Rank Math accusé de s'octroyer les droits admin WordPress

Un plugin utilisé sur plus de 4 millions de sites WordPress s'octroie les droits administrateur sans demander l'accord explicite de l'utilisateur : c'est ce qu'a révélé le développeur Sybre Waaijer, créateur du plugin concurrent The SEO Framework, le 30 août 2026. En cause, une fonctionnalité ajoutée dans la version 1.0.277 de Rank Math, sortie deux jours plus tôt.

Rank Math est l'alternative gratuite la plus installée face à Yoast SEO, y compris chez de nombreux éditeurs francophones qui s'en servent au quotidien pour leurs balises, leur schema.org ou leur maillage. Ce que décrit Waaijer n'est pas une simple faille de sécurité corrigée dans un correctif : c'est un comportement intégré par design dans une fonctionnalité de support propulsée par l'IA, et il pose une question de fond sur ce que les éditeurs de plugins SEO peuvent désormais s'autoriser à faire avec les accès qu'on leur confie.

01Ce que Sybre Waaijer a découvert

Le signal d'alerte vient d'un acteur qui connaît le terrain de l'intérieur : Sybre Waaijer développe The SEO Framework, un plugin SEO concurrent direct de Rank Math. Dans son post sur X du 30 août 2026, il résume la chronologie sans détour : « Two days ago, Rank Math closed about a dozen security issues in 1.0.277. This plugin runs on over 4 million sites. In that same update, group[.]one (who also owns WP Rocket) now gets administrative privileges to your site. »

Le rapprochement qu'il fait est volontairement dérangeant : une mise à jour censée fermer des vulnérabilités en ouvre une autre, cette fois structurelle et non accidentelle. Search Engine Journal a repris et vérifié l'information dès le 30 août, confirmant le mécanisme auprès de Roger Montti.

02Le mécanisme technique, étape par étape

Le déclencheur est banal en apparence : ouvrir la section « Help & Support » du plugin sur un site connecté à un compte Rank Math gratuit. À ce moment précis, Rank Math crée un WordPress Application Password, un mécanisme natif de WordPress conçu à l'origine pour autoriser des applications tierces à s'authentifier sans exposer le mot de passe principal.

Un mot de passe qui hérite du rôle de l'utilisateur

Le problème n'est pas l'Application Password en soi, c'est un outil légitime de WordPress. Le problème, selon Waaijer, est que ce mot de passe hérite automatiquement des permissions de l'utilisateur qui a ouvert l'onglet. Si cet utilisateur est administrateur, comme c'est le cas de la grande majorité des personnes qui gèrent les réglages SEO d'un site, l'accès créé est un accès administrateur complet, aussitôt transmis aux serveurs de Group.one.

« The plugin never asks first. The transfer starts before the box even appears. »

03Une case à cocher qui n'arrête rien

Rank Math affiche bien une case « Terms & Conditions » dans son interface. C'est précisément ce que dénonce Waaijer dans sa citation rapportée par Search Engine Journal : « The plugin never asks first. There is a 'Terms & Conditions' box, but it does not stop the password from being created or sent. The transfer starts before the box even appears. » Autrement dit, l'apparence de consentement existe, mais elle n'a aucun effet bloquant sur le transfert lui-même.

Pour un éditeur français ou européen, la formulation pèse lourd sur le plan RGPD : un accès administrateur complet, avec potentiellement des données personnelles d'utilisateurs, de clients ou de contacts stockées dans WordPress, part vers un tiers avant tout recueil de consentement effectif. C'est le genre de mécanique que la CNIL qualifierait sans hésiter de traitement non consenti.

04Vérifier et révoquer l'accès maintenant

Selon UltimateWB, le mot de passe créé apparaît sous le nom « WAP – Rank Math Support Agent » dans la liste des mots de passe d'application, et il n'expire jamais de lui-même. Sur chaque site utilisant Rank Math en version gratuite, la vérification prend deux minutes : ouvrir Utilisateurs, cliquer sur son profil, descendre jusqu'à la section « Mots de passe d'application », et chercher une entrée commençant par « WAP – ». Si elle existe, il faut la révoquer manuellement.

Un Support Agent qu'on ne peut pas désactiver

Point notable relevé par UltimateWB : révoquer le mot de passe ne désactive pas le Support Agent lui-même, qui reste actif dans le plugin. La seule barrière disponible pour l'instant est donc de surveiller et révoquer manuellement chaque nouvelle entrée générée, en attendant une réaction officielle de Rank Math sur le fond du problème plutôt que sur sa communication.

05Le vrai sujet : la confiance accordée aux plugins SEO IA

Rank Math n'est pas le premier acteur du secteur à intégrer un agent IA avec des droits élargis dans un outil grand public. On a vu la même logique côté éditeurs, avec par exemple le plugin Admin qu'OpenAI a lancé pour ChatGPT Work et Codex : des assistants qui agissent directement sur l'infrastructure, avec des permissions qui dépassent largement le simple conseil. La différence ici tient à l'absence totale de transparence sur le moment exact où l'accès bascule.

Selon Search Engine Journal, des utilisateurs rapportent que Rank Math a supprimé un important fil de discussion sur son forum consacré à ce sujet, et plusieurs annoncent désinstaller le plugin en réaction. Ce type de réponse, effacer la conversation plutôt que corriger le comportement, est souvent plus révélateur que le bug lui-même sur la gouvernance interne d'un éditeur qui gère des millions de sites tiers.

Pour les éditeurs qui suivent de près les questions de gouvernance des données face à l'IA, le parallèle avec les engagements pris ailleurs sur la rétention de données mérite d'être gardé en tête, voir notamment l'extension de la politique Zero Data Retention d'OpenAI aux modèles frontier annoncée le 19 août 2026. L'écart de posture entre un fournisseur qui documente et limite volontairement ses accès, et un plugin qui les crée en silence, donne la mesure du problème de confiance que Rank Math doit désormais résoudre.