L’Abilities API WordPress marque un tournant discret mais majeur pour votre site. WordPress 6.9, sorti le 2 décembre 2025, introduit ce nouveau système fondamental. En clair, votre site devient lisible et pilotable par les agents IA. Ainsi, des outils comme ChatGPT, Claude ou Gemini peuvent désormais comprendre ce que votre site sait faire. Puis ils peuvent agir dessus. Concrètement, c’est une bascule vers le « web agentique ». Mais cette puissance nouvelle exige méthode et expertise.
Abilities API WordPress : de quoi parle-t-on exactement ?
D’abord, posons les bases. L’Abilities API introduit un système qui permet aux extensions, thèmes et au cœur de WordPress d’exposer leurs capacités dans un format standardisé et lisible par les machines. Autrement dit, chaque fonctionnalité devient une « ability ». Une ability contient ses entrées, ses sorties et ses règles de permission. En effet, ces abilities sont lisibles par les machines et exposées de façon cohérente via PHP, REST et les interfaces prévues.
Par ailleurs, cette API ne remplace pas les REST API existantes. Elle ajoute une couche. Résultat : WordPress devient auto-descriptif. Donc plus facile à intégrer avec des systèmes pilotés par l’IA. Notamment, l’Abilities API s’inscrit dans l’initiative « AI Building Blocks » de WordPress.
Un projet porté par une large communauté
Ensuite, notons l’ampleur du chantier. WordPress 6.9 « Gene » a mobilisé plus de 900 contributeurs à travers le monde, dont 279 pour la première fois. De plus, ce fut la première fois qu’une version sortait en direct pendant un événement. En effet, Matt Mullenweg et les contributeurs ont « publié » la release sur scène au State of the Word.
MCP : le pont qui laisse les agents IA piloter votre site
Maintenant, venons-en au cœur du sujet. L’Abilities API définit ce que le site peut faire. Mais un second élément définit comment les agents l’utilisent : le Model Context Protocol, ou MCP. Concrètement, le MCP Adapter transforme les abilities en outils que les agents IA peuvent découvrir et exécuter, et lit les données WordPress comme des ressources. Par exemple, un agent peut récupérer des données. Puis mettre à jour des articles. Ou lancer des diagnostics.
En pratique, cela change tout. Un utilisateur peut donner à un assistant IA une requête en langage naturel pour accomplir des tâches, comme créer un article. Autrement dit, la frontière entre « ce que l’IA peut faire » et « ce que votre site peut faire » s’efface. Surtout, Automattic va plus loin. Plus de 43 % du web tourne sous WordPress, ce qui en fait le socle le plus adopté pour le web agentique.
Ce que la puissance implique : des risques réels
Cependant, cette avancée demande de la vigilance. Car un agent IA connecté n’est pas un simple chatbot. Un agent avec accès MCP dispose d’un accès réel et authentifié : il peut créer du contenu, modifier des réglages, activer des extensions et gérer des utilisateurs. Donc s’il se trompe sur un site en production, l’erreur est bien réelle.
De plus, les risques sont documentés. Les principaux dangers incluent l’accès sur-permissionné, l’injection de prompt, les actions destructrices involontaires et les fuites de données. En effet, l’injection de prompt reste préoccupante. Un agent lit parfois vos commentaires ou vos formulaires. Or, un texte malveillant caché dans ce contenu peut tenter de détourner ses instructions. Par ailleurs, ce problème reste non résolu à l’échelle de l’industrie. Ce n’est pas propre à WordPress.
Le RGPD entre aussi dans l’équation
Ensuite, n’oublions pas la conformité. Vos données transitent vers des fournisseurs d’IA tiers. Cela soulève des questions de RGPD et de résidence des données. Donc chaque marque européenne doit cadrer ces flux. Concrètement, cela signifie mettre à jour votre politique de confidentialité. Puis documenter les consentements. Aussi, la maturité technique compte. L’Abilities API et le MCP Adapter évoluent vite, avec des changements cassants entre versions.
Ce que ça change pour votre marque
D’abord, comprenez que cette nouveauté est un amplificateur. L’Abilities API WordPress ouvre des automatisations puissantes. Mais elle ne se configure pas à l’aveugle. Voici trois réflexes concrets à adopter :
- Appliquez le moindre privilège. Créez un utilisateur WordPress dédié à l’agent. Un workflow de rédaction a besoin d’un rôle Contributeur ou Éditeur, pas Administrateur.
- Testez toujours sur une préproduction. Ne connectez jamais un agent à votre site en production sans validation préalable. En effet, une erreur d’agent est irréversible.
- Journalisez et faites tourner vos jetons. Loguez les requêtes REST authentifiées. Puis révoquez les jetons inutilisés chaque trimestre.
En pratique, ces réglages demandent du temps et des compétences pointues. Car il faut arbitrer entre automatisation, sécurité et conformité. Si vous voulez exploiter cette nouveauté sans exposer votre site, un audit technique de votre installation WordPress vous permet de partir sur des bases saines. Résultat : vous gagnez la puissance des agents IA sans en subir les risques. C’est exactement là qu’un accompagnement expert fait la différence.
