WordPress初心者必見！xmlrpc.phpって何？安全対策まとめ

パソコン

WordPressを運用されている皆さん、サイトの裏側で密かに動いている「xmlrpc.php」というファイルをご存知でしょうか？
かつては外部サービスとの連携に不可欠な存在でしたが、現代ではその役割が変化し、多くのWordPressサイトにとってセキュリティリスクとなりやすい要素になっています。
この記事では、xmlrpc.phpの役割とリスク、そして安全な運用方法について解説します。

xmlrpc.phpとは？

xmlrpc.phpは、WordPressが外部のアプリやサービスと通信するためのAPIインターフェースです。
かつては以下のような便利な使い方が主流でした。

  • スマートフォンアプリやブログエディタから記事を投稿

  • Jetpackなど一部プラグインによる外部サービス連携

  • PingbackやTrackbackによるリンク通知

しかし現在は、多くの外部アプリがREST APIへ移行し、利用機会が大幅に減少しています。
ブラウザ経由でのみサイトを運営している場合、xmlrpc.phpは事実上不要なケースがほとんどです。

放置のリスク

xmlrpc.phpはその仕組み上、攻撃対象になりやすいポイントでもあります。

  • ブルートフォース攻撃：総当たりでパスワード突破を試みられる

  • DDoS攻撃の踏み台：大量リクエストによるサーバー負荷

  • 攻撃経路の提供：認証バイパスの脆弱性が発見された事例もある

利用していないのに有効化したまま放置していると、不要な「穴」を開けっぱなしにしているのと同じ状態です。

Jetpack利用とxmlrpc.php

Jetpackは、一部の主要機能がxmlrpc.php経由で動作しています。

  • サイト統計（アクセス解析）

  • ダウンタイムモニタリング

  • バックアップ

  • WordPress.comからのリモート管理

このため、Jetpackを利用中にxmlrpc.phpを完全に無効化すると、これらの機能が正常に動かなくなります。
ただしJetpackは多機能なプラグインで、すべての機能がxmlrpc.phpを必要とするわけではありません。画像CDNなどはREST APIのみで動作します。

レンタルサーバーでの課題

レンタルサーバー環境では以下の制約があるため、安全な運用が難しい場合があります。

制約 影響
fail2banなどの導入不可 ブルートフォース対策が限定的
IP制限設定の自由度が低い Jetpackの公式IPだけ許可する運用が難しい
詳細ログが見られない 攻撃検出が遅れがち

安全に運用する方法

1. 不要なら完全に無効化

.htaccessに以下を追記するだけで簡単に遮断できます。

<Files xmlrpc.php>
Order Allow,Deny
Deny from all
</Files>

2. Jetpack利用時の部分制限

  • Jetpack公式のIPアドレスのみ許可

  • WAF（Web Application Firewall）を有効化

  • ログイン試行回数の制限や通知プラグインを併用

3. Jetpack代替の検討

もし主目的が「統計」「バックアップ」「CDN」であれば、以下の代替案があります。

機能 代替サービス例
アクセス解析 Google Analytics、Matomo、Koko Analytics
画像CDN Cloudflare、BunnyCDN
バックアップ UpdraftPlus、All-in-One WP Migration
稼働監視 UptimeRobot

まとめ

  • xmlrpc.phpは現代ではほとんどのサイトで不要

  • Jetpack利用時は必要な機能だけを絞ってリスク管理

  • レンタルサーバーでは代替サービスへの移行も検討

  • 自己管理サーバーならfail2banやIP制限で強化

xmlrpc.phpの役割を正しく理解し、サイトに合った運用方法を選ぶことが重要です。
不要なリスクを抱えたまま放置せず、安全で安定したWordPress運用を目指しましょう。

スポンサーリンク