Checklist de Segurança para WordPress em VPS: Bloqueio de xmlrpc.php, wp-config e Brute Force

1. Arquitetura e pré-requisitos no ambiente

Mais de 90% dos ataques automatizados contra WordPress tentam explorar o arquivo legado xmlrpc.php, editar arquivos PHP pelo painel ou enumerar usuários. Bloquear isso no Nginx economiza CPU e protege o site.

• Acesso ao bloco de configuração do Nginx do site e ao wp-config.php.

2. Passo a passo de implementação e validação

1. No wp-config.php, adicione define('DISALLOW_FILE_EDIT', true); para impedir edição de código PHP pelo painel caso uma senha seja vazada.
2. No Nginx, bloqueie o xmlrpc.php e a execução de PHP dentro da pasta de uploads: location = /xmlrpc.php { deny all; access_log off; } e location ~* /wp-content/uploads/.*\.php$ { deny all; }.
3. Aplique rate limiting no /wp-login.php via Nginx ou Cloudflare WAF.
4. Mantenha apenas plugins ativos realmente necessários e remova temas inativos.

3. Boas práticas de produção, segurança e escala

Bloquear o xmlrpc.php direto no Nginx retorna 403 em microssegundos sem consumir nenhum worker do PHP-FPM.

• Nunca use o nome de usuário admin e ative 2FA para todas as contas de Administrador.