WordPress MCP : c’est quoi et comment connecter une IA à son site

« WordPress MCP » désigne la connexion d’un site WordPress à un assistant IA grâce au Model Context Protocol, un protocole ouvert qui permet à une IA de découvrir et d’appeler des outils externes. Depuis WordPress 6.9, les extensions déclarent leurs fonctions dans l’Abilities API ; un adaptateur MCP installé sur le site les présente comme des outils ; l’assistant (Claude, ChatGPT, un éditeur de code) les appelle au nom d’un utilisateur WordPress précis, dans la limite de ses droits.

MCP, c’est quoi exactement ?

MCP est un standard de communication entre un assistant IA et des services extérieurs. Un serveur MCP annonce une liste d’outils : leur nom, leur description, les données attendues. Un client MCP (l’assistant) lit cette liste et décide d’appeler tel ou tel outil quand votre demande l’exige.

Sans MCP, l’IA ne connaît votre site que par ce que vous lui collez dans la conversation. Avec MCP, elle peut demander directement : « liste les pages », « donne les disponibilités du gîte en août », « crée ce brouillon ».

Comment WordPress parle-t-il MCP ?

Trois pièces s’emboîtent. Il est utile de bien les distinguer, car on les confond souvent.

WordPress 6.9 a été publié le 2 décembre 2025. L’annonce officielle présente l’Abilities API comme un registre standardisé des fonctions d’un site, utilisable en PHP, par l’API REST et par des agents IA. Nous l’expliquons en détail dans L’Abilities API de WordPress 6.9 expliquée simplement.

Faut-il une extension pour connecter une IA à WordPress ?

Oui. WordPress fournit le registre, pas le serveur MCP. Il faut un adaptateur.

L’extension officielle s’appelle MCP Adapter. Sa fiche WordPress.org indique, au 22 octobre 2026 : publiée par WordPress.org, version 0.7.1, plus de 50 000 installations actives, WordPress 6.9 et PHP 7.4 minimum. Elle n’ajoute aucune fonction d’IA elle-même : elle sert de pont. Elle propose deux transports, HTTP (point d’accès /wp-json/mcp/mcp-adapter-default-server) et STDIO via WP-CLI.

Point essentiel : l’exposition est volontaire. Selon la documentation de MCP Adapter, les abilities sont privées par défaut. Seules celles qu’une extension marque comme publiques pour MCP apparaissent. Et chaque appel vérifie les permissions de l’utilisateur connecté.

D’autres adaptateurs existent, comme Novamira, beaucoup plus permissif. Nous les comparons dans MCP Adapter officiel, Novamira et autres : lequel choisir.

Comment connecter Claude ou ChatGPT à son site WordPress ?

Voici la démarche avec MCP Adapter, d’après son guide pour les propriétaires de sites.

1. Vérifiez les prérequis. WordPress 6.9 ou plus, site en HTTPS. Le guide précise que WordPress ne propose les mots de passe d’application qu’en HTTPS, sauf en local.
2. Installez et activez MCP Adapter depuis l’administration (Extensions > Ajouter).
3. Créez un utilisateur dédié à l’assistant, avec le rôle le plus faible possible pour l’usage visé.
4. Créez un mot de passe d’application pour cet utilisateur (Utilisateurs > Profil > Mots de passe d’application). Copiez-le tout de suite : il n’est affiché qu’une fois.
5. Branchez votre client.
   – Claude Desktop, Cursor, VS Code : ajoutez le site dans le fichier de configuration MCP. Un relais, @automattic/mcp-wordpress-remote, lancé par npx, transmet les requêtes. Node.js doit être installé.
   – Claude Code : ajoutez un serveur MCP en HTTP avec un en-tête d’authentification « Basic » construit à partir de l’identifiant et du mot de passe d’application.
6. Testez : « Liste les abilities WordPress que tu peux utiliser sur mon site. » Une liste, même vide, signifie que la connexion fonctionne.

Et les versions web de Claude et ChatGPT ?

