Guide de l’API Abilities de WordPress pour les flux de travail avec l’IA

L’API Abilities de WordPress peut exposer des capacités typées et découvrables, mais chaque ability nécessite toujours des métadonnées exactes, des rappels de permission, une validation des entrées, un traitement des sorties et des preuves que l’exécution correspond au contrat publié.

Ici, l’IA est surtout utile comme organisatrice de preuves, moteur de comparaison et assistante de rédaction. Elle peut rendre une tâche WordPress complexe plus facile à examiner, mais elle ne peut pas créer une autorité manquante, certifier des faits qu’elle n’a pas observés ou convertir silencieusement une recommandation en permission d’agir.

En une phrase : l’API Abilities de WordPress peut exposer des capacités typées et découvrables, mais chaque ability nécessite toujours des métadonnées exactes, des rappels de permission, une validation des entrées, un traitement des sorties et des preuves que l’exécution correspond au contrat publié.

Ce que ce guide vous aide à accomplir

Expliquer et documenter un parcours sûr pour enregistrer, découvrir et tester des abilities WordPress avant de les exposer à des clients IA ou à des couches d’exécution à distance.

• Une distinction claire entre la définition d’une ability, son rappel d’exécution et sa logique d’autorisation.
• Une liste de contrôle d’enregistrement pour les métadonnées, schémas, annotations et l’exposition REST.
• Une matrice de permissions et de tests négatifs.
• Un contrat versionné pour les clients et les mainteneurs.

L’artefact final doit être compréhensible par la personne responsable de la décision et reproductible par quelqu’un qui n’a pas participé au prompt d’origine. Une réponse fluide ne suffit pas. Chaque conclusion importante doit avoir une source, un périmètre et un parcours de vérification. Lorsque les preuves ne permettent pas d’établir quelque chose, la sortie correcte est un inconnu explicite ou une hypothèse vérifiable.

Preuves et entrées à préparer

• La documentation actuelle de l’API Abilities de WordPress et la version cible.
• L’action d’affaires et la règle d’autorisation qui fait autorité.
• Des schémas d’entrée et de sortie avec des fixtures sûres.
• Les effets de bord attendus, les modes de défaillance et les exigences d’observabilité.
• Le client ou l’adaptateur qui découvrira ou exécutera l’ability.

Avant de fournir des preuves à un assistant, retirez les identifiants, valeurs secrètes et renseignements personnels sans rapport. Préservez les identifiants, versions, horodatages, paramètres régionaux, unités et étiquettes de source nécessaires pour interpréter ce qui reste. Une capture d’écran sans URL, état ou date peut être un contexte utile, mais constitue rarement une autorité suffisante pour une décision de production.

Ne commencez pas par une demande générale telle que « examinez ceci », « corrigez ceci » ou « améliorez ceci ». Définissez la décision que le travail doit appuyer, la population incluse, la source qui fait autorité pour chaque champ, les opérations permises et les actions qui demeurent interdites. L’étape de planification ou de recherche devrait utiliser un dépôt local, une fixture isolée ou des preuves exportées et ne requiert pas d’accès WordPress de production.

Une ability est un contrat, pas un prompt

Son nom, sa description, ses schémas, ses annotations et ses rappels définissent une opération appelable par une machine. La clarté en langage naturel compte, mais la validation exécutable et les vérifications de permissions demeurent les références qui font autorité.

Découvrable ne signifie pas exécutable par tout le monde

Lister des métadonnées et exécuter une ability sont des opérations distinctes. L’autorisation doit être appliquée à la frontière d’exécution.

Les annotations ne doivent pas trop promettre

Les affirmations concernant le comportement en lecture seule, les effets destructeurs ou l’idempotence devraient refléter l’implémentation testée, et non l’intention seule.

Garder l’observation, l’inférence et l’autorité séparées

Un examen contrôlé devrait distinguer au moins quatre états :

1. Observé : présent directement dans un enregistrement, fichier, réponse, page rendue ou test exécuté nommé.
2. Inféré : une interprétation plausible soutenue par des preuves, mais non établie directement.
3. Recommandé : une décision humaine proposée ou une action suivante.
4. Autorisé et vérifié : une modification approuvée séparément, exécutée puis vérifiée selon les critères d’acceptation.

