AYUDA WORDPRESS: Buenos días , aquí tienes tu dosis diaria de WordPress ☕

Tu dosis diaria de WordPress

Cómo solucionar el error HTTP 403 de conexión con Jetpack

Un error cada vez más habitual al tratar de conectar el plugin Jetpack con tu cuenta en WordPress.com es el conocido como HTTP 403, por el cual te avisa que no se pudo conectar el servidor de Jetpack con tu sitio.

Es algo así de feo …

¿Por qué ocurre el error HTTP 403 de conexión con Jetpack?

Para que tu sitio se conecte con los servidores de Jetpack con el objeto de que funcionen módulos como las estadísticas, Photon y otros muchos que requieren conexión tu web debe tener habilitado el protocolo XML-RPC, que permite conexiones de dos vías entre servidores.

Vale, entonces ¿qué es XML-RPC?

Por si aún no lo sabías, en toda instalación de WordPress existe un archivo llamado

xml-rpc.php

, situado en la carpeta raíz de tu instalación que es el que permite este tipo de comunicaciones mediante el protocolo XML-RPC.

Este protocolo es el que permite, por ejemplo, que puedas conectar con tus sitios desde la aplicación móvil de WordPress, que se pueda conectar Jetpack y muchos otros plugins que usan conexión directa servidor a servidor.

¿Quieres más información sobre qué es?, aquí: Qué es XML-RPC y para qué sirve.

¿Hay algún problema con XML-RPC?

Pues sí, porque es como un puerto abierto a tu web, que cualquier atacante con malas intenciones podría usar para aprovecharse de la conocida como vulnerabilidad pingback.

Hasta la versión 3.5 de WordPress podías activarlo o desactivar este protocolo en tus ajustes, pero se quitó esta opción, inexcusablemente, lo que ha facilitado no pocos ataques importantes a sitios WordPress.

¿Cómo se desactiva XML-RPC?

El protocolo XML-RPC se puede desactivar de varias maneras, a saber …

Desactivar XML-RPC desde .htaccess

Simplemente añade esto a tu archivo

.htaccess

# proteger xmlrpc <IfModule mod_alias.c> 	RedirectMatch 403 /xmlrpc.php </IfModule>

Un método alternativo es el siguiente:

# proteger xmlrpc <Files xmlrpc.php> 	Order Deny,Allow 	Deny from all </Files>

Guarda los cambios, por supuesto.

Desactivar XML-RPC desde wp-config.php

También fácil, antes de

require_once(ABSPATH . 'wp-settings.php');

añade lo siguiente:

add_filter('xmlrpc_enabled', '__return_false');

Y guardas.

Desactivar XML-RPC con una función

También puedes añadir el siguiente código a tu plugin de personalizaciones o al archivo

functions.php

del tema activo:

//Desactivar xml-rpc add_filter( 'xmlrpc_methods', function( $methods ) {    unset( $methods['pingback.ping'] );    return $methods; } );

Desactivar XML-RPC con plugins

Tienes un montón de plugins gratuitos en el directorio de plugins de WordPress que sirven para desactivar, completa o selectivamente, el protocolo XML-RPC.

Desactivar XML-RPC a la brava

Más expeditivo; simplemente accede desde el administrador del archivos de tu servidor o por FTP a la carpeta de tu instalación de WordPress y renombra o borra el archivo

xml-rpc.php

Pero … ¿realmente debo desactivar XML-RPC?

Pues es algo que debes decidir, pero antes de tomar esa decisión revisa esta lista de la cantidad de funcionalidades de WordPress que podrían dejar de funcionar si lo desactivas.

Mi consejo general es que lo desactives, y si ves que algo – importante – no funciona lo actives selectivamente (luego vemos como).

Vale, pero eso no lo sabía ni he desactivado nada ¿por qué me da error?

Afortunadamente, sí afortunadamente, cada vez más usuarios de WordPress están comprometidos con la seguridad de sus webs, y resultado de ello instalan plugins de seguridad para proteger su web. Y claro, muchos de estos plugins inactivan el protocolo XML-RPC.

Si es tu caso, deberías revisar los ajustes de tu plugin de seguridad y evitar que lo bloquee, así de simple. ¿Dónde está?, depende de cada plugin. Por ejemplo, WordFence no lo desactiva, pero otros sí.

Para no bloquear XML-RPC en iThemes Security ve a

Seguridad -> Ajustes -> Ajustes de Wordpress

y habilita XML-RPC, inactivo por defecto si tienes activo este módulo.

Otro plugin muy popular es All in One WP Security. En este caso puedes desactivar/activar XML-RPC en

Seguridad WordPress -> Firewall -> Reglas básicas de Firewall -> WordPress XMLRPC & Pingback Vulnerability Protection

, y ahí desmarca la casilla llamada " Completely Block Access To XMLRPC".

Si quieres, puedes marcar la casilla siguiente, que mantiene la funcionalidad de XML-RPC pero te protege de la vulnerabilidad pingback que te he comentado antes.

Muy chulo todo pero ¿y si ni así funciona Jetpack?

Vaaaale, pueden ser más cosas, como que tu proveedor de hosting lo tenga inactivo por defecto, algo que también me estoy encontrando últimamente, u otras extrañas causas.

Si has leído todo lo anterior y tienes claro que tú no has desactivado XML-RPC ni manualmente ni con plugins, y sigues queriendo utilizar Jetpack, entonces te doy la solución definitiva, toma nota …

Permite las conexiones a XML-RPC

Abre el archivo .htaccess y añade lo siguiente:

<FilesMatch "xmlrpc\.php$"> Satisfy Any Allow from all </FilesMatch>

Guarda los cambios.

Con esto estamos permitiendo las conexiones que necesita JetPack y otras aplicaciones.

Desactiva los métodos peligrosos de XML-RPC

A continuación – importante – instala y activa este fantástico plugin de Samuel Aguilera que mantiene activo XML-RPC al mismo tiempo que te protege de las vulnerabilidades del mismo eliminando los siguientes métodos de este protocolo: