Rank Math tworzy hasło administratora bez pytania. Zarzuty wobec wtyczki z 4 mln instalacji

Rank Math, jedna z najpopularniejszych wtyczek SEO dla WordPressa, znalazła się pod ostrzałem po zarzucie, że najnowsza wersja tworzy hasło aplikacji z uprawnieniami administratora i wysyła je na serwery producenta, zanim użytkownik cokolwiek zatwierdzi. Zarzut postawił publicznie Sybre Waaijer, twórca konkurencyjnej wtyczki The SEO Framework, a sprawę nagłośnił 30 sierpnia 2026 roku serwis Search Engine Journal. Rank Math do momentu publikacji tamtego materiału nie wydał oświadczenia ani nie zaprzeczył doniesieniom.

Skala potencjalnego problemu robi wrażenie, bo wtyczka działa według dostępnych danych na ponad 4 milionach stron. Dla polskiego rynku to szczególnie wrażliwy temat, ponieważ Rank Math od lat jest domyślnym wyborem wielu agencji i freelancerów, którzy wdrażają go klientom hurtowo.

Kontekst: co dokładnie zarzuca się wtyczce

Sprawa dotyczy wersji 1.0.277, wydanej na dwa dni przed ujawnieniem zarzutu. W tej samej aktualizacji Rank Math zamknął, jak podaje Waaijer, około tuzina zgłoszeń bezpieczeństwa. Problem w tym, że przy okazji do wtyczki trafił komponent, który zdaniem zgłaszającego zmienia relację właściciela strony z dostawcą oprogramowania.

Według opisu mechanizm uruchamia się w konkretnym scenariuszu. Administrator strony, która jest połączona z bezpłatnym kontem rankmath.com, otwiera w panelu sekcję pomocy i wsparcia (Help & Support). W tym momencie wtyczka tworzy w WordPressie hasło aplikacji przypisane do tego użytkownika. Jeśli użytkownik ma rolę administratora, hasło dziedziczy pełne uprawnienia administracyjne.

Hasło pojawia się w profilu użytkownika pod nazwą zaczynającą się od „WAP” z dopiskiem odsyłającym do agenta wsparcia Rank Math. Za jego utworzenie odpowiada plik vendor/groupone/wap-client/includes/class-app-password-manager.php, czyli komponent dostarczony przez group.one, firmę będącą właścicielem Rank Math oraz WP Rocket. Poświadczenie trafia na serwery group.one, aby tamtejszy agent AI mógł wykonywać operacje na stronie.

Kluczowy zarzut nie dotyczy samego istnienia takiej funkcji, tylko braku zgody. Hasło aplikacji w WordPressie ma własny, oficjalny ekran autoryzacji: użytkownik widzi, jaka aplikacja prosi o dostęp, i musi to świadomie zaakceptować. W opisywanym przypadku, zdaniem zgłaszającego, autoryzacja następuje zanim jakiekolwiek okno zatwierdzenia w ogóle się pojawi. Obecność zaznaczonego regulaminu niczego tu nie zmienia, bo nie blokuje utworzenia i wysłania poświadczenia.

Druga sporna kwestia to trwałość dostępu. To nie jest sesja, która wygasa po zamknięciu karty. Hasło aplikacji pozostaje przypisane do konta administratora do czasu, aż ktoś ręcznie je unieważni.

Kluczowe fakty w skrócie

Warto od razu zaznaczyć granicę tej historii. Na tym etapie mówimy o zarzucie dotyczącym sposobu uzyskiwania zgody, a nie o potwierdzonym wycieku danych czy udokumentowanym nadużyciu dostępu. Nikt nie wykazał, że group.one wykorzystał te poświadczenia w sposób szkodliwy. Każdy, kto streszcza sprawę jako potwierdzone włamanie, idzie dalej niż same doniesienia.

