Contact
Rechercher dans les tutoriels Genisoft ESC
WooCommerce 11.3 : les extensions ouvertes aux agents IA
Actualités

WooCommerce 11.3 : les extensions ouvertes aux agents IA

WooCommerce 11.3 prépare une API expérimentale pour ouvrir les extensions aux agents IA. Nous l'avons testée sur la préversion : résultats et précautions.

Par

WooCommerce 11.3 prépare « Extensible abilities », une API expérimentale qui permet aux extensions d’exposer leurs propres champs aux agents IA, sur les mêmes actions que WooCommerce propose déjà (lire, créer, modifier un produit). Nous l’avons installée et testée sur la préversion 11.3.0-dev : elle est bien désactivée par défaut, et les droits WordPress restent la barrière. Pour beaucoup de boutiques, un autre changement de la même version est plus pressant : la connexion MCP.

Ce qui a été annoncé

Le billet « Call for testing » du blog développeurs WooCommerce, publié le 22 octobre 2026, décrit une fonction expérimentale livrée avec WooCommerce 11.3 et désactivée par défaut. Une « ability » est une action nommée que WooCommerce déclare à WordPress (par exemple lire ou modifier un produit) et qu’un client IA peut appeler. Avec la nouvelle API, une extension peut :

Les auteurs listent eux-mêmes des lacunes : les abilities de commande n’écrivent pas encore les champs d’extension, la liste des types de produit est fixe (les abonnements n’en font pas partie) et les produits variables ne sont pas bien pris en charge, car l’API fait une seule sauvegarde là où un produit variable en demande plusieurs. Ils demandent de ne pas l’utiliser en production, précisent que l’API évolue encore et visent d’abord les développeurs d’extensions. Les retours se font dans la discussion GitHub dédiée.

Un second billet, publié le 21 octobre, concerne la connexion MCP de WooCommerce 11.3. D’après ce billet, l’ancien point d’accès /wp-json/woocommerce/mcp disparaît (il répondra par une erreur HTTP 410) et la connexion passe par le plugin « MCP Adapter » de WordPress, qui doit être actif. L’authentification par clé d’API WooCommerce disparaît avec l’ancien point d’accès : le billet recommande un identifiant WordPress et un mot de passe d’application, avec un utilisateur aux droits limités. Les abilities cœur pour produits et commandes sont activées par défaut, mais elles ne servent qu’à travers cet adaptateur. Les clients MCP qui utilisent encore l’ancien point d’accès doivent être migrés avant de passer à 11.3.

Côté WordPress, le résumé hebdomadaire de l’équipe IA indique qu’un certain « Matt » (le texte ne précise pas qui) a approuvé l’idée de faire de MCP une partie « de facto » de WordPress, sans décider de la méthode : cela ne veut pas forcément dire d’intégrer tout l’adaptateur au cœur. Des tests préliminaires y donnent 0 % de réussite aux agents avec l’adaptateur seul, principalement faute d’abilities fournies ; d’autres agents, passant notamment par l’API REST, ont mieux réussi, avec des réserves de sécurité. WordPress 7.3 est cité comme cible possible, sans engagement.

Ce que ça change pour un site WooCommerce

Ce qui suit est notre analyse, appuyée sur nos essais plus bas.

Vos extensions deviennent une surface d’accès. Aujourd’hui, un agent qui interroge votre boutique ne voit que les champs natifs. Avec cette API, un plugin de cadeaux, de réservation ou de tarification pourra exposer ses champs et accepter qu’on les modifie par le même canal. Chaque extension installée devient donc un point à examiner : qu’expose-t-elle, et à qui ?

Les droits WordPress restent la barrière. Dans nos essais, un compte sans droit produit est refusé, et un compte qui peut modifier des produits mais pas les publier voit son passage en « publié » refusé. L’agent agit donc avec les droits de l’utilisateur dont il utilise le mot de passe d’application. Le choix de cet utilisateur est la décision de sécurité qui compte.

