Come trovare le Application Password di WAP in WordPress

Le password applicative di WordPress sono normalmente elencate nel profilo dell’utente WordPress che le possiede. Il segreto in chiaro viene mostrato solo al momento della creazione; in seguito, il profilo mostra metadati come nome, data di creazione e ultimo utilizzo, non il valore originale della password.

Metti in relazione etichetta, utente proprietario, momento di creazione, ultimo utilizzo e plugin integratore. Un’etichetta contenente «WAP» è un indizio sulla denominazione, non la prova del flusso dati completo o dell’insieme delle autorizzazioni.

Cause probabili

• La Application Password attesa non è mai stata creata, è stata revocata o appartiene a un altro profilo.
• La credenziale appartiene a un utente WordPress diverso da quello previsto dal client.
• Più credenziali con nomi simili rendono ambigui proprietario e uso attivo.
• Il nome visibile è un’etichetta e può non identificare in modo univoco la pagina o il flusso che ha creato la credenziale.
• Il plugin crea automaticamente una nuova Application Password quando la precedente manca o non è valida.

Sequenza diagnostica

1. Identifica il plugin e la pagina amministrativa che mostrano avviso o assistente.
2. Registra versioni di WordPress, plugin, client, connettore e server prima di cambiare qualcosa.
3. Esamina la sezione Application Password del profilo pertinente senza esporre segreti.
4. Controlla tutti gli utenti plausibili invece di presumere che il proprietario sia l’amministratore corrente.
5. Confronta nome, data di creazione, ultimo uso e ultimo IP con il flusso osservato.
6. Associa ogni assistente, plugin o connettore a un utente nominato e una credenziale.

Applicare la correzione minima

1. Documenta chi crea, ruota, riusa e revoca la credenziale e ogni trigger.
2. Revoca credenziali confermate inutilizzate o non più necessarie.
3. Crea un’identità WordPress dedicata invece di riusare l’amministratore umano.
4. Crea una Application Password nominata per l’identità dedicata e un solo scopo.
5. Invia prove ripulite e versionate se il comportamento resta specifico del plugin.

Verificare il risultato

• Ogni credenziale ha proprietario, scopo, creatore, stato e decisione di revoca.
• La richiesta autenticata corrisponde all’utente dedicato previsto.
• Il registro finale contiene versioni, prove, modifica, verifica e rollback senza segreti.
• Dopo la revoca, la stessa credenziale non autentica più.

Cosa non fare

• Non inserire Application Password, Authorization, token o cookie in prompt, ticket, log o screenshot.
• Non eliminare credenziali sconosciute prima di registrarne proprietario, scopo e ultimo uso.
• Non concedere accesso amministratore solo per superare un test di connessione.
• Non esporre pubblicamente log di debug o endpoint diagnostici.
• Non pubblicare affermazioni su dati remoti, consenso o permessi senza verificare la versione esatta.

Guide correlate

• Che cos’è WAP AI Assistant in WordPress?
• Come revocare l’accesso di WAP AI Assistant
• Quali permessi ha una Application Password di WAP?
• Come verificare tutte le credenziali IA di un sito WordPress
• Come identificare quale utente WordPress usa un assistente IA