wpagent-mcp

Claude（またはMCP互換のクライアント）がWordPressサイトを実際に操作できるようにするMCPサーバーです。プラグイン、コンテンツ、テーマ、メニュー、メディア、ユーザー、WooCommerce、Elementor、WP-CLIを扱えます。

無料のWpAgentブリッジプラグインを介して、すべてのリクエストがHMAC-SHA256で署名されるREST APIを通じてサイトと通信します。サイトの認証情報は一切使われず、データが第三者サービスを経由することもありません。接続はクライアント→あなたのWordPressへ直接行われます。

インストール

事前にインストールするものはありません。以下の設定でオンデマンドに取得されます。

1. WordPressサイトにWpAgentプラグインをインストールして有効化します。

2. WordPress管理画面でWpAgentを開き、APIキーを生成します。アシスタントに付与したい権限を選択してください。読み取り専用キーから始めるのが無難です。

3. MCPクライアントにサーバーを追加します。Claude Desktopの場合は、claude_desktop_config.jsonに追加します:

{
  "mcpServers": {
    "wpagent": {
      "command": "npx",
      "args": ["-y", "wpagent-mcp"],
      "env": {
        "WP_SITE_URL": "https://your-site.com",
        "WP_API_KEY_ID": "wpaia_xxxxxxxxxxxx",
        "WP_API_SECRET": "the secret shown once when you generated the key"
      }
    }
  }
}

Claude Codeの場合は:

claude mcp add wpagent \
  --env WP_SITE_URL=https://your-site.com \
  --env WP_API_KEY_ID=wpaia_xxxxxxxxxxxx \
  --env WP_API_SECRET=... \
  -- npx -y wpagent-mcp

環境変数

Related MCP server: wp-mcp-control-server

できること

できないこと

このAPIには、任意のPHPへの経路、データベースへの経路、wp-config.phpへの経路はありません。WP-CLIの実行は、サイト所有者がサーバー上でdefine('WPAIA_ENABLE_WPCLI', true);を追加しない限り無効で、追加した場合でも許可リストに登録されたコマンドのみが実行されます。db、eval、eval-file、shell、server、config、packageは常に拒否されます。

安全性

• すべてのリクエストはHMAC-SHA256で署名され、タイムスタンプが付与されます。5分以上経過したリクエストは拒否されます。

• 権限はキー単位で、すべてのルートでチェックされるため、読み取り専用キーは読み取り専用のままです。

• すべての呼び出しは監査ログに記録され、WordPress管理画面で確認できます。

• WordPressでキーを取り消すと、即座に反映されます。

破壊的な操作の前にはアシスタントに確認を求め、常に最新のバックアップを保持してください。指示すればコンテンツを削除できるためです。

関連リンク

• WpAgent — 同じブリッジ上に構築されたホスト型ダッシュボード。無料の読み取り専用プランあり

• ブリッジプラグインはGPL-2.0-or-later、このサーバーはMITです。

ライセンス

MIT © KipDev