WordPress et WooCommerce MCP : connecter son site à un assistant IA

Comment les pièces s’emboîtent

L’Abilities API est un registre : chaque extension y déclare des « abilities », c’est-à-dire des actions nommées avec des entrées typées, des sorties typées et une fonction de contrôle des droits fondée sur les capacités WordPress. WordPress 7.0, sorti en mai 2026, a complété cette base côté JavaScript.

Le MCP Adapter décide ensuite ce qu’un agent IA a le droit de voir et d’appeler. Une ability n’est exposée en MCP que si elle le déclare dans ses métadonnées. L’adapter fonctionne en HTTP pour un site distant, et en STDIO via WP-CLI pour un environnement local.

WooCommerce publie ses propres abilities canoniques pour les produits et les commandes depuis la version 10.9. Point souvent mal compris : sur le serveur partagé de l’adapter, l’assistant ne voit pas un outil par ability, mais trois outils génériques pour découvrir les abilities, lire leur description et les exécuter.

Ce qui bloque en pratique

Installé seul, l’adapter donne souvent l’impression de ne rien faire : les abilities du cœur sont peu nombreuses et en lecture. Pour qu’un assistant puisse réellement travailler sur votre boutique, il faut des abilities d’écriture, fournies par une extension ou écrites pour votre site. Les extensions communautaires qui en ajoutent des dizaines existent, mais chacune élargit ce qu’un jeton compromis permettrait de faire.

L’authentification passe en général par un mot de passe d’application WordPress. Le piège classique consiste à le créer sur un compte administrateur : l’assistant hérite alors de tous les droits de ce compte. Un utilisateur dédié, avec un rôle limité à ce qui est nécessaire, change complètement le niveau de risque.

Pourquoi je peux vous accompagner sur ce sujet

Je développe des serveurs MCP pour de vrai. Le site que vous lisez est piloté par un serveur MCP que j’ai écrit : chaque opération de son API devient un outil, chaque jeton a des portées précises (lecture des pages, écriture, publication), et un garde-fou refuse d’envoyer une page trop mince avant même l’appel. Sur PrestaShop, j’ai développé un module MCP avec des clés à droits limités, un journal des actions et l’annulation des modifications, décrit sur la page PrestaShop MCP.

Sur WordPress, j’applique la même discipline : un outil par besoin réel, des droits minimaux et une traçabilité de ce que l’assistant a fait. Côté code, écrire une ability relève du développement d’extension classique, que je pratique depuis longtemps, voir extension WooCommerce sur mesure.