We at OVHcloud are committed to providing secure and professional email services that meet the latest industry standards. To boost security, we’re disabling TLS 1.0 and 1.1 protocols on our Exchange solutions, in line with international standards.

Are you using a recent and updated email client? You don’t need to do anything; all email clients have already been updated and support the latest TLS (1.2). Action is needed only if you’re running a very old version.

We’re ditching older TLS versions and stepping up security across OVHcloud Exchange services. This blog will cover what’s changing and the measures we’re taking to keep your data safe. 

TLS 1.0 and 1.1 deprecations

To improve security and service quality, we’re disabling TLS 1.0 and 1.1 on all our OVHcloud Exchange solutions.
While some Microsoft systems may still use them, these TLS versions have security holes and were officially deprecated in 2021. Plus, they are already disabled on most Microsoft services, including several Exchange options.

Single-standard supported protocols

Our goal is to apply the same configuration across all infrastructure. Since these protocols are already inactive on most of our servers, updating will standardise our setups and elevate security.

Supported ciphers

We’re also making adjustments to ciphers, so only the following will be supported:

• “TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384“
• “TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256“
• “TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384“
• “TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256“

Keep in mind, only older operating systems (outdated printers or unsupported systems) might have issues.

Customers can use the SSL Labs tool to see which encryption protocols their machine supports.

We use the best practices from the 2020 version 1.6 guides, see here.

HSTS protocol activation

We also use the HTTP Strict Transport Security (HSTS) protocol to keep connections between customers and OVHcloud Exchange servers secure.

This protocol helps to:

• enforce TLS usage by blocking unencrypted connections;
• protect against Man-in-the-Middle (MITM) attacks and block redirects/downgrades to unsecured HTTPS connections;
• automatically switch from HTTP to HTTPS for higher user security.

OVHcloud customers won’t notice this update, which will be automatic—no action needed.

Exchange update management

Monthly update process

Microsoft releases security updates for Microsoft Exchange Server every Patch Tuesday. OVHcloud applies these patches every month to bolster security for its Exchange solutions.

Our update process

• The 2^nd Tuesday of each month: Microsoft update release.
• Microsoft partnership: Thanks to our strong partnership, we have access to detailed information on patches and product releases. This gives us a better idea of how much work the next update will involve, so we can plan ahead.
• Vulnerability severity analysis:
  • Moderate risk → Maintenance is planned and staggered to minimise service disruptions.
  • High risk → A dedicated team starts maintenance right after the patches are released.

Update notifications

• PRIVATE solution customers are notified at the start and end of updates.
• RESELLER, HOSTED, MXPLAN, TRUSTED, and EMAILPRO customers can use Exchange’ clustering to track maintenance progress on the OVHcloud status page.

Real-Time monitoring and protection

We use several monitoring tools, developed in-house or provided by third-party vendors, to:

• monitor the exposure of OVHcloud Exchange services on the internet;
• detect vulnerabilities and unusual activity in real time;
• generate alerts and reports for instant analysis and troubleshooting.

Advanced spam protection

Our OVHcloud Exchange solutions include a European anti-spam system that filters messages before they reach your inbox.

Benefits of spam filtering:

• advanced detection of fraudulent and phishing emails;
• smart filtering based on machine learning;
• significant decrease in spam and malicious emails.

HTTP request management update

Host Header Removal

We’re currently fixing a server issue related to incorrect HTTP Host header usage. An invalid HTTP host header in a web request causes the server to immediately abort the request—this is specific to HTTP 1.0.

Server Header Removal

The HTTP server stops sending the header.

To recap…

We’re upgrading OVHcloud Exchange security by phasing out less secure TLS 1.0/1.1 protocols, bringing it in line with internationals security standards.
Regular updates, HSTS activation, continuous monitoring, and advanced anti-spam protection guarantee a secure, high-performance Exchange environment for all our customers.

Got questions about this update? Reach out to our technical support team.

