Rank Math acusado de otorgar acceso admin secreto en sitios WordPress
El plugin SEO Rank Math fue señalado por crear contraseñas de aplicación con permisos de administrador sin consentimiento ni notificación al usuario, según denuncias recientes.
Una nueva controversia sacude al mundo de los plugins SEO para WordPress. Rank Math, uno de los más populares, fue acusado de crear silenciosamente accesos de nivel administrador sin pedir permiso explícito al dueño del sitio.
Según la denuncia, el problema se activa cuando un usuario con permisos elevados abre la sección “Help & Support” dentro del plugin. En ese momento, Rank Math genera una Application Password de WordPress asociada a esa cuenta. Esa contraseña otorga permisos completos de administrador, lo que permite acciones remotas sin que el usuario reciba ninguna notificación clara.
El desarrollador de The SEO Framework, otro plugin de posicionamiento, fue quien expuso el comportamiento en redes. La publicación generó preocupación inmediata entre dueños de pymes y marketers que usan Rank Math en sus sitios, especialmente en tiendas online y blogs donde el acceso admin es crítico.
¿Qué significa esto para tu sitio?
Tener una Application Password con permisos de administrador significa que Rank Math (o quien tenga esa clave) podría modificar configuraciones, instalar plugins, leer datos sensibles o incluso alterar el contenido del sitio. Todo esto sin que aparezca un aviso explícito al abrir la sección de ayuda.
Desde el punto de vista de SEO local o ecommerce, el riesgo es doble: además del problema de seguridad, una brecha podría afectar la integridad de datos estructurados, fichas de producto o la configuración del Perfil de Negocio en Google que muchas veces se administra desde WordPress.
Cómo verificar si tu sitio está afectado
- Ve a Usuarios > Perfiles de Aplicación en tu WordPress.
- Busca cualquier entrada creada recientemente con el nombre de Rank Math o similar.
- Si ves una contraseña generada al abrir la sección de soporte, revócala inmediatamente.
Recomendamos también revisar los logs de actividad del sitio y cambiar todas las contraseñas de administrador por precaución. Actualizar a la última versión del plugin no parece resolver el tema según las denuncias iniciales, ya que el comportamiento parece intencional para facilitar el soporte técnico.
Recomendaciones para dueños de pymes
- Evaluar alternativas como Yoast SEO o The SEO Framework si la confianza se perdió.
- Activar autenticación en dos pasos y limitar permisos de usuario solo a lo necesario.
- Monitorear regularmente las Application Passwords y los accesos remotos.
Este caso vuelve a poner en evidencia la importancia de auditar los plugins instalados, especialmente aquellos que manejan datos sensibles o configuraciones SEO que impactan directamente en el tráfico orgánico y las conversiones.
La situación aún está en desarrollo y se espera una respuesta oficial de Rank Math. Mientras tanto, la recomendación es actuar con cautela antes de abrir la sección de ayuda del plugin.
Fuente: Search Engine Journal