El 28 de agosto de 2026, un plugin que corre en más de 4 millones de sitios WordPress empezó a crear, sin preguntarle a nadie, una contraseña de administrador y a mandarla a un servidor que no es el tuyo. Si tu sitio usa Rank Math, hay una posibilidad real de que esto te haya pasado a ti sin que te enteraras.
No fue un hackeo. Fue una función.
Imagina que contratas a alguien para que te haga mantención en la casa dos veces al mes. Un día, sin avisarte, esa persona le pasa una copia de tu llave a la empresa que la emplea, “por si necesitan entrar a hacer soporte técnico”. Nadie te preguntó. La llave no expira. Y no puedes anularla cerrando la puerta: tienes que ir tú mismo a cambiar la chapa.
Qué pasó exactamente con Rank Math
Sybre Waaijer, desarrollador de un plugin SEO competidor (The SEO Framework), denunció públicamente que la versión 1.0.277 de Rank Math contenía código que, al abrir la sección de Ayuda y Soporte en un sitio conectado a una cuenta gratuita de rankmath.com, creaba de inmediato una contraseña de aplicación de WordPress con acceso de nivel Administrador. Search Engine Journal confirmó el caso el 30 de agosto de 2026.
Esa credencial se enviaba a los servidores de group.one, la empresa matriz de Rank Math (que también es dueña de WP Rocket). Aparecía en el perfil del usuario como “WAP – Rank Math Support Agent”, no expiraba, no se podía desactivar desde el panel y no se revocaba cerrando la pestaña del navegador.
Rank Math reaccionó rápido: el 31 de agosto lanzó la versión 1.0.277.2, eliminó el agente y agregó una función de limpieza para borrar las contraseñas que esa función había creado. En su base de conocimiento reconoció que debió ser más clara sobre las credenciales, describió al agente como de solo lectura y dijo que las credenciales “no se almacenaron ni persistieron de nuestro lado”. También presentó al support agent como “el primer paso hacia una visión más amplia de SEO Agéntico, dando a la IA la capacidad de tomar acciones significativas en tu sitio”, lo que confirma que esto no fue un error aislado, sino un plan de automatización que sigue en marcha.
Por qué esto no es un problema de nerds, es un problema de negocio
El problema no es Rank Math como plugin. El problema es no saber quién tiene la llave de tu casa.
Tu sitio web no es un folleto digital. Es donde recibes formularios de clientes, donde procesas ventas, donde está el historial de todo lo que escribiste en cinco años de blog. Si alguien tiene acceso de administrador sin que lo sepas, no importa qué tan bonito sea el diseño ni qué tan rápido cargue la página: esa persona (o esa empresa) puede editar contenido, cambiar precios, exportar datos de contacto o instalar lo que quiera. Y tú ni te enteras, porque el acceso no aparece como “intruso”, aparece como un usuario más.
Esto le pasa igual a una pyme con 200 visitas al mes que a un e-commerce con miles de pedidos. El tamaño del negocio no cambia el riesgo, solo cambia cuánto duele cuando se materializa.
Qué revisar ahora mismo en tu sitio
Si tu sitio corre en WordPress, esto toma cinco minutos: ve a Usuarios, luego a Perfil, y busca la sección Contraseñas de Aplicación. Revisa si hay alguna entrada que empiece con “WAP -” y revócala. Si no sabes cómo entrar al panel de administración de tu propio sitio, ese es un problema más urgente que el plugin: significa que alguien más tiene el control completo y tú dependes de esa persona para enterarte de algo tan básico.
Ojo con esto: da lo mismo si usas Rank Math o no. El caso sirve como ejemplo de algo más grande, que cualquier plugin con acceso de administrador (SEO, caché, seguridad, formularios) puede, en teoría, hacer lo mismo si su código lo permite. La pregunta no es “¿qué plugin instalé?”, es “¿quién más tiene acceso a mi sitio y para qué?”.
La pregunta que le deberías hacer a tu agencia de diseño web
Cuando contratas a alguien para construir o mantener tu sitio, hay tres cosas que deberías poder responder sin pedirle ayuda a nadie: quién tiene acceso de administrador, qué plugins están instalados y por qué, y si existe un proceso de auditoría periódica de esos accesos. Si no puedes responder esas tres preguntas hoy, no es un detalle técnico que se te escapó: es una fuga abierta esperando a que alguien la use, a propósito o por accidente.
Ya escribí sobre esto cuando hablamos de a quién deberían pertenecer los accesos de tu cuenta SEO, y el caso Rank Math es la versión concreta de ese problema: no es abstracto, es una contraseña real que alguien más puede estar usando ahora mismo.
Nosotros en Jalapeños, cuando construimos o migramos un sitio, dejamos los accesos a nombre del cliente, no de la agencia, y documentamos cada plugin instalado y para qué sirve. No es una política heroica, es simplemente no dejar la puerta con la llave puesta por fuera. Es como el candado de la bicicleta: puede ser carísimo, pero si le diste copia de la llave a cualquiera, no sirve de nada.
Si quieres que revisemos quién tiene acceso a tu sitio hoy, qué plugins están corriendo y si alguno de ellos está haciendo algo que no sabías, puedes agendar un diagnóstico gratuito en jalapenos.cl/agendar. No es una venta forzada, es una revisión de 30 minutos para que sepas en qué pie estás parado. 🌶️
