{
    "title": "XML-RPC",
    "seo_title": "XML-RPC : définition, fonctionnement et risques",
    "h1": "XML-RPC",
    "description": "Définition de XML-RPC : protocole d’appel à distance en XML, rôle de xmlrpc.php dans WordPress, usages légitimes et risques (force brute, pingbacks).",
    "lead": "XML-RPC est un protocole d’appel de fonctions à distance par messages XML. Dans WordPress, le fichier xmlrpc.php permet de publier depuis une application externe et de recevoir des pingbacks ; actif par défaut, il est aussi une cible fréquente des essais de mots de passe et des abus de pingbacks.",
    "language": "fr",
    "locale": "fr-FR",
    "type": "definition",
    "url": "https://www.wp-masquerade.com/fr/definitions/xml-rpc/",
    "canonical": "https://www.wp-masquerade.com/fr/definitions/xml-rpc/",
    "markdown": "https://www.wp-masquerade.com/fr/definitions/xml-rpc/index.md",
    "json": "https://www.wp-masquerade.com/fr/definitions/xml-rpc/index.json",
    "published": "2026-10-28T08:00:00+00:00",
    "modified": "2026-10-28T20:15:04+00:00",
    "site": {
        "name": "WP Masquerade",
        "url": "https://www.wp-masquerade.com/fr/"
    },
    "translations": [
        {
            "language": "fr",
            "hreflang": "fr-FR",
            "title": "XML-RPC",
            "url": "https://www.wp-masquerade.com/fr/definitions/xml-rpc/",
            "markdown": "https://www.wp-masquerade.com/fr/definitions/xml-rpc/index.md",
            "json": "https://www.wp-masquerade.com/fr/definitions/xml-rpc/index.json"
        },
        {
            "language": "en",
            "hreflang": "en-US",
            "title": "XML-RPC",
            "url": "https://www.wp-masquerade.com/glossary/xml-rpc/",
            "markdown": "https://www.wp-masquerade.com/glossary/xml-rpc/index.md",
            "json": "https://www.wp-masquerade.com/glossary/xml-rpc/index.json"
        },
        {
            "language": "es",
            "hreflang": "es-ES",
            "title": "XML-RPC",
            "url": "https://www.wp-masquerade.com/es/glosario/xml-rpc/",
            "markdown": "https://www.wp-masquerade.com/es/glosario/xml-rpc/index.md",
            "json": "https://www.wp-masquerade.com/es/glosario/xml-rpc/index.json"
        },
        {
            "language": "de",
            "hreflang": "de-DE",
            "title": "XML-RPC",
            "url": "https://www.wp-masquerade.com/de/glossar/xml-rpc/",
            "markdown": "https://www.wp-masquerade.com/de/glossar/xml-rpc/index.md",
            "json": "https://www.wp-masquerade.com/de/glossar/xml-rpc/index.json"
        },
        {
            "language": "it",
            "hreflang": "it-IT",
            "title": "XML-RPC",
            "url": "https://www.wp-masquerade.com/it/glossario/xml-rpc/",
            "markdown": "https://www.wp-masquerade.com/it/glossario/xml-rpc/index.md",
            "json": "https://www.wp-masquerade.com/it/glossario/xml-rpc/index.json"
        },
        {
            "language": "pt",
            "hreflang": "pt-BR",
            "title": "XML-RPC",
            "url": "https://www.wp-masquerade.com/pt/glossario/xml-rpc/",
            "markdown": "https://www.wp-masquerade.com/pt/glossario/xml-rpc/index.md",
            "json": "https://www.wp-masquerade.com/pt/glossario/xml-rpc/index.json"
        },
        {
            "language": "nl",
            "hreflang": "nl-NL",
            "title": "XML-RPC",
            "url": "https://www.wp-masquerade.com/nl/woordenlijst/xml-rpc/",
            "markdown": "https://www.wp-masquerade.com/nl/woordenlijst/xml-rpc/index.md",
            "json": "https://www.wp-masquerade.com/nl/woordenlijst/xml-rpc/index.json"
        }
    ],
    "headings": [
        {
            "level": 1,
            "text": "XML-RPC"
        },
        {
            "level": 2,
            "text": "À quoi sert XML-RPC aujourd’hui"
        },
        {
            "level": 2,
            "text": "Les risques"
        },
        {
            "level": 2,
            "text": "Pour WordPress : fermer ou limiter XML-RPC"
        }
    ],
