Actualité : Le 26 août 2026, Rank Math a publié la version 1.0.277 de son extension SEO pour WordPress, installée sur plus de 4 millions de sites. Le changelog officiel y annonce l'ajout d'un « Support Agent » et de « capacités permettant aux assistants IA de configurer les réglages de Rank Math ». Deux jours plus tard, le développeur Sybre Waaijer affirmait que ce dispositif crée un mot de passe d'application WordPress de niveau administrateur transmis à l'éditeur (WordPress.org et Search Engine Journal, 30 août 2026).

Écran d'ordinateur affichant un tableau de bord d'administration WordPress au texte volontairement flou, dans un bureau sombre éclairé par une lampe de travail

Une extension SEO peut désormais ouvrir à un agent IA un accès de niveau administrateur à votre site, et l'ouvrir sans que vous l'ayez remarqué. C'est le cœur de l'affaire Rank Math. Une partie des faits est confirmée par l'éditeur lui-même, dans son propre changelog. Une autre partie relève d'une accusation publique à laquelle l'éditeur n'a pas répondu. La distinction compte, et c'est elle qui devrait guider ce que vous faites dans les dix prochaines minutes.

Ce que Rank Math confirme lui-même

Le point de départ n'est pas une rumeur : c'est le changelog public de l'extension, consultable sur la fiche WordPress.org de Rank Math SEO. La version 1.0.277, datée du 26 août 2026, annonce l'ajout d'un agent de support « qui répond aux questions de support à tout moment, directement depuis l'extension », et, dans la même liste, l'ajout de « capacités permettant aux assistants IA de configurer les réglages de Rank Math ». La même version indique aussi avoir « renforcé la sécurité de l'extension ».

Le détail le plus intéressant se trouve dans le correctif publié le lendemain. La version 1.0.277.1, du 27 août 2026, corrige un comportement de « l'assistant IA Help & Support » qui affichait à tort un avertissement HTTPS « lorsque les mots de passe d'application étaient désactivés par une autre extension ». Autrement dit : l'éditeur documente lui-même que sa fonctionnalité d'assistance IA dépend des mots de passe d'application de WordPress. Ce n'est pas une déduction d'observateur, c'est écrit dans ses notes de version.

Il faut savoir ce qu'est un mot de passe d'application pour mesurer la portée. Introduit dans WordPress 5.6, un mot de passe d'application est un identifiant distinct destiné aux usages automatisés, décrit dans le guide d'intégration publié par l'équipe WordPress Core. Il ne permet pas de se connecter par l'écran de connexion habituel, mais il ouvre l'API REST du site avec les droits du compte qui l'a généré. Généré depuis un compte administrateur, il autorise donc des actions d'administrateur : modifier des réglages, créer ou publier du contenu, gérer des extensions.

Ce qui relève de l'accusation, et d'où elle vient

Le 28 août 2026, Sybre Waaijer a publié sur X une lecture du code de cette version. Sa formulation est directe : « Il y a deux jours, Rank Math a corrigé une douzaine de problèmes de sécurité dans la 1.0.277. Cette extension tourne sur plus de 4 millions de sites. Dans la même mise à jour, group.one (qui possède aussi WP Rocket) obtient des privilèges administrateur sur votre site. »

Selon son analyse, reprise le 30 août par Search Engine Journal, l'ouverture de la section « Help & Support » sur un site relié à un compte Rank Math gratuit déclenche la création d'un mot de passe d'application nommé « WAP - Rank Math Support Agent ». Ce mot de passe serait créé avant même l'affichage de la fenêtre de conditions d'utilisation, n'expirerait pas, et ne serait pas révoqué à la fermeture de l'onglet.

Un élément de contexte est indispensable ici : Sybre Waaijer est le développeur de The SEO Framework, une extension SEO directement concurrente de Rank Math. Cela ne disqualifie pas son analyse, qui porte sur du code public et vérifiable par n'importe quel développeur. Cela impose en revanche de la présenter pour ce qu'elle est : la lecture d'un concurrent, pas le constat d'un tiers neutre. À la date du 30 août 2026, la couverture de Search Engine Journal ne recensait ni déclaration ni démenti de Rank Math ou de group.one.

Votre stack SEO ouvre-t-elle des portes que vous ignorez ?

On audite vos extensions, vos accès et votre visibilité dans les réponses IA. Gratuit, sans engagement.

Pourquoi ça dépasse largement Rank Math

Cette affaire est le premier cas grand public d'un basculement plus large : les agents IA passent du statut de lecteurs à celui d'acteurs sur votre site. Jusqu'ici, la question posée aux responsables de sites était : quels robots ont le droit de lire mes pages ? C'est le débat que nous suivions avec le blocage des crawlers IA par Cloudflare, ou avec l'adoption réelle de la spécification llms.txt. La question qui arrive est d'un autre ordre : quels agents ont le droit d'écrire ?