A next-generation hosting platform

Find out how OVHcloud significantly improves your websites’ performance, while reducing their environmental footprint. This is all thanks to our new Scale-a5 Gen2 server-based infrastructure, which prioritises speed, reliability, resilience, and eco-responsibility.

We’ve upgraded our entire system, replacing all of our machines with a new generation of Scale-a5 Gen2 servers. This new shared platform is designed for performance and energy efficiency to (i) address the growing needs of today’s websites and, (ii) meet technological and environmental challenges.

These new servers can now improve website reliability, handle higher traffic, and lower the carbon footprint of your hosting plans. This way, we can help you integrate eco-design principles into your web projects and hit your environmental targets.

 Our goal is to provide you with fast, reliable, and eco-friendly—at no extra cost.

“The Scale-a5 Gen2 server ticks all the boxes in terms of speed, stability, and low power consumption, which is why we decided to make it the substructure of our new shared platform.”
Arnaud Jost, Product Unit Lead, OVHcloud

Up to 3x faster speeds during peak traffic

We’ve phased these new servers in across our shared web hosting plans, and can already measure the tangible improvements they bring to all our hosted websites. These are available now, and customers can benefit from them without needing to do anything.

Websites with high traffic and resource demands see particularly high performance improvements. We measured this by analysing how the 10 most resource-intensive websites on our infrastructure performed before and after deployment.

On average, these high-traffic sites sped up page processing by 1.93, with the most resource-intensive sites reaching a threefold increase. During periods of peak visits, the AMD EPYC-based Scale-a5 Gen2 servers show superior CPU parallel processing capabilities.

An average 30% performance gain and increased resilience for low-traffic sites

Low-traffic websites also see a performance boost, with 30% faster page load speed on average.

These results clearly correlate traffic volume with higher speeds. Compared to our last generation of servers, you could see an average performance boost of 30% (1.3x) to 200% (3x), depending on your website’s traffic and load.

In practical terms, this translates to:

• faster server response times, even during peak hours;
• noticeably higher capacity to absorb traffic spikes without impacting performance;
• and overall, a more responsive, stable, and positive user experience.

The tests also showed that Scale-a5 Gen2 servers were superior in several other areas. In addition to offering best-in-class loading times and processing capacity, the machines provide a maximum level of resilience and uptime (Tier 4). This helps us to optimally meet our quality-of-service requirements.

“These improvements underscore the advantages of our new platform, especially for customers managing high-volume traffic and peak resource demands.”
Bruno B., IT Team Leader Infrastructure, OVHcloud

Massive benefits for website KPIs

To fully assess the benefits of the new Scale-a5 Gen2 servers, we also looked at how they impacted KPIs related to user experience. We used the Core Web Vitals metrics, which serve as benchmarks for assessing a website’s loading speed and visual appeal. Google uses this data to rank websites, which is why it matters for both user experience and organic SEO.

The metrics we track:  

• Time to First Byte (TTFB): the time it takes for a website’s server to send the first byte of data after a user requests a webpage. This data mainly shows how well the web hosting plan performs, as it directly measures a server’s response. Fast server response times, reflected in low TTFB, are a key indicator of a hosting plan’s speed and reliability. While not a definitive sign of poor hosting, a high TTFB usually points to problems with website optimisation or network infrastructure. This metric should therefore be compared with additional metrics (below) to get a comprehensive performance overview.
• First Contentful Paint (FCP): the point in time when the first visual element (text, image, etc.) appears on the screen after a page loads. User experience improves with a shorter FCP.
• Largest Contentful Paint (LCP): the time it takes to load the largest visible element on a webpage. A website’s core content loads quickly and smoothly when its LCP is well designed.
• Full Loaded:the total time a webpage (images, text, scripts, etc.) takes to fully load. The shorter the loading time, the smoother the experience.

We measured performance metrics in a live production environment, using the GTmetrix tool. These are the common results for low-traffic websites:

Our new infrastructure has improved our average Time to First Byte by 36% (1.36x faster).

 The noticeable improvement in TTFB is proof of quicker server response, leading to:

• speedy websites;
• smoother navigation for users;
• higher search engine rankings.

