wpagent-mcp

Ein MCP-Server, der es Claude — oder jedem MCP-kompatiblen Client — ermöglicht, eine WordPress-Seite tatsächlich zu verwalten: Plugins, Inhalte, Themes, Menüs, Medien, Benutzer, WooCommerce, Elementor und WP-CLI.

Er kommuniziert mit deiner Seite über das kostenlose WpAgent-Brücken-Plugin und eine REST-API, bei der jede Anfrage mit HMAC-SHA256 signiert wird. Es sind keine Zugangsdaten der Seite beteiligt, und keine Daten fließen über einen Drittanbieter-Dienst: Die Verbindung ist direkt: Client → dein WordPress.

Installation

Nichts muss im Voraus installiert werden — die Konfiguration unten lädt den Server bei Bedarf herunter.

1. Installiere das WpAgent-Plugin auf deiner WordPress-Seite und aktiviere es.

2. Öffne im WordPress-Adminbereich WpAgent und erzeuge einen API-Schlüssel. Wähle die Berechtigungen, die der Assistent haben soll; ein schreibgeschützter Schlüssel ist ein guter Anfang.

3. Füge den Server zu deinem MCP-Client hinzu. Für Claude Desktop, in claude_desktop_config.json:

{
  "mcpServers": {
    "wpagent": {
      "command": "npx",
      "args": ["-y", "wpagent-mcp"],
      "env": {
        "WP_SITE_URL": "https://your-site.com",
        "WP_API_KEY_ID": "wpaia_xxxxxxxxxxxx",
        "WP_API_SECRET": "the secret shown once when you generated the key"
      }
    }
  }
}

Für Claude Code:

claude mcp add wpagent \
  --env WP_SITE_URL=https://your-site.com \
  --env WP_API_KEY_ID=wpaia_xxxxxxxxxxxx \
  --env WP_API_SECRET=... \
  -- npx -y wpagent-mcp

Umgebungsvariablen

Related MCP server: wp-mcp-control-server

Was es kann

Was es nicht kann

Die API hat keinen Zugriff auf beliebiges PHP, keinen Zugriff auf deine Datenbank und keinen Zugriff auf wp-config.php. Die WP-CLI-Ausführung ist deaktiviert, es sei denn, der Seiteninhaber fügt auf dem Server define('WPAIA_ENABLE_WPCLI', true); hinzu, und selbst dann werden nur freigegebene Befehle ausgeführt — db, eval, eval-file, shell, server, config und package werden immer abgelehnt.

Sicherheit

• Jede Anfrage ist mit HMAC-SHA256 signiert und trägt einen Zeitstempel; Anfragen, die älter als fünf Minuten sind, werden abgelehnt.

• Die Berechtigungen gelten pro Schlüssel und werden bei jeder Route geprüft, sodass ein schreibgeschützter Schlüssel schreibgeschützt bleibt.

• Jeder Aufruf wird in einem Audit-Log festgehalten, das du im WordPress-Adminbereich lesen kannst.

• Das Widerrufen eines Schlüssels in WordPress wird sofort wirksam.

Lass dir vom Assistenten destruktive Aktionen vorher bestätigen und halte ein aktuelles Backup bereit — er kann Inhalte löschen, wenn du ihn darum bittest.

Verwandtes

• WpAgent — gehostetes Dashboard, das auf derselben Brücke basiert, mit einer kostenlosen Nur-Lese-Stufe

• Das Brücken-Plugin ist unter GPL-2.0-or-later lizenziert; dieser Server unter MIT.

Lizenz

MIT © KipDev