Un agent qui configure vos réglages SEO peut modifier vos balises title, vos directives d'indexation, vos redirections, votre sitemap. Ce sont exactement les leviers qui déterminent si votre site est visible. La différence avec un incident de sécurité classique, c'est qu'une mauvaise manipulation n'y ressemble pas à un piratage : elle ressemble à une chute de trafic inexpliquée, trois semaines plus tard. C'est la même logique de traçabilité que nous relevions à propos des journaux d'agents IA après l'arrêt d'OpenAI Atlas : sans trace, pas de diagnostic possible.

Ce qu'il faut faire maintenant

Trois actions concrètes, par ordre de priorité.

  1. Vérifiez, site par site. Dans WordPress : Utilisateurs → Profil → Mots de passe d'application. Révoquez toute entrée dont le nom commence par « WAP » si vous ne l'avez pas créée sciemment. Comptez moins d'une minute par site. Cette opération n'a aucun effet négatif sur votre référencement.
  2. Faites l'inventaire de vos comptes administrateurs. Le mécanisme décrit ne se déclenche que depuis un compte administrateur. Beaucoup de sites de PME comptent trois à cinq comptes administrateurs qui devraient être éditeurs. Réduire ce nombre réduit mécaniquement la surface exposée, quelle que soit l'extension en cause.
  3. Traitez les notes de version comme un document de sécurité. Ce qui a permis de documenter cette affaire n'est pas un audit coûteux : c'est la lecture d'un changelog public. Quand une mise à jour annonce qu'un assistant IA peut « configurer les réglages », c'est une décision d'architecture, pas une amélioration de confort.

Les limites de ce que l'on sait

Plusieurs points restent ouverts, et il serait malhonnête de les présenter autrement. L'intention de l'éditeur n'est pas établie : la lecture la plus favorable est celle d'un dispositif de support technique mal cadré côté consentement, ce qui est très différent d'une collecte délibérée. Aucun abus effectif, aucune modification non sollicitée de site n'a été rapporté publiquement à ce jour. Le nombre réel de sites où le mot de passe a été créé est inconnu : il suppose à la fois la version 1.0.277, un compte Rank Math relié et l'ouverture de l'écran de support. Le chiffre de 4 millions est celui des installations actives de l'extension, pas celui des sites concernés. Enfin, cet article ne traite pas du cas WPForms, évoqué dans le même contexte par plusieurs observateurs, qui repose sur un mécanisme distinct.

Questions fréquentes

Comment savoir si mon site est concerné ?

Ouvrez votre administration WordPress, allez dans Utilisateurs, puis Profil, puis la section Mots de passe d'application. Si une entrée dont le nom commence par « WAP » y figure, elle a été créée. Vous pouvez la révoquer depuis cet écran. L'opération prend moins d'une minute par site et n'a aucun effet sur votre référencement.

Faut-il désinstaller Rank Math ?

Rien ne le justifie à ce stade. Aucun abus de ce mécanisme n'a été rapporté publiquement, et le changelog officiel documente lui-même la fonctionnalité. Révoquer le mot de passe d'application et surveiller les publications de l'éditeur est une réponse proportionnée. Désinstaller une extension SEO dans l'urgence crée généralement plus de dégâts que le risque qu'on cherche à éviter.

Un mot de passe d'application, est-ce la même chose qu'un mot de passe administrateur ?

Non, mais l'effet pratique est proche. C'est un identifiant distinct, créé pour un usage automatisé, qui ne permet pas de se connecter par l'écran de connexion classique. Il donne en revanche accès à l'API REST de WordPress avec les droits du compte qui l'a généré. Créé depuis un compte administrateur, il ouvre donc des actions de niveau administrateur.

Rank Math a-t-il répondu ?

Aucune déclaration publique de Rank Math ou de group.one n'était recensée dans la couverture publiée par Search Engine Journal le 30 août 2026. En l'absence de réponse de l'éditeur, l'intention derrière ce code n'est pas établie, et les éléments disponibles restent une accusation étayée par une lecture du code, pas un fait vérifié contradictoirement.

L'analyse Cicéro

Notre lecture : le problème n'est pas qu'un éditeur ait branché une IA sur son support, c'est que le consentement soit arrivé après la création de l'identifiant plutôt qu'avant. L'ordre des opérations est toute la différence entre une fonctionnalité et une prise d'accès. Pour les PME, la leçon utile n'est pas de se méfier de Rank Math en particulier : c'est d'admettre que la question « quels agents IA peuvent écrire sur mon site ? » vient de rejoindre la liste des vérifications de base, au même titre que les sauvegardes. Et cette question, en 2026, ne se pose plus seulement à votre hébergeur : elle se pose à chacune de vos extensions.

Sources

Alexis Dollé, fondateur de Cicéro
Alexis Dollé
CEO & Fondateur

Spécialiste du growth et de la stratégie de contenu SEO & GEO, j'ai lancé Cicéro pour aider les entreprises à capter une visibilité organique durable : sur Google comme dans les réponses des IA. Chaque contenu qu'on produit est pensé pour convertir, pas juste pour exister.

LinkedIn