Rank Math, wtyczka SEO zainstalowana na ponad 4 milionach stron WordPress, znalazła się w centrum sporu o bezpieczeństwo. Sybre Waaijer, twórca konkurencyjnej wtyczki The SEO Framework, publicznie zarzucił, że wersja 1.0.277 tworzy w witrynie hasło aplikacji z uprawnieniami administratora i przekazuje je na serwery producenta, zanim użytkownik zdąży cokolwiek zaakceptować. Sprawa jest o tyle poważna, że dotyczy nie luki w kodzie, lecz zaprojektowanej funkcji, która obsługuje nowego asystenta AI w panelu wsparcia.
Kontekst: co dodała wersja 1.0.277
Rank Math wypuścił wersję 1.0.277 w środę 26 sierpnia 2026 roku. W oficjalnym changelogu na WordPress.org producent wymienia kilka nowości, ale dwie są kluczowe dla całej sprawy: dodanie agenta wsparcia, który odpowiada na pytania bezpośrednio z poziomu wtyczki, oraz umożliwienie asystentom AI konfigurowania ustawień Rank Matha. Do tego dochodzi lakoniczny wpis o wzmocnieniu bezpieczeństwa wtyczki, który według Waaijera oznacza zamknięcie około tuzina zgłoszonych podatności.
Ta sama aktualizacja przyniosła też mniejsze poprawki: filtr dla opisu SEO w pliku llms.txt, naprawę importu danych z wtyczek przekierowań w kreatorze konfiguracji, korektę formatowania godzin otwarcia w schemacie Local Business oraz poprawkę układu opcji linków w klasycznym edytorze. Dzień później, 27 sierpnia, pojawiła się wersja 1.0.277.1 z dwoma wpisami: deklaracją zgodności z WordPressem 7.1 i naprawą fałszywego komunikatu o HTTPS w asystencie AI w sekcji pomocy. Żaden z tych wpisów nie odnosi się wprost do mechanizmu tworzenia haseł aplikacji.
Kierunek, w którym idzie Rank Math, nie jest przypadkowy. Producent od miesięcy buduje warstwę agentową wokół swojej wtyczki. Pisaliśmy o tym, gdy Rank Math otworzył dane SEO dla agentów AI przez narzędzia MCP, a wcześniej przy okazji modułu AI Visibility do monitoringu marki w ChatGPT, Gemini i Perplexity. Support Agent jest kolejnym krokiem w tej samej strategii, tyle że tym razem asystent nie tylko czyta dane, ale potrzebuje realnych uprawnień do działania w panelu.
Kluczowe fakty
Zarzut sformułowany przez Waaijera w serwisie X i opisany następnie przez Search Engine Journal sprowadza się do jednego scenariusza. Administrator, którego witryna jest połączona z darmowym kontem rankmath.com, otwiera w panelu sekcję Help & Support. W tym momencie wtyczka tworzy dla jego konta hasło aplikacji WordPressa i wysyła je do infrastruktury operatora, żeby agent AI mógł działać na stronie w imieniu użytkownika.
| Element | Stan opisany w zarzucie |
|---|---|
| Wersja wtyczki | 1.0.277, wydana 26 sierpnia 2026 |
| Zasięg | ponad 4 mln aktywnych instalacji |
| Wyzwalacz | otwarcie sekcji Help & Support przy koncie połączonym z rankmath.com |
| Tworzony obiekt | hasło aplikacji WordPressa na koncie administratora |
| Nazwa wpisu | zaczyna się od „WAP”, z dopiskiem „Rank Math Support Agent” |
| Odbiorca | serwery group.one, właściciela Rank Matha i WP Rocketa |
| Czas życia | bezterminowo, brak wygasania |
| Wyłączenie | według zarzutu brak przełącznika w interfejsie |
| Zamknięcie karty | nie unieważnia poświadczenia |
| Zgoda użytkownika | okno regulaminu pojawia się, ale nie blokuje utworzenia hasła |
Najmocniej wybrzmiewa cytat z wpisu Waaijera: wtyczka nigdy nie pyta wcześniej, a transfer zaczyna się, zanim okno zgody w ogóle się pojawi. To właśnie kolejność zdarzeń, a nie samo istnienie integracji, jest sednem zarzutu. Gdyby okno regulaminu było prawdziwą bramką, mielibyśmy do czynienia ze zwykłą, świadomą autoryzacją narzędzia zewnętrznego.
