sitepilot-mcp

sitepilot-mcp は、SitePilot MCP プラグインを実行する WordPress サイト向けの、ローカル トランスポートと認証情報のアダプタです。WordPress がポリシー強制ポイントであり続けます。このパッケージは、サイトが現在公開している tools/list と tools/call のサーフェスを転送するだけで、独立したツールや安全ポリシーは登録しません。

クイックスタート

Node.js 22 以降と、SitePilot MCP 0.4.6 以降で動作する HTTPS の WordPress サイトが必要です。

npx sitepilot-mcp login --url https://wordpress.example --scopes site:read
npx sitepilot-mcp init --client cursor --profile wordpress-example

init の後にクライアントを再起動してください。デフォルトは Application Password ログインです。PKCE を使用する OAuth 2.1 を利用するには --oauth を追加してください。保存されたシークレットは ~/.config/sitepilot/profiles.json に置かれ、OS が対応している場合はモード 0600 で書き込まれます。生成されたクライアント設定では、それらはコピーではなく参照されます。

保存したプロファイルを使わずに直接実行する場合：

npx sitepilot-mcp --url https://wordpress.example --user alice --app-pass xxxx-xxxx-xxxx-xxxx
npx sitepilot-mcp --url https://wordpress.example --token opaque-token
npx sitepilot-mcp --profile wordpress-example --transport http --port 8770

Related MCP server: WordPress MCP Proxy

コマンド

sitepilot-mcp login --url <url> [--oauth] [--scopes a,b] [--label text]
sitepilot-mcp logout --profile <name>
sitepilot-mcp init --client cursor|claude-desktop|claude-code|windsurf|all --profile <name>
sitepilot-mcp doctor --url <url>
sitepilot-mcp tools --url <url> [--json]
sitepilot-mcp call <tool> --input @plan.json [--dry-run]

共通フラグ: --profile、--api-version v1|v2、--timeout、--read-only、--allow-tier 0|1|2|3、--version。

--read-only と --allow-tier は、意図しない試行を避けるためのローカル上の利便機能です。これらはセキュリティ境界ではありません。WordPress の権限、制限された認証情報スコープ、リスク分類、承認、楽観的並行性、監査、ロールバックは、プラグイン内で引き続き権威を持ちます。

execute-change または rollback-change を転送する前に、クライアントはローカルの --allow-tier 設定を適用するために、追加の get-change-status 呼び出しを 1 回実行します。それ以外の点では、要求されたミューテーションとその引数は変更されずにそのまま転送されます。WordPress は引き続き権威を持ちます。

sitepilot-mcp doctor を実行すると、安全でない HTTP、到達できない REST、プラグインの欠落や無効、認証ヘッダーの除去、無効または失効した認証情報、スコープ不足を判別できます。

ライセンス

Apache-2.0。WordPress プラグインは、AGPL-3.0-or-later で個別にライセンスされています。