Deploying the Scale-a5 Gen2 servers is a giant leap forward in web performance; the upgrade is now available to customers without any further steps needed.

“We’ve noticed a remarkable increase in website performance; our websites are now loading faster, a difference our customers are already seeing. This is a huge improvement that greatly enhances service quality, user experience, and search engine optimisation.”
Maxime Cavoizy, Associate Technical Director, Agence Rezo 21

A faster, greener platform

Our infrastructure upgrade isn’t just about speeding up the websites we host; it also marks a major step forward towards reducing our environmental footprint.

Scale-a5’s increased power and efficiency enable us to use fewer servers to host all our customers’ websites, which as a result, considerably reduces our power consumption.

Specifically, the upgrade cuts our energy use by up to 82%, without making your websites’ slower or less responsive. This approach is fully in line with our goal of providing more responsible, efficient, and sustainable hosting plans.

Our commitment to a sustainable cloud

OVHcloud’s commitment to eco-responsibility began with its founding, and continues through energy-efficient datacentres and innovative cooling systems. We strongly believe that performance and sustainability are two sides of the same coin.

This energy efficiency is also made possible by our water-cooling technology, which we’ve been perfecting in-house since 2003. It allows us to cool our servers with efficiency superior to conventional methods, significantly reducing our overall energy consumption.

Our one-of-a-kind approach to global cloud services includes manufacturing our own servers, and fully recycling them. We have complete oversight of our production chain, from design to disassembly. As a result, our machines are built to last for at least five years. In addition, we rigorously test all components for reuse whenever feasible. By choosing OVHcloud, you directly benefit from this circular and sustainable approach, and in doing so, optimise your carbon footprint.

These actions reflect our objective to offer high-performing and sustainable web hosting plans, and meet our customers’ expectations while minimising the environmental impact.

Your success at the heart of our technological innovation

“This major platform upgrade attests to our commitment to offering more efficient, reliable, and eco-friendly web hosting plans at the best price.”
Sébastien Cavaillé, Product Marketing Manager, OVHcloud

We’re honoured to help you succeed by providing you with innovative, eco-responsible, and high-performance services. This upgrade will provide lasting, quantifiable benefits—whether you’re a growing business, handling a high-traffic e-commerce site, or managing web projects focused on sustainability.

Not a customer yet? Our scalable, high-performance web hosting plans are built for all your projects. Check them out today!

Une plateforme d’hébergement nouvelle génération

Découvrez comment OVHcloud améliore significativement les performances de vos sites web tout en réduisant leur empreinte environnementale. Ceci, grâce à une nouvelle infrastructure s’appuyant sur les serveurs Scale-a5 Gen2. Au programme : vitesse, fiabilité, résilience et écoresponsabilité.

Notre équipe a opéré une transformation majeure en remplaçant l’ensemble de nos machines par une nouvelle génération de serveurs : les Scale-a5 Gen2. Pensée pour répondre aux besoins croissants des sites web modernes et aux défis technologiques comme environnementaux, cette nouvelle plateforme mutualisée combine performance et efficacité énergétique.

Grâce à ces nouveaux serveurs, vos sites web sont désormais en mesure d’absorber plus de trafic et bénéficient d’une fiabilité renforcée. En parallèle, cette évolution permet de réduire l’empreinte carbone de vos hébergements web. Elle contribue ainsi à l’écoconception de vos projets web et à respecter vos engagements environnementaux.

 Vous profitez ainsi d’un hébergement web alliant rapidité, stabilité et écoresponsabilité. Ceci, sans rien changer à votre facture.

« Les Scale-a5 Gen2 cochaient toutes les cases : vitesse, stabilité et consommation électrique réduite. C’est pourquoi nous avons décidé d’en faire le socle de notre nouvelle plateforme mutualisée. »
Arnaud Jost, Product Unit Lead chez OVHcloud

Jusqu’à 3 fois plus de vitesse en cas de trafic important

Nous avons procédé au déploiement progressif de ces nouveaux serveurs sur l’ensemble de nos hébergements web mutualisés. Cette phase nous a permis de mesurer les bénéfices apportés à l’ensemble des sites que nous hébergeons en conditions réelles. L’ensemble de notre clientèle en bénéficie dès à présent, automatiquement et sans aucune action requise.

