Cómo encontrar las Application Passwords de WAP en WordPress

Las contraseñas de aplicación de WordPress se muestran normalmente en el perfil del usuario de WordPress que las posee. El secreto en texto claro solo se presenta al crearlo; después, el perfil muestra metadatos como el nombre, la fecha de creación y la última utilización, no el valor original de la contraseña.

Relacione la etiqueta, el usuario propietario, la fecha de creación, el último uso y el plugin integrador. Una etiqueta que contenga «WAP» aporta evidencia sobre el nombre, no demuestra el flujo completo de datos ni el conjunto de permisos.

Causas probables

• La Application Password esperada nunca se creó, fue revocada o pertenece a otro perfil.
• La credencial está asociada a un usuario de WordPress distinto del que espera el cliente.
• Varias credenciales con nombres parecidos hacen ambiguos el propietario y el uso activo.
• El nombre visible de la credencial es una etiqueta y puede no identificar de forma única la página o flujo que la creó.
• El plugin crea automáticamente una nueva Application Password cuando la anterior falta o no es válida.

Secuencia de diagnóstico

1. Identifique el plugin y la página de administración que muestran el aviso o asistente.
2. Registre las versiones de WordPress, plugin, cliente, conector y servidor antes de cambiar nada.
3. Revise la sección de Application Passwords del perfil relevante sin exponer ningún secreto.
4. Revise todos los usuarios plausibles en lugar de suponer que el administrador actual posee la credencial.
5. Compare nombre, fecha de creación, último uso y última IP con el flujo observado.
6. Asocie cada asistente, plugin o conector con un usuario nombrado y una credencial.

Aplicar la corrección mínima

1. Documente quién crea, rota, reutiliza y revoca la credencial, y qué activa cada cambio.
2. Revoque credenciales confirmadas como no utilizadas o innecesarias.
3. Cree una identidad dedicada de WordPress en vez de reutilizar al administrador humano.
4. Cree una Application Password con nombre para la identidad dedicada y una sola finalidad.
5. Escale con evidencia saneada y versionada cuando el comportamiento siga siendo específico del plugin.

Verificar el resultado

• Cada credencial observada tiene propietario, finalidad, creador, estado y decisión de revocación.
• La solicitud autenticada corresponde al usuario dedicado previsto.
• El registro final contiene versiones, evidencia, cambio, verificación y reversión sin secretos.
• Tras la revocación, la misma credencial ya no puede autenticar.

Qué no hacer

• No incluya una Application Password, encabezado Authorization, token o cookie en prompts, tickets, registros o capturas.
• No elimine todas las credenciales desconocidas antes de registrar propietario, finalidad y último uso.
• No conceda acceso de administrador solo para que una prueba de conexión funcione.
• No exponga públicamente registros de depuración o endpoints de diagnóstico.
• No publique afirmaciones sobre uso remoto de datos, consentimiento o permisos sin verificar la versión exacta.

Guías relacionadas

• ¿Qué es WAP AI Assistant en WordPress?
• Cómo revocar el acceso de WAP AI Assistant
• ¿Qué permisos tiene una Application Password de WAP?
• Cómo auditar todas las credenciales de IA de un sitio WordPress
• Cómo identificar qué usuario de WordPress utiliza un asistente de IA