Les abilities de base sont déjà larges. La préversion en déclare huit pour les produits et les commandes (lire, créer, modifier et supprimer des produits, lire des commandes, ajouter des notes, changer un statut). Toutes se déclarent publiques pour MCP ; celles qui modifient ou suppriment (product-update, product-delete, order-update-status) sont marquées « destructives ».

La migration MCP est plus urgente que l’API expérimentale. Si un assistant se connecte déjà à votre boutique par l’ancien point d’accès MCP de WooCommerce, avec une clé d’API, ce montage cessera de fonctionner avec 11.3 selon le billet officiel, et nous avons vérifié le code d’erreur sur la préversion. Vos clés REST pour d’autres usages ne sont pas concernées par ce changement.

Notre test

Nous avons téléchargé la préversion 11.3.0-dev sur la page officielle de la version (publiée le 19 octobre 2026, 16,8 Mo, empreinte SHA-256 identique à celle de GitHub) et l’avons installée le 26 octobre 2026 dans un WordPress 7.1.3 local et jetable, sous PHP 8.3, sans donnée de boutique. Une courte extension de démonstration ajoute à un produit une note cadeau (lue et écrite), un champ en lecture seule, un champ volontairement faux, un validateur et un filtre de recherche. Les appels se font directement sur les abilities avec WP-CLI, en jouant trois agents : un administrateur, un abonné, et un compte qui modifie des produits sans pouvoir les publier.

Voici l’enregistrement du champ de la note cadeau, version abrégée de notre extension :

use Automattic\WooCommerce\Abilities\ExtensibleAbilities;

add_action( 'woocommerce_extensible_abilities_init', function () {
	ExtensibleAbilities::register_field( array(
		'resource'        => 'product',
		'namespace'       => 'genisoft_demo',
		'field'           => 'gift_note',
		'schema'          => array( 'type' => array( 'string', 'null' ), 'maxLength' => 40 ),
		'get_callback'    => function ( $product ) {
			$value = (string) $product->get_meta( '_genisoft_gift_note' );
			return '' === $value ? null : $value;
		},
		'update_callback' => function ( $product, $value ) {
			if ( null === $value ) {
				$product->delete_meta_data( '_genisoft_gift_note' );
			} else {
				$product->update_meta_data( '_genisoft_gift_note', $value );
			}
		},
	) );
} );

On l’appelle ensuite comme n’importe quelle ability :

wp_get_ability( 'woocommerce/product-update' )->execute( array(
	'id'         => 11,
	'extensions' => array( 'genisoft_demo' => array( 'gift_note' => 'Bonne fête' ) ),
) );
EssaiCe que nous avons observé
Fonction non activée (réglage par défaut)Les deux actions de l’API ne se déclenchent pas et aucun champ extensions n’apparaît dans les schémas des abilities.
Fonction activée (Réglages > Avancé > Fonctionnalités > « Extensible abilities »)Les actions se déclenchent, extensions apparaît dans la saisie de product-create et product-update, dans leur sortie et dans products-query, qui accepte aussi filters.extensions.
Création d’un produit avec une note cadeauCréation réussie ; la note est renvoyée sous extensions.genisoft_demo.gift_note et enregistrée avec le produit.
Mise à jour de la noteRéussie ; la nouvelle valeur est en base.
Écriture du champ en lecture seuleRefusée comme saisie invalide (« n’est pas une propriété valide ») : un champ sans fonction d’écriture n’est même pas accepté.
Note de 60 caractères, alors que le schéma en autorise 40Refusée avant l’enregistrement ; la valeur précédente reste en base.
Note contenant un mot refusé par le validateurRefusée avec notre message d’erreur (statut 400) ; rien n’est enregistré.
Recherche avec le filtre « a une note cadeau »Vrai : seul le produit avec note est renvoyé. Faux : seul l’autre l’est.
Champ dont la valeur ne respecte pas son schémaLe champ est omis de la réponse et une ligne d’erreur, une seule, est écrite dans le journal WooCommerce.
Abonné sans droit sur les produitsRefusé (ability_invalid_permissions), nom du produit inchangé.
Compte qui modifie les produits sans publish_productsChangement du nom accepté ; passage en « publish » refusé (403, woocommerce_product_publish_forbidden), statut inchangé.
Échec d’enregistrement provoqué par une exceptionL’agent reçoit seulement « Failed to save product. » (500). Le détail de l’exception est dans le journal WooCommerce.
Ancien point d’accès MCP, appelé en GET et en POSTHTTP 410, avec un message JSON-RPC qui demande d’installer le plugin MCP Adapter et d’utiliser un mot de passe d’application. Sans l’adaptateur, aucune route MCP de remplacement n’existe sur le site.

