Skip to main content
Glama

Royal MCP

Безопасный в первую очередь MCP-сервер для WordPress. Подключите Claude, ChatGPT и Gemini к вашему сайту на WordPress с аутентификацией по API-ключу + OAuth 2.1, полным журналом активности и доступом, ограниченным по правам.

WordPress PHP License Version

Скачать на WordPress.org · Документация · Royal Plugins


Плагин для WordPress, который превращает ваш сайт в сервер Model Context Protocol. ИИ-агенты — Claude.ai web, Claude Desktop, ChatGPT, пользовательские клиенты — могут читать и записывать записи, страницы, медиафайлы, пользователей, меню, заказы WooCommerce и страницы Elementor, при этом каждый вызов проходит через ограничение прав, ограничение частоты запросов и журнал аудита. Распространяется через официальный каталог плагинов WordPress.org.

Краткие факты

Аутентификация

API-ключ (X-Royal-MCP-API-Key) или OAuth 2.1 с PKCE + динамическая регистрация клиентов (RFC 7591)

Транспорт

MCP 2025-11-25 Streamable HTTP (единая конечная точка /mcp, POST/GET/DELETE)

Количество инструментов

До 144 (73 ядра WordPress + 71 условная интеграция с плагинами)

Abilities API

WP 6.9+ — каждый инструмент также регистрируется как способность WordPress, доступная через ядро WP REST по адресу /wp-json/wp-abilities/v1/abilities/{name}/run и через именованный royal-mcp-server адаптера WordPress MCP Adapter

Ограничение частоты

60 запросов/мин на IP (настраивается)

Модель сессий

Скользящий TTL 24 часа с обновлением при обращении

Журнал активности

Каждый вызов инструмента записывается (имя инструмента + ключи аргументов; значения аргументов никогда не сохраняются)

Распространение

Каталог плагинов wp.org + релизы на GitHub + автообновление через админ-панель WP

Протестировано

PHP 7.4 → 8.3, WordPress 5.8 → 7.0

Лицензия

GPLv2+

Related MCP server: wp-mcp

Возможности

Ядро WordPress (84 инструмента, всегда доступны)

  • Контент — Записи, страницы, произвольные типы записей (полный CRUD + ревизии + изображения записей)

  • Таксономии — Рубрики, метки, произвольные таксономии, метаданные терминов, связывание записей с терминами

  • Медиафайлы — Просмотр, загрузка (по URL или base64), обновление метаданных, удаление

  • Комментарии — Создание, модерация (одобрить / спам / корзина)

  • Пользователи — Чтение отображаемых имён + ролей (адреса электронной почты и имена пользователей не раскрываются)

  • Меню — Чтение, создание элементов, изменение порядка, обновление с защитой от деструктивных записей

  • Тема — Пользовательский CSS, параметры темы, определение активной темы

  • Сайт — Структура постоянных ссылок, параметры (из белого списка), информация о сайте

  • Поиск — Поиск по всему контенту по запросу

  • SEO — Чтение/запись метаданных Yoast / Rank Math / AIOSEO, если соответствующий плагин активен

  • Диагностика — Статус сайта (WP/PHP/MySQL/плагины/темы/cron одним вызовом), хвост журнала ошибок PHP, расписание WP cron и MCP royal_mcp_connection_health (возвращает маршрут, метод аутентификации, ID сессии, версию плагина и активные версии конструкторов страниц для Divi + Elementor + Gutenberg)

Интеграции с плагинами (80 инструментов, условные)

Автоматически регистрируются только когда интегрированный плагин активен.

