WordPress XML-RPC Nasıl Kapatılır (xmlrpc.php Engelleme)

Son gözden geçirme: Eylül 2026 · cPanel 136 test hesabı ekranları ve WordPress resmî dokümanına göre

XML-RPC ne işe yarar, neden kapatılır

xmlrpc.php, WordPress’e uzaktan yazı gönderme, düzenleme ve pingback alma işlerini yapan eski bir arayüzdür; desteklediği yöntemler WordPress geliştirici el kitabında listelenir. REST API ve uygulama şifreleri geldikten sonra çoğu araç o yola geçti; bugün XML-RPC’ye bağlı kalanlar genelde Jetpack’in bazı işlevleri, eski sürüm mobil uygulamalar ve birkaç masaüstü yayın aracıdır.

Kullanılmayan XML-RPC ise botlar için wp-login.php dışında ikinci bir giriş kapısıdır. Güncel sürümler tek istekte birden çok şifre denemesini sınırlasa da bu dosyaya gelen yoğun POST istekleri sunucu kaynağını tüketir. pingback.ping yöntemi ise sitenizi başka sitelere istek yansıtan bir araca dönüştürebilir. Erişim kayıtlarında POST /xmlrpc.php satırları çoğalıyorsa kapatma zamanı gelmiştir.

WordPress XML-RPC kapatma adımları

Yöntem 1 — .htaccess ile tam engelleme (önerilen)

1. cPanel → Dosyalar → Dosya Yöneticisi ile public_html klasörünü açın. .htaccess görünmüyorsa sağ üstteki Ayarlar’dan gizli dosyaları göster seçeneğini işaretleyin.
   

   

   Beklenen sonuç: .htaccess dosya listesinde görünür.

2. .htaccess dosyasını seçip Düzenle ile açın ve en üste, # BEGIN WordPress satırının üstüne şu bloğu ekleyin. WordPress işaretler arasındaki bölümü kalıcı bağlantı ayarında yeniden yazdığı için blok dışarıda kalmalı.

   # XML-RPC erişimini kapat
   <Files xmlrpc.php>
       Require all denied
   </Files>

   Beklenen sonuç: dosya kaydedilir, site açılmaya devam eder.

Yöntem 2 — Filtre ile kısmi kapatma

Dosyaya erişimi açık bırakıp WordPress içinden kapatmak istiyorsanız alt temanın functions.php dosyasına ya da bir kod parçacığı eklentisine şu satırları ekleyin; kod ekleme yolları WordPress siteye kod ekleme kartında.

add_filter( 'xmlrpc_enabled', '__return_false' );
add_filter( 'xmlrpc_methods', function ( $methods ) {
    unset( $methods['pingback.ping'] );
    return $methods;
} );

İlk satır yalnız kimlik doğrulama isteyen yöntemleri kapatır; resmî dokümana göre pingback bu filtreden etkilenmez, bu yüzden ikinci filtre pingback.ping yöntemini ayrıca kaldırır. Bu yöntemde istek yine PHP’yi çalıştırır, yani yük azalmaz; yük sorunu varsa Yöntem 1’i seçin.

Doğrulama

Hâlâ çözülmediyse

• Kaydettikten sonra site 500 hatası veriyor..htaccess içinde yazım hatası var; indirdiğiniz yedeği geri yükleyip bloğu yeniden, satır satır ekleyin.
• Giriş denemeleri wp-login.php üzerinden sürüyor. XML-RPC’yi kapatmak oradaki saldırıyı durdurmaz; Imunify360 brute force koruması kartındaki ayarları uygulayın.
• Kod yazmadan yönetmek istiyorum. Çoğu güvenlik eklentisinde XML-RPC anahtarı vardır; seçim için WordPress güvenlik eklentileri kartına bakın.