Dlaczego hasło aplikacji to poważna sprawa

Hasła aplikacji w WordPressie powstały po to, aby zewnętrzne narzędzia mogły korzystać z REST API bez podawania właściwego hasła do konta. To rozwiązanie wygodne i z założenia bezpieczniejsze, ale ma jedną cechę, o której łatwo zapomnieć: takie poświadczenie działa z uprawnieniami użytkownika, do którego jest przypisane.

W praktyce hasło aplikacji administratora pozwala na operacje, które wykraczają daleko poza SEO:

• tworzenie, edycję i usuwanie dowolnych treści na stronie,
• zmiany w ustawieniach witryny,
• zarządzanie kontami użytkowników,
• w wielu konfiguracjach także instalowanie i aktywowanie wtyczek.

Dlatego wytyczne WordPress.org są w tej sprawie jednoznaczne: wtyczka musi uzyskać wyraźną, świadomą zgodę, zanim skontaktuje się z zewnętrznym serwerem, a poświadczenia mogą trafić do aplikacji dopiero po przejściu przez ekran autoryzacji. Spór o Rank Math jest więc sporem o procedurę, a nie o to, czy zdalne wsparcie techniczne ma sens.

Czym to się różni od normalnej integracji

Warto pokazać, jak wygląda poprawny przebieg, bo dopiero wtedy widać istotę sporu. Kiedy zewnętrzna usługa chce połączyć się z WordPressem przez hasło aplikacji, przeglądarka kieruje użytkownika na wbudowany ekran autoryzacji. Widnieje na nim nazwa aplikacji proszącej o dostęp oraz jasny komunikat, że poświadczenie da jej uprawnienia zalogowanego konta. Użytkownik klika przycisk zatwierdzenia albo odmowy, a wygenerowane hasło pokazuje się jeden raz. Cały proces jest widoczny, świadomy i odwracalny.

W opisywanym scenariuszu ten ekran nie pojawia się w ogóle. Poświadczenie powstaje jako efekt uboczny otwarcia zakładki pomocy, czyli czynności, którą użytkownik interpretuje jako czytanie dokumentacji, a nie jako przyznawanie komukolwiek praw do swojej strony. Różnica między tymi dwoma przebiegami jest różnicą między zgodą a domniemaniem zgody.

Jest jeszcze kwestia widoczności. Hasło aplikacji utworzone w opisany sposób nie generuje powiadomienia mailowego ani wpisu, który rzucałby się w oczy w panelu. Administrator, który nie zajrzy celowo do sekcji haseł aplikacji w swoim profilu, może przez długi czas nie wiedzieć, że taki wpis istnieje. To dlatego branża zareagowała ostrzej niż na typową podatność: zwykłą lukę się łata, natomiast tutaj chodzi o świadomy element architektury produktu.

Szerszy trend: agenci AI potrzebują praw zapisu

Ta historia nie wydarzyła się w próżni. Przez ostatnie kilkanaście miesięcy praktycznie każdy większy dostawca narzędzi SEO ogłosił własnego agenta, który ma robić coś więcej niż raportowanie. Asystent, który tylko podpowiada, wystarczy dostęp do odczytu. Asystent, który obiecuje naprawić tytuł, dopisać dane strukturalne albo przebudować mapę witryny, musi mieć prawo zapisu w systemie zarządzania treścią.

Producenci rozwiązują ten problem na kilka sposobów. Jedni proszą o klucz API generowany ręcznie przez użytkownika. Inni budują integrację przez oficjalny ekran autoryzacji WordPressa. Jeszcze inni proponują model, w którym agent działa po stronie dostawcy i potrzebuje trwałego poświadczenia do witryny klienta. Ostatni wariant jest najwygodniejszy dla działu wsparcia i najbardziej ryzykowny dla właściciela strony, ponieważ przenosi kontrolę nad dostępem poza jego infrastrukturę.

Wniosek dla rynku jest taki, że pytanie o model uprawnień powinno stać się standardowym punktem oceny narzędzia, obok ceny i funkcji. Przed wdrożeniem warto ustalić, jakie prawa realnie otrzymuje dostawca, czy dostęp da się ograniczyć do roli innej niż administrator, czy poświadczenie ma datę wygaśnięcia i w jaki sposób można je unieważnić jednym ruchem na wielu stronach naraz.