Плагин

Инструменты

Что охватывается

WooCommerce

29

Товары, вариации, атрибуты, купоны, заказы (создание/обновление/заметки), покупатели, статистика магазина

Elementor

8

Клонирование страниц, замена текста, замена изображений, получение структуры, чтение отдельного элемента, список шаблонов, импорт шаблонов, добавление виджета

GuardPress

7

Оценка безопасности, неудачные входы, заблокированные IP, сканирование уязвимостей, журнал аудита

Divi

6

Определение формата (шорткод D4 vs блок D5), структура страницы, проверка макета, список + получение библиотеки, поиск/замена с учётом формата конструктора

Royal AI Firewall

6

Статистика панели управления, недавние попадания ботов, политики для каждого бота (разрешить / заблокировать / вызов), ежедневные сводки, экстренная блокировка одним вызовом

SiteVault

6

Запуск резервного копирования, отслеживание прогресса, список расписаний

Redirection

4

Список редиректов с фильтрами по группе + подстроке URL, создание и обновление редиректов (301 / 302 / 307 / regex / группы), список групп редиректов

Advanced Custom Fields

4

Чтение/запись полей ACF с учётом формата возврата каждого поля (гидратированные объекты записей, разобранные строки повторителя, массивы изображений); перечисление групп полей для обнаружения ИИ

Royal Ledger

4

Стоимость ПО, даты продления, лицензионные ключи (значения никогда не раскрываются)

Royal Links

3

Брендированные короткие ссылки, статистика кликов

ForgeCache

3

Статистика кэша, очистка кэша, очистка URL

Мост WordPress Abilities API (WP 6.9+)

WordPress 6.9 выпустил Abilities API — примитив, позволяющий плагинам регистрировать типизированные возможности, которые могут вызывать ИИ-агенты. Начиная с версии 1.4.38, каждый инструмент Royal MCP также регистрируется как способность WordPress, что даёт вам три способа доступа к одним и тем же обработчикам:

  1. Нативный — конечная точка Streamable HTTP /wp-json/royal-mcp/v1/mcp от Royal MCP (без изменений, всегда доступна).

  2. WP MCP Adapter — если установлен пакет wordpress/mcp-adapter, Royal MCP регистрирует именованный royal-mcp-server на хуке mcp_adapter_init рядом с сервером адаптера по умолчанию.

  3. Ядро WP REST — прямой вызов возможности по адресу /wp-json/wp-abilities/v1/abilities/{name}/run для клиентов, предпочитающих конечную точку ядра WP.

Одни и те же обработчики, три транспорта, один набор ограничений прав для каждого инструмента. Мост можно отключить с помощью опции royal_mcp_abilities_registration_enabled (по умолчанию: включено).

Что мы не делаем

Явные границы области действия — модель интеграции — это «узкие инструменты, которые работают надёжно», а не «раскрыть всю поверхность API».

  • Никакой генерации виджетов Elementor с нуля. Атомарные виджеты (Editor V4) проходят как непрозрачные; мы никогда не декодируем атомарные схемы, потому что Elementor сам может их менять.

  • Никакой записи JSON конструкторов страниц Beaver Builder / Bricks. Стандартный контент записей доступен для чтения и записи; JSON-хранилище конструкторов страниц непрозрачно, если не покрыто специальным инструментом. (Для Elementor и Divi есть специальные инструменты — см. таблицу интеграций выше.)

  • Никакого создания шаблонов конструктора тем (Elementor или иного).

  • Никаких изменений файлов ядра — Royal MCP никогда не записывает в wp-content/themes, wp-includes или wp-admin.

  • Никакой установки или обновления плагинов через MCP. Обнаружение — да; установка/активация/деактивация — нет.

  • Никакого сырого SQL. Запросы проходят только через WP_Query и $wpdb->prepare().

Royal MCP Pro (платный)

Бесплатный плагин полностью функционален для отдельных владельцев сайтов. Royal MCP Pro расширяет его для агентств и операторов многосайтовых установок:

  • Пакет Divi Pro — клонирование страниц, замена изображений, импорт шаблонов, полный CRUD библиотеки, мигратор D4→D5, массовое применение глобальных пресетов (8 инструментов)

  • Глубина Elementor Pro — дополнительные инструменты Elementor помимо интеграции Free

  • Универсальный журнал аудита — каждая операция ИИ записывается с атрибуцией + экспортом

  • Отмена на 72 часа для каждой записи — каждый деструктивный инструмент Pro возвращает токен отмены; отмените любую операцию в течение этого окна

  • Обновления, ограниченные лицензией через стандартный обновлятор WordPress — без зависимостей от внешних лицензионных серверов во время выполнения

Узнайте больше на royalplugins.com/royal-mcp-pro

Подключение

Установка

  1. Установите с WordPress.org (рекомендуется — автообновления через админ-панель WP) или загрузите ZIP-архив релиза с GitHub.

