MCP et WordPress : connecter une IA à son site avec le MCP Adapter

Pour qu'une IA agisse sur un WordPress auto-hébergé, la voie officielle passe par deux briques : l'Abilities API, intégrée à WordPress depuis la version 6.9, qui recense ce que le site sait faire, et le MCP Adapter, un plugin séparé qui rend ces « capacités » utilisables par un client MCP (Claude, ChatGPT, un éditeur de code)¹². L'adaptateur n'est pas fourni avec WordPress 7.0, sorti le 20 mai 2026³. Et rien n'est exposé par défaut : chaque capacité doit être déclarée publique, avec ses contrôles de droits⁴.

Comment WordPress se branche-t-il à MCP ?

Le principe est le même que pour tout serveur MCP (voir le fonctionnement d'un serveur MCP), avec deux couches côté WordPress.

• Abilities API : un registre où plugins, thèmes et le noyau déclarent des capacités lisibles par une machine (nom, description, schéma des entrées et des sorties, vérification des droits). Elle est intégrée depuis WordPress 6.9¹.
• MCP Adapter : le pont qui transforme ces capacités en outils MCP. Il exige WordPress 6.9 ou plus, s'installe comme un plugin et crée un serveur par défaut avec trois outils génériques : mcp-adapter-discover-abilities, mcp-adapter-get-ability-info et mcp-adapter-execute-ability². L'IA découvre donc d'abord ce qui existe, puis exécute.

WordPress 7.0 ajoute par ailleurs un client IA (pour que le site appelle des fournisseurs comme Anthropic, Google ou OpenAI), ce qui est l'inverse du besoin ici : l'adaptateur gère les agents qui viennent vers le site³. La feuille de route de WordPress 7.2 (sortie prévue début décembre 2026) prévoit de publier l'adaptateur dans le répertoire officiel des plugins, mais n'annonce pas de son intégration au noyau⁵.

Comment connecter Claude à un site WordPress ?

Deux transports sont documentés²⁶.

En local, par WP-CLI (STDIO)

Adapté à un site auquel vous avez accès en ligne de commande. Le client lance WP-CLI, qui se connecte en tant qu'utilisateur WordPress indiqué :

{
  "mcpServers": {
    "wordpress": {
      "command": "wp",
      "args": [
        "--path=/chemin/vers/votre/wordpress",
        "mcp-adapter",
        "serve",
        "--server=mcp-adapter-default-server",
        "--user=admin"
      ]
    }
  }
}

Ce bloc va dans claude_desktop_config.json (procédure complète dans MCP et Claude : guide pratique). Remplacez admin par un compte aux droits limités, pas par un administrateur.

À distance, par HTTP

Le serveur par défaut répond à l'adresse /wp-json/mcp/mcp-adapter-default-server. L'authentification passe par un mot de passe d'application (ou une implémentation OAuth maison)⁴. Le projet documente le proxy @automattic/mcp-wordpress-remote, qui traduit STDIO en appels HTTP⁶ :

{
  "mcpServers": {
    "wordpress": {
      "command": "npx",
      "args": ["-y", "@automattic/mcp-wordpress-remote@latest"],
      "env": {
        "WP_API_URL": "https://votre-site.be/wp-json/mcp/mcp-adapter-default-server",
        "WP_API_USERNAME": "utilisateur-limite",
        "WP_API_PASSWORD": "mot-de-passe-d-application"
      }
    }
  }
}

Que peut faire l'IA une fois connectée ?

Exactement ce que les capacités déclarées permettent, et rien de plus. Les capacités sont privées par défaut ; il faut ajouter meta.mcp.public = true pour les exposer⁴. Exemple minimal, en lecture seule, calqué sur celui de la documentation WordPress⁷ :

add_action( 'wp_abilities_api_init', 'mon_plugin_register_abilities' );

function mon_plugin_register_abilities() {
    wp_register_ability(
        'mon-plugin/brouillons',
        array(
            'label'       => __( 'Lister les brouillons', 'mon-plugin' ),
            'description' => __( 'Retourne le titre et le lien des brouillons.', 'mon-plugin' ),
            'category'    => 'site',
            'input_schema' => array( 'type' => 'object' ),
            'output_schema' => array( 'type' => 'object' ),
            'execute_callback' => 'mon_plugin_lister_brouillons',
            'permission_callback' => function () {
                return current_user_can( 'edit_posts' );
            },
            'meta' => array(
                'mcp' => array( 'public' => true ),
            ),
        )
    );
}

La fonction mon_plugin_lister_brouillons (à écrire) fait la requête et renvoie le résultat. Le point décisif est permission_callback : le client MCP agit comme l'utilisateur WordPress connecté, donc l'IA ne dépasse jamais ses droits².

Des extensions publient leurs propres capacités. Rank Math, par exemple, fournit un module MCP qui embarque l'adaptateur officiel et expose la lecture des métadonnées SEO, des données de schéma, des liens et des rapports de santé, ainsi que certaines écritures sur les réglages⁸. Vérifiez dans la documentation de chaque plugin ce qu'il autorise avant de le brancher.

Et pour un site WordPress.com ou Jetpack ?

WordPress.com propose son propre serveur MCP, avec connexion OAuth 2.1 : il est ouvert aux formules payantes, aux sites gratuits pendant leurs 30 premiers jours et aux sites auto-hébergés équipés de Jetpack avec les offres IA ou Complete⁹. Aucune installation d'adaptateur n'est alors nécessaire.

Comment éviter qu'une IA abîme votre site ?

1. Un compte dédié, aux droits minimaux. Créez un utilisateur qui ne peut, par exemple, que rédiger des brouillons ; jamais un administrateur².
2. Lecture d'abord. N'exposez au début que des capacités en lecture seule (audit, listes), et testez sur une copie du site.
3. Brouillon plutôt que publication. L'API REST de WordPress distingue les statuts draft, pending, future (programmé) et publish¹⁰ : limitez l'IA aux deux premiers et gardez la publication pour un humain.
4. Relire tout texte généré. Google ne sanctionne pas l'IA en tant que telle, mais bien la production de pages en masse sans valeur ajoutée¹¹. Publier en série des contenus non relus est le vrai risque, quel que soit l'outil.
5. Surveiller. Journalisez les appels et révoquez le mot de passe d'application dès que l'usage cesse. Le cadre général est détaillé dans notre guide pour sécuriser une connexion MCP.

Que retenir pour une PME belge ?

Pour une PME, l'intérêt est surtout de gagner du temps sur des tâches de contrôle (repérer les pages sans description, les images sans texte alternatif, les articles à mettre à jour), pas de publier plus. Pour choisir entre un serveur officiel et un serveur tiers, lisez nos critères pour choisir un serveur MCP. Pour un autre logiciel métier, nous détaillons comment brancher un assistant IA sur Odoo. Si vous souhaitez un cadrage de ce type d'automatisation, AdSim peut vous proposer un accompagnement en IA engineering.