Warto zaznaczyć, co w tej historii nie zostało potwierdzone. W materiale Search Engine Journal z 30 sierpnia nie ma stanowiska ani zaprzeczenia ze strony Rank Matha, a sam autor zarzutu wahał się, czy nazwać to zachowanie backdoorem. Do rana 31 sierpnia producent nie opublikował szerszego wyjaśnienia, które odnosiłoby się do mechanizmu tworzenia poświadczeń. Historia podatności wtyczki, dla porządku, wygląda tak: 7 zgłoszeń w 2024 roku, 4 w 2025 i 3 w 2026.
Dlaczego hasło aplikacji to tak wrażliwy obiekt
Hasła aplikacji to standardowy mechanizm WordPressa, wprowadzony po to, żeby zewnętrzne programy mogły korzystać z REST API bez podawania właściwego hasła do konta. Kluczowa właściwość jest jednak taka, że takie poświadczenie uwierzytelnia się jako konkretny użytkownik i dziedziczy jego role oraz uprawnienia. Jeśli powstaje na koncie administratora, ma zasięg administratora.
W praktyce oznacza to możliwość odczytu i zapisu treści, zmiany ustawień, a w typowej konfiguracji także instalowania wtyczek i motywów. Instalacja wtyczki to zaś w WordPressie równoważnik wykonania dowolnego kodu PHP na serwerze. Dlatego branża tak ostro reaguje na każdy przypadek, w którym poświadczenie o takiej sile powstaje automatycznie i opuszcza serwer użytkownika.
Drugim problemem jest trwałość. Token sesyjny wygasa i sam ogranicza okno ryzyka. Hasło aplikacji żyje tak długo, aż ktoś je ręcznie unieważni, a większość administratorów nigdy nie zagląda w tę sekcję profilu. Jeśli poświadczenie trafiło do zewnętrznej infrastruktury, jego bezpieczeństwo zależy już od bezpieczeństwa tamtej infrastruktury, a nie twojej witryny.
Co to znaczy dla SEO i AIO
Dla zespołów SEO ta sprawa ma trzy wymiary i tylko jeden z nich jest czysto techniczny.
Pierwszy to ryzyko operacyjne. Wtyczka SEO ma z natury dostęp do tytułów, metaopisów, danych strukturalnych, przekierowań i pliku robots.txt, czyli do wszystkiego, co decyduje o tym, jak wygląda witryna w wyszukiwarce. Agent działający na uprawnieniach administratora może te elementy zmieniać. Nie trzeba zakładać złej woli producenta, żeby uznać, że automat z takim zasięgiem powinien mieć wyraźnie zawężone uprawnienia i jasny ślad audytowy.
Drugi wymiar to zgodność i procedury. W agencjach, które prowadzą strony klientów, poświadczenie administracyjne wysłane do podmiotu trzeciego bez wyraźnej zgody właściciela witryny jest problemem umownym, nie tylko technicznym. Jeśli obsługujesz strony w modelu powierzenia, warto sprawdzić, czy wasza dokumentacja w ogóle przewiduje takiego podwykonawcę i jakie dane mogą do niego trafić.
Trzeci wymiar jest szerszy i dotyczy całego kierunku, w którym idzie ekosystem narzędzi. Rok 2026 to fala integracji agentowych: wtyczki i platformy chcą wystawiać swoje funkcje asystentom AI, żeby te mogły wykonywać zadania, a nie tylko podpowiadać. Opisywaliśmy praktyczną stronę tego zjawiska w tekście o tym, jak podłączyć Search Console, GA4 i WordPress do asystenta AI. Różnica polega na tym, kto trzyma klucz. W układzie, który sam konfigurujesz, poświadczenia zostają u ciebie i sam decydujesz o ich zakresie. W układzie, w którym wtyczka wystawia je za ciebie, tracisz kontrolę nad tą decyzją.
Dla widoczności w modelach językowych i w AI Overviews ta sprawa nie zmienia nic bezpośrednio. Pośrednio jednak buduje precedens: im więcej narzędzi automatycznie wystawia poświadczenia agentom, tym większa szansa, że pojedynczy incydent po stronie dostawcy przełoży się na masową zmianę treści na tysiącach witryn naraz. To jest ryzyko systemowe, nie punktowe.
Reakcje branży
Sprawa Rank Matha nie wybuchła w próżni. Ten sam badacz opisał w lipcu bardzo podobny scenariusz w WPForms. Wtyczka WPForms Lite w wersji 2.0.0, wydanej 14 lipca 2026 roku, wprowadziła kreator konfiguracji, który w trakcie onboardingu przenosił przeglądarkę administratora na zewnętrzne serwery producenta razem z tymczasowym tokenem dostępu do witryny. Token miał uprawnienia administratora i ważność około godziny, a użytkownik często nie zdawał sobie sprawy, że opuścił własny panel WordPressa.
