Come collegare Claude Code a WordPress

Claude Code può lavorare con WordPress attraverso più di un’architettura. Può operare su una base di codice WordPress locale, chiamare endpoint REST di WordPress tramite uno strumento attendibile oppure collegarsi a un server MCP che espone strumenti WordPress. Il percorso corretto dipende dal fatto che l’attività riguardi codice, dati del sito o azioni nel livello di amministrazione di WordPress.

Non iniziare fornendo a Claude Code un account amministratore umano. Crea un’identità WordPress dedicata, inizia con accesso in sola lettura e verifica sia una lettura consentita sia una scrittura rifiutata.

In una frase: scegli l’architettura di connessione per l’attività, quindi collega Claude Code a un’identità WordPress separata con l’autorità minima possibile.

Cosa consente di fare questa guida

Questa guida definisce un lato WordPress neutrale rispetto al fornitore e un lato client specifico per Claude.

Un flusso di lavoro IA utile non è definito solo dalla qualità della risposta. È definito anche dai dati che l’assistente può raggiungere, dalle azioni che gli è consentito eseguire, dalle evidenze che puoi ispezionare in seguito e dalla facilità con cui l’accesso può essere revocato.

Perché è importante

«Collegare Claude a WordPress» può significare almeno tre cose diverse. Uno sviluppatore può aprire un repository locale di plugin in Claude Code. Un addetto al marketing può volere che Claude legga gli articoli di un sito live. Un’agenzia può volere un flusso MCP che crei bozze. Trattare questi scenari come un’unica integrazione produce istruzioni confuse e accessi eccessivi.

Il supporto MCP di Claude Code rende possibili le connessioni agli strumenti, ma il server MCP resta un confine di fiducia separato. Anthropic consiglia agli utenti di verificare di fidarsi del server, soprattutto quando può recuperare contenuti esterni che potrebbero contenere tentativi di prompt injection.

Risultato previsto

Un’esecuzione riuscita dovrebbe produrre:

• Un’architettura selezionata: codice locale, strumento basato su REST o server MCP.
• Un’identità WordPress dedicata e una credenziale revocabile.
• Una configurazione di Claude Code che non contenga segreti sottoposti al controllo di versione.
• Un test di sola lettura riuscito e un test di rifiuto previsto.
• Una registrazione riproducibile delle versioni di client, connettore e plugin.

Scegli il percorso di connessione corretto

Usa l’accesso al repository locale quando Claude Code esamina o modifica codice di plugin o temi. Usa uno strumento basato su REST quando l’attività richiede record WordPress ed è disponibile un wrapper API ristretto. Usa MCP quando un server attendibile espone risorse e strumenti WordPress in un formato che Claude Code può individuare e chiamare.

Un flusso di lavoro sul codice locale non fornisce automaticamente accesso al database WordPress live. Un flusso MCP non fornisce automaticamente accesso ai file del sito. Dichiara esplicitamente il confine.

Prepara il lato WordPress

Crea un’identità dedicata per l’assistente. Se la connessione usa le Password applicazione di WordPress, genera una credenziale per quell’identità e trasmettila solo tramite HTTPS. Registra il proprietario della credenziale, lo scopo e la data di revoca pianificata. Non inserire la credenziale in .mcp.json, nella documentazione, nelle schermate o nel controllo di versione.

Conferma le capacità WordPress esatte associate all’identità. Una connessione che si autentica correttamente può comunque essere rifiutata correttamente quando l’identità non dispone dell’autorizzazione per un’azione.

Configura Claude Code

Claude Code supporta configurazioni di server MCP locali e remoti. La documentazione ufficiale attuale usa claude mcp add per la configurazione e prevede ambiti locale, progetto e utente. La configurazione con ambito progetto può risiedere in .mcp.json, ma le credenziali devono essere fornite tramite espansione di variabili d’ambiente o un altro meccanismo di gestione dei segreti approvato.

Le opzioni esatte e i nomi dei trasporti dipendono dalla versione. L’implementazione deve ricontrollare la documentazione aggiornata di Anthropic e acquisire claude --version prima di pubblicare un comando copiabile.

Esegui due test di accettazione

Per prima cosa, chiedi a Claude Code di recuperare un piccolo insieme noto di record WordPress e confronta il risultato con WordPress. Poi chiedigli di eseguire una scrittura che l’identità non dovrebbe poter effettuare. Il primo test dimostra l’utilità; il secondo dimostra il confine.

Una guida di connessione non è completa finché entrambi gli esiti non sono documentati.

Un flusso di lavoro sicuro

1. Definisci se l’attività riguarda codice locale, dati WordPress o azioni WordPress.
2. Scegli un connettore REST o MCP attendibile e appropriato per quell’attività.
3. Crea un’identità WordPress dedicata in sola lettura e una credenziale revocabile.
4. Conserva i segreti fuori dal repository e fai riferimento a essi tramite il meccanismo d’ambiente approvato.
5. Configura Claude Code con le istruzioni MCP ufficiali aggiornate quando è selezionato MCP.
6. Esegui un piccolo test di lettura e confronta i dati restituiti con WordPress.
7. Prova una scrittura vietata e conferma che WordPress la rifiuta.
8. Registra versioni, ambito della configurazione, evidenze e procedura di revoca.

