Fehler (403) bei Homepageeinbindung zu WordPress App

[Michi777]

Liebe Community!

Thema:
Um auf der neuen (bald releasenden) Homepage den Blog unterschwellig von unterwegs (Projektleiter etc.) befüllen zu lassen, habe ich zu Beginn die Lösung mit der WordPress App + Beitrag erstellen zu Beitragsseite erfolgreich getestet und mich dafür entschieden.
iOS und Androidgeräte sollen das bekommen von Projektleitern.

Problem:
Als ich nun zum Release wieder einen Beitrag damit erstellen wollte, ging der Bildupload nicht (WP Mediathek, Smartphonegalerie und Kamera versucht).
Dann habe ich als Lösungsansatz die WordPress App neu installiert, mich angemeldet und wollte die Homepage wieder hinzufügen der App, doch dann kommt Fehler 403 und es wird auf ein XMLRPC (laut Webhost Support sehr unsicher/veraltet) verwiesen.

Fragen:
1)Wie kriege ich das behoben und die Homepage korrekt in die App integriert wieder?
2)Warum geht das plötzlich nicht mehr, ich habe vom Hosting her nichts geändert seit dem erfolgreich Test anfangs.

Relevante Screenshots im Anhang!

Vielen Dank im Voraus!

 

[gaym0r]

1) Das hat der Hosting-Provider dir beschrieben in seiner Antwort. Oder funktioniert das nicht?

 

[eXenZ]

XML-RPC über WordPress ist halt auch sehr unsicher, gibt es eine Möglichkeit in der App irgendwie die Verbindung über die Rest-API von WP herzustellen?

 

[Michi777]

Soll ich ein extrem unsicheres XLMRPC aktivieren und ist das essentiell, um eine WordPress Seite über die App zu administrieren?
Dsbzgl. habe ich eigentlich nichts geändert seit erfolgreichen Test davon, nun aber wohl essentiell.
In der WordPress App gibt es unter Konto - oder Appeinstellungen nichts dazu auszusuchen (API, WP...).

Oder ist es für so eine Homepage ohne Kundendaten jetzt nicht so kritisch wie beschrieben?
Scheint laut Beschreibung wohl essentiell für Appnutzung zu sein und vl. wurde sie durch Updates deaktiviert, sind halt 3 Monate vergangen seit Homepageerstellungsbeginn.

 

[eXenZ]

Bei dir ist das Problem das dein Hosting-Anbieter den Zugriff darauf blockiert. Du kannst also entweder darum bitten das er dir das wieder erlaubt oder du bist gezwungen den Anbieter zu wechseln.

Ich habe die App gerade mal bei mir getestet und trotz Sicherheitsplugin (Shield Security Pro) kann ich die App ohne Probleme nutzen.

 

[gaym0r]

XML-RPC über WordPress ist halt auch sehr unsicher

Warum? Das ist an sich so sicher oder eben unsicher wie Wordpress selbst. Eine Erklärung wäre wünschenswert.

 

[eXenZ]

@gaym0r

Ich hatte vor einiger Zeit mal das Problem bei der WP Site eines Kollegen der sehr viel Probleme mit Spam hatte, also von seiner Seite aus wurde Spam versendet. In etlichen Dateien fanden sich irgendwelche Scripte und nur durch langes probieren und suchen konnte ich dann feststellen das die Deaktivierung von eben genau diesem Dienst das alles stoppte.

Also die Nutzung ist perse nicht unsicher aber es empfiehlt sich die Nutzung darauf zu beschränken (Zugriff nur durch Admin-Account etc).

Das hat dann auch bei meinem Kollegen damals geholfen, seit dem ist Ruhe.

Ich kann halt nur dieses Beispiel geben, kann ja auch sein das es die ganze Zeit gut geht aber bei ihm war das damals das Problem, deshalb bin ich dem gegenüber etwas kritischer.

 

[Michi777]

Ich habe auch gerade versucht es via den Anleitungen im Link (was tun wenn xmlrpc nicht erreichbar) zu schaffen, jedoch trotz Deaktivieren von unrelevanten Plugins und XML-RPC Validation Check ändert sich nichts.

Wie gesagt es ging schon zu Anfangszeit als ich es testete (gleicher Hosts und nicht wirklich neue/relevante Plugins die das blockieren könnten nun aktiv).

 

[gaym0r]

Also die Nutzung ist perse nicht unsicher aber es empfiehlt sich die Nutzung darauf zu beschränken (Zugriff nur durch Admin-Account etc).

Gibt doch nur authenticated access oder nicht? Anonyme User können nichts machen.

 

[netzgestaltung]

Warscheinlich würde sowas hier helfen: https://wordpress.org/plugins/manage-xml-rpc/

ich denke im oben beschriebenen Scenario ist nur eine von mindestens 5 varianten, wie man ein einmal gehacktes WP zu einer Spamschleuder machen kann. Daher ist das selbst nicht die Sicherheitslücke, aber schon ein Baustein in einem Sicherheits konzept. (Es gibt auch Rest-API Control Plugins).

Der Provider wird das vermutlich nicht zulassen, wenn er schon so eine Antwort gibt. Bei meinem ist das btw auch gesperrt. Mmn sollte die App aber wirklich mal auf Rest-API umgebaut werden oder die mobile Browseransicht(Alternative zur App) vom Backend verbessert werden.

 

[Michi777]

@netzgestaltung
Habe das Plugin versucht und meine IP Adresse vom Smartphone (im WLAN) und Router eingetragen als erlaubt, jedoch kommt der gleiche Fehler.

Mhm

 

[netzgestaltung]

naja, wenn das von Hoster blockiert ist, kannst du im Backend auch nichts machen, das war eher eine generelle Möglichkeit, wenn das mal geklärt oder geändert ist.

 

[Michi777]

Provider gab mir einem speziellen Cookie den ich setzen müsste als Lösungsansatz.
Komisch aber dass es plötzlich nicht geht (versus Versuch am Anfang) und Provider sagt "seit Ewigkeiten gesperrt"..

Oder was haltet ihr vom dem Ansatz?
https://apps.wordpress.com/de/mobil...-rpc-zugang-wie-kann-ich-das-problem-beheben/

 

[netzgestaltung]

Schaut nicht schlecht aus, das Plugin wurde schon 3 Jahre nicht mehr angefasst, ggf hast du das Schwierigkeiten mit der WP Version oder PHP Updgades. Vermutlich ist das nicht groß, ich würd einfach mal reinschauen, was da gemacht wird, es muß eh der neue Dateiname dort eingetragen werden. Fraglich ist auch, wie der Hoster reagiert, wenn du das so machst.

 

[netzgestaltung]

Also ich hab mir noch mal die Sicherheitsbedenken zu xmlrpc angeschaut, da geht es häufig um Brute-Force Attacken. Aus meiner Sicht wäre eine Server-Konfig mit Fail2Ban möglich statt einer kompletten Blockade, zb:
https://wpbeaches.com/block-wp-login-php-and-xmlrpc-php-via-fail2ban-on-runcloud/

Alternativ kann in .htaccess der Zugriff auf bestimmte IPs freigegeben werden, so dass die App daheim im Wlan mglw zum laufen gebracht werden kann:
https://stackoverflow.com/questions...restrict-access-to-xmlprc-to-specific-ip-host

Das hilft Dir zwar nicht weiter, aber möglicherweise anderen mit ähnlichen Fragen. Ob Umbenennen bei der Brute-Force Thematik hilft (und die neue Adresse steht ja wieder im Seiten-Header), kann ich nicht beantworten.