La sortie de l’IA commence habituellement dans les trois premiers états. Elle ne devient pas autorisée uniquement parce qu’elle est détaillée, cohérente à l’interne ou techniquement convaincante. Préservez cette distinction dans les tableaux, rapports, tickets et études de cas publiques.

Un flux de travail sûr

1. Définir une capacité d’affaires étroite et son propriétaire responsable.
2. Spécifier un nom stable, une description, un schéma d’entrée, un schéma de sortie et les effets de bord.
3. Implémenter des rappels explicites de permission et de validation.
4. Enregistrer l’ability dans le cycle de vie et l’environnement pris en charge.
5. Tester la découverte, l’exécution valide, l’entrée invalide et l’exécution non autorisée.
6. Examiner si l’exposition REST ou MCP est appropriée et prise en charge.
7. Documenter le versionnage, les erreurs, l’observabilité et le comportement de rollback.
8. Exposer l’ability seulement après que le contrat et les tests négatifs ont réussi.

Cette séquence place délibérément un examen responsable entre l’analyse et l’implémentation. Si une étape ultérieure nécessite un accès plus large, créez une nouvelle tâche, une nouvelle identité ou une modification explicite des permissions. N’élevez pas silencieusement l’identité analytique parce qu’elle a atteint une frontière correcte.

Recette de prompt

Remplacez chaque valeur entre crochets avant d’utiliser le prompt. Ne collez pas de mots de passe, clés API, témoins d’authentification, dossiers privés de clients ou renseignements personnels sans rapport.

Vous examinez [TASK SCOPE] pour [SITE, REPOSITORY OR DATASET] en utilisant uniquement les preuves fournies.

Objectif :
Expliquez et documentez un parcours sûr pour enregistrer, découvrir et tester des abilities WordPress avant de les exposer à des clients IA ou à des couches d’exécution à distance.

Retournez les champs suivants :
- Nom de l’ability
- Objectif
- Schéma d’entrée
- Schéma de sortie
- Rappel de permission
- Effet de bord
- Annotation
- Fixture valide
- Fixture invalide
- Fixture non autorisée
- Version
- Propriétaire

Règles :
1. Utilisez les noms et signatures actuels de l’API officielle.
2. N’enregistrez pas d’abilities générales de type attrape-tout.
3. Exigez des rappels explicites de permission et une validation des entrées.
4. Testez les descriptions et annotations par rapport au comportement réel.
5. N’exposez pas une ability à REST ou MCP par simple hypothèse.

Pour chaque constat :
- identifiez la source, l’enregistrement, l’URL, le fichier, la ligne, l’ID d’objet, l’état ou la ligne du jeu de données exacts ;
- préservez les dates, versions, unités, paramètres régionaux, identifiants et dénominateurs ;
- séparez l’observation, l’inférence, la recommandation et l’inconnu ;
- indiquez quelles preuves n’étaient pas disponibles ;
- ne modifiez pas WordPress, le code source, les données commerciales, les analyses, les systèmes externes ou le contenu publié.

Pourquoi ce prompt est structuré ainsi

Le prompt crée un contrat de preuve avant de demander des recommandations. Il rend les données manquantes visibles, réduit le risque qu’un modèle complète un enregistrement incomplet avec une prose plausible et produit une sortie qui peut être examinée systématiquement. Les champs structurés facilitent aussi la comparaison d’exécutions répétées ou la remise d’un sous-ensemble approuvé à un flux de travail d’implémentation ultérieur.

Une implémentation de production peut ajouter un schéma JSON, des entrées d’outils typées ou une validation automatisée. Ces mécanismes améliorent la cohérence, mais n’établissent pas que les preuves sources sont vraies, complètes ou actuelles. Un examen humain et une vérification propre au système demeurent requis.

