PAGUP Agent ControlAcceso a WordPress para asistentes de IA
Probar gratis

WAP AI Assistant requiere HTTPS en WordPress: qué significa y cómo corregirlo

Los dos mensajes que ya aparecen en la demanda de búsqueda son: «WAP AI Assistant requires HTTPS to use WordPress Application Passwords.» y «The AI chat widget will be hidden until this site is served over HTTPS.» En primer lugar, orientan el diagnóstico hacia la detección de HTTPS y la disponibilidad de las contraseñas de aplicación, no hacia la concesión de permisos más amplios en WordPress.

En un sitio servido realmente mediante HTTPS, compruebe si WordPress reconoce la solicitud como segura y si otro plugin o filtro ha desactivado las contraseñas de aplicación. Rank Math documentó un defecto del aviso en la versión 1.0.277 y una corrección en la versión 1.0.277.1 para sitios HTTPS donde otro plugin había desactivado las contraseñas de aplicación.

Causas probables

  • El sitio no se sirve realmente por HTTPS en la URL utilizada por el asistente.
  • El navegador usa HTTPS, pero WordPress no detecta como segura la solicitud recibida en el origen.
  • Un plugin de seguridad, un plugin obligatorio o un filtro personalizado desactiva globalmente las Application Passwords.
  • La versión instalada del plugin muestra un aviso HTTPS incorrecto u obsoleto.
  • Otro plugin modifica la detección de HTTPS, el acceso REST o la disponibilidad de Application Passwords.

Secuencia de diagnóstico

  1. Capture el mensaje exacto saneado, el estado HTTP y el cuerpo de respuesta sin incluir secretos.
  2. Registre las versiones de WordPress, plugin, cliente, conector y servidor antes de cambiar nada.
  3. Identifique el plugin y la página de administración que muestran el aviso o asistente.
  4. Confirme que la URL exacta usada por el asistente carga con una conexión HTTPS válida.
  5. Compruebe si las Application Passwords están disponibles globalmente en el entorno activo.
  6. Compare la versión instalada con el registro oficial de cambios y las versiones correctivas.

Aplicar la corrección mínima

  1. Sirva las URL exactas de WordPress y REST por HTTPS antes de activar autenticación con Application Password.
  2. Corrija el manejo del proxy de confianza y del origen para que WordPress reconozca la solicitud HTTPS original.
  3. Elimine o limite el filtro que desactiva Application Passwords solo después de confirmar la política de seguridad prevista.
  4. Actualice a la versión del plugin que documenta o corrige el comportamiento observado.
  5. Escale con evidencia saneada y versionada cuando el comportamiento siga siendo específico del plugin.

Verificar el resultado

  • El aviso desaparece solo en la condición corregida y no vuelve en páginas de administración no relacionadas.
  • El índice REST responde desde la URL HTTPS canónica y expone los espacios de nombres esperados.
  • La solicitud autenticada corresponde al usuario dedicado previsto.
  • Una escritura deliberadamente prohibida sigue siendo rechazada.

Qué no hacer

  • No conceda acceso de administrador solo para que una prueba de conexión funcione.
  • No desactive globalmente el WAF o plugin de seguridad para evitar una sola solicitud.
  • No incluya una Application Password, encabezado Authorization, token o cookie en prompts, tickets, registros o capturas.
  • No describa el aviso o credencial como malware, puerta trasera o compromiso sin evidencia.
  • No confunda autenticación correcta con permiso para ejecutar todas las acciones de WordPress.

Preguntas frecuentes

¿Puedo quitar el aviso sin comprender la credencial?

Puede ocultar o retirar un aviso, pero eso no aclara si existe una credencial, qué usuario la posee o si el asistente creará otra. Cartografíe el ciclo de vida antes de suprimir la interfaz.

Guías relacionadas

Fuentes y verificación

Esta página se verificó a partir de las siguientes fuentes primarias. Última revisión de las fuentes: .