Le WordPress MCP Adapter change la donne pour votre site. En effet, le 2 octobre 2026, sa version 0.7.0 a rejoint le répertoire officiel WordPress.org. Auparavant, il n’existait que sur GitHub. Désormais, il s’installe comme un plugin classique. Concrètement, votre site peut maintenant dialoguer avec des agents IA. Résultat : la relation entre WordPress et l’IA bascule. Autrement dit, on passe de « l’IA génère du code » à « l’IA pilote WordPress directement ».
WordPress MCP Adapter : ce que fait vraiment ce pont vers l’IA
Le Model Context Protocol, ou MCP, est un standard ouvert. En effet, il décrit comment un agent IA se connecte à un outil externe. Le WordPress MCP Adapter applique ce protocole à votre site. Concrètement, il transforme les « abilities » enregistrées de votre site en outils utilisables par l’IA.
Ces abilities viennent de l’Abilities API, arrivée dans le cœur avec WordPress 6.9. Par ailleurs, l’adaptateur convertit automatiquement ces capacités en outils, ressources et prompts. Ensuite, l’agent les découvre et les appelle, en HTTP ou en STDIO. Donc un assistant comme Claude, ChatGPT ou Cursor peut agir sur votre site.
En pratique, vous lui parlez en langage naturel. Par exemple : « rédige un article depuis ces notes » ou « trouve les articles avec des liens cassés ». Ensuite, l’agent appelle les outils du site pour exécuter la demande. Autrement dit, plus besoin de cliquer partout dans wp-admin.
Des prérequis techniques précis
L’installation réclame des bases solides. D’abord, il faut WordPress 6.9 ou plus récent. Ensuite, votre serveur doit tourner sous PHP 7.4 au minimum. De plus, l’adaptateur reste en version 0.x, donc avant la 1.0. Par conséquent, il évolue vite et demande une veille active.
Surtout, l’authentification repose sur un Application Password. WordPress ne l’affiche que sur un site en HTTPS. En clair, un site sans SSL bloque la configuration avant même de commencer. C’est d’ailleurs l’erreur la plus fréquente sur ce point.
Le point de sécurité que la plupart des marques ratent
Voici le vrai enjeu. En effet, l’Application Password hérite de tous les droits du compte qui le crée. Donc, si vous le générez avec votre compte admin, l’agent devient admin. Concrètement, il peut alors installer un plugin, ajouter un utilisateur, modifier chaque article ou changer l’URL du site. Rien, dans la configuration, ne vous demande de restreindre cet accès.
Par ailleurs, un autre piège guette. La permission par défaut du transport vérifie seulement que l’utilisateur est connecté. Autrement dit, n’importe quel compte authentifié, même un simple abonné, peut atteindre ce serveur. Par conséquent, chaque serveur et chaque ability réclame un contrôle de permission explicite.
Les abilities exposent aussi beaucoup de données. En effet, elles touchent les articles, les brouillons, le contenu privé, les utilisateurs, les commentaires, les médias, les champs personnalisés et les données e-commerce. Donc un accès trop large ouvre une large surface d’exposition.
Les bons réflexes à mettre en place
- Créez un utilisateur dédié au rôle le plus restreint possible. Ensuite, générez l’Application Password sur ce compte, jamais sur votre admin.
- Privilégiez le mode lecture seule sur tout ce qui passe par HTTP. En effet, un agent qui audite votre contenu n’a pas besoin d’écrire.
- Imposez le HTTPS. Les Application Passwords circulent en Basic auth, soit du base64, pas du chiffrement.
- Activez un journal des appels. Autrement dit, un agent qui déclenche une action inattendue reste invisible sans traçabilité.
- Révoquez le mot de passe dès qu’une personne quitte le projet. En effet, il n’existe pas de révocation par client.
Ce que ça change pour votre marque
Cette nouveauté ouvre des gains réels. Concrètement, un agent IA peut auditer 300 articles, repérer les liens cassés ou préparer des brouillons. Ainsi, vos équipes gagnent du temps sur les tâches répétitives. Mais attention : la puissance de l’outil dépend entièrement du cadrage.
Voici trois priorités à retenir :
- Partez en lecture seule et validez chaque action avant d’autoriser une écriture automatique.
- Construisez un compte dédié avec des abilities précises, plutôt qu’un accès admin global.
- Documentez et surveillez chaque connexion, car un token oublié devient un risque.
En pratique, cadrer un agent IA demande de la méthode, des compétences techniques et une vraie gestion des droits. Donc, avant de connecter vos agents IA à votre site en production, un audit technique et sécurité vous évite les erreurs coûteuses. Autrement dit, l’outil accélère, mais votre expertise fait le résultat. Pour approfondir, consultez la documentation officielle WordPress.
