Stolperstein 2FA bei WordPress-Zugriff per XML-RPC (Wordfence)

Last updated on 26. Januar 2026

Ich habe mir für 2026 vorgenommen, wieder regelmäßiger (lies: überhaupt mal wieder) zu bloggen. Früher, als ich dies noch tat, habe ich dafür auf dem Mac MarsEdit genutzt. MarsEdit ist eine lokal laufende, native Software zum Verfassen und (grundsätzlichen) Layouten von Blog-Artikeln. Mein Blog ist ein WordPress. Kann man darüber streiten, will ich aber nicht – für mich funktioniert WordPress seit vielen Jahren super und da ich in anderen Kontexten allein schon wegen Podlove auf WordPress setze, will ich für diesen Blog nichts anderes.

Ich habe mir also die aktuelle Version von MarsEdit heruntergeladen und bin direkt beim Login gescheitert. Ohne Fehlermeldung wird der nämlich abgelehnt. Es erscheint einfach wieder die Login-Aufforderung, immerhin mit vorausgefülltem Benutzernamen, und leerem Passwort-Feld.

Der Lösung erster Teil: Ich habe natürlich versucht, meine WordPress-Installation so sicher wie möglich zu gestalten. Dazu gehört auch das Aktivieren von 2FA (also der 2-Faktor-Authentifizierung). Diese sorgt, gewissermaßen als Kollateralschaden, dafür, dass sich solch eine Software wie MarsEdit nicht einfach mit denselben Login-Daten anmelden kann, wie ich es im Web tue. Als Lösung dafür gibt es „Anwendungspasswörter“. Davon kann man beliebig viele in den Benutzereinstellungen vergeben. Ist ein Name gewählt (der im Idealfall den Verwendungszweck widerspiegelt), generiert WordPress ein „sicheres“ Passwort zur Verwendung. Fertig.

Also fast. Es könnte so einfach sein, ist es aber nicht, denn der Login funktioniert weiterhin nicht. Online lese ich, dass das daran liegen könnte, dass ich (oder ein verwendetes Sicherheits-Plug-in) die XML-RPC-Schnittstelle deaktiviert hat. Das wäre schlecht, denn darüber kommuniziert MarsEdit mit WordPress. Überprüfen lässt sich das, indem man https://blog-adresse.de/xmlrpc.php in einem Browser eingibt. Ist die Ausgabe dann so etwas wie „XML-RPC server accepts POST requests only.“, ist sie eingeschaltet und reagiert. Das war bei mir der Fall.

Der nächste Check: Schränkt ein Plug-in den Zugriff doch noch weiter ein? In den Einstellungen von Wordfence, dem Sicherheits-Plug-in meiner Wahl, finde ich unter „Login Security“ den Eintrag „Require 2FA for XML-RPC call authentication.“ Das bedeutet in etwa, dass man, wenn man diese Einstellung auf „Require“ setzt, den zweiten Faktor an das Passwort anhängen soll. Das probiere ich aus – und tatsächlich funktioniert das. Allerdings nur für ein paar Sekunden, dann verlangt MarsEdit nach einer erneuten Passworteingabe.

Die Lösung besteht letztlich darin, diese Wordfence-Einstellung auf „Skipped“ zu setzen, und so entsteht dann auch dieser Artikel unter Verwendung von MarsEdit. Yay.