Vos agents IA, avec vos droits.
Connectez Claude, Codex CLI ou Gemini CLI à votre WordPress en collant une adresse, sans clé à copier ni mot de passe à partager.
Site Agent MCP est un plugin WordPress (licence GPL, bêta gratuite) qui fait de votre site un serveur MCP distant, protégé par OAuth 2.1. Le MCP, ou Model Context Protocol, est le protocole ouvert par lequel les applications d’IA utilisent des outils externes. Les agents se connectent avec les droits WordPress du compte qui approuve la connexion, vérifiés à chaque appel. Testé avec Claude ; les autres clients ne le sont pas encore.
- ZIP de 112 Ko
- WordPress 6.9 ou plus
- PHP 7.4 ou plus
- Licence GPL
Tout ce que votre compte peut faire, un agent peut le faire.
Pas plus. Les droits WordPress du compte qui autorise la connexion sont vérifiés à chaque appel.
Votre site et tous ses plugins
L’agent passe par la route la plus fiable qui existe pour chaque extension, et vous dit laquelle il a prise.
- Toute l’API REST de WordPress et des plugins installés.
- Les « abilities » que WordPress et les plugins déclarent.
- Les réglages des plugins, et leurs écrans d’administration lus comme des formulaires, aperçu avant envoi.
- Extensions, thèmes et mises à jour du cœur.
- Un journal des changements, avec annulation pour les réglages et les fichiers.
SEO et GEO fondés sur des preuves
Audits de page, Search Console, PageSpeed, Chrome UX Report, GTmetrix, IndexNow. Pas de note E-E-A-T inventée, pas de gain promis.
La sécurité d’abord
À la connexion d’un administrateur, l’agent lance un audit en lecture seule et vous le présente avant tout autre travail.
Sauvegardes complètes
Base et fichiers, par petites étapes qui tiennent sur un hébergement mutualisé. Seul un administrateur peut restaurer, jamais un agent.
Accès serveur, sur demande
Fichiers, SQL, PHP et WP-CLI, proposés aux administrateurs case par case, décochés par défaut.
Des garde-fous que l’agent ne peut pas contourner.
Les consignes données aux agents restent des conseils. Ce qui suit, en revanche, est appliqué par le plugin lui-même.
- Connexion OAuth 2.1 avec PKCE : vous vous identifiez sur votre site et approuvez la connexion.
- Les capacités WordPress de votre compte décident de tout, appel par appel.
- Un site qui interdit l’édition de fichiers le reste.
- Vos clés Google et GTmetrix restent sur le site, masquées aux agents.
- Chaque connexion se révoque en un clic, et chaque appel est tracé.
Installé en trois étapes.
Aucun serveur en plus : le plugin tourne dans votre WordPress, y compris sur un mutualisé.
-
Téléversez le ZIP
Extensions › Ajouter › Téléverser une extension, puis activez Site Agent MCP.
-
Copiez l’adresse
Outils › Site Agent MCP affiche l’adresse du serveur et la commande de chaque client.
-
Connectez votre IA
Collez l’adresse, connectez-vous à WordPress et approuvez. Par exemple :
# Claude Code claude mcp add --transport http mon-site https://votre-site.fr/wp-json/samcp/v1/mcp
Claude (web, bureau, mobile) : Personnaliser › Connecteurs › Ajouter un connecteur personnalisé. Codex CLI, Gemini CLI et Antigravity : voir la documentation.
Ce qui est testé, et ce qui ne l’est pas encore.
C’est une bêta. État au 2026-11-12 (v0.4.1). Les versions précédentes sont dans le journal des versions, et ce que le plugin envoie à qui est détaillé sur la page données.
- 375 tests de bout en bout réussis sur WordPress 7.1.4, avec Yoast, Rank Math, Wordfence et WP Super Cache réellement installés.
- Un vrai client Claude connecté à un site en HTTPS, avec Search Console, PageSpeed et GTmetrix réels.
- Pas encore testé : Nginx, multisite, et les clients Codex, Gemini CLI et Antigravity.
- Les sauvegardes restent sur votre serveur, sans chiffrement, et se restaurent au même endroit. Le déménagement vers un autre serveur arrive plus tard.
- Un agent peut ignorer une consigne. Testez d’abord sur une copie de votre site.
Questions fréquentes
Qu’est-ce qu’un serveur MCP ?
Le Model Context Protocol est un protocole ouvert qui permet à une application d’IA d’utiliser les outils d’un service. Avec ce plugin, votre site WordPress devient un tel service : l’agent y voit des outils (lire une page, modifier un réglage, lancer un audit) et les appelle quand vous le lui demandez.
Faut-il un serveur en plus de mon hébergement ?
Non. Le plugin tourne dans WordPress, y compris sur un hébergement mutualisé. Votre site doit être en HTTPS pour que les applications d’IA acceptent de s’y connecter.
Quels droits a l’agent ?
Ceux du compte WordPress qui approuve la connexion, ni plus ni moins, vérifiés à chaque appel. Un éditeur connecte un agent qui ne peut faire que ce qu’un éditeur peut faire. L’accès aux fichiers, au SQL, au PHP et à WP-CLI est une option à part, proposée aux seuls administrateurs et décochée par défaut.
Mes clés Google et GTmetrix sont-elles exposées à l’agent ?
Non. Elles restent dans la base de votre site et les outils ne les renvoient jamais. L’agent voit seulement si un service est configuré.
Et si l’agent ignore une consigne ?
Les consignes données aux agents restent des conseils. Les limites réelles sont les droits WordPress, la connexion OAuth et les refus du plugin. Les changements de réglages et de fichiers sont journalisés et peuvent être annulés ; les écritures SQL, non. Testez d’abord sur une copie du site.
Comment couper l’accès d’un agent ?
Dans l’écran du plugin, chaque connexion a un bouton pour la révoquer. L’agent perd l’accès immédiatement.
Les sauvegardes sont-elles chiffrées ?
Pas encore. Elles restent sur votre serveur, hors du dossier public quand l’hébergement le permet, sinon dans un dossier protégé au nom imprévisible. Téléchargez-les et supprimez-les du serveur si vous préférez.
Essayez la bêta sur votre site.
Gratuite pendant la bêta. Version 0.4.1, publiée le 12 novembre 2026.
SHA-256 : af78d48ee5ba442cbc29db4593f497b7d24ca528d4f864d9c757b7004e15bdaf