Rank Math и тайный доступ админа: что делать

Смотрел, что нового у вендоров, и увидел тревожную новость о Rank Math: утверждают, что при открытии раздела «Помощь и поддержка» на бесплатной учётной записи плагин создаёт пароль приложения с правами администратора без согласия пользователя. Это не просто уязвимость — это изменение поведения, которое нарушает правила WordPress.

Плагин, будучи подключён к бесплатному аккаунту, при открытии «Помощи» генерирует Application Password, отправляет его на серверы компании, и этот пароль имеет полные права администратора. При этом пользователь не видит запроса на согласие — даже чекбокс «условия» не блокирует процесс. Это противоречит официальным правилам: WordPress требует явного согласия перед отправкой данных на сторонний сервер.

На мой взгляд, самое опасное здесь — не то, что пароль создан, а то, что он неотменяем и не просрочен. Пользователь не может отключить «агент поддержки» в настройках, а только вручную удалить пароль в профиле. Это не просто ошибка — это архитектурный риск. Если кто-то получит доступ к этому паролю, он будет иметь полный контроль над сайтом.

Я уже начал проверять у своих клиентов, кто использует Rank Math. У тех, у кого включена бесплатная учётка и открыт раздел поддержки — сразу проверяю Application Passwords. Удалю все, где есть WAP – Rank Math Support Agent. У всех, кто не уверен — отключаю поддержку и снимаю привязку к аккаунту. Пока не буду рекомендовать использовать этот плагин без полного пересмотра его поведения.