Co to znaczy dla SEO i AIO

Na pierwszy rzut oka to temat czysto bezpieczeństwowy, ale ma bezpośrednie przełożenie na pracę zespołów SEO. Wtyczka SEO jest dziś jednym z najbardziej uprzywilejowanych elementów stosu technologicznego strony: zapisuje metadane, steruje indeksowaniem, generuje mapy witryny, wstrzykuje dane strukturalne. Każda zmiana w tym warstwie ma natychmiastowe konsekwencje w wynikach wyszukiwania.

Trend, który tu widać, jest szerszy niż jedna aktualizacja. Producenci narzędzi SEO ścigają się we wprowadzaniu agentów AI, które mają nie tylko doradzać, ale też samodzielnie naprawiać stronę. Rank Math sam szedł tą drogą od miesięcy, o czym pisaliśmy przy okazji wpuszczenia asystentów AI do panelu SEO przez MCP Tools oraz przy wersji śledzącej widoczność marki w ChatGPT i Gemini. Agent, który ma coś naprawić, potrzebuje uprawnień do zapisu. Pytanie brzmi, kto i kiedy tych uprawnień udziela.

Dla praktyka oznacza to trzy rzeczy. Po pierwsze, audyt uprawnień przestaje być zadaniem wyłącznie administratora serwera i staje się elementem higieny SEO. Po drugie, przy wyborze narzędzi do stosu warto patrzeć nie tylko na funkcje, ale też na model dostępu, co uwzględniliśmy w przeglądzie narzędzi do AIO. Po trzecie, agencje obsługujące dziesiątki witryn klienckich muszą liczyć się z tym, że jedna aktualizacja wtyczki potrafi zmienić zakres dostępu na całym portfelu stron naraz.

Jest też wymiar formalny, którego w Polsce nie da się pominąć. Jeśli poświadczenie z uprawnieniami administratora trafia do zewnętrznego podmiotu, a strona przetwarza dane osobowe (formularze, konta klientów, zamówienia), pojawia się pytanie o podstawę takiego przetwarzania i o umowę powierzenia. To temat, który agencja powinna wyjaśnić z klientem, zanim zrobi to za nią ktoś inny.

Co powinny zrobić agencje

Dla firm obsługujących wiele witryn sama kontrola nie wystarczy, bo problem jest powtarzalny. Sensowna reakcja to procedura, nie jednorazowa akcja.

• Zinwentaryzuj strony klientów według wtyczki SEO i jej wersji, żeby wiedzieć, ilu witryn dotyczy sprawa.
• Ustal jedną osobę odpowiedzialną za przegląd list zmian przed aktualizacjami wtyczek o wysokich uprawnieniach.
• Wyłącz automatyczne aktualizacje dla wtyczek SEO na stronach produkcyjnych i wprowadź krótki bufor testowy.
• Zapisz w dokumentacji projektu, komu i na jakiej podstawie udzielono dostępu administracyjnego.
• Przygotuj klientowi krótką informację, zanim dowie się o sprawie z mediów branżowych.

Ostatni punkt bywa niedoceniany, a decyduje o zaufaniu. Klient, który dostaje od agencji rzeczową notatkę z wyjaśnieniem i informacją o wykonanej weryfikacji, odbiera całą sytuację zupełnie inaczej niż klient, który przysyła zaniepokojony link i pyta, dlaczego nikt go nie uprzedził.

Reakcje branży

Reakcje były szybkie i emocjonalne. W dyskusjach pod zgłoszeniem pojawiły się relacje użytkowników, którzy deklarowali usunięcie wtyczki i migrację stron na inne rozwiązania. Według doniesień wątek poświęcony sprawie na forum wsparcia Rank Math miał zostać skasowany przez moderatorów, co dodatkowo podgrzało atmosferę, bo w społeczności WordPressa usuwanie niewygodnej dyskusji odbierane jest zwykle gorzej niż sam problem techniczny.