Modello di prompt

Prima di copiare questo prompt, sostituisci ogni valore tra parentesi quadre. Non incollare credenziali, dati dei clienti o informazioni private nell’istruzione.

Sei connesso a un sito dimostrativo WordPress tramite un'identità che deve essere in sola lettura.

Attività:
1. Recupera i 10 articoli pubblicati modificati più di recente.
2. Restituisci titolo, URL canonico, data di pubblicazione e data dell'ultima modifica.
3. Non creare, modificare, eliminare né pubblicare alcunché.
4. Se un campo non è disponibile, segnalalo come non disponibile anziché dedurlo.
5. Dopo aver restituito la tabella, spiega quale strumento o endpoint WordPress ha fornito ogni campo.

Poi fermati.

Perché il prompt è strutturato così

Il prompt limita il numero di record, nomina i campi, vieta ogni classe di scrittura e chiede a Claude di identificare la fonte dei dati. Questo rende l’output più facile da confrontare con WordPress e rivela se il connettore nasconde una provenienza importante.

Confine di accesso consigliato

Usa un’identità in sola lettura. L’assistente può ispezionare i dati WordPress inclusi nel suo ambito, ma ogni tentativo di creare, modificare, eliminare o pubblicare contenuti deve essere rifiutato.

Questo flusso di lavoro può influenzare decisioni editoriali o creare modifiche non pubblicate. Mantieni l’ambito ristretto e rivedi ogni modifica proposta.

Il livello di accesso è una raccomandazione iniziale, non un’autorizzazione universale. Le capacità WordPress esatte disponibili a un’identità devono derivare dalla versione del prodotto installata e dalla relativa copertura pubblicata, non solo da questo articolo.

Cosa deve restare fuori dall’attività

• Non sottoporre al controllo di versione valori di .mcp.json che contengono credenziali.
• Non usare un account amministratore umano come identità dell’agente.
• Non dichiarare la compatibilità con Claude Code finché il percorso esatto non è riprodotto rispetto alla baseline distribuita di WP Agent Control.
• Non lasciare che un server MCP recuperi contenuti non attendibili ed esegua immediatamente scritture nello stesso flusso di lavoro non supervisionato.

Come si inserisce WP Agent Control

La cartella privata guidata per Claude Code o Codex utilizza REST di WordPress e una password applicativa con un profilo dedicato in sola lettura. I profili Read Only, Draft, Content Editor e Publisher esistenti rimangono nelle opzioni avanzate. Non vengono convertiti automaticamente a OAuth e non ereditano le attività remote e le relative approvazioni esatte.

Dopo la connessione, ottieni informazioni strutturate sul sito ed esamina pagine pubblicate selezionate. Questa lettura pubblica non richiede un’attività temporanea. Puoi anche visitare pagine pubbliche senza il plugin; Agent Control aggiunge accesso strutturato e continuità verso operazioni WordPress autorizzate.

Collega la tua IA: docs first profile · Vedi funzioni e compatibilità: coverage

Elenco di verifica

• ☐ Le versioni di Claude Code e del connettore sono registrate.
• ☐ L’identità WordPress è dedicata e in sola lettura.
• ☐ Nessuna credenziale compare in Git, registri, schermate o prompt.
• ☐ Il risultato della lettura corrisponde a un campione WordPress noto.
• ☐ La scrittura vietata viene rifiutata.
• ☐ La revoca impedisce una connessione successiva.

Modalità di errore comuni

• Usare un’unica guida per ogni architettura: lavoro sul codice locale, accesso ai dati REST e uso di strumenti MCP hanno prerequisiti e rischi diversi.
• Sottoporre il segreto al controllo di versione: la configurazione di progetto può essere condivisibile, ma la credenziale deve restare fuori dal controllo di versione.
• Incolpare Claude per un rifiuto di autorizzazione: un 401 o 403 può mostrare che WordPress sta applicando il confine previsto.
• Pubblicare comandi non verificati: le opzioni di Claude Code e i pacchetti dei connettori possono cambiare; acquisisci le versioni attuali e riesegui la guida.

Nota avanzata

Per una configurazione ad alta garanzia, tratta il server MCP come un componente a sé stante con un elenco di autorizzazioni degli strumenti esposti, una versione fissata, un modello delle minacce e un confine contro la prompt injection. L’identità WordPress deve restare l’autorità finale anche se il client o il server richiede un’azione più ampia.

Guide correlate

• MCP per WordPress spiegato in modo semplice
• Come funziona l’adattatore MCP ufficiale di WordPress
• Password dell’applicazione WordPress per connessioni IA
• Quale livello di accesso WordPress dovresti assegnare a un’IA?

Continua

Passaggio successivo: apri Quale livello di accesso WordPress dovresti assegnare a un’IA?, scegli il livello di accesso adeguato più basso e segui la guida di connessione pertinente. Quando sei pronto a creare un’identità separata e revocabile, consulta Prodotto oppure avvia la prova Solo di 7 giorni.