El complemento de WordPress Rank Math es acusado de obtener acceso de administrador en secreto

Surgieron nuevas acusaciones de que el complemento Rank Math de WordPress ha introducido una funcionalidad que silenciosamente otorga a la empresa permisos de nivel de administrador sobre los sitios de WordPress. El acceso se activa cuando un usuario se conecta a una cuenta gratuita de Rank Math y el usuario abre la sección Ayuda y soporte del complemento.

Supuestamente no hay consentimiento ni notificación

El desarrollador del complemento SEO The SEO Framework tuiteó recientemente que cuando un usuario abre la sección Ayuda y soporte de Rank Math, el complemento crea una contraseña de aplicación de WordPress vinculada al usuario que abre esa sección de Ayuda y soporte. Entonces, si el usuario que hace clic en el área de administración del complemento tiene el nivel de permiso de administrador, entonces la contraseña de la aplicación de WordPress que genera Rank Math hereda los permisos de nivel de administrador.

Sybre Waaijer explicó:

“Hace dos días, Rank Math resolvió alrededor de una docena de problemas de seguridad en 1.0.277. Este complemento se ejecuta en más de 4 millones de sitios.

En esa misma actualización, el grupo(.)uno (que también es propietario de WP Rocket) ahora obtiene privilegios administrativos para su sitio.

La última vez clasifiqué algo como esto como puerta trasera. Esta vez tú puedes decidir.

El archivo: proveedor/groupone/wap-client/includes/class-app-password-manager.php.

Qué hace:
Cuando un administrador de sitio cuyo sitio está conectado a una cuenta (gratuita) de Rankmath(.)com abre “Ayuda y soporte”, el complemento crea inmediatamente una contraseña de aplicación de WordPress para ese usuario. Envía esa contraseña al grupo(.)los servidores de uno. Su agente de inteligencia artificial puede actuar en su nombre en su sitio”.

Contraseña de la aplicación de WordPress

Las contraseñas de aplicaciones de WordPress son algo legítimo en WordPress, son parte del núcleo de WordPress y es algo que los complementos pueden hacer. Incluso hay pautas que indican a los desarrolladores de complementos cómo generar contraseñas de aplicaciones de WordPress. Probablemente esa sea la razón por la que Sybre Waaijer evitó categorizar lo que está haciendo Rank Math como una puerta trasera.

Rank Math no solicita autorización

Una de las varias razones por las que Waaijer objeta lo que está haciendo Rank Math tiene que ver con cómo Rank Math está generando esos niveles de permiso por sí mismo.

Él explicó:

“El complemento nunca pregunta primero. Hay un cuadro de “Términos y condiciones”, pero no impide que se cree o envíe la contraseña. La transferencia comienza incluso antes de que aparezca el cuadro”.

La autorización del usuario está integrada en el flujo de contraseñas de la aplicación de WordPress

La documentación oficial de WordPress especifica una pantalla de autorización donde el complemento se identifica, se muestra al usuario la conexión y se le da la oportunidad de aprobarla o rechazarla. La especificación dice que la contraseña de la aplicación solo se pasa al complemento una vez que ha sido aprobada por el usuario.

Captura de pantalla del ejemplo de autorización

Regla de consentimiento explícito de WordPress.org

Las pautas de complementos de WordPress especifican una regla de consentimiento explícita con respecto a servidores externos. Las pautas oficiales dicen que los complementos no pueden contactar servidores externos sin “consentimiento explícito y autorizado”, especificando una casilla de verificación de participación. También prohíben la recopilación automatizada de datos del usuario sin una confirmación explícita.

Las directrices especifican:

“7. Los complementos no pueden rastrear a los usuarios sin su consentimiento.
Con el fin de proteger la privacidad del usuario, los complementos no pueden contactar con servidores externos sin el consentimiento explícito y autorizado. Esto se hace comúnmente a través de un método de “inscripción voluntaria”, que requiere el registro en un servicio o una casilla de verificación dentro de la configuración del complemento. La documentación sobre cómo se recopilan y utilizan los datos del usuario debe incluirse en el archivo Léame del complemento, preferiblemente con una política de privacidad claramente establecida”.

Las contraseñas de las aplicaciones deben ser credenciales revocables

WordPress describe las contraseñas de aplicaciones como algo que un usuario puede revisar y revocar.

“Las contraseñas de aplicaciones son una característica de WordPress que le permite generar credenciales revocables por aplicación…

Y también:

“La contraseña de una aplicación es:

Revocable individualmente, por lo que puede desactivar una única integración sin cambiar la contraseña principal del usuario”.

Waaijer recomendó cómo revocar la contraseña de la aplicación que activa el agente de soporte de Rank Math:

“La contraseña aparece en su perfil como “WAP – Agente de soporte de Rank Math”. Cerrar la pestaña “Ayuda y soporte” no la revoca. Esta contraseña de la aplicación no caduca. No puede desactivar el “Agente de soporte”.

Lo que debes hacer:
Si abrió “Ayuda y soporte” mientras estaba conectado, revoque las contraseñas de la aplicación inmediatamente.

Vaya a “Administrador de WP -> Usuarios -> Perfil -> Contraseñas de aplicaciones y revoque todo lo que comience con “WAP -“.

Respuestas de los usuarios

La reacción de los usuarios fue absolutamente negativa en todo momento.

El tweet de @tprinty ejemplificó la ira que sentían los usuarios hacia Rank Math:

“Esto es horrible. WP necesita SEO como parte central”.

Rank Math acusado de eliminar quejas

@CAwavehello relató que el foro de discusión de Rank Math tenía un gran hilo sobre este tema y que la discusión fue posteriormente eliminada, presumiblemente por Rank Math.

@CAwavehello compartió:

“Me preguntaba a qué se debía todo ese alboroto. Hace unos días se inició un gran hilo en su página del foro de WP y ahora se eliminó mágicamente. Hoy recibí la notificación de que lo eliminaron después de que se desató el infierno en el foro de sus usuarios. ¡¿WTF?!”

Los usuarios se alejan de Rank Math

@SwiftyLunatic expresó que estaban alejando sus sitios web de Rank Math:

“Es hora de alejar mis sitios web de @rankmathseo

¿Por qué haces esto, tu turbia compañía? ¿El mejor complemento de SEO para cambiar también, por favor?

@SEOMastery2026 tuiteó:

“¿Esperar el acceso de administrador sin preguntar?”

Clasificar Math que no está en la lista de complementos aprobados de SEJ

Rank Math no entró en la lista de complementos de WordPress recomendados de Search Engine Journal porque uno de los requisitos es que los complementos sean confiables, lo que incluye no tener un historial de vulnerabilidades.

Rank Math tuvo siete vulnerabilidades en 2024, cuatro vulnerabilidades en 2025 y, en lo que va de 2026, se han descubierto tres vulnerabilidades en Rank Math, incluida una vulnerabilidad reciente de scripts entre sitios almacenados no autenticados. Realice siempre una verificación exhaustiva de todos los complementos que se utilizan en su sitio, incluida una verificación de seguridad.

Imagen destacada de Shutterstock/ViDI Studio