C’est la nuance que beaucoup d’articles oublient. Claude propose des « connecteurs personnalisés » vers un serveur MCP distant en HTTPS, sur toutes ses offres (un seul sur l’offre gratuite). ChatGPT permet aussi d’ajouter un serveur MCP personnalisé, selon votre offre et les règles de votre espace de travail.

Mais ces versions web s’authentifient par OAuth. Le guide de MCP Adapter est clair : elles n’ont pas de champ pour un mot de passe d’application, et ne peuvent donc pas, aujourd’hui, se connecter seules à MCP Adapter, faute de serveur OAuth dans WordPress. Solutions : passer par un client de bureau, ajouter une extension qui fournit OAuth, ou choisir un adaptateur qui le gère.

Que peut faire l’IA une fois connectée ?

Seulement ce que vos extensions exposent. Si aucune ne déclare de fonction publique, l’IA ne voit rien. C’est une bonne nouvelle pour la sécurité : rien n’est ouvert par accident.

Exemple concret avec un site de location. L’édition de GDA Kraft Booking téléchargée depuis l’espace client Kraft GDA déclare dix abilities : vue d’ensemble, liste et détail des hébergements, création ou modification d’un hébergement, ajout d’un logement, liste des composants de design, création d’une page de réservation en brouillon, disponibilités, devis et dernières réservations sans données personnelles. Elle n’intègre pas de serveur MCP : c’est l’adaptateur qui fait le lien. Voir l’aide dédiée.

Quels sont les risques ?

• Les erreurs de l’IA. Elle peut mal comprendre une demande et appeler le mauvais outil. Exigez une confirmation avant chaque action d’écriture.
• L’injection de prompt. Un contenu lu par l’IA peut contenir des instructions malveillantes. La documentation de Claude recommande de relire les demandes d’approbation d’outils et de bloquer les outils inutiles.
• Des droits trop larges. Ne connectez jamais un compte administrateur. Un utilisateur dédié limite les dégâts possibles.
• Les données personnelles. Ce que l’IA lit est traité par le fournisseur du modèle. Pensez RGPD avant d’exposer des données de clients.

Notre méthode complète : Donner l’accès de son site WordPress à une IA sans risque.

Quelle différence avec un chatbot installé sur le site ?

On confond souvent les deux. Un chatbot est une fenêtre de discussion affichée à vos visiteurs : il répond à leurs questions, en façade. WordPress MCP, lui, concerne l’arrière-boutique : c’est vous, ou votre équipe, qui demandez à votre assistant d’agir sur le site.

• Le chatbot parle à vos clients ; l’assistant MCP travaille pour vous.
• Le chatbot lit en général des contenus publics ; l’assistant MCP appelle des fonctions protégées par des droits.
• Le chatbot s’installe comme un widget ; l’assistant MCP demande un adaptateur et une authentification.

Les deux peuvent coexister, avec des règles de sécurité différentes.

Questions fréquentes

WordPress MCP est-il intégré à WordPress ?

En partie. L’Abilities API est dans le cœur depuis la version 6.9. Le serveur MCP, lui, vient d’une extension comme MCP Adapter.

Est-ce que cela marche avec WordPress 6.8 ?

Non. L’Abilities API n’existe qu’à partir de WordPress 6.9. Une extension qui déclare des abilities ne déclare rien sur une version antérieure.

L’IA peut-elle tout faire sur mon site ?

Non, avec MCP Adapter : elle n’accède qu’aux abilities publiques, et chaque appel vérifie les droits de l’utilisateur. Certains adaptateurs tiers donnent un accès bien plus large, à réserver aux sites de test.

Comment couper l’accès ?

Révoquez le mot de passe d’application de l’utilisateur dédié dans son profil. Le client perd l’accès immédiatement.

En résumé

MCP relie une IA aux fonctions de votre site. WordPress 6.9 fournit le registre, un adaptateur ouvre la porte, et les droits de l’utilisateur fixent les limites. Commencez en lecture seule, gardez la main sur tout ce qui modifie le site.

Vous gérez un site de réservation ? Découvrez les fonctions pilotables dans l’aide Kraft GDA, puis faites un premier test sur une copie de votre site.