Rank Math, l’une des extensions SEO les plus installées de l’écosystème WordPress avec 4 millions d’installations actives, a suspendu son nouvel agent de support basé sur l’intelligence artificielle. En cause : une polémique sur la sécurité.
Ce qui posait problème
Introduite fin août, la fonctionnalité créait automatiquement un mot de passe d’application WordPress doté des droits de l’utilisateur connecté, puis le transmettait aux serveurs de group.one, la maison-mère de Rank Math. Le tout avant tout consentement explicite de l’utilisateur.
Autrement dit : un identifiant permettant d’agir sur votre site avec vos propres droits partait chez un tiers sans que vous ayez cliqué sur quoi que ce soit. Sur un site d’administrateur, cela signifie un accès complet.
Rank Math a depuis supprimé l’agent et prévoit de le réintroduire avec des contrôles de permissions et une demande de consentement explicite.
Matt Mullenweg réclame des audits obligatoires
L’affaire a dépassé le cadre de l’extension. Elle a poussé Matt Mullenweg à réclamer des audits de sécurité obligatoires pour les extensions du répertoire WordPress.org disposant d’un accès administrateur externe.
L’équipe Plugins étudie désormais cette proposition, rapporte le média spécialisé The Repository.
Notre avis
Cette affaire est symptomatique de la course à l’intelligence artificielle qui traverse l’écosystème des extensions depuis deux ans. Pour sortir une fonctionnalité avant les concurrents, on branche un agent sur le site de l’utilisateur, et la question des permissions passe après.
Le point précis qui coince ici n’est pas l’agent lui-même, c’est l’absence de consentement. Créer un mot de passe d’application et l’envoyer ailleurs sans rien demander, c’est une décision que seul le propriétaire du site devrait pouvoir prendre. Rank Math a corrigé vite, c’est à mettre à son crédit.
Deux réflexes utiles pour vous, indépendamment de cette extension :
- Allez jeter un œil aux mots de passe d’application enregistrés sur votre profil utilisateur WordPress. Supprimez ceux dont vous ne reconnaissez pas l’origine.
- Quand une extension annonce un assistant IA, demandez-vous à quelles données il accède et où elles partent. La réponse devrait figurer dans sa documentation. Si elle n’y figure pas, c’est déjà une réponse.
Quant à la proposition d’audits obligatoires, elle part d’une bonne intention mais soulève une vraie question de moyens : qui audite, à quel rythme, et avec quel budget pour un répertoire de dizaines de milliers d’extensions maintenues bénévolement ? À suivre.