wpagent-mcp

Un servidor MCP que permite que Claude — o cualquier cliente compatible con MCP — opere realmente un sitio de WordPress: plugins, contenido, temas, menús, medios, usuarios, WooCommerce, Elementor y WP-CLI.

Se comunica con tu sitio a través del plugin puente gratuito WpAgent mediante una API REST en la que cada solicitud está firmada con HMAC-SHA256. No intervienen credenciales del sitio y ningún dato pasa por un servicio de terceros: la conexión es cliente → tu WordPress, directamente.

Instalación

No hay nada que instalar de antemano — la configuración siguiente lo descarga bajo demanda.

1. Instala el plugin WpAgent en tu sitio de WordPress y actívalo.

2. En el administrador de WordPress, abre WpAgent y genera una clave de API. Elige los permisos que quieras que tenga el asistente; una clave de solo lectura es una buena forma de empezar.

3. Añade el servidor a tu cliente MCP. Para Claude Desktop, en claude_desktop_config.json:

{
  "mcpServers": {
    "wpagent": {
      "command": "npx",
      "args": ["-y", "wpagent-mcp"],
      "env": {
        "WP_SITE_URL": "https://your-site.com",
        "WP_API_KEY_ID": "wpaia_xxxxxxxxxxxx",
        "WP_API_SECRET": "the secret shown once when you generated the key"
      }
    }
  }
}

Para Claude Code:

claude mcp add wpagent \
  --env WP_SITE_URL=https://your-site.com \
  --env WP_API_KEY_ID=wpaia_xxxxxxxxxxxx \
  --env WP_API_SECRET=... \
  -- npx -y wpagent-mcp

Variables de entorno

Related MCP server: wp-mcp-control-server

Lo que puede hacer

Lo que no hará

La API no tiene acceso a PHP arbitrario, ni a tu base de datos, ni a wp-config.php. La ejecución de WP-CLI está desactivada salvo que el propietario del sitio añada define('WPAIA_ENABLE_WPCLI', true); en el servidor, e incluso entonces solo se ejecutan los comandos permitidos — db, eval, eval-file, shell, server, config y package siempre se rechazan.

Seguridad

• Cada solicitud está firmada con HMAC-SHA256 e incluye una marca de tiempo; las solicitudes con más de cinco minutos se rechazan.

• Los permisos son por clave y se comprueban en cada ruta, por lo que una clave de solo lectura sigue siendo de solo lectura.

• Cada llamada se escribe en un registro de auditoría que puedes consultar en el administrador de WordPress.

• Revocar una clave en WordPress surte efecto de inmediato.

Pide al asistente que confirme antes de realizar acciones destructivas y mantén una copia de seguridad actualizada — puede eliminar contenido cuando se lo indiques.

Relacionados

• WpAgent — panel de control alojado basado en el mismo puente, con un nivel gratuito de solo lectura

• El plugin puente está bajo la licencia GPL-2.0-or-later; este servidor es MIT.

Licencia

MIT © KipDev