Les gains de performance sont particulièrement élevés pour les sites web à fort trafic, très exigeants en ressources serveur. Pour évaluer concrètement cet impact, nous avons analysé les performances, avant et après le déploiement, des dix sites web les plus consommateurs de ressources hébergés sur notre infrastructure.

Ces derniers, bénéficiant d’une forte fréquentation, ont enregistré un gain de vitesse de traitement des pages de x1,93 en moyenne, et jusqu’à x3 pour les plus exigeants en ressources. Ces résultats illustrent l’excellente capacité de parallélisation du CPU des serveurs Scale-a5 Gen2, reposant sur l’architecture AMD EPYC, en situation de fort pic de visites.

Un gain moyen de 30 % pour les sites à faible trafic et une résilience accrue

Le gain de performance se ressent également pour les sites à plus faible trafic, pour lesquels nous constatons un gain moyen de 30 % dans la vitesse de traitement des pages.

Les résultats montrent ainsi une corrélation nette entre le volume de trafic et le gain de vitesse obtenu. En fonction du trafic et de la charge de votre site web, vous pouvez donc bénéficier d’une amélioration moyenne des performances allant de x 1,3 (+30 %) à x3 par rapport à notre précédente génération de serveurs.

Concrètement, cela se traduit par :

• des temps de réponse serveur plus courts, même aux heures de pointe ;
• une capacité nettement améliorée à absorber des pics de trafic sans dégradation des performances ;
• une expérience utilisateur globalement plus réactive, stable et agréable.

Par ailleurs, ces tests ont mis en évidence la supériorité des serveurs Scale-a5 Gen2 sur plusieurs autres points. Au-delà d’offrir les meilleurs temps de chargement et une capacité de traitement optimale, ces machines assurent un niveau de résilience et de disponibilité maximal (Tier 4). Elles permettent ainsi de répondre efficacement à nos exigences en matière de qualité de service.

« Ces améliorations soulignent le gain offert par notre nouvelle plateforme, qui profite directement à toute notre clientèle, en particulier les personnes confrontées à des volumes de trafic importants ou à des pics de consommation de ressources. »
Bruno B., IT Team Leader Infrastructure chez OVHcloud

Des gains significatifs sur les indicateurs clés de performance web

Afin de compléter notre évaluation des gains apportés par les nouveaux serveurs Scale-a5 Gen2, nous avons également analysé leur impact sur les indicateurs de performance web essentiels à l’expérience utilisateur. Les métriques sélectionnées appartiennent aux Core Web Vitals, références incontournables pour mesurer la vitesse de chargement et la qualité d’affichage d’un site web. Ces données influencent à la fois l’expérience utilisateur, mais aussi le référencement naturel (SEO), puisque Google les intègre à ses critères de classement.

Nous avons réalisé ces mesures à l’aide de l’outil GTmetrix, en environnement de production, c’est-à-dire dans des conditions réelles d’utilisation. Voici les résultats moyens constatés pour un site web à faible trafic.

Grâce à notre nouvelle infrastructure, nous enregistrons un gain de vitesse moyen de x1,36 (+36 %) du Time To First Byte.

 Ces améliorations significatives sur le TTFB indiquent clairement une meilleure réactivité du serveur, se traduisant par :

• Des sites web plus rapides.
• Une navigation plus fluide pour les utilisateurs.
• Un meilleur positionnement potentiel dans les résultats de recherche.

Le déploiement des serveurs Scale-a5 Gen2 marque ainsi une avancée majeure en matière de performance web, accessible dès aujourd’hui, sans aucune action requise de la part de nos clients.