    "body": "XML-RPC est à l’origine un protocole générique : un programme envoie une requête XML qui nomme une méthode et ses paramètres, le serveur l’exécute et répond en XML. Dans WordPress, il prend la forme du fichier `xmlrpc.php`, à la racine du site. Il date d’une époque où l’on écrivait ses articles dans un logiciel de bureau, et il reprend les anciennes API Blogger, metaWeblog et Movable Type en plus des méthodes `wp.*` propres à WordPress.\n\n## À quoi sert XML-RPC aujourd’hui\n\n- **Publier à distance** depuis une application ou un outil externe qui s’authentifie avec un identifiant et un mot de passe.\n- **Recevoir des pingbacks**, ces notifications envoyées par un autre blog qui vous cite (méthode `pingback.ping`).\n- **Faire fonctionner certains services**, notamment Jetpack, dont la connexion à WordPress.com passe par `xmlrpc.php`.\n\nDepuis l’arrivée de l’API REST dans le cœur, la plupart de ces besoins ont une solution plus moderne. Beaucoup de sites n’utilisent plus du tout XML-RPC, alors qu’il reste actif par défaut.\n\n## Les risques\n\nLa documentation officielle de WordPress cite `xmlrpc.php` comme une cible fréquente de [force brute](https://www.wp-masquerade.com/fr/definitions/force-brute/) : chaque appel de publication accepte un identifiant et un mot de passe, sans page à charger ni cookie. En octobre 2015, Sucuri a décrit des attaques qui utilisaient la méthode `system.multicall` pour tester des centaines de mots de passe dans une seule requête HTTP. WordPress 4.4 a limité cette amplification : après un échec d’authentification, les appels suivants de la même requête échouent aussi. La méthode reste toutefois une source de charge et un motif de blocage fréquent au niveau des pare-feu.\n\nLes pingbacks posent un autre problème. Pour vérifier un pingback, WordPress va lire la page qui prétend le citer, à une adresse fournie par l’expéditeur. Des milliers de sites peuvent ainsi être utilisés comme relais d’une [attaque DDoS](https://www.wp-masquerade.com/fr/definitions/ddos/) contre une même victime, sans avoir été piratés.\n\n![Tableau en trois colonnes : usages légitimes de xmlrpc.php (publication depuis une application, Jetpack, pingbacks, anciens outils de gestion), abus courants (essais de mots de passe, system.multicall, pingbacks détournés, charge serveur) et parades (blocage du fichier, retrait de pingback.ping, mots de passe d’application et 2FA, règle serveur ou CDN)](https://www.wp-masquerade.com/media/2026/10/xml-rpc-usages-risques-fr.webp)\n\n*xmlrpc.php sert encore à quelques usages légitimes, mais attire surtout des robots.*\n\n## Pour WordPress : fermer ou limiter XML-RPC\n\nPoint souvent mal compris : le filtre `xmlrpc_enabled` ne désactive pas XML-RPC. Sa documentation précise qu’il ne coupe que les méthodes qui exigent une authentification, et pas les pingbacks. Selon votre usage :\n\n- **Aucun usage** : bloquez `xmlrpc.php` au niveau du serveur ou du CDN (bloc `<Files \"xmlrpc.php\">` sous Apache, `location = /xmlrpc.php { deny all; }` sous Nginx). C’est la seule méthode qui évite aussi la charge de PHP.\n- **Jetpack** : même blocage, avec une exception pour les adresses IP publiées par Jetpack.\n- **Publication à distance** : gardez le fichier, retirez `pingback.ping` via le filtre `xmlrpc_methods`, et utilisez des mots de passe d’application, révocables un par un.\n\nAprès le changement, ouvrez `/xmlrpc.php` dans une fenêtre privée : la réponse doit être 403 ou 404. Notre article [XML-RPC sur WordPress : risques, usages et désactivation](https://www.wp-masquerade.com/fr/xml-rpc-wordpress-risques/) compare les méthodes en détail. Si vous gardez XML-RPC, une [double authentification](https://www.wp-masquerade.com/fr/definitions/double-authentification/) sur les comptes qui publient limite l’intérêt des mots de passe volés.\n\n*Vidéo (en anglais) : « STOP Hackers ! Disable XML-RPC in WordPress (Simple Guide) » (Key2Blogging)*\n\nLe module [Durcissement](https://www.wp-masquerade.com/fr/fonctionnalites/durcissement/) de WP Masquerade traite XML-RPC dans sa version gratuite : un premier niveau retire les méthodes de pingback, le suivant fait répondre `xmlrpc.php` par une erreur 404, en prévenant que Jetpack et certaines applications cesseront de fonctionner. Comme le blocage est fait par WordPress, PHP reste sollicité : une règle serveur ou CDN supprime aussi cette charge. Les requêtes vers l’adresse fermée sont comptées comme un [piège à robots](https://www.wp-masquerade.com/fr/definitions/honeypot/).