Rank Math временно отключил ИИ-агента: что владельцам WordPress нужно знать о доступах

Rank Math временно убрал ИИ-помощника Support Agent из своего SEO-плагина. Поводом стали вопросы пользователей к тому, как функция создавала WordPress Application Password. Разработчик пообещал вернуть инструмент только после изменения сценария и явного запроса доступа.

Что произошло

Support Agent появился в версии Rank Math 1.0.277. Помощник должен был читать настройки сайта и готовить контекстный ответ для службы поддержки. По объяснению разработчика, при открытии раздела помощи для текущего пользователя автоматически создавался Application Password.

Сам механизм является штатной частью WordPress и предназначен для программного доступа к сайту. Проблема оказалась в пользовательском сценарии: владелец мог не ожидать появления нового ключа и не получал достаточно заметного объяснения до его создания. 31 августа в версии 1.0.277.2 функцию временно приостановили.

Что утверждает Rank Math о безопасности

Компания сообщает, что ключ шифровался, использовался только в активном сеансе и не сохранялся на её сервере для дальнейшей работы. Агент наследовал права текущего пользователя, не повышал роль и был рассчитан на чтение сведений, нужных для диагностики.

Эти пояснения важны, но они не отменяют главного урока: технически допустимый доступ должен быть понятен владельцу до выдачи. Разработчик признал недостаток прозрачности и заявил, что обновлённый процесс будет сначала объяснять цель доступа, объём данных и только затем просить согласие.

Что такое Application Password

Пароль приложения — отдельный ключ для доступа к API WordPress. Он не совпадает с обычным паролем учётной записи и может быть отозван независимо. Это удобнее, чем передавать основную пару логина и пароля внешнему сервису, но безопасность всё равно зависит от прав пользователя, которому принадлежит ключ.

Если Application Password создан для администратора, интеграция потенциально получает административный контекст в пределах доступных API-операций. Поэтому принцип минимальных прав остаётся обязательным: для автоматизации лучше использовать отдельного пользователя с ролью, достаточной только для конкретной задачи.

Что проверить владельцу сайта

1. Откройте профили администраторов и посмотрите список паролей приложений.
2. Удалите ключи, назначение которых команда не может объяснить.
3. Проверьте дату создания, последнее использование и понятность названий оставшихся доступов.
4. Убедитесь, что бывшие сотрудники и подрядчики не сохраняют активные учётные записи.
5. Обновите Rank Math до версии, в которой Support Agent уже приостановлен.
6. Сделайте резервную копию и проверьте журнал действий, если на сайте есть такой инструмент.

Сам факт наличия Application Password не доказывает взлом. Многие легальные интеграции используют этот механизм. Удалять все ключи без разбора тоже не стоит: можно остановить публикацию, обмен с CRM или мобильное приложение. Сначала установите владельца и назначение каждого доступа.

Как оценивать новые ИИ-функции в плагинах

Надпись «ИИ» не описывает архитектуру. Один помощник обрабатывает только введённый пользователем вопрос, другой читает настройки, тексты и технические сведения сайта. Перед включением полезно получить ответы на четыре вопроса: какие данные отправляются, куда они попадают, сколько хранятся и какие действия разрешены сервису.

Отдельно проверьте, можно ли выполнить задачу с меньшими правами. Для анализа SEO-настроек не всегда нужен доступ администратора ко всему сайту. Хороший сценарий показывает запрос заранее, перечисляет необходимые разрешения и оставляет пользователю простой способ их отозвать.

Нужно ли отказываться от Rank Math

Текущая информация не требует срочно удалять плагин со всех сайтов. Разработчик отключил спорную функцию и описал её механику. Рациональная реакция — обновить расширение, проверить пароли приложений и следить за условиями возвращения агента.

Одновременно случай напоминает о более широкой проблеме WordPress: сайт часто накапливает десятки расширений, и каждое получает доступ к данным и административным событиям. Чем меньше ненужных плагинов и заброшенных учётных записей, тем проще контролировать реальную поверхность доступа.

Как выстроить безопасное обслуживание WordPress

• обновлять ядро, тему и плагины по понятному графику;
• тестировать крупные изменения на копии сайта;
• выдавать отдельные учётные записи сотрудникам и интеграциям;
• хранить резервные копии вне рабочей площадки;
• периодически проверять администраторов, токены и пароли приложений;
• удалять расширения, которые больше не используются.

В рамках SEO-продвижения и технического аудита DigiWeb проверяет не только метатеги, но и состояние WordPress, потому что стабильность и управляемые доступы напрямую влияют на работу сайта. Полезная автоматизация должна экономить время и при этом оставлять владельцу ясный контроль над данными.