีกครั้งหลังใช้งานจริง หากไม่มีบริการที่จำเป็นต้องพึ่ง XML-RPC และการทดสอบผ่านแล้ว ให้คงการจำกัดไว้ แต่ถ้าจำเป็นต้องใช้ ให้กำหนดข้อยกเว้นอย่างระมัดระวังและติดตามผลเป็นระยะ ComSiam แนะนำให้ทบทวนการตั้งค่านี้ทุกครั้งที่เพิ่มแอปหรือบริการใหม่เข้ากับเว็บไซต์