wpagent-mcp

Сервер MCP, который позволяет Claude — или любому MCP-совместимому клиенту — реально управлять сайтом на WordPress: плагинами, контентом, темами, меню, медиафайлами, пользователями, WooCommerce, Elementor и WP-CLI.

Он общается с вашим сайтом через бесплатный плагин-мост WpAgent по REST API, где каждый запрос подписывается с помощью HMAC-SHA256. Никакие учётные данные сайта не задействуются, и данные не проходят через сторонний сервис: соединение идёт напрямую — клиент → ваш WordPress.

Установка

Заранее устанавливать ничего не нужно — приведённая ниже конфигурация загружает сервер по требованию.

1. Установите плагин WpAgent на ваш сайт WordPress и активируйте его.

2. В админ-панели WordPress откройте WpAgent и сгенерируйте API-ключ. Выберите права, которые вы хотите дать ассистенту; ключ только для чтения — разумный способ начать.

3. Добавьте сервер в ваш MCP-клиент. Для Claude Desktop — в claude_desktop_config.json:

{
  "mcpServers": {
    "wpagent": {
      "command": "npx",
      "args": ["-y", "wpagent-mcp"],
      "env": {
        "WP_SITE_URL": "https://your-site.com",
        "WP_API_KEY_ID": "wpaia_xxxxxxxxxxxx",
        "WP_API_SECRET": "the secret shown once when you generated the key"
      }
    }
  }
}

Для Claude Code:

claude mcp add wpagent \
  --env WP_SITE_URL=https://your-site.com \
  --env WP_API_KEY_ID=wpaia_xxxxxxxxxxxx \
  --env WP_API_SECRET=... \
  -- npx -y wpagent-mcp

Переменные окружения

Related MCP server: wp-mcp-control-server

Что он умеет

Чего он не делает

У API нет доступа к произвольному PHP, нет доступа к вашей базе данных и нет доступа к wp-config.php. Выполнение WP-CLI отключено, пока владелец сайта не добавит на сервере define('WPAIA_ENABLE_WPCLI', true);, и даже тогда выполняются только разрешённые команды — db, eval, eval-file, shell, server, config и package отклоняются всегда.

Безопасность

• Каждый запрос подписывается с помощью HMAC-SHA256 и содержит метку времени; запросы старше пяти минут отклоняются.

• Права привязаны к каждому ключу и проверяются на каждом маршруте, поэтому ключ только для чтения остаётся только для чтения.

• Каждый вызов записывается в журнал аудита, который можно посмотреть в админ-панели WordPress.

• Отзыв ключа в WordPress вступает в силу немедленно.

Просите ассистента подтверждать разрушительные действия и храните актуальную резервную копию — он может удалить контент, если вы ему скажете.

Связанные проекты

• WpAgent — облачная панель управления, построенная на том же мосте, с бесплатным уровнем только для чтения

• Плагин-мост распространяется под лицензией GPL-2.0-or-later; этот сервер — под MIT.

Лицензия

MIT © KipDev