Producent WPForms zareagował serią aktualizacji w sierpniu, od 2.0.0.3 przez 2.0.0.4 i 2.0.0.5 aż po 2.0.1. Poprawki obejmowały kreator konfiguracji i czas życia tokenu, a późniejsze wersje dodały czytelny komunikat informujący użytkownika, że za chwilę zostanie przeniesiony na stronę producenta. To pokazuje ścieżkę wyjścia, która branżę zwykle zadowala: nie likwidacja integracji, tylko wyraźna zgoda, ograniczony zakres i krótki czas życia poświadczenia.
Reakcje na przypadek Rank Matha idą w tę samą stronę. Krytycy nie kwestionują sensu istnienia agenta wsparcia, który potrafi zajrzeć w konfigurację i podpowiedzieć rozwiązanie. Kwestionują trzy rzeczy: brak realnej bramki zgody, uprawnienia administratora zamiast minimalnego zakresu potrzebnego do diagnostyki oraz brak wygasania. Część komentatorów zwraca też uwagę, że Search Engine Journal nie umieścił Rank Matha na swojej liście rekomendowanych wtyczek, co w kontekście tej publikacji jest sygnałem samym w sobie.
W polskim środowisku WordPressowym Rank Math ma bardzo mocną pozycję, głównie dzięki darmowej wersji z funkcjami, za które konkurencja każe płacić. To oznacza, że skala potencjalnie dotkniętych witryn nad Wisłą jest duża, a duża część z nich to małe strony firmowe bez opieki technicznej, gdzie nikt nigdy nie otworzy listy haseł aplikacji.
Jak powinna wyglądać taka integracja
Spór o Rank Matha jest w gruncie rzeczy sporem o wzorzec projektowy, który dopiero się kształtuje. Warto więc nazwać wprost, czego branża oczekuje od wtyczki wystawiającej dostęp asystentowi AI. Po pierwsze, zgoda musi być bramką, a nie informacją. Okno regulaminu ma sens tylko wtedy, gdy kliknięcie „nie zgadzam się” faktycznie zatrzymuje utworzenie poświadczenia, a nie pojawia się już po fakcie.
Po drugie, zakres uprawnień powinien odpowiadać zadaniu. Agent wsparcia, który ma zdiagnozować konfigurację SEO, potrzebuje odczytu ustawień wtyczki, a nie prawa do instalowania kolejnych wtyczek. WordPress pozwala tworzyć role o zawężonych możliwościach i to jest właściwe narzędzie, nawet jeśli wymaga więcej pracy niż sięgnięcie po konto administratora.
Po trzecie, poświadczenie powinno wygasać. Sesja wsparcia trwa kilkanaście minut, więc token ważny godzinę jest w zupełności wystarczający, a wszystko powyżej doby trudno uzasadnić potrzebą diagnostyczną. Po czwarte, użytkownik potrzebuje widocznego śladu: listy tego, co agent zrobił, z datami i zmienionymi polami. Bez tego nie da się ani zweryfikować incydentu, ani udowodnić klientowi, że nic się nie stało.
To nie są wymagania wygórowane. Dokładnie taką ścieżkę przeszedł WPForms po lipcowej krytyce, dokładając komunikat o przeniesieniu i skracając żywotność tokenu. Wtyczka, która wdroży te cztery zasady od razu, dostanie od branży kredyt zaufania, którego dziś Rank Math musi szukać w trybie awaryjnym.
Jak sprawdzić własną witrynę
Krok 1: przejrzyj hasła aplikacji
Wejdź w panelu WordPressa w Użytkownicy, potem Profil, i przewiń do sekcji Hasła aplikacji. Sprawdź listę na koncie każdego administratora, nie tylko na swoim. Wpis zaczynający się od „WAP” to poświadczenie opisane w zarzucie. Jeśli go nie potrzebujesz, unieważnij je przyciskiem obok wpisu.
Krok 2: zdecyduj o samej funkcji
Unieważnienie hasła nie blokuje jego ponownego utworzenia, jeśli znowu otworzysz sekcję pomocy przy połączonym koncie. Jeżeli nie korzystasz z agenta wsparcia, najprostszym rozwiązaniem jest po prostu nie otwierać tej sekcji, a w środowiskach o wyższych wymaganiach rozważyć odłączenie witryny od konta rankmath.com.
Krok 3: rozważ globalne wyłączenie mechanizmu
WordPress pozwala wyłączyć hasła aplikacji w całej instalacji filtrem wp_is_application_passwords_available. To rozwiązanie mocne i skuteczne, ale trzeba pamiętać, że wyłączy również integracje, z których świadomie korzystasz, na przykład zewnętrzne narzędzia publikujące przez REST API. Zanim to zrobisz, sprawdź, co jeszcze łączy się z twoją stroną tą drogą.