\n\n## Termes liés\n\n- [Attaque par force brute](https://www.wp-masquerade.com/fr/definitions/force-brute/)\n- [Attaque DDoS](https://www.wp-masquerade.com/fr/definitions/ddos/)\n- [Double authentification (2FA)](https://www.wp-masquerade.com/fr/definitions/double-authentification/)\n- [Énumération d’utilisateurs](https://www.wp-masquerade.com/fr/definitions/enumeration-utilisateurs/)\n- [Honeypot (pot de miel)](https://www.wp-masquerade.com/fr/definitions/honeypot/)\n- [WAF (pare-feu applicatif)](https://www.wp-masquerade.com/fr/definitions/waf/)\n\n\n## Sources\n\n- [WordPress Developer Resources : filtre xmlrpc_enabled](https://developer.wordpress.org/reference/hooks/xmlrpc_enabled/)\n- [WordPress Developer Resources : Brute Force Attacks](https://developer.wordpress.org/advanced-administration/security/brute-force/)\n- [Sucuri : Brute Force Amplification Attacks Against WordPress XMLRPC (octobre 2015)](https://blog.sucuri.net/2015/10/brute-force-amplification-attacks-against-wordpress-xmlrpc.html)\n- [WordPress Developer Resources : XML-RPC WordPress API](https://developer.wordpress.org/apis/xml-rpc/)",
    "definition": "XML-RPC est un protocole d’appel de fonctions à distance par messages XML. Dans WordPress, le fichier xmlrpc.php permet de publier depuis une application externe et de recevoir des pingbacks ; actif par défaut, il est aussi une cible fréquente des essais de mots de passe et des abus de pingbacks.",
    "group": "Sécurité web",
    "aka": [
        "xmlrpc.php",
        "XML Remote Procedure Call",
        "pingback"
    ],
    "related": [
        {
            "title": "Attaque par force brute",
            "url": "https://www.wp-masquerade.com/fr/definitions/force-brute/",
            "markdown": "https://www.wp-masquerade.com/fr/definitions/force-brute/index.md"
        },
        {
            "title": "Attaque DDoS",
            "url": "https://www.wp-masquerade.com/fr/definitions/ddos/",
            "markdown": "https://www.wp-masquerade.com/fr/definitions/ddos/index.md"
        },
        {
            "title": "Double authentification (2FA)",
            "url": "https://www.wp-masquerade.com/fr/definitions/double-authentification/",
            "markdown": "https://www.wp-masquerade.com/fr/definitions/double-authentification/index.md"
        },
        {
            "title": "Énumération d’utilisateurs",
            "url": "https://www.wp-masquerade.com/fr/definitions/enumeration-utilisateurs/",
            "markdown": "https://www.wp-masquerade.com/fr/definitions/enumeration-utilisateurs/index.md"
        },
        {
            "title": "Honeypot (pot de miel)",
            "url": "https://www.wp-masquerade.com/fr/definitions/honeypot/",
            "markdown": "https://www.wp-masquerade.com/fr/definitions/honeypot/index.md"
        },
        {
            "title": "WAF (pare-feu applicatif)",
            "url": "https://www.wp-masquerade.com/fr/definitions/waf/",
            "markdown": "https://www.wp-masquerade.com/fr/definitions/waf/index.md"
        }
    ],
    "sources": [
        {
            "title": "WordPress Developer Resources : filtre xmlrpc_enabled",
            "url": "https://developer.wordpress.org/reference/hooks/xmlrpc_enabled/"
        },
        {
            "title": "WordPress Developer Resources : Brute Force Attacks",
            "url": "https://developer.wordpress.org/advanced-administration/security/brute-force/"
        },
        {
            "title": "Sucuri : Brute Force Amplification Attacks Against WordPress XMLRPC (octobre 2015)",
            "url": "https://blog.sucuri.net/2015/10/brute-force-amplification-attacks-against-wordpress-xmlrpc.html"
        },
        {
            "title": "WordPress Developer Resources : XML-RPC WordPress API",
            "url": "https://developer.wordpress.org/apis/xml-rpc/"
        }
    ],
    "format": "application/json"
}