Frontière d’accès recommandée

Utilisez Aucun accès WordPress durant l’étape de planification ou de recherche pour l’étape décrite dans ce guide. Les capacités exactes offertes à une identité doivent provenir de la version de produit installée, du contrat de couverture publié et de la méthode de connexion réellement utilisée.

Ce qui doit rester en dehors de cette tâche

• Enregistrement d’ability en production
• Capacité administrative étendue
• Contournement des permissions
• Modifications de schéma non validées
• Affirmations de compatibilité client universelle

Une action refusée peut être une preuve utile que la frontière de contrôle fonctionne. Ne répondez pas à un refus prévu en accordant un compte administrateur étendu ou Full Power. Déterminez d’abord si l’action appartient réellement au mandat actuel. Si c’est le cas, créez une étape autorisée séparément avec la capacité requise la plus étroite.

Comment WP Agent Control s’intègre

Le dossier privé guidé pour Claude Code ou Codex utilise l’API REST WordPress et un mot de passe d’application avec un profil dédié en lecture seule. Les profils Read Only, Draft, Content Editor et Publisher existants restent dans les options avancées. Ils ne sont pas automatiquement convertis à OAuth et ne reprennent pas le modèle de tâches distantes et d’approbation exacte.

Obtenez des informations structurées sur le site et examinez des pages publiées après la connexion. Cette lecture publique ne nécessite aucune tâche temporaire. Vous pouvez aussi consulter les pages publiques sans le plugin ; Agent Control ajoute un accès structuré et la continuité vers du travail WordPress autorisé.

Connecter votre IA : docs first profile · Voir les fonctions et la compatibilité : coverage

Liste de contrôle de vérification

• ☐ La tâche, la population, la période, l’environnement et la décision sont explicites.
• ☐ Chaque observation importante est liée à des preuves exactes ou étiquetée comme hypothèse.
• ☐ Les ID stables, URL, versions, dates, unités, paramètres régionaux et dénominateurs sont préservés.
• ☐ Les preuves manquantes et les limites de couverture restent visibles.
• ☐ L’identité analytique ou de recherche n’a effectué aucune mutation interdite.
• ☐ Un propriétaire qualifié a examiné les implications de sécurité, d’accessibilité, juridiques, commerciales ou de publication, s’il y a lieu.
• ☐ Toute implémentation a un mandat, un niveau d’accès, une sauvegarde et un plan de vérification distincts.
• ☐ Les identités temporaires, fixtures et preuves sensibles sont révoquées, réinitialisées ou éliminées après la tâche.

Modes de défaillance courants

• Ability façonnée comme un prompt : une opération générale accepte des instructions arbitraires et contourne une conception explicite des capacités.
• Autorisation par métadonnées : la description de l’ability indique une restriction, mais le rappel d’exécution ne l’applique pas.
• Dérive de schéma : l’implémentation accepte ou retourne des champs que le contrat publié ne décrit pas.
• Étiquette de lecture seule erronée : une ability annotée comme étant en lecture seule déclenche des écritures, caches, courriels ou appels externes cachés.

Une défaillance transversale récurrente est la dérive des permissions : la tâche initiale rencontre une limite et l’opérateur élargit l’accès avant de déterminer si l’opération manquante est nécessaire, prise en charge ou sûre. Cela détruit la valeur probante du refus et rend les résultats ultérieurs difficiles à attribuer.

Note avancée

Dans une architecture gouvernée, les abilities sont des opérations admissibles dont les métadonnées, permissions et effets de bord sont versionnés indépendamment du transport. REST ou MCP peuvent projeter la même ability, mais aucun transport ne peut élargir son autorité.

Guides connexes

• Comment exposer une Ability WordPress personnalisée par MCP
• Comment créer une matrice de test des autorisations WordPress pour les agents IA
• Comment documenter une API REST WordPress avec l’IA
• Comment créer un plan de test WordPress avec l’IA

Étape suivante

Poursuivez avec le guide de soutien le plus pertinent et utilisez le guide des niveaux d’accès avant toute tâche authentifiée. Lorsque l’accès WordPress temporaire n’est plus nécessaire, terminez en révoquant l’identité.