WordPress 6.9 « Gene » a fait entrer l’Abilities API dans le cœur du logiciel le 2 décembre 2025. WordPress 7.0 a pris le relais en mai 2026 avec l’AI Client, la brique qui permet à un site de s’adresser à un fournisseur d’IA externe. Nous avons déjà présenté ce que fait chacune de ces briques prise isolément, sans toucher à la moindre ligne de configuration. Cette fois, nous branchons la troisième brique sur un vrai agent IA : le MCP Adapter officiel, le pont qui transforme une Ability WordPress en quelque chose que Claude Desktop, ou tout autre client Model Context Protocol, peut appeler directement. Installons-en un ensemble, du début à la fin.
D’où l’on repart : du concept à la configuration
Une ability est une petite unité de capacité déclarée, par exemple « récupérer les informations publiques du site » ou « lister les articles publiés ». Elle porte une entrée définie, une sortie définie, et un contrôle de permission qui lui est rattaché. Le rôle du MCP Adapter, officiellement présenté sur le WordPress Developer Blog le 4 février 2026 par Jonathan Bossenger, tient en une phrase : il traduit ces abilities en outils et ressources Model Context Protocol, si bien que n’importe quelle application IA compatible MCP peut les découvrir et les appeler comme elle appellerait un outil sur n’importe quel autre serveur MCP. Le projet existait déjà depuis le 17 juillet 2025 ; l’article de février l’a fait passer du stade « en cours de développement par les contributeurs du Core » à celui de « installable dès aujourd’hui ».
Ce dont votre site WordPress a besoin avant de commencer
Il vous faut WordPress 6.9 « Gene » ou une version plus récente. L’Abilities API fait partie du cœur de WordPress à partir de cette version, il n’y a donc aucune extension séparée à aller chercher pour l’avoir. Si votre site tourne encore en 6.8 ou en dessous, ce guide entier est une bonne raison de programmer d’abord cette mise à jour : il n’existe pas de version partielle ou rétroportée de l’Abilities API pour les versions plus anciennes.
Une correction s’impose ici, car une lecture rapide de couvertures plus anciennes peut induire en erreur. L’extension séparée Enable Abilities for MCP n’est pas une solution de repli pour les sites restés en 6.8, et elle n’a pas été archivée. Cette semaine encore, elle est activement maintenue, exige elle-même WordPress 6.9 ou une version ultérieure, et ajoute un écran d’administration pour activer ou désactiver environ 85 abilities de gestion de contenu préconstruites, en plus de ce que le Core expose déjà. Elle reste facultative : vous n’en avez pas besoin pour suivre ce guide, mais si vous cherchez plus tard une interface simple pour contrôler ce qui est exposé sans toucher au code, sachez qu’elle existe et qu’elle est à jour.
Faire tourner le MCP Adapter officiel
L’adaptateur est publié depuis le dépôt officiel WordPress/mcp-adapter sur GitHub, demande PHP 7.4 ou supérieur, et s’installe comme une extension classique :
wp plugin install https://github.com/WordPress/mcp-adapter/releases/latest/download/mcp-adapter.zip --activateSi vous construisez plutôt un serveur ou une extension sur mesure autour de lui, c’est le paquet Packagist qu’il faut requérir, actuellement en version 0.6.1 :
composer require wordpress/mcp-adapterUne fois activée, l’extension expose un serveur MCP par défaut à l’adresse /wp-json/mcp/mcp-adapter-default-server, avec déjà trois abilities intégrées : core/get-site-info, core/get-user-info et core/get-environment-info. Ces trois-là suffisent à confirmer que toute la chaîne fonctionne avant d’écrire la moindre ligne de code personnalisé.
Écrire votre première ability personnalisée
Une ability personnalisée s’enregistre avec wp_register_ability(), la même fonction que n’importe quelle extension utiliserait, accrochée à WordPress comme on enregistrerait une route REST ou un type de contenu personnalisé :
wp_register_ability( 'wp-premiums/latest-post-title', array(
'label' => 'Get latest post title',
'description' => 'Returns the title of the most recently published post.',
'category' => 'site',
'input_schema' => array(
'type' => 'object',
'properties' => array(),
),
'execute_callback' => function () {
$latest = get_posts( array( 'numberposts' => 1 ) );
return array( 'title' => $latest ? $latest[0]->post_title : null );
},
'permission_callback' => function () {
return current_user_can( 'read' );
},
'meta' => array(
'public' => true,
),
) );Les abilities sont privées par défaut : rien de ce que vous enregistrez n’est joignable via MCP tant que vous n’avez pas explicitement mis meta.public (ou la version plus fine meta.mcp.public) à true. Ce comportement par défaut est un garde-fou voulu, pas un oubli, et il vaut la peine de le garder en tête avant d’arriver à la section sécurité plus bas.
Tester l’endpoint avant qu’un agent n’y touche
Avant de pointer un client IA vers le serveur, confirmez qu’il répond. Si vous avez accès à WP-CLI, la vérification la plus rapide se fait en local, via STDIO, et liste tous les outils que le serveur expose actuellement :
echo '{"jsonrpc":"2.0","id":1,"method":"tools/list","params":{}}' | wp mcp-adapter serve --user=admin --server=mcp-adapter-default-serverPour un site joignable sur le web, ce même serveur répond aussi aux requêtes HTTP, et c’est là qu’un outil comme Postman devient utile : construisez une requête POST vers votre endpoint avec un en-tête de requête authentifié, et vous devriez récupérer la même liste d’outils, en JSON.
curl -X POST "https://yoursite.com/wp-json/mcp/mcp-adapter-default-server"Une requête non authentifiée doit échouer à cette étape. Si elle réussit et renvoie des données, arrêtez-vous et revoyez vos fonctions de permission avant d’aller plus loin.