  2. Royal MCP → Настройки → нажмите Сгенерировать API-ключ.

  3. Выберите клиент ниже.

Claude.ai web (OAuth — рекомендуется)

Самый простой путь — без правки файлов конфигурации, без API-ключа в вашем клиенте.

  1. В Claude.ai → Настройки → Коннекторы → Добавить пользовательский коннектор.

  2. URL: https://yoursite.com/wp-json/royal-mcp/v1/mcp

  3. Подтвердите экран согласия OAuth при появлении запроса. Claude.ai обрабатывает динамическую регистрацию клиента + поток PKCE на вашем сайте.

Claude Desktop (однокликовый пакет .mcpb — новинка в 1.4.38)

Самый простой путь для Claude Desktop — без mcp-remote, без npx, без правки файлов конфигурации.

  1. Скачайте royal-mcp-1.4.38.mcpb из последнего релиза на GitHub.

  2. Дважды щёлкните файл .mcpb — Claude Desktop откроет запрос на установку.

  3. Введите URL вашего сайта + API-ключ при появлении запроса. Соединение установлено.

Пакет включает мост stdio-to-HTTPS без зависимостей на Node ≥18, который уже входит в состав Claude Desktop. См. Claude Desktop MCP Bundles для спецификации .mcpb.

Claude Desktop (OAuth через mcp-remote)

{
  "mcpServers": {
    "my-wordpress": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://yoursite.com/wp-json/royal-mcp/v1/mcp"]
    }
  }
}

Config path: ~/Library/Application Support/Claude/claude_desktop_config.json (macOS) or %APPDATA%\Claude\claude_desktop_config.json (Windows).

Claude Desktop (API-ключ)

Пропустите OAuth и аутентифицируйтесь через заголовок:

{
  "mcpServers": {
    "my-wordpress": {
      "command": "npx",
      "args": [
        "-y", "mcp-remote",
        "https://yoursite.com/wp-json/royal-mcp/v1/mcp",
        "--header", "X-Royal-MCP-API-Key:YOUR_API_KEY"
      ]
    }
  }
}

ChatGPT

Пользовательский MCP-коннектор ChatGPT использует тот же URL, что и Claude.ai web. Следуйте процессу коннектора ChatGPT и вставьте https://yoursite.com/wp-json/royal-mcp/v1/mcp.

Сырой HTTP (пользовательские клиенты)

# 1. Initialize a session. -i prints headers so you can grab Mcp-Session-Id.
curl -i -X POST https://yoursite.com/wp-json/royal-mcp/v1/mcp \
  -H "X-Royal-MCP-API-Key: YOUR_KEY" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{
    "jsonrpc": "2.0",
    "method": "initialize",
    "id": 1,
    "params": {
      "protocolVersion": "2025-11-25",
      "capabilities": {},
      "clientInfo": {"name": "my-app", "version": "1.0"}
    }
  }'

# 2. List available tools using the session id from the response header.
curl -X POST https://yoursite.com/wp-json/royal-mcp/v1/mcp \
  -H "X-Royal-MCP-API-Key: YOUR_KEY" \
  -H "Mcp-Session-Id: <session_id>" \
  -H "Content-Type: application/json" \
  -d '{"jsonrpc": "2.0", "method": "tools/list", "id": 2}'

Модель безопасности

Слой

Что делает

API-ключ

32-значный шестнадцатеричный ключ, сравнение с защитой от временных атак. Отправляется через заголовок X-Royal-MCP-API-Key. Можно перегенерировать из админ-панели без перезапуска сервера.

