De nouvelles allégations ont fait surface selon lesquelles Rank Math aurait introduit une fonctionnalité qui accorde silencieusement à l’entreprise des autorisations de niveau administrateur sur les sites WordPress. L’accès est déclenché lorsqu’un utilisateur installe Rank Math et ouvre la zone Aide et support du plugin.
Il n’y aurait apparemment aucun consentement ni notification
Le développeur du plugin SEO Framework SEO a récemment tweeté que lorsqu’un utilisateur ouvre la section Aide et support de Rank Math, le plugin crée un mot de passe d’application WordPress lié à l’utilisateur qui ouvre cette section Aide et support. Ainsi, si l’utilisateur qui clique dans la zone d’administration du plugin dispose du niveau d’autorisation d’administrateur, le mot de passe de l’application WordPress généré par Rank Math hérite des autorisations de niveau administrateur.
Sybere Waaijer a expliqué :
« Il y a deux jours, Rank Math a résolu une douzaine de problèmes de sécurité dans la version 1.0.277. Ce plugin fonctionne sur plus de 4 millions de sites.
Dans cette même mise à jour, groupe[.]l’un d’entre eux (qui possède également WP Rocket) obtient désormais des privilèges administratifs sur votre site.
La dernière fois, j’ai classé quelque chose comme ça comme une porte dérobée. Cette fois, c’est vous qui décidez.
Le fichier : supplier/groupone/wap-client/includes/class-app-password-manager.php.
Ce qu’il fait :
Lorsqu’un administrateur de site dont le site est connecté à un Rankmath (gratuit)[.]com ouvre « Aide et support », le plugin crée immédiatement un mot de passe d’application WordPress pour cet utilisateur. Il envoie ce mot de passe au groupe[.]ses serveurs. Leur agent IA peut alors agir en votre nom sur votre site.
Mot de passe de l’application WordPress
Les mots de passe des applications WordPress sont une chose légitime dans WordPress, ils font partie du noyau de WordPress et sont quelque chose que les plugins peuvent faire. Il existe même des directives qui indiquent aux développeurs de plugins comment générer des mots de passe d’application WordPress. C’est probablement la raison pour laquelle Sybre Waaijer a hésité à catégoriser ce que fait Rank Math comme une porte dérobée.
Rank Math ne demande pas d’autorisation
L’une des nombreuses raisons pour lesquelles Waaijer s’oppose à ce que fait Rank Math est liée à la façon dont Rank Math génère ces niveaux d’autorisation pour lui-même.
Il a expliqué :
« Le plugin ne demande jamais au préalable. Il y a une boîte « Conditions générales », mais cela n’empêche pas la création ou l’envoi du mot de passe. Le transfert commence avant même que la boîte n’apparaisse. »
L’autorisation de l’utilisateur est intégrée au flux de mot de passe de l’application WordPress
La documentation officielle de WordPress spécifie un écran d’autorisation où le plugin s’identifie, la connexion est présentée à l’utilisateur et a la possibilité de l’approuver ou de la rejeter. La spécification indique que le mot de passe de l’application n’est transmis au plugin qu’une fois qu’il a été approuvé par l’utilisateur.
Capture d’écran de l’exemple d’autorisation
Règle de consentement explicite de WordPress.org
Les directives des plugins de WordPress spécifient une règle de consentement explicite concernant les serveurs externes. Les directives officielles indiquent que les plugins ne peuvent pas contacter des serveurs externes sans « consentement explicite et autorisé », en spécifiant une case à cocher d’adhésion. Ils interdisent également la collecte automatisée des données des utilisateurs sans confirmation explicite.
Les lignes directrices précisent :
« 7. Les plugins ne peuvent pas suivre les utilisateurs sans leur consentement.
Dans l’intérêt de la protection de la vie privée des utilisateurs, les plugins ne peuvent pas contacter des serveurs externes sans consentement explicite et autorisé. Cela se fait généralement via une méthode « opt-in », nécessitant une inscription auprès d’un service ou une case à cocher dans les paramètres du plugin. La documentation sur la manière dont les données utilisateur sont collectées et utilisées doit être incluse dans le fichier Lisez-moi du plugin, de préférence avec une politique de confidentialité clairement énoncée.
Les mots de passe des applications sont censés être des informations d’identification révocables
WordPress décrit les mots de passe d’application comme quelque chose qu’un utilisateur peut consulter et révoquer.
« Les mots de passe d’application sont une fonctionnalité WordPress qui vous permet de générer des informations d’identification révocables par application…
Et aussi:
« Un mot de passe d’application est :
Révocable individuellement, vous pouvez donc désactiver une seule intégration sans modifier le mot de passe principal de l’utilisateur.
Waaijer a expliqué comment procéder pour révoquer le mot de passe de l’application que l’agent de support Rank Math déclenche :
« Le mot de passe apparaît sur votre profil comme « WAP – Rank Math Support Agent ». La fermeture de l’onglet « Aide et support » ne le révoque pas. Ce mot de passe d’application n’expire pas. Vous ne pouvez pas désactiver « Support Agent ».
Ce que vous devriez faire :
Si vous avez ouvert « Aide et support » pendant que vous êtes connecté, révoquez immédiatement les mots de passe de l’application.Accédez à « WP Admin -> Users -> Profile -> Application Mots de passe et révoquez tout ce qui commence par « WAP – ».
Réponses des utilisateurs
La réaction des utilisateurs a été absolument négative tout au long du processus.
Le tweet de @tprinty illustre la colère que les utilisateurs ressentent envers Rank Math :
« C’est horrible. WP a besoin du référencement dans le cadre de son noyau. »
Rank Math accusé d’avoir supprimé des plaintes
@CAwavehello a raconté que le forum de discussion Rank Math avait un gros fil de discussion sur ce sujet et que la discussion avait ensuite été supprimée, probablement par Rank Math.
@CAwavehello a partagé :
« Je me demandais pourquoi tout ce bruit. Il y a eu un énorme fil de discussion sur leur page de forum WP il y a quelques jours et maintenant il a été supprimé comme par magie. J’ai reçu la notification aujourd’hui, ils l’ont supprimé après que l’enfer se soit déchaîné sur leur forum d’utilisateurs. WTF ?! »
Les utilisateurs s’éloignent des mathématiques de classement
@SwiftyLunatic a déclaré qu’ils éloignaient leurs sites Web de Rank Math :
« Il est temps d’éloigner mes sites Web de @rankmathseo
pourquoi fais-tu ça, espèce d’entreprise louche. Le meilleur plugin de référencement pour changer aussi, s’il vous plaît ?
@SEOMastery2026 a tweeté :
« attendre l’accès administrateur sans demander? »
Classer Math ne figure pas sur la liste des plugins approuvés par SEJ
Rank Math n’a pas été retenu pour la liste des plugins WordPress recommandés par le Search Engine Journal, car l’une des exigences est que les plugins soient dignes de confiance, ce qui inclut de ne pas avoir d’historique de vulnérabilités.
Rank Math présentait sept vulnérabilités en 2024, quatre vulnérabilités en 2025 et jusqu’à présent en 2026, trois vulnérabilités ont été découvertes dans Rank Math, y compris une récente vulnérabilité de script intersite stocké non authentifié. Effectuez toujours une vérification approfondie de tous les plugins utilisés sur votre site, y compris un contrôle de sécurité.