« Nous avons constaté une nette augmentation des performances de nos hébergements. Nos sites se chargent désormais plus rapidement et nos clients ont immédiatement remarqué la différence. C’est un vrai gain pour notre qualité de service et une amélioration considérable de l’expérience utilisateur et des performances SEO. »
Maxime Cavoizy, directeur technique associé à l’Agence Rezo 21

Une plateforme plus rapide et un impact environnemental réduit

Cette transformation de notre infrastructure ne se contente pas d’améliorer la vitesse des sites web que nous hébergeons. Elle marque également une avancée majeure en matière de réduction de notre empreinte environnementale.

Grâce à la puissance et à l’efficacité accrues des Scale-a5, nous avons pu réduire le nombre de serveurs nécessaires pour accueillir l’ensemble des sites de notre clientèle. Nous avons ainsi diminué sensiblement notre consommation électrique.

Concrètement, cette transformation représente une réduction maximale de 82 % de notre consommation électrique, tout en offrant davantage de puissance et une meilleure réactivité pour vos sites. Cette démarche s’inscrit pleinement dans notre volonté de proposer un hébergement web toujours plus responsable, performant et durable.

Nos engagements pour un cloud durable

Depuis sa création, OVHcloud s’engage à minimiser son impact environnemental en optimisant la consommation énergétique de ses datacenters et en innovant pour des systèmes de refroidissement plus efficaces. Nous croyons fermement que performance et durabilité vont de pair.

Cette efficacité énergétique est aussi rendue possible par notre technologie de refroidissement liquide, le watercooling. Développée et affinée en interne depuis 2003, cette innovation nous permet de refroidir nos serveurs avec une efficacité supérieure aux méthodes classiques, réduisant ainsi considérablement notre consommation énergétique globale.

Nous sommes également le seul fournisseur mondial de cloud à fabriquer et recycler intégralement ses propres serveurs. Nos usines nous assurent un contrôle total des processus de conception, de production et de démontage. Chaque machine est ainsi conçue pour une durée de vie d’au moins cinq ans. De plus, 100 % des composants sont testés et réutilisés autant que possible. En choisissant OVHcloud, vous bénéficiez directement de cette démarche circulaire et durable, optimisant ainsi votre propre empreinte carbone.

Ces initiatives reflètent notre volonté de proposer des hébergements web à la fois performants et durables, répondant aux attentes de nos clientes et clients tout en minimisant l’impact sur notre planète.

Votre succès au cœur de notre innovation technologique

« Cette évolution majeure de notre plateforme témoigne de notre engagement à vous offrir des hébergements web toujours plus performants, fiables et plus respectueux de l’environnement, au meilleur prix. »
Sébastien Cavaillé, Product Marketing Manager chez OVHcloud

Nous sommes fiers d’accompagner votre réussite avec des services qui allient innovation, responsabilité et performance. Que vous représentiez une entreprise en pleine croissance, un site e-commerce confronté à d’importants pics de trafic ou un projet web sensible à l’empreinte écologique, cette transformation vous apporte des bénéfices concrets et durables.
Vous n’êtes pas encore client ? Explorez dès aujourd’hui nos offres d’hébergement web : évolutives, performantes et taillées pour tous vos projets.

Comprendre l’utilité passée et les risques actuels du fichier xmlrpc.php, ainsi que les bonnes pratiques pour sécuriser votre site.

Le fichier xmlrpc.php est un composant historique de WordPress. Bien qu’il ait été essentiel il y a quelques années, son utilité a largement diminué avec l’évolution de la plateforme. Ce fichier est aujourd’hui souvent perçu comme une porte dérobée pour les attaques informatiques, rendant sa gestion cruciale pour la sécurité de votre site.

Cependant, ce cas n’est pas isolé. De nombreux outils ou fonctionnalités peuvent devenir obsolètes ou présenter des risques avec le temps. Il est donc indispensable de maintenir une vigilance constante pour identifier et traiter ces failles potentielles.

