その後の様子はTwitter、facebook、Instagramで随時更新中。WordPressそんなにアクセスがあるわけでもないのにサイトが重いなーと思ってサーバのアクセスログを見たら、WordPressのxmlrpc.phpにものっそいPOSTくらってたのでDenyしました。ググってみたら、WordPressのXML-RPCの機能を利用してDoSの踏み台にする方法があるらしく。言われてみれば今までもアクセスが特別多いわけでもないのにサーバが重い事があったのですが、たぶんこれだわ......Pingは飛ばさない設定になっているはずですが(正直よく分からん)、踏み台になっちゃったりしてたらごめんなさい。今のところ、Pingを飛ばしたり、リモート投稿を利用する予定は無いので、この機会にxmlrpc.phpを無効化しました。プラグインで無効化する方法WordPressのプラグインにxmlrpc.phpの機能を無効化してくれるものがあります。Pluginsこれを入れれば、とりあえず踏み台にされるリスクは減るはず。これって結局、PHPが動くので、今回みたいに1秒間に3、4回とかいうレベルでアクセスされるとサイトが重くなっちゃうのは変わらない気がするんですよね......Nginxでの無効化というわけで、Nginx側でxmlrpc.phpへのアクセスをまるごとdenyしちゃうことにしました。サーバの設定に以下の記述を追加しました。WordPress.com」なる、なにやらJetpackに関係していそうなものが「192.0.0.0/16」を使用していたので、このアクセスを許可してバックエンドのPHPに回しています。WordPress.com"これで動かしてみて192.0.0.0/16以外からのxmlrpc.phpへのアクセスが403になってればおkです。いう感じ一週間くらいこれで回していますが、今のところ、特に問題なく動いているようです。