Ces essais confirment que la préversion du 19 octobre contient déjà la fonction.

Réglages WooCommerce > Avancé > Fonctionnalités sur la préversion 11.3.0-dev : la case « Extensible abilities » est décochée par défaut Après les essais, nous avons désinstallé WooCommerce et restauré la base du bac à sable.

Que faire cette semaine

  1. N’activez pas l’option expérimentale en production. Si vous voulez l’essayer, faites-le sur une copie de la boutique, sans données clients.
  2. Listez vos extensions WooCommerce qui touchent aux produits, aux commandes ou aux prix. Ce sont celles qui pourraient exposer des champs aux agents.
  3. Vérifiez si un assistant IA est déjà connecté à votre boutique par l’ancien point d’accès MCP de WooCommerce (connexion avec une clé d’API). Si oui, migrez-le vers l’adaptateur MCP de WordPress avant de passer en 11.3, puis révoquez l’ancienne clé.
  4. Créez un utilisateur dédié, avec le rôle minimal, pour tout futur mot de passe d’application destiné à un agent. N’utilisez jamais un compte administrateur.
  5. Attendez la sortie publique de 11.3, vérifiez-la sur une copie, puis mettez à jour. Au 26 octobre, la version stable publiée sur wordpress.org est la 11.2.1.

Limites et incertitudes

Questions fréquentes

Cette API expose-t-elle mes produits à des agents IA sans que je le décide ?

Pas par elle-même. L’API est désactivée par défaut et un agent doit s’authentifier avec un compte WordPress. En revanche, le billet MCP indique que les abilities de base sont activées par défaut dans 11.3, et elles passent par l’adaptateur MCP de WordPress : si cet adaptateur est actif sur votre site, vérifiez qui peut se connecter.

Où se trouve l’option, et comment la désactiver ?

Dans WooCommerce, onglet Réglages, puis Avancé, puis Fonctionnalités : la case « Extensible abilities » est décochée par défaut sur la préversion que nous avons testée. Décochez-la et enregistrez pour revenir à l’état d’origine.

Quand cette fonction sera-t-elle stable ?

Nous ne le savons pas. Le billet la qualifie d’expérimentale, cite des lacunes connues et ne donne aucune date de stabilisation. Suivez la discussion GitHub citée dans les sources.

Comment cet article a été produit. Sujet repéré par une veille automatisée le 26 octobre 2026, faits relus dans les sources primaires listées plus bas, test réalisé le 26 octobre 2026 sur WooCommerce 11.3.0-dev dans un WordPress 7.1.3 local, rédigé avec l’aide de Claude (Anthropic), puis relu et validé par l’équipe Genisoft avant publication. Aucun chiffre n’est repris sans source ni mesure.

Sources

Pour aller plus loin :

Agence web PrestaShop & WordPress

Agence web spécialisée PrestaShop et WordPress : création, maintenance, sécurité, performance et référencement. Nos tutoriels sont issus de nos interventions sur de vraies boutiques.

L'agence Genisoft → LinkedIn →