Dans cet article, nous allons décrire brièvement le rôle historique de xmlrpc.php, examiner les risques qu’il représente et mettre en lumière des solutions pour le désactiver ou le sécuriser. Ceci, tout en soulignant l’importance de l’adoption d’alternatives modernes.

Qu’est-ce que xmlrpc.php ?

Le fichier xmlrpc.php est une interface permettant à WordPress de communiquer avec d’autres services ou applications via le protocole XML-RPC. À l’origine, il facilitait des fonctionnalités comme :

• la publication de contenu via des outils tiers (logiciels de bureautique, scripts automatiques, etc.) ;
• la gestion mobile des sites, à l’image de l’ancienne application WordPress pour smartphones.

Depuis la création de l’API REST de WordPress, plus moderne et sécurisée, le fichier xmlrpc.php a perdu son utilité. Pour la majorité des personnes administrant un site WordPress, il est même désormais considéré comme obsolète.

Pourquoi xmlrpc.php est-il problématique ?

Ce fichier présente aujourd’hui des failles qui en font une cible privilégiée pour les cyberattaques.

• Attaques par force brute : des individus malintentionnés peuvent exploiter le fichier pour tenter un nombre illimité de connexions, en combinant des noms d’utilisateur et mots de passe.
• Amplification des attaques DDoS : certaines fonctionnalités de xmlrpc.php permettent d’envoyer de nombreuses requêtes en un seul appel, multipliant ainsi la charge sur le serveur.
• Exploitation des failles logicielles : si votre WordPress ou vos extensions ne sont pas à jour, ce fichier peut être utilisé pour exécuter des commandes malveillantes.

Comment désactiver xmlrpc.php ?

Heureusement, désactiver ce fichier est à la fois simple et sans impact pour la majorité des sites WordPress. Voici différentes méthodes adaptées à vos besoins.

1. En modifiant le fichier .htaccess (solution préférée)

Si vous avez accès aux fichiers de votre site, vous pouvez empêcher les requêtes vers xmlrpc.php en ajoutant les lignes suivantes dans le fichier .htaccess (situé à la racine de votre site) :

Avantage : méthode directe et légère.

Inconvénient : nécessite une certaine prudence, car une erreur dans le fichier .htaccess peut affecter l’ensemble du site.

• Via un plugin

Vous recherchez une solution clés en main ? Des extensions comme Disable XML-RPC-API permettent de désactiver rapidement xmlrpc.php sans toucher au code.

Avantage : facilité et gain de temps.

Inconvénient : dépendance à un plugin supplémentaire.

• En configurant votre serveur

Pour les personnes administratrices disposant d’un hébergement dédié ou d’un VPS, il est possible de bloquer l’accès à xmlrpc.php au niveau du serveur. Par exemple, sur Apache :

Ou sur Nginx :

Avantage : solution idéale pour les environnements à forte charge.

Inconvénient : requiert des connaissances techniques.

Quelles sont les alternatives à xmlrpc.php ?

Plusieurs solutions simples peuvent être envisagées si vous avez besoin des fonctionnalités offertes par xmlrpc.php.

1. Utiliser l’application mobile WordPress moderne

L’application officielle WordPress pour iOS et Android utilise désormais l’API REST au lieu de xmlrpc.php. Assurez-vous que votre site est configuré correctement pour permettre cette transition. La plupart des hébergements récents, comme ceux proposés par OVHcloud, supportent cette fonctionnalité par défaut.

• Adopter des outils compatibles avec l’API REST

De nombreuses solutions de publication à distance ont été mises à jour pour utiliser l’API REST, qui est plus sécurisée et mieux adaptée aux besoins actuels. Vérifiez si vos outils favoris offrent cette compatibilité et, le cas échéant, mettez-les à jour.

• Sécuriser xmlrpc.php en cas de besoin spécifique (en dernier recours)

Si vous ne pouvez vraiment pas vous passer de xmlrpc.php, il est crucial de limiter son exposition aux menaces. Voici quelques bonnes pratiques :

• restreindre l’accès à certaines adresses IP via .htaccess ou la configuration serveur ;
• utiliser un plugin de sécurité pour limiter les requêtes XML-RPC (ex. le nombre de connexions en un temps donné) ;
• mettre en place une authentification forte, comme l’authentification à deux facteurs, pour renforcer la sécurité des connexions.

