{"id":1014,"date":"2026-10-03T17:11:20","date_gmt":"2026-10-03T17:11:20","guid":{"rendered":"https:\/\/100porcentowp.com.br\/central-de-ajuda\/cms\/pingback-wordpress-desativar-varios-sites\/"},"modified":"2026-10-03T17:11:20","modified_gmt":"2026-10-03T17:11:20","slug":"pingback-wordpress-desativar-varios-sites","status":"publish","type":"post","link":"https:\/\/100porcentowp.com.br\/central-de-ajuda\/seguranca\/pingback-wordpress-desativar-varios-sites\/","title":{"rendered":"Pingback WordPress: desativar em v\u00e1rios sites sem quebrar"},"content":{"rendered":"

O que o pingback WordPress faz e por que ele virou problema<\/h2>\n

Voc\u00ea abre o log do servidor e v\u00ea uma sequ\u00eancia de requisi\u00e7\u00f5es POST para \/xmlrpc.php<\/code>, todas com o m\u00e9todo pingback.ping<\/code>. O site n\u00e3o est\u00e1 fora do ar, mas a hospedagem come\u00e7a a reclamar do consumo. \u00c9 assim que o pingback WordPress aparece na maioria dos casos: n\u00e3o como ataque direto, mas como porta de entrada para varredura e amplifica\u00e7\u00e3o de tr\u00e1fego.<\/p>\n

O pingback \u00e9 um recurso nativo do WordPress. Quando um blog linka outro, o sistema avisa o destino por XML-RPC. O problema \u00e9 que esse mesmo m\u00e9todo aceita requisi\u00e7\u00f5es de qualquer origem. Um atacante pode usar seu site para confirmar quais URLs existem, medir tempo de resposta e, em cen\u00e1rios de amplifica\u00e7\u00e3o, direcionar volume para um alvo usando seu servidor como intermedi\u00e1rio.<\/p>\n

Al\u00e9m disso, o XML-RPC \u00e9 o mesmo canal usado para for\u00e7a bruta em wp.getUsersBlogs<\/code>. Desativar o pingback n\u00e3o resolve tudo, mas fecha uma das portas mais f\u00e1ceis de explorar. Se voc\u00ea j\u00e1 trabalha com ataque for\u00e7a bruta WordPress<\/a>, esse \u00e9 o pr\u00f3ximo passo l\u00f3gico na ordem de defesa.<\/p>\n

Como saber se o XML-RPC est\u00e1 ativo no seu site<\/h2>\n

Antes de mexer em qualquer coisa, confirme se o endpoint responde. Acesse https:\/\/seusite.com\/xmlrpc.php<\/code> no navegador. Se aparecer a mensagem XML-RPC server accepts POST requests only<\/em>, o canal est\u00e1 aberto. Se retornar 403, 404 ou uma p\u00e1gina de erro do servidor, provavelmente j\u00e1 est\u00e1 bloqueado por plugin, regra de firewall ou configura\u00e7\u00e3o do host.<\/p>\n

Outro teste \u00fatil \u00e9 enviar uma requisi\u00e7\u00e3o POST com o m\u00e9todo system.listMethods<\/code>. Se a resposta listar pingback.ping<\/code> e pingback.extensions.getPingbacks<\/code>, o recurso est\u00e1 dispon\u00edvel. Voc\u00ea pode fazer isso com curl<\/code>:<\/p>\n