Connecter Claude Desktop à votre site
Pour une installation WordPress locale, le chemin le plus simple passe par STDIO via WP-CLI, configuré directement dans les réglages développeur de Claude Desktop. Ouvrez les Réglages, allez dans Développeur, et modifiez la configuration des serveurs MCP locaux pour ajouter une entrée de ce type :
{
"mcpServers": {
"wordpress-mcp-server": {
"command": "wp",
"args": [
"--path=/chemin/vers/votre/installation/wordpress",
"mcp-adapter",
"serve",
"--server=mcp-adapter-default-server",
"--user=admin"
]
}
}
}Enregistrez le fichier puis redémarrez Claude Desktop, car il ne lit la configuration des serveurs MCP qu’au démarrage, jamais en cours d’exécution. Une fois relancé, les trois abilities par défaut, ainsi que toute ability personnalisée enregistrée avec meta.public à true, devraient apparaître comme des outils que Claude peut appeler dans la conversation.
Si votre site doit surtout être joignable à distance plutôt que depuis votre propre machine, l’adaptateur prend aussi en charge le transport HTTP via le proxy @automattic/mcp-wordpress-remote, qui exige Node.js sur la machine qui gère la connexion. Ce chemin mérite l’effort de configuration supplémentaire une fois passée la phase de test local, quand des collègues ou des outils hébergés doivent joindre le même serveur.
Ce qu’il faut verrouiller avant de laisser un agent approcher votre site
Rien de tout cela ne contourne le système de permissions habituel de WordPress, et c’est le point à retenir. Chaque ability passe par sa propre fonction permission_callback, exactement comme n’importe quelle autre action WordPress, si bien qu’un agent authentifié comme éditeur ne peut pas atteindre quelque chose qu’un éditeur ne pourrait déjà pas faire depuis l’administration. L’erreur à éviter consiste à écrire une fonction de permission qui renvoie toujours true « pour simplifier les tests », puis à oublier de la resserrer avant qu’un site en production n’y soit exposé.
Gardez votre input_schema étroit et typé, plutôt que d’accepter un champ de texte libre qu’un agent pourrait remplir de n’importe quoi. Nous avons déjà expliqué ce qui se passe quand un chemin non authentifié dans le Core de WordPress est découvert puis enchaîné avec autre chose de plus grave ; une ability mal cadrée relève de la même famille d’erreur, en plus petit, sauf que c’est vous qui l’introduisez, pas un correctif d’urgence qui la corrige après coup. Commencez par des abilities en lecture seule comme les trois par défaut, ajoutez l’écriture une ability à la fois, et testez l’ensemble en préproduction avant qu’un agent n’approche votre base de données de production.
Qui d’autre construit déjà là-dessus
WooCommerce a déjà livré sa part : la version 10.9, sortie le 23 juin 2026, introduit sept abilities canoniques couvrant la recherche, la création, la mise à jour et la suppression de produits, ainsi que la recherche de commandes, la mise à jour de leur statut et l’ajout de notes, le tout construit directement sur les API produits et commandes de WooCommerce plutôt qu’en simples enveloppes autour de la REST. Rank Math a fait de même côté SEO : sa propre documentation détaille comment connecter un assistant IA comme Claude Desktop ou ChatGPT pour lire la meta description, le titre et le mot-clé principal d’un article, auditer le SEO du site et corriger certains problèmes détectés, comme un mot-clé principal manquant, le tout sur la même base d’Abilities API.
Elementor a un temps de retard sur ce point précis : la propre page produit d’Elementor présente l’intégration de l’Abilities API pour son assistant Angie comme « à venir », pas encore livrée. Si vous attendiez des abilities Elementor aux côtés de celles de WooCommerce et de Rank Math dès aujourd’hui, ce morceau-là n’est pas encore là.
Notre avis
Un agent qui ne peut voir et faire que ce que vous avez explicitement enregistré comme abilities, c’est une tout autre proposition que de lui confier un mot de passe administrateur. Cette distinction est ce qui rend la demi-heure de configuration du MCP Adapter utile. Le MCP Adapter n’accorde à un agent IA rien que vos fonctions de permission n’autorisaient pas déjà, ce qui veut dire que le travail de configuration que vous venez de faire est aussi le travail de sécurité.
Traitez ceci comme n’importe quelle nouvelle extension qui parle au monde extérieur : installez-la d’abord en préproduction, commencez par les abilities en lecture seule fournies par défaut, ajoutez vos propres abilities une par une avec une fonction de permission que vous avez réellement testée, et ne pointez un site en production vers un agent qu’une fois sûr de chaque ability exposée. Si vous cherchez encore à mesurer jusqu’où cette couche d’IA irrigue le Core de WordPress au-delà de ce seul adaptateur, notre guide complet sur WordPress situe où elle s’inscrit. Bonne connexion pour votre premier agent !