Cette solution est considérée comme non recommandée, car elle laisse tout de même une surface d’attaque accessible. Elle doit être réservée aux cas où l’utilisation de xmlrpc.php est indispensable. Gardez aussi à l’esprit que ces ajustements ne remplacent pas une migration vers des outils modernes comme l’API REST.

Protégez votre site WordPress tout en restant à jour

Vous connaissez désormais mieux le rôle historique et les enjeux de sécurité liés au fichier xmlrpc.php. N’oubliez pas que la sûreté de votre site repose sur une vigilance constante : surveillez les mises à jour de WordPress et de ses extensions, lisez attentivement leurs notes de version pour repérer tout changement susceptible d’affecter la sécurité de votre environnement.

Besoin d’un coup de main supplémentaire ? Rejoignez notre communauté sur Discord ou consultez notre documentation WordPress pour aller plus loin dans la sécurisation et l’optimisation de votre site.

Understanding the past usefulness and current risks of the xmlrpc.php file, as well as best practices for securing your website.

The xmlrpc.php file is a historical component of WordPress. Although it was essential a few years ago, its usefulness has greatly diminished as the platform has evolved. This file is now often perceived as a back door for cyberattacks, meaning that it is crucial to manage it to ensure that your website stays secure.

However, this is not an isolated case – many other tools or features can become obsolete or risky over time, so it is important to stay alert to identify and address any potential vulnerabilities.

In this article, we will briefly describe the historical role of xmlrpc.php, examine the risks it poses, and highlight solutions for disabling or securing it. We’ll also emphasise the importance of embracing modern alternatives.

What is xmlrpc.php?

The xmlrpc.php file is an interface for WordPress to communicate with other services or applications via the  XML-RPC protocol. Initially, it facilitated features such as:

• Publishing content via third-party tools (e.g. desktop software, automated scripts)
• Mobile website management, such as the old WordPress app for smartphones

Since the creation of the more modern and secure WordPress REST API, the xmlrpc.php file has lost its usefulness. For most people who manage a WordPress website, it is now even considered obsolete.

Why is xmlrpc.php problematic?

This file now has vulnerabilities that make it a prime target for cyberattacks.

• Brute-force attacks: individuals can exploit the file to attempt an unlimited number of connections, using a combination of usernames and passwords.
• Amplification of DDoS attacks: certain features of xmlrpc.php allow multiple requests to be sent in one go, thus increasing the load on the server.
• Exploitation of software vulnerabilities: if your WordPress or plugins are not up to date, this file can be used to run malicious commands.

How do I disable xmlrpc.php?

Fortunately, disabling this file is simple and does not affect most WordPress websites. Here are some different methods, depending on your needs.

1. Modify the .htaccess file (preferred solution)

If you have access to files on your site, you can prevent queries to xmlrpc.php by adding the following lines to the .htaccess file (located at the root of your site):

Advantage: direct and light-handed method.

Disadvantage: requires some care, as an error in the .htaccess file can affect the entire website.

• Via a plugin

Looking for a turnkey solution? Extensions like Disable XML-RPC-API allow you to quickly disable xmlrpc.php without touching the code.

Advantage: easy and time-saving.

Disadvantage: reliance on an additional plugin.

• Configure your server

For administrators with a dedicated hosting plan or a VPS, it is possible to block access to xmlrpc.php at the server level. For example, on Apache:

Or on Nginx:

Advantage: ideal solution for high-load environments.

Disadvantage: requires technical knowledge.

What are the alternatives to xmlrpc.php?

There are several simple solutions you can consider if you need the functionality offered by xmlrpc.php.

1. Use the modern WordPress mobile app

The official WordPress application for iOS and Android now uses the REST API instead of xmlrpc.php. Make sure your site is configured correctly to allow this transition. Most recent web hosting plans, such as those offered by OVHcloud, support this feature by default.