OAuth 2.1

RFC 7591 Динамическая регистрация клиентов, метаданные RFC 8414, требуется PKCE S256, поддерживаются refresh-токены. Нет неявного предоставления (implicit grant). Нет предоставления client_credentials.

Ограничение возможностей

Каждый инструмент проверяет возможности WordPress. edit_posts для создания/обновления, manage_options для настроек сайта, edit_post для отдельных операций с записями.

Ограничение частоты запросов

60 запросов в минуту на IP, скользящее окно.

Модель сессий

Скользящий TTL 24 часа с обновлением при доступе. Криптографически безопасные 32-байтовые идентификаторы сессий.

Журнал активности

Каждый вызов инструмента записывает строку в журнал базы данных. Записываются: имя инструмента, ключи аргументов, IP, User-Agent, ошибки. Никогда не записываются значения аргументов (они могут содержать данные клиентов).

Восстановление состояния OAuth

Кнопка администратора Сбросить состояние OAuth в один клик удаляет все клиенты + токены + коды авторизации, не затрагивая ваш API-ключ или настройки.

Обнаружение

.well-known/oauth-authorization-server и .well-known/oauth-protected-resource обслуживаются в корне сайта согласно RFC 8414 + RFC 9728.

Полная архитектура безопасности: royalplugins.com/support/royal-mcp/

Статус проекта

  • Активная поддержка — релизы примерно еженедельно. См. релизы для журнала изменений.

  • Соответствие спецификации MCP — реализует Streamable HTTP transport (2025-11-25).

  • Проблемы — github.com/royalplugins/royal-mcp/issues. Проблемы, влияющие на клиентов, обычно подтверждаются в течение 24 часов и обрабатываются с указанием целевых версий.

  • Вклад — приветствуются PR. Исходный код плагина размещён как в этом репозитории, так и в SVN-стволе wp.org; релизы координируются через процесс рецензирования wp.org.

Дополнительное чтение

Связанные проекты

  • GuardPress — укрепление безопасности WordPress

  • SiteVault — резервное копирование и миграция WordPress

  • ForgeCache — кэширование и производительность

  • FormForge — конструктор форм с генерацией PDF

  • SEObolt — SEO-инструментарий для WordPress

Лицензия

GPLv2 или более поздняя версия — см. LICENSE или сайт GNU.

Royal MCP предоставляется как есть. API-ключи защищают ваши конечные точки; берегите их как любые другие учётные данные. Вы несёте ответственность за контент, команды и действия, которые любой ИИ-платформе разрешено выполнять на вашем сайте WordPress.


Related MCP Connectors

Related MCP Servers

  • A
    license
    Not graded
    quality
    A
    maintenance
    A free WordPress plugin that turns your site into a governed MCP server, exposing 153 curated WordPress abilities (posts, media, users, WooCommerce, ACF, SEO) as tools for AI agents like Claude and Cursor. Every ability is off by default, scoped to a least-privilege user, capability-gated, and logged.
    5
    GPL 2.0
  • A
    license
    Not graded
    quality
    C
    maintenance
    MCP server for WordPress content management via REST API, supporting posts, pages, media, comments, and terms through natural language interfaces like Cursor, ChatGPT, Codex, and Claude.
    13 npm
    MIT
  • A
    license
    Not graded
    quality
    A
    maintenance
    Turns a WordPress site into a native MCP server: 39 structured tools for content, media, taxonomies, comments, widgets and site settings, with OAuth 2.1 + PKCE and per-call WordPress capability checks. Pure PHP inside WordPress — no bridge server or middleware to host.
    GPL 2.0
  • A
    license
    B
    quality
    C
    maintenance
    Enables MCP-compatible clients to securely operate a WordPress site through a signed REST API, managing plugins, content, themes, menus, media, users, WooCommerce, Elementor, audits, and allowlisted WP-CLI commands.
    58
    37 npm
    MIT