wp-mcp

MCP-сервер, который превращает Claude Code в полноценного оператора WordPress — контент, медиа, плагины, темы и прямое редактирование файлов тем — на любом сайте, включая общий хостинг без SSH/WP-CLI.

Как это работает

Две части:

• bridge/wp-mcp-connector.zip — небольшой плагин WordPress, который вы загружаете один раз на каждый сайт. Он предоставляет подключение на основе токена, файловые эндпоинты (ограниченные wp-content), установщик плагинов/тем и автономный rescue.php, который может восстановить резервную копию, даже если сломанная PHP-правка вывела сайт из строя.

• server.mjs — MCP-сервер, зарегистрированный в Claude Code. Он взаимодействует с плагином и основным REST API WordPress.

Жизненный цикл подключения (вся модель безопасности)

1. Загрузите wp-mcp-connector.zip на сайт (Плагины → Добавить новый → Загрузить) и активируйте его.

2. wp-admin → Настройки → WP MCP → Сгенерировать токен (выберите срок действия: 1h / 8h / 24h / 7d). Токен показывается один раз. Новый токен заменяет любой предыдущий.

3. Скажите Claude: connect to https://example.com with token wpmcp_xxx, call it "clientx".

4. Работайте: редактируйте файлы тем, устанавливайте плагины, пишите посты — что угодно.

5. Скажите disconnect from clientx — токен отзывается на сайте и забывается локально.

6. В следующей сессии сгенерируйте новый токен и подключитесь снова.

Никаких постоянных учётных данных нигде не хранится. sites.json (в .gitignore, chmod 600) содержит только сайты, к которым сейчас выполнено подключение.

Related MCP server: AutoWP MCP Server

Настройка (один раз, на этом Mac)

cd ~/mcp/wp-mcp && npm install
claude mcp add --scope user wordpress -- node ~/mcp/wp-mcp/server.mjs

Инструменты

Примечания по безопасности

• Кajdый wp_file_write поверх существующего файла сначала сохраняет <file>.wpmcp-bak. Если правка functions.php вызывает белый экран, wp_file_restore всё равno работает: rescue.php запускается вообщe без загрузки WordPpress.

• Доступ к файлам ограничен wp-content. Чтобы разрешить доступ ко всему корню WP (например, для правок wp-config.php), добавьте define('WPMCP_ALLOW_FULL', true); в wp-config.php.

• Используйте только HTTPS-сайты — токен передаётся в заголовке.

• Некоторые общие хостинги удаляют заголовок Authorization; сервер таkже отправляет X-WPMCP-Token, kоторый проходит везде, где проверялось.

• В мультисайте для установки плагинов/тем нужен токен суперадминистратора.

• HTML, переданный в wp_content_create/wp_content_update, по умолчанию оборачивается в блок raw-HTML, поэтому фильтр autop в WordPress не может переформатировать структурированную разметку (передайте autop_safe: false, чтобы отказаться от этого).

• Все запросы отправляются с User-Agent, похожим на браузерный — некоторые WAF на общих хостингах отклоняют не-браузерные агенты непонятной ошибкой 403.