• Adopt tools compatible with the REST API

Many remote publishing solutions have been updated to use the REST API, which is more secure and better suited to current needs. Check if your favourite tools offer this compatibility, and update them if necessary.

• Secure xmlrpc.php in case you specifically need it (as a last resort)

If you really can’t do without xmlrpc.php, it’s crucial to limit its exposure to threats. Here are some best practices:

• restrict access to certain IP addresses via .htaccess or server configuration
• use a security plugin to limit XML-RPC requests (e.g. the number of connections in a given time)
• implement strong authentication, such as two-factor authentication, to enhance connection security

This solution is not recommended, as it still leaves an accessible attack surface. It should be reserved for cases where the use of xmlrpc.php is still essential. Also keep in mind that these adjustments are not a substitute for migrating to modern tools like the REST API.

Protect your WordPress website while staying up to date

Hopefully, you are now more familiar with the historical role of xmlrpc.php and its associated security issues. Keep in mind that keeping your website safe requires constant vigilance – so check for updates to WordPress and its plugins, and read their release notes carefully for any changes that could affect the security of your environment.

Need some extra help? Join our community on Discord, or check out our WordPress documentation to go even further in securing and optimising your site.

A scalable and accessible roadmap

Our published roadmap provides an overview of current development priorities, and an extensive breakdown of ongoing and future changes. It’s a dedicated space where various services are discussed for planning features, improvements, and product scalability.

• Web Hosting: Hosting solutions for websites and applications.
• Telecommunications Services (Telecom): IP telephony services and connectivity.
• Collaboration (Collab): Tools like Microsoft Exchange, Zimbra, professional/business emails, and Microsoft 365.
• VPS/Bare Metal Eco: Affordable hosting solutions for virtual private servers (VPS) and dedicated servers.

We’ve published this roadmap to help you stay up to date on product development, especially the ones you use, and actively contribute to improving them. Thanks to this roadmap, you can share your ideas, voice your concerns, as well as suggest essential functional changes and how they can make our products even better.

A communication tool

This space is primarily designed to encourage the sharing of ideas and opportunities for improvement. Our goal is to give our users a space where they can freely share their thoughts and suggestions, and be actively involved in improving our products and fulfilling our roadmap. Your suggestions help us understand what our users want, so we can tailor our solutions to match your needs.

Please keep in mind that this roadmap is not a support channel; it’s not meant for ticket or technical support requests. If you have any issues or need customer support, please reach out through the usual channels — the OVHcloud Control Panel, official documentation, or the OVHcloud community.

How do I take part?

Want to help us enhance our services? It’s quite straightforward! Check out our GitHub roadmap to see the exciting features we have in the works, including planned improvements, or even ideas from other community members. You can:

• Share your thoughts: we welcome any suggestions you may have for new features, or improvements that could elevate our collaborative and telecom solutions, and hosting and domain name solutions. Also, VPS and Bare Metal Eco (BM Eco) services are featured on both the current roadmap as well as the dedicated Public Cloud roadmap.
• Voting and leaving comments: get in on discussions, share your thoughts, and support ideas that matter to you.
• Track updates: stay in the loop with our live progress, ongoing deployments, and upcoming projects.

A constantly evolving approach

At OVHcloud, we believe working together is key to building products that truly serve our customers. This published roadmap gives you the peace of mind and foresight to effectively plan your projects. We’re always looking to extend the reach of our services, and we can’t do that without you.

In conclusion

Publishing our Hosting, Telecom and Collaboration roadmap shows how committed we are to making transparency and collaboration central to our approach. We’ve made this GitHub space available, so you can keep up with how we tailor and scale our services, and play an active role in enhancing them. Your input, ideas, and feedback are building blocks that help us develop products that are specially built for you. We’re shaping the future of our services with your input — your experience and expectations matter!

Join us now and make a difference in improving OVHcloud solutions! Check out our changelog and roadmap for our Cloud solutions, also on GitHub.