curl -s -X POST https:\/\/seusite.com\/xmlrpc.php \\\n  -H \"Content-Type: text\/xml\" \\\n  -d 'system.listMethods'<\/code><\/pre>\n
Se a lista vier cheia, anote. Em ambientes com v\u00e1rios sites, esse teste precisa rodar em cada dom\u00ednio, porque plugin de seguran\u00e7a e regra de servidor variam de um para outro.<\/p>\n
O que quebra quando voc\u00ea desativa o pingback<\/h2>\n
Desativar o pingback n\u00e3o \u00e9 o mesmo que desativar todo o XML-RPC. Essa distin\u00e7\u00e3o importa. O aplicativo oficial do WordPress para iOS e Android usa XML-RPC. O Jetpack tamb\u00e9m usa esse canal para v\u00e1rias fun\u00e7\u00f5es de conex\u00e3o. Se voc\u00ea bloquear o XML-RPC inteiro, esses servi\u00e7os param.<\/p>\n
Por isso, a ordem correta \u00e9: primeiro desative apenas o pingback. Depois avalie se o XML-RPC como um todo precisa continuar ativo. Em muitos sites de clientes, a resposta \u00e9 n\u00e3o, mas a decis\u00e3o precisa ser tomada com o invent\u00e1rio na m\u00e3o.<\/p>\n\n\n\n\n\n\n
O que voc\u00ea desativa<\/th>\nO que continua funcionando<\/th>\nO que pode quebrar<\/th>\n<\/tr>\n<\/thead>\n
Somente pingback<\/td>\nXML-RPC, apps, Jetpack<\/td>\nNotifica\u00e7\u00f5es de link entre blogs<\/td>\n<\/tr>\n
XML-RPC inteiro<\/td>\nComent\u00e1rios, painel, REST API<\/td>\nApp oficial, Jetpack, alguns plugins de publica\u00e7\u00e3o<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Antes de aplicar em lote, verifique se algum plugin ativo depende de XML-RPC. Plugins de backup remoto, publica\u00e7\u00e3o autom\u00e1tica e integra\u00e7\u00f5es com redes sociais costumam usar esse canal. Se voc\u00ea tem vulnerabilidade em plugin WordPress<\/a> na lista de pend\u00eancias, aproveite a auditoria para revisar isso tamb\u00e9m.<\/p>\n
Desativar pingback WordPress por filtro no functions.php<\/h2>\n
O caminho mais direto \u00e9 adicionar um filtro no functions.php<\/code> do tema ativo ou em um plugin de funcionalidades do site. O c\u00f3digo abaixo remove os m\u00e9todos de pingback do XML-RPC sem desligar o canal inteiro:<\/p>\n
add_filter( 'xmlrpc_methods', function( $methods ) {\n    unset( $methods['pingback.ping'] );\n    unset( $methods['pingback.extensions.getPingbacks'] );\n    return $methods;\n} );<\/code><\/pre>\n
Se voc\u00ea quiser tamb\u00e9m remover o cabe\u00e7alho X-Pingback<\/code> enviado nas respostas HTTP, adicione:<\/p>\n
add_filter( 'wp_headers', function( $headers ) {\n    unset( $headers['X-Pingback'] );\n    return $headers;\n} );<\/code><\/pre>\n
Esse filtro sozinho n\u00e3o impede que o WordPress envie pingbacks para outros sites. Para isso, \u00e9 preciso desligar a op\u00e7\u00e3o de tentar notificar blogs linkados, o que pode ser feito com add_filter( 'option_default_pingback', '__return_false' );<\/code> ou ajustando a discuss\u00e3o nas configura\u00e7\u00f5es de cada post.<\/p>\n
Em um site s\u00f3, isso resolve. Em dez sites, o risco de esquecer um arquivo ou aplicar em tema errado cresce r\u00e1pido. Por isso, mantenha um plugin pr\u00f3prio de funcionalidades em vez de editar o tema, assim a mudan\u00e7a sobrevive a atualiza\u00e7\u00f5es.<\/p>\n
Desativar por plugin e por servidor<\/h2>\n
