sitepilot-mcp

sitepilot-mcp ist der lokale Transport- und Anmeldedaten-Adapter für eine WordPress-Website, die das SitePilot-MCP-Plugin ausführt. WordPress bleibt der zentrale Punkt für die Richtliniendurchsetzung: Dieses Paket leitet die aktuelle tools/list- und tools/call-Schnittstelle der Website weiter und registriert weder unabhängige Tools noch Sicherheitsrichtlinien.

Schnellstart

Erfordert Node.js 22 oder neuer und eine HTTPS-WordPress-Website mit SitePilot MCP 0.4.6 oder neuer.

npx sitepilot-mcp login --url https://wordpress.example --scopes site:read
npx sitepilot-mcp init --client cursor --profile wordpress-example

Starten Sie den Client nach init neu. Die Anmeldung mit Anwendungspasswort ist der Standard; für OAuth 2.1 mit PKCE fügen Sie --oauth hinzu. Gespeicherte Geheimnisse befinden sich in ~/.config/sitepilot/profiles.json, werden mit Modus 0600 geschrieben, wo das Betriebssystem dies unterstützt, und von der generierten Client-Konfiguration referenziert – nicht kopiert.

Direkt ohne gespeichertes Profil ausführen:

npx sitepilot-mcp --url https://wordpress.example --user alice --app-pass xxxx-xxxx-xxxx-xxxx
npx sitepilot-mcp --url https://wordpress.example --token opaque-token
npx sitepilot-mcp --profile wordpress-example --transport http --port 8770

Der HTTP-Transport bindet an Loopback und stellt /mcp bereit. Clients, die Remote-MCP und OAuth-Discovery unterstützen, können sich stattdessen direkt mit https://wordpress.example/wp-json/sitepilot-mcp/v2/mcp verbinden, ohne dieses Paket zu verwenden.

Related MCP server: WordPress MCP Proxy

Befehle

sitepilot-mcp login --url <url> [--oauth] [--scopes a,b] [--label text]
sitepilot-mcp logout --profile <name>
sitepilot-mcp init --client cursor|claude-desktop|claude-code|windsurf|all --profile <name>
sitepilot-mcp doctor --url <url>
sitepilot-mcp tools --url <url> [--json]
sitepilot-mcp call <tool> --input @plan.json [--dry-run]

Häufige Flags: --profile, --api-version v1|v2, --timeout, --read-only, --allow-tier 0|1|2|3 und --version.

--read-only und --allow-tier sind lokale Komfortfunktionen, die unerwünschte Versuche vermeiden. Sie stellen keine Sicherheitsgrenze dar. WordPress-Berechtigungen, eingeschränkte Anmeldedaten-Scopes, Risikoeinstufung, Genehmigungen, optimistische Nebenläufigkeit, Auditierung und Rollback bleiben im Plugin maßgeblich.

Vor dem Weiterleiten von execute-change oder rollback-change führt der Client einen zusätzlichen get-change-status-Aufruf aus, um die lokale --allow-tier-Präferenz durchsetzen zu können. Die angeforderte Mutation und ihre Argumente werden ansonsten unverändert weitergeleitet; WordPress bleibt maßgeblich.

Führen Sie sitepilot-mcp doctor aus, um unsicheres HTTP, nicht erreichbare REST-API, fehlendes oder inaktives Plugin, entfernte Autorisierungs-Header, ungültige oder widerrufene Anmeldedaten und unzureichende Scopes voneinander zu unterscheiden.

Lizenz

Apache-2.0. Das WordPress-Plugin ist separat unter AGPL-3.0-or-later lizenziert.