Search Engine Journal poinformował, że wykreślił Rank Math ze swojej listy rekomendowanych wtyczek WordPress, powołując się na względy bezpieczeństwa. Redakcja przywołała przy tym historię podatności wtyczki: siedem zgłoszeń w 2024 roku, cztery w 2025 roku i trzy w 2026 roku, w tym nieuwierzytelnione trwałe XSS.

Trzeba jednak zachować proporcje w ocenie źródła zarzutu. Zgłaszający jest twórcą konkurencyjnej wtyczki SEO, co część komentujących natychmiast wypunktowała. To nie unieważnia ustaleń technicznych, bo nazwa pliku, nazwa hasła aplikacji i sposób odtworzenia sytuacji są weryfikowalne przez każdego administratora na własnej stronie. Warto jednak pamiętać, skąd sprawa wypłynęła, i oceniać ją po dowodach, a nie po tonie dyskusji.

Brak reakcji producenta jest w tym układzie najbardziej kosztownym elementem. W sporach o zaufanie w ekosystemie open source cisza rzadko działa na korzyść, a każda godzina bez komunikatu zostaje wypełniona spekulacją.

Jak sprawdzić własne strony

Niezależnie od tego, jak zakończy się spór, sama weryfikacja zajmuje kilka minut i warto ją wykonać na każdej stronie, na której działa Rank Math.

Krok po kroku

• Wejdź w panelu WordPressa w Użytkownicy, następnie Profil, i przewiń do sekcji Hasła aplikacji.
• Sprawdź, czy znajduje się tam wpis zaczynający się od „WAP”.
• Jeśli tak, unieważnij go, o ile świadomie nie korzystasz ze zdalnego wsparcia producenta.
• Powtórz kontrolę dla każdego konta z rolą administratora, nie tylko dla własnego.
• Sprawdź wersję wtyczki i przejrzyj listę zmian przed kolejną aktualizacją.
• W agencji przejdź przez całe portfolio klientów, bo mechanizm dotyczy stron połączonych z kontem rankmath.com.

Dodatkowo warto rozważyć kilka nawyków, które ograniczają ryzyko niezależnie od tej konkretnej sprawy: regularny przegląd haseł aplikacji na wszystkich kontach, ograniczanie liczby użytkowników z rolą administratora, oddzielne konto techniczne dla integracji zamiast konta właściciela oraz monitorowanie zmian w plikach wtyczek po każdej większej aktualizacji.

Co dalej

Najbliższe dni zdecydują o tym, czy sprawa skończy się jako incydent komunikacyjny, czy przerodzi się w poważniejszy problem dla producenta. Do obserwowania są cztery scenariusze.

Pierwszy to oficjalne stanowisko Rank Math. Firma może wyjaśnić, że mechanizm miał inne działanie, niż opisano, albo przyznać, że zabrakło ekranu zgody, i wydać poprawkę. Drugi scenariusz to aktualizacja usuwająca automatyczne tworzenie hasła i zastępująca je klasyczną autoryzacją, co byłoby najprostszym sposobem zamknięcia dyskusji.

Trzeci scenariusz dotyczy WordPress.org. Repozytorium ma własne procedury wobec wtyczek naruszających wytyczne i historia zna przypadki czasowego wstrzymania dystrybucji do czasu wyjaśnienia sprawy. Czwarty scenariusz to skutki rynkowe: część użytkowników migruje niezależnie od rozstrzygnięcia, bo w narzędziach o tak wysokich uprawnieniach zaufanie odbudowuje się dłużej niż reputacja techniczna.

Dla redakcji i dla czytelników wniosek jest ten sam. Warto śledzić komunikaty producenta, bo pojawienie się oficjalnego stanowiska istotnie zmieni obraz sytuacji opisany powyżej. Do tego czasu rozsądne minimum to sprawdzenie listy haseł aplikacji na własnych stronach i świadoma decyzja, komu i na jak długo udziela się dostępu administracyjnego.

FAQ