wpxmcp

MCP-сервер для самостоятельно размещённого WordPress, ориентированный на удалённое развёртывание. Управляйте контентом, дизайном, темами, плагинами, меню, пользователями и базой данных из любого MCP-клиента — при этом учётные данные WordPress хранятся в Cloudflare Worker Secrets, а не на каждом ноутбуке.

117 инструментов · 2 транспорта · 0 обязательных плагинов · MIT

WordPress 6.0+ на собственном хостинге. WordPress.com не предоставляет REST-эндпоинты, от которых зависит эта работа.

Как это выглядит

«Найди страницу с тарифами, измени тариф Pro на $49 и проверь, что изменения и правда отображаются»

find_content_by_url  https://example.com/pricing/
  → id 812, type page — resolved by slug lookup in "page"

update_content  id 812, edits: [{ find: "<strong>$39</strong>", replace: "<strong>$49</strong>" }]
  → updated. 1 replacement. 8,431 characters, unchanged in length.

get_page_html  /pricing/  mode: "summary"
  → still shows $39

Кэш страницы устарел — а не запись. Это выяснилось потому, что инструмент читал отображаемую страницу, а не доверял коду 200.

Related MCP server: wordpress-mcp

Чем он отличается

Учётные данные в одном месте. Большинство MCP-серверов для WordPress работают через stdio, поэтому каждый человек × каждый сайт означает ещё один пароль приложения на ноутбуке. Этот сервер разворачивается в Cloudflare Workers с учётными данными в Worker Secrets; клиенты хранят только токен доступа, который можно перевыпустить одной командой. Он также работает локально через stdio, когда это удобно.

Защитные ограничения, которые действительно работают. Новые записи по умолчанию сохраняются как черновик. Удаления попадают в корзину. Массовые правки, SQL и search-replace сначала выполняют пробный прогон и возвращают одноразовый токен, привязанный именно к этим параметрам. Правки тем выполняются в изолированной копии. Все эти защиты проверились на отказ, а не только на факт существования.

Правки, а не переписывание. update_content принимает edits: [{find, replace}], поэтому изменение цены не требует повторной отправки страница из 3000 слов. Правка, которая не находит совпадений, завершается явной ошибкой, а не тихо пишет ничего.

Он знает о конструкторах страниц. Elementor, Divi, Beaver Builder, Bricks и Breakdance хранят расположение в post meta, а не в post_content — если записать не туда, изменение исчезнет. wpxmcp распознаёт контент, принадлежащий конструктору, и подключает плейбук, который агент читает в первую очередь.

Всё, что недоступно через REST. WP-CLI, SQL, файлы теми незарегистрированные мета-поля не имеют собственных REST-маршрутов. Необязательный сопутствующий плагин добавляет именно их.

Доступное владельцу сайта, а не только разработчику. Попросите о результате — «выставить новые цены», «удалить спам» — и агент сможет load плейбук, который говорит ему: подтвердить найденую страницу, зачитать текущий текст, сначала подготовить черновик, потом опубликовать и прямо сказать, когда шаг нельзя отменить.

Развернуть удалённо (рекомендуется)

Или три команды:

npm install
openssl rand -hex 32 | npx wrangler secret put WPX_AUTH_TOKEN
npx wrangler secret put WPX_SITES     # your sites JSON, then Ctrl-D
npm run deploy

Подключите любой клиент:

{
  "mcpServers": {
    "wpxmcp": {
      "type": "http",
      "url": "https://wpxmcp.<your-subdomain>.workers.dev/mcp",
      "headers": { "Authorization": "Bearer <your WPX_AUTH_TOKEN>" }
    }
  }
}

Бесплатный тариф покрывает 100 000 запросов в день. Полная пошаговая инструкция →

Или запустить локально

git clone https://github.com/alokemajumder/wpxmcp.git
cd wpxmcp && npm install && npm run build
npm run doctor          # checks reachability, auth, capabilities, plugin

claude mcp add wpxmcp -- node /absolute/path/to/wpxmcp/dist/index.js \
  -e WORDPRESS_URL=https://example.com \
  -e WORDPRESS_USERNAME=admin \
  -e "WORDPRESS_APP_PASSWORD=abcd EFGH ijkl MNOP qrst UVWX"

Получите пароль дування в разделе Пользователи → Профиль → Application Passwords. Есть две карта эпохи: WordPress выдаёт их только по HTTPS, а некоторые хосты вырезают заголовок Authorization, из-за чего возникает 401 с абсолютно верными данными. test_site обнаруживает оба случая. [Руководство по авторизации →](docs/ WORDPRESS_AUTH.md)

Дополнительные возможности локального режима: create_media умеет читать путь с вашего диска, а save_skill — записывать плейбуки. Все остальное идентично: оба транспорта используют один и тот же набор инструментов.

Нужен ли вам плагин WordPress?

Для большинства работ — нет. 93 из 117 инструментов работают со стандартным WordPress без необходимости в дополнительных расширениях.

Остальные 24 охватывают то, для чего в ядре WordPress вообще нет REST-маршрутов — WP-CLI, SQL, файлы тем и мета-поля, зарегистрированная без show_in_rest (а это почти все данные конструкторов страниц и ACF). /wp/v2/themes доступен только для чтения даже в WordPress 7.1, поэтому активация темы тоже требует код на стороне сайта.

Каждый MCP-инструмент для WordPress, который предлагает такие возможности, поставляется с кодом на стороне сайта, включая официальный MCP Adapter. Отличия состоит в том, что у нас это опционально, и каждый инструмент, которому нужен плагин, называет его по имени.

Плагин WordPress/mcp-adapter вам не нужен. Это альтернативная архитектура, а не зависимость. Abilities API, с которым он связывает, входит в ядро WordPress, и wpxmcp обращается к нему напрямую.

Полное сравнение → · Подробнее о плагине →

Что умеет

Полный справочник инструментов →

Документация

Статус

v1.0.0. CI на Node 20/22/24 и PHP 7.4/8.3, сборка для Workers проверяется при каждом push.

Проверено на реальном WordPress 7.1 — не только модульное тест: задействованы все 117 инструментов, полный цикл "пробный прогон → подтверждение → применение", а также тот же сервер по HTTP. Каждый защитный механизм был проверен на отказ: запись живой темы, обход пути, защищённые опции, команды вне белого списка, составной SQL. Так были найдены и исправлены двенадцать реальных ошибок, включая маршруты, которые соответствует опубликованной документации, но не фактической регистрации в ядре, а также токены конфиренции, не удалось выжить между изолятами Cloudflare.

Тесты лежат в audit/ и могут быть запущены на любой одноразовой установке WP: npm run audit.

Приветствуются следующие шаги: больше плейбуков (WooCommerce, ACF, multisite), пути записи для страниц в каждом конструкторе через его собственный механизм сохранения, а также добавить в белый список команд WP-CLI. Замечания и PR — см. CONTRIBUTING.md.

Разработка

npm install && npm run build
npm test            # 68 tests, no network needed
npm run cf:dev      # the worker locally at :8787/mcp

Добавление инструмента — это один вызов defineTool({...}) — он автоматически появляется на обоих транспортах.

Лицензия

MIT — см.?? LICENSE. Не связан с WordPress Foundation, Automattic или Cloudflare.