Compruebe si xmlrpc.php está abierto y si sus nombres de usuario se filtran.
Herramienta de demostración — los resultados son ejemplos de datos, sin consultas en tiempo real.
Dos superficies de ataque de WordPress clásicas son xmlrpc.php y enumeración de usuario. xmlrpc.php se puede abusar para amplificación de fuerza bruta y ataques de pingback, mientras que el punto final REST API /wp-json/wp/v2/users y la consulta ?author=1 puede atacar a los usuarios una lista de nombres de usuario válidos a blanco.
Esta herramienta comprueba si esos puntos finales están expuestos, así que puede decidir si deshabilitar XML-RPC y bloquear la enumeración de usuarios antes de que un bot los encuentre para usted.
Si nada que usas depende de ello (algunas aplicaciones más antiguas y características de Jetpack lo hacen), desactivarla elimina toda una clase de ataques. De lo contrario, el límite de tarifas y lo desafía en su lugar.
Conocer un nombre de usuario válido es la mitad de un intento de fuerza bruta. Contratar nombres de usuario obliga a los atacantes a adivinar ambos campos.
Un plugin de seguridad o firewall (o reglas CDN) puede deshabilitar xmlrpc.php, bloque?auto= escaneas, y requieren autenticación para el endpoint de los usuarios REST.
Rendimiento, seguridad y las herramientas de WordPress que necesitas, con gestión incluida para que estas comprobaciones salgan bien.