Le regole del digitale stanno cambiando.
O sei visibile o sei fuori. Noi ti aiutiamo a raggiungere i clienti giusti — quando ti stanno cercando.
Contattaci ora →
Il meccanismo prevede la creazione di una Application Password con privilegi da amministratore che, all’apertura del pannello di supporto, viene inviata senza consenso esplicito ai server di group.one, mantenendo un accesso persistente al sito.
Il popolare plugin SEO Rank Math è al centro di una polemica sulla sicurezza: creerebbe un accesso amministratore persistente e non richiesto, inviando le credenziali ai propri server. L'incidente, che segue una storia di vulnerabilità critiche, solleva seri dubbi sulla trasparenza e sulla fiducia che gli utenti possono riporre in strumenti così potenti, delegando il pieno controllo del proprio sito.
Il “support agent” con poteri da amministratore: una porta aperta senza preavviso?
Se usi Rank Math, uno dei plugin SEO più diffusi per WordPress, c’è una notizia che devi assolutamente conoscere.
Sembra che con un recente aggiornamento, il plugin si prenda una libertà non da poco: quella di creare, in silenzio, un accesso con pieni poteri di amministratore al tuo sito. La cosa succede nel momento esatto in cui tu, amministratore del sito connesso a un account Rank Math, apri il pannello “Help & Support” integrato nel plugin.
In quel preciso istante, come riportato su Search Engine Journal, viene generata una “Application Password” che eredita tutti i tuoi privilegi e viene inviata ai server di group.one, l’azienda proprietaria di Rank Math.
A sollevare il polverone è stato Sybre Waaijer, sviluppatore di un plugin concorrente, che ha descritto il meccanismo in dettaglio. A quanto pare, questa password, etichettata “WAP – Rank Math Support Agent”, viene creata senza richiedere un consenso esplicito. Anche se vedi una casella da spuntare per i termini e le condizioni, la password viene generata e inviata comunque.
E la parte più preoccupante è che questo accesso non scade e non viene revocato automaticamente quando chiudi la finestra del supporto. In pratica, un accesso persistente che rimane attivo finché non sei tu, manualmente, a revocarlo.
Sempre che tu sappia della sua esistenza, ovviamente.
E qui la faccenda si complica, perché se questo fosse un caso isolato, potremmo quasi chiudere un occhio.
Ma la storia di Rank Math, purtroppo, racconta altro.
Un passato di vulnerabilità che pesa sul presente
Non è la prima volta che Rank Math finisce sotto i riflettori per questioni di sicurezza, specialmente quando si parla di accessi e permessi. Bisogna fare un salto indietro al 2020, quando il team di Wordfence scoprì una falla gravissima, con un punteggio di criticità quasi massimo (9.8 su 10).
In parole povere, quella vulnerabilità permetteva a un qualsiasi malintenzionato, senza nemmeno essere autenticato, di dare privilegi da amministratore a un utente registrato qualsiasi.
O peggio, di toglierli a te e chiuderti fuori dal tuo stesso sito.
E la lista non si ferma qui.
Negli anni si sono susseguite altre problematiche: falle che permettevano di modificare i metadati senza autorizzazione, vulnerabilità di tipo Cross-Site Scripting (XSS) che, secondo le stime, hanno messo a rischio oltre due milioni di siti, e ripetuti problemi legati a controlli di accesso mancanti o insufficienti sulle sue API.
Un curriculum, diciamolo, che non aiuta a dormire sonni tranquilli.
E fa sorgere una domanda ancora più grande: di chi ci stiamo fidando esattamente quando installiamo un plugin così potente?
La fiducia al tempo dei plugin: di chi è davvero il controllo del tuo sito?
Dietro Rank Math c’è group.one, la stessa azienda che possiede anche il noto plugin di ottimizzazione delle performance WP Rocket. Parliamo quindi di un colosso le cui decisioni possono avere un impatto enorme sulla visibilità e sulla stabilità di milioni di siti web.
La vicenda del “Support Agent” va quindi oltre il singolo problema tecnico e apre un dibattito molto più ampio sulla fiducia che riponiamo nei fornitori di terze parti.
Da una parte, è comodo avere un supporto che può intervenire rapidamente per risolvere un problema.
Dall’altra, stiamo davvero cedendo le chiavi di casa nostra a un’azienda esterna, basandoci su una fiducia implicita e non su un consenso chiaro e informato?
Questa storia ci insegna che è fondamentale avere consapevolezza di cosa succede dietro le quinte del nostro WordPress. Ci ricorda che le “Application Passwords”, pensate per far comunicare servizi esterni in modo sicuro, possono diventare una potenziale backdoor se gestite senza trasparenza.
La questione, alla fine, non riguarda solo Rank Math.
Riguarda il delicato equilibrio tra le funzionalità che desideriamo e la sicurezza che pretendiamo.
E ci costringe a chiederci fino a che punto siamo disposti a delegare il controllo di un nostro bene così prezioso come il sito web.
Paghi un tool per stare tranquillo e ti apre una backdoor. Bel servizio. Ma a che serve delegare, se poi devi ricontrollare il controllore?
Signori, la questione non è la fiducia tradita. È la nostra passività. Delegare il controllo totale è una scelta comoda, non una necessità. Quando inizieremo a pretendere trasparenza prima del disastro?
@Eva Testa La trasparenza si pretende quando si capisce il baratto: noi diamo le chiavi del regno per un numerino verde che fa felice il capo.
Cioè, raga, è il solito sbatti quando si delega tutto a tool esterni. Loro ti danno roba da paura e in cambio si prendono le chiavi di casa nostra. A questo punto mi chiedo: quanto vale la comodità se il prezzo è il pieno controllo?
Affidiamo il castello al maggiordomo digitale per poi stupirci se si prende le stanze migliori. Ma cosa ci aspettavamo, la beneficenza?
Pensavo di controllare il mio business. Invece le chiavi le aveva uno sconosciuto. Un’altra grande vittoria del digitale. Come si ricostruisce la fiducia, dopo?
Giovanni, la fiducia non si ricostruisce, si protegge. Affidare le chiavi del proprio regno a sconosciuti è abdicare, non governare il proprio destino.
Ho venduto fiducia ai miei clienti, ora dovrò spiegare loro questa geniale porta di servizio.
Paola Caprioli, il digitale è un patto con entità sconosciute. Pensavamo di offrire chiavi, abbiamo solo cambiato il lucchetto alla porta dei clienti. La vera domanda è: chi ha sempre avuto il passepartout?
Consigliavo questo strumento ai miei. Un bel cavallo di Troia regalato con tanto di fiocco. Chissà quante porte ho aperto per conto terzi.
E io che spiego di fidarsi degli strumenti giusti, ma quali sarebbero a sto punto?
Silvia, la fiducia è un’architettura che crolla; il nostro giudizio è l’unica fondamenta.
Bello delegare per andare spediti, no? Peccato che hai dato le chiavi di casa al primo che passa. Alla fine, quanto vale la nostra fiducia?
Questa non è una falla, è un tradimento deliberato. Un ponte levatoio abbassato per loro. Quanti altri strumenti spiano le nostre fortezze digitali?