Mejor manera de eliminar xmlrpc.php

Cuando tienes la capacidad de bloquearlo a través de la configuración de tu servidor web, las sugerencias de @Charles son buenas.

Si solo puedes deshabilitarlo usando PHP, el filtro xmlrpc_enabled no es la forma correcta. Como está documentado aquí: https://developer.wordpress.org/reference/hooks/xmlrpc_enabled/ solo deshabilita los métodos XML-RPC que requieren autenticación.

En su lugar, usa el filtro xmlrpc_methods para deshabilitar todos los métodos:

<?php
// Deshabilitar todos los endpoints xml-rpc
add_filter('xmlrpc_methods', function () {
    return [];
}, PHP_INT_MAX);

Puedes probar si está funcionando enviando una petición POST a xmlrpc.php con el siguiente contenido:

<methodCall>
    <methodName>system.listMethods</methodName>
</methodCall>

Si el filtro está funcionando, solo deberían quedar 3 métodos:

<?xml version="1.0" encoding="UTF-8"?>
<methodResponse>
    <params>
        <param>
            <value>
                <array>
                    <data>
                        <value>
                            <string>system.multicall</string>
                        </value>
                        <value>
                            <string>system.listMethods</string>
                        </value>
                        <value>
                            <string>system.getCapabilities</string>
                        </value>
                    </data>
                </array>
            </value>
        </param>
    </params>
</methodResponse>

Puedes probarlo rápidamente con curl:

curl -X POST \
  -H 'Cache-Control: no-cache' \
  -H 'Content-Type: application/xml' \
  -d '<methodCall><methodName>system.listMethods</methodName></methodCall>' \
  https://tu-sitio-wordpress.com/xmlrpc.php

Estamos utilizando el archivo htaccess para protegerlo de hackers.

# BEGIN proteger xmlrpc.php
<files xmlrpc.php>
order allow,deny
deny from all
</files>
# END proteger xmlrpc.php

Lo mejor es deshabilitar las funciones de xmlrpc.php con un plugin en lugar de eliminar o desactivar el archivo en sí. El archivo se reemplazará en las actualizaciones del núcleo de WordPress, mientras que un plugin mantendrá la desactivación después de las actualizaciones del núcleo y si cambias de tema.

Consulta https://wordpress.org/plugins/search.php?q=disable+xml-rpc para ver diferentes plugins. Todos tienen pequeñas diferencias.

Estos plugins hacen lo mismo que agregar una función al archivo functions.php del tema o agregar una regla order,allow deny al .htaccess (como se describe en otras respuestas), con la diferencia de que un plugin o función desactiva las llamadas a xmlrpc.php mediante PHP, y la regla en .htaccess funciona aprovechando mod_rewrite en el servidor web (es decir, Apache o Nginx). No hay una diferencia apreciable de rendimiento entre usar PHP y mod_rewrite en un servidor moderno.

Para la minoría extrema que está alojando WordPress en IIS, podrías utilizar el módulo de Reescribir URL de IIS para implementar restricciones similares a las de htaccess. El ejemplo siguiente asume que la IP real del cliente viene en la cabecera X-Forwarded-For, la IP conocida de la lista blanca es 55.55.555.555, y que deseas responder con un HTTP 404 a las IPs que no están en la lista blanca.

<rule name="wordpress-restrictions" enabled="true" stopProcessing="true">
    <match url="(^xmlrpc.php)|(^wp-admin)|(^wp-login.php)" />
    <conditions logicalGrouping="MatchAll" trackAllCaptures="false">
        <add input="{HTTP_X_FORWARDED_FOR}" pattern="(^55\.55\.555\.555$)" negate="true" />
    </conditions>
    <action type="CustomResponse" statusCode="404" subStatusCode="44" statusReason="Archivo o directorio no encontrado" statusDescription="El recurso que estás buscando podría haber sido eliminado, haber cambiado de nombre o no estar disponible temporalmente." />
</rule>

La mejor manera es usar el archivo .htaccess para bloquear todas las solicitudes agregando

# Bloquear solicitudes a xmlrpc.php de WordPress
<Files xmlrpc.php>
order deny,allow
deny from all
allow from 1.1.1.1
</Files>

al final del archivo pero si quieres la forma más fácil usando el plugin Disable XML-RPC-API hará el trabajo.

Recientemente instalé Wordfence que, a partir de la versión 6.3.12, tiene la capacidad de bloquear el acceso directo a cualquier ubicación. Al agregar /xmlrpc.php en la página de Opciones en la lista de IPs con acceso prohibido "Bloquear inmediatamente las IPs que accedan a estas URLs", ahora muestra un intento bloqueado aproximadamente cada 15 minutos.

Esto también tiene la ventaja de poder bloquear una URL para escapar de esos bots molestos que regresan con una dirección IP diferente una y otra vez.

No sé si permite el uso de xmlrpc.php por parte de aplicaciones para operaciones válidas.

Al principio tuve algunos problemas con errores 504 Timeout y 502 Bad Gateway en el servidor, pero parece que se ha estabilizado.

Estoy muy impresionado con los resultados hasta ahora y generó un valioso perfil de limpieza después de que el sitio había sido hackeado antes de instalar Wordfence, a pesar de tener siempre la última versión de WordPress y los plugins.

Wordfence https://www.wordfence.com/

Yo uso este pequeño código para nginx y funciona al 100%

location ~* (/wp-content/.*\.php|/wp-includes/.*\.php|/xmlrpc\.php$|/(?:uploads|files)/.*\.php$) {
deny all;
access_log off;
log_not_found off;
return 444;
}

Uso de un Plugin de Seguridad (Recomendado):

Una de las formas más sencillas de bloquear el acceso a xmlrpc.php en WordPress es utilizando un plugin de seguridad como Wordfence o Sucuri Security. Estos plugins suelen incluir opciones para bloquear XML-RPC o archivos específicos como xmlrpc.php.

Uso de Reglas en el Servidor (Apache)

<Files xmlrpc.php>
    Order Deny,Allow
    Deny from all
</Files>

Uso de Reglas en el Servidor (Nginx)

location ~* /xmlrpc.php {
        deny all;
        access_log off;
        log_not_found off;
    }

Reinicia tu Nginx

sudo systemctl reload nginx

Desactivar XML-RPC mediante wp-config.php:

define('XMLRPC_REQUEST', false);