In die .htaccess direkt nach # END WordPress einfügen
Require all denied
Überprüfen mit domain.com/xmlrpc.php.
Hier muss angezeigt werden:
403 Forbidden.