Se voc\u00ea prefere n\u00e3o mexer em c\u00f3digo, existem plugins que bloqueiam XML-RPC e pingback. A vantagem \u00e9 a interface e o log. A desvantagem \u00e9 mais um plugin para manter atualizado. Em ambientes gerenciados, o pr\u00f3prio host pode oferecer a op\u00e7\u00e3o de bloquear xmlrpc.php<\/code> no painel.<\/p>\n
No servidor, a regra costuma ser mais eficiente. No Nginx:<\/p>\n
location = \/xmlrpc.php {\n    deny all;\n    return 403;\n}<\/code><\/pre>\n
No Apache, via .htaccess<\/code>:<\/p>\n
<Files xmlrpc.php>\n    Require all denied\n<\/Files><\/code><\/pre>\n
Bloquear no servidor derruba o XML-RPC inteiro, n\u00e3o s\u00f3 o pingback. S\u00f3 fa\u00e7a isso depois de confirmar que nenhum app ou integra\u00e7\u00e3o depende do canal. Se o site usa Jetpack, por exemplo, o bloqueio pode interromper a conex\u00e3o.<\/p>\n
Para quem administra v\u00e1rios sites, o ideal \u00e9 combinar: filtro no functions.php<\/code> para remover o pingback e, quando poss\u00edvel, regra de servidor para bloquear o XML-RPC. Assim voc\u00ea reduz a superf\u00edcie sem depender de um \u00fanico ponto.<\/p>\n
Auditar e aplicar em lote em v\u00e1rios sites<\/h2>\n
Com muitos sites, o trabalho manual n\u00e3o escala. O primeiro passo \u00e9 um script que percorra a lista de dom\u00ednios e verifique se o XML-RPC responde e se o pingback est\u00e1 listado. Um exemplo simples em Bash:<\/p>\n
for site in site1.com site2.com site3.com; do\n  echo \"== $site ==\"\n  curl -s -o \/dev\/null -w \"%{http_code}\\n\" https:\/\/$site\/xmlrpc.php\n  curl -s -X POST https:\/\/$site\/xmlrpc.php \\\n    -H \"Content-Type: text\/xml\" \\\n    -d 'system.listMethods' \\\n    | grep -o 'pingback.ping' || echo \"pingback ausente\"\ndone<\/code><\/pre>\n
O resultado mostra quais sites ainda exp\u00f5em o m\u00e9todo. A partir da\u00ed, voc\u00ea aplica o filtro via plugin de funcionalidades versionado e implantado em cada instala\u00e7\u00e3o. Se o seu fluxo j\u00e1 usa um painel para gerenciar v\u00e1rios sites, como o 100% WP<\/a>, d\u00e1 para centralizar a verifica\u00e7\u00e3o de status e o envio da corre\u00e7\u00e3o sem abrir site por site.<\/p>\n
Depois de aplicar, rode o mesmo script para confirmar que o m\u00e9todo sumiu. Em seguida, verifique se coment\u00e1rios continuam funcionando e se as integra\u00e7\u00f5es que voc\u00ea mant\u00e9m seguem operando. Esse teste de regress\u00e3o \u00e9 o que evita descobrir o problema s\u00f3 quando o cliente reclama.<\/p>\n
Quando N\u00c3O desativar o pingback<\/h2>\n
Existem casos em que o pingback ainda \u00e9 usado de prop\u00f3sito. Redes de blogs que trocam links entre si dependem dele para notificar men\u00e7\u00f5es. Se o seu cliente mant\u00e9m esse fluxo, desativar vai interromper as notifica\u00e7\u00f5es. Nesse cen\u00e1rio, avalie se o risco compensa.<\/p>\n
Outro caso \u00e9 quando o site usa um aplicativo pr\u00f3prio que consome XML-RPC. Antes de bloquear, confirme com quem desenvolveu. Desativar sem checar pode derrubar publica\u00e7\u00e3o autom\u00e1tica, sincroniza\u00e7\u00e3o de conte\u00fado ou backup remoto.<\/p>\n
Por fim, se o site est\u00e1 atr\u00e1s de um WAF que j\u00e1 filtra requisi\u00e7\u00f5es suspeitas para xmlrpc.php<\/code>, o ganho de desativar o pingback pode ser menor. Ainda assim, reduzir a superf\u00edcie costuma valer, desde que o teste de regress\u00e3o seja feito.<\/p>\n
Erros comuns ao desativar pingback em v\u00e1rios sites<\/h2>\n