Contact
Rechercher dans les tutoriels Genisoft ESC
Brancher un agent IA sur WordPress : MCP Adapter testé
Actualités

Brancher un agent IA sur WordPress : MCP Adapter testé

WordPress vise MCP et OAuth dans le cœur pour la 7.3. Nous avons testé le plugin MCP Adapter 0.7.1 : qui peut se connecter, ce qu'un agent voit.

Par

L’équipe IA de WordPress propose d’intégrer au cœur, pour la version 7.3, la passerelle qui permet à un assistant IA de se connecter à votre site, avec une connexion par OAuth. En attendant, cette passerelle existe déjà sous forme de plugin officiel, MCP Adapter. Nous l’avons installée sur un site de test pour voir qui peut s’y connecter, ce qu’un agent y voit, et quels réglages vérifier avant de l’activer sur un site WooCommerce.

Ce qui a été annoncé

Le 28 octobre 2026, Jason Adams a publié sur le blog de l’équipe IA de WordPress une proposition intitulée « WordPress for the Agentic Web ». Il s’agit d’une proposition, pas d’une fonctionnalité livrée. Elle s’organise en quatre chantiers :

Le texte part d’un constat : gérer à la main des mots de passe d’application ne passe pas à l’échelle pour la masse des utilisateurs, et WP-CLI ou l’API REST demandent souvent un accès local ou une configuration avancée. Aucune date n’est donnée au-delà des numéros de version, et l’inclusion reste soumise à la revue habituelle. Pour situer le calendrier : la version finale de WordPress 7.2 est prévue le 8 décembre 2026.

Le plugin, lui, est disponible : MCP Adapter est publié par WordPress.org, en version 0.7.1 depuis la mi-octobre, avec plus de 50 000 installations actives selon le répertoire. Son guide pour les propriétaires de sites précise un point important : les applications web comme claude.ai ou ChatGPT ne peuvent pas encore s’y connecter, parce qu’elles exigent OAuth, que le plugin ne fournit pas. Aujourd’hui, la connexion passe par une application de bureau, un outil en ligne de commande ou WP-CLI, avec un mot de passe d’application.

Ce que ça change pour un site WordPress

Notre analyse : la proposition ne crée pas un nouvel accès, elle rend plus simple un accès qui existe déjà. C’est précisément ce qui mérite de l’attention. Tant que la connexion demande un mot de passe d’application et un fichier de configuration, peu de sites sont concernés. Le jour où un bouton « Autoriser cet assistant » apparaîtra dans l’administration, beaucoup plus de comptes pourront brancher un agent.

Deux questions deviennent donc pratiques : quels comptes ont le droit de se connecter au serveur MCP, et quelles actions sont exposées. Sur un site WooCommerce, la première question compte, car vos clients ont des comptes WordPress. Le code de WooCommerce crée le rôle « client » avec une seule capacité : read.

Notre test

Le 29 octobre 2026, nous avons installé MCP Adapter 0.7.1 depuis wordpress.org sur notre bac à sable local (WordPress 7.1.3, PHP 8.3), puis nous avons ouvert une session MCP avec trois profils : administrateur, abonné, et aucun utilisateur. Chaque session envoie les mêmes sept messages : initialisation, liste des outils, découverte des capacités, puis exécution de trois capacités du cœur.

wp plugin install mcp-adapter --version=0.7.1 --activate
wp mcp-adapter list
wp mcp-adapter serve --server=mcp-adapter-default-server --user=abonne-test < requetes-stdio.jsonl

Ce que nous avons observé (sorties brutes conservées) :

La lecture du code de la version 0.7.1 explique ce comportement. En HTTP, l’accès au serveur exige par défaut la capacité read, donc n’importe quel compte connecté, abonné ou client WooCommerce compris. Le filtrage se fait ensuite capacité par capacité. Une capacité n’est exposée que si elle est marquée publique, et sa propre fonction de permission s’applique à l’utilisateur connecté.

Après le test, nous avons supprimé l’utilisateur de test et le plugin ; le site est revenu à son état initial.

Limite : notre site de test est en HTTP, donc WordPress n’y propose pas de mots de passe d’application. Nous n’avons pas rejoué le scénario abonné en HTTP authentifié ; ce point repose sur la lecture du code, et le filtrage par capacité sur le test en ligne de commande.

Que faire cette semaine

  1. Inventoriez. Vérifiez si MCP Adapter, le plugin AI ou une extension qui embarque MCP est actif. Avec WP-CLI : wp plugin list puis, si le plugin est présent, wp mcp-adapter list.
  2. Relevez le seuil d’accès si vous l’activez sur un site avec des comptes clients. Le plugin prévoit un filtre pour cela. Nous l’avons lu dans le code, pas testé :
add_filter( 'mcp_adapter_default_transport_permission_user_capability', function () {
	return 'edit_others_posts'; // rôle Éditeur ou supérieur
} );
  1. Créez un compte dédié à l’agent, avec le rôle le plus bas suffisant, et un mot de passe d’application par outil et par appareil, comme le recommande le guide du plugin. Révoquez-le dès qu’il ne sert plus.
  2. Listez les capacités exposées après chaque nouvelle extension IA ou e-commerce : ce sont elles qui définissent ce qu’un agent peut faire, pas le plugin MCP.
  3. Testez sur une copie, jamais directement sur la boutique.

Limites et incertitudes

La proposition fixe des cibles de version, pas des engagements : MCP dans le cœur et OAuth en 7.3 peuvent glisser ou changer de forme. Un commentaire sous la proposition suggère plutôt d’enrichir l’API REST existante. Nous avons testé la version 0.7.1 sur WordPress 7.1.3, sans WooCommerce actif ni capacité d’extension tierce. Nous n’avons pas vérifié si un client WooCommerce peut créer lui-même un mot de passe d’application sur un site en HTTPS : c’est le point à contrôler sur votre configuration.

Questions fréquentes

MCP Adapter ouvre-t-il mon site aux IA dès son activation ? Le point d’accès existe dès l’activation, mais il exige un compte connecté, et chaque capacité garde ses propres permissions. Sans identifiant, notre requête HTTP a reçu une erreur 401, et la session sans utilisateur n’a pu exécuter aucun outil.

Puis-je connecter ChatGPT ou claude.ai à mon WordPress aujourd’hui ? Pas directement depuis leur version web, selon le guide du plugin, faute d’OAuth. C’est justement l’objet du chantier visé pour WordPress 7.3. Les applications de bureau et les outils en ligne de commande peuvent se connecter avec un mot de passe d’application.

Faut-il attendre WordPress 7.3 ? Si vous n’avez pas de besoin concret, oui : rien n’oblige à installer le plugin maintenant. Si vous l’utilisez déjà, appliquez les réglages ci-dessus dès cette semaine, sans attendre le cœur.

Comment cet article a été produit. Faits vérifiés dans les sources primaires listées plus bas ; test réalisé le 29 octobre 2026 sur une installation locale WordPress 7.1.3 avec MCP Adapter 0.7.1 (sorties conservées). Rédigé avec l’aide de Claude (Anthropic), puis relu et validé par l’équipe Genisoft avant publication.

Sources

Pour aller plus loin :

Agence web PrestaShop & WordPress

Agence web spécialisée PrestaShop et WordPress : création, maintenance, sécurité, performance et référencement. Nos tutoriels sont issus de nos interventions sur de vraies boutiques.

L'agence Genisoft → LinkedIn →