Krok 4: sprawdź, czy coś się zmieniło
Jeśli prowadzisz dziennik zmian albo masz wtyczkę logującą aktywność, przejrzyj zapisy z ostatnich dni pod kątem edycji ustawień SEO, przekierowań i danych strukturalnych. To standardowa higiena po każdym zdarzeniu tego typu, niezależnie od tego, jak skończy się spór.
Co dalej
Najbliższe dni pokażą, czy Rank Math wybierze ścieżkę WPForms. Realistyczny scenariusz to aktualizacja, która przenosi tworzenie poświadczenia za wyraźną zgodę użytkownika, skraca jego czas życia i zawęża zakres uprawnień do tego, co agent wsparcia faktycznie potrzebuje. Taki ruch zamknąłby sprawę bez rezygnacji z funkcji, na którą producent wyraźnie stawia.
Drugi wątek to reakcja repozytorium WordPress.org. Wytyczne dla wtyczek wymagają, żeby przesyłanie danych na zewnątrz było jasno zakomunikowane i oparte na zgodzie. Jeśli zespół odpowiedzialny za przegląd wtyczek uzna, że mechanizm tego nie spełnia, presja na szybką zmianę będzie znacznie większa niż presja opinii branży.
Trzeci wątek jest najciekawszy w dłuższej perspektywie. WordPress nie ma dziś dobrego, wbudowanego modelu uprawnień dla agentów AI. Hasła aplikacji były projektowane dla prostych integracji maszynowych, nie dla autonomicznych asystentów, które mają wykonywać zadania w panelu. Brakuje zakresów uprawnień węższych niż rola, brakuje domyślnego wygasania i brakuje czytelnego ekranu zgody. Dopóki tego nie ma, każda wtyczka budująca agenta będzie improwizować, a kolejne spory tego typu są tylko kwestią czasu.
Dla właścicieli stron wniosek na teraz jest prosty i nie wymaga czekania na rozstrzygnięcie. Sprawdź listę haseł aplikacji na kontach administratorów, unieważnij to, czego nie rozpoznajesz, i potraktuj tę listę jako stały punkt kwartalnego przeglądu bezpieczeństwa. To pięć minut pracy, które chroni przed problemem znacznie większym niż spadek pozycji.
FAQ
Czy moja strona jest zagrożona, jeśli mam Rank Matha?
Według opisanego zarzutu mechanizm uruchamia się tylko wtedy, gdy witryna jest połączona z kontem rankmath.com i administrator otworzy w panelu sekcję Help & Support. Jeśli nigdy tam nie zaglądałeś, poświadczenie prawdopodobnie nie powstało. Pewność daje jedynie sprawdzenie listy haseł aplikacji w profilu użytkownika.
Jak rozpoznać to hasło na liście?
Wpis zaczyna się od „WAP”, a dalej pojawia się opis „Rank Math Support Agent”. Znajdziesz go w panelu WordPressa w sekcji Użytkownicy, Profil, Hasła aplikacji. Obok każdego wpisu jest przycisk unieważnienia.
Czy aktualizacja do 1.0.277.1 rozwiązuje problem?
Changelog wersji 1.0.277.1 z 27 sierpnia wymienia deklarację zgodności z WordPressem 7.1 i naprawę fałszywego komunikatu o HTTPS w asystencie w sekcji pomocy. Nie odnosi się wprost do sposobu tworzenia i wysyłania hasła aplikacji, więc sama aktualizacja nie zastępuje ręcznego sprawdzenia listy poświadczeń.
Czy to jest backdoor?
Autor zarzutu sam wahał się przed użyciem tego słowa. Backdoor zwykle oznacza ukryty kanał dostępu wprowadzony w złej wierze, a tutaj mówimy o udokumentowanej funkcji wsparcia, której zarzuca się brak realnej zgody, zbyt szerokie uprawnienia i brak wygasania. To poważny zarzut projektowy, ale nazywanie go backdoorem jest przedmiotem sporu w branży.
Czy powinienem zmienić wtyczkę SEO?
Zmiana wtyczki SEO to operacja migracyjna, która sama w sobie niesie ryzyko utraty metadanych i przekierowań, więc nie jest odruchową reakcją na jedno zdarzenie. Rozsądniejsza kolejność to unieważnienie poświadczenia, wstrzymanie się z korzystaniem z agenta wsparcia i obserwacja, czy producent zmieni mechanizm w kolejnej aktualizacji.