Wpagent Mcp

dev.wpagent由 wpagent.dev 發布v1.1.4更新於 Oct 26, 2026

Manage WordPress & WooCommerce from any MCP client — 58 tools over a signed REST API.

已驗證STDIO僅桌面開發者工具商業與電商

概覽

AI 產生的概覽

讓 MCP 用戶端透過簽章 REST 橋接操作 WordPress 與 WooCommerce 網站：外掛、內容、佈景主題、媒體、使用者和訂單。

可以做什麼
  • 管理外掛與佈景主題：列出、在 wordpress.org 搜尋、安裝、啟用、停用、更新、刪除，以及佈景主題設定與自訂 CSS
  • 建立與編輯內容：文章、頁面、產品、任意自訂文章類型，含自訂欄位與精選圖片
  • 處理 WooCommerce：設定、訂單、優惠券、運送區域、付款閘道、稅率與統計
  • 整理網站結構：選單、小工具、側邊欄、分類法、詞彙與重新導向
  • 瀏覽、上傳與刪除媒體；列出、建立、更新與審核使用者和留言
  • 執行安全性、SEO 與效能的實務檢查並自動修正，啟用後可執行白名單內的 WP-CLI 指令
適用情境
適合希望助理在自架 WordPress 或 WooCommerce 網站上實際動手（發佈內容、安裝外掛、調整商店設定），而不只是代寫文字的情境。
執行需求
透過 npx（Node.js）以 stdio 在本機執行。需要在 WordPress 網站安裝並啟用免費的 WpAgent 外掛，並在其中產生 API 金鑰。必要環境變數：WP_SITE_URL、WP_API_KEY_ID、WP_API_SECRET；WP_SITE_LABEL 為選用。用戶端必須能直接透過網路連到該網站。
安裝前請注意
金鑰的權限決定助理能做什麼，而且它可以刪除內容、外掛、媒體和使用者，建議先使用唯讀金鑰並保留最新備份。WP_API_SECRET 只在產生時顯示一次，需妥善保管。除非網站擁有者在 wp-config.php 中啟用，否則 WP-CLI 維持關閉。每次呼叫都會記錄在 WordPress 後台，金鑰可隨時撤銷。

安裝

在 SourceWeft 中

  1. 開啟 儀表板中的 Wpagent Mcp，將其新增到工作區。
  2. 為需要使用其工具的對話啟用該服務。

Desktop only，透過 STDIO。 STDIO 服務會啟動本機處理程序，因此需要 SourceWeft 桌面主機。

其他 MCP 客戶端

參照 儲存庫 中的啟動說明。

README

wpagent-mcp

An MCP server that lets Claude — or any MCP-compatible client — actually operate a WordPress site: plugins, content, themes, menus, media, users, WooCommerce, Elementor and WP-CLI.

It talks to your site through the free WpAgent bridge plugin over a REST API where every request is signed with HMAC-SHA256. No site credentials are involved, and no data passes through a third-party service: the connection is client → your WordPress, directly.

Install

Nothing to install ahead of time — the config below fetches it on demand.

  1. Install the WpAgent plugin on your WordPress site and activate it.
  2. In the WordPress admin, open WpAgent and generate an API key. Choose the permissions you want the assistant to have; a read-only key is a sound way to start.
  3. Add the server to your MCP client. For Claude Desktop, in claude_desktop_config.json:
json
{  "mcpServers": {    "wpagent": {      "command": "npx",      "args": ["-y", "wpagent-mcp"],      "env": {        "WP_SITE_URL": "https://your-site.com",        "WP_API_KEY_ID": "wpaia_xxxxxxxxxxxx",        "WP_API_SECRET": "the secret shown once when you generated the key"      }    }  }}

For Claude Code:

bash
claude mcp add wpagent \  --env WP_SITE_URL=https://your-site.com \  --env WP_API_KEY_ID=wpaia_xxxxxxxxxxxx \  --env WP_API_SECRET=... \  -- npx -y wpagent-mcp

Environment variables

VariableRequiredWhat it is
WP_SITE_URLyesYour site's base URL, no trailing slash
WP_API_KEY_IDyesThe key id shown in the plugin
WP_API_SECRETyesThe secret, displayed once at generation
WP_SITE_LABELnoA friendly name; defaults to the hostname

What it can do

AreaExamples
Pluginslist, search wordpress.org, install, activate, deactivate, update, delete
Contentposts, pages, products, any custom post type, with meta and featured images
Themeslist, search, install, activate, theme mods, custom CSS, logo, colours
WooCommercesettings, orders, coupons, shipping zones, payment gateways, tax rates, stats
Structuremenus, widgets, sidebars, taxonomies, terms, redirections
Mediabrowse, upload, delete
Users & commentslist, create, update, moderate
Auditbest-practices check over security, SEO, performance, with auto-fixes
WP-CLIallowlisted commands, off unless enabled in wp-config.php

What it will not do

The API has no path to arbitrary PHP, no path to your database, and no path to wp-config.php. WP-CLI execution is disabled unless the site owner adds define('WPAIA_ENABLE_WPCLI', true); on the server, and even then only allowlisted commands run — db, eval, eval-file, shell, server, config and package are always refused.

Safety

  • Every request is signed with HMAC-SHA256 and carries a timestamp; requests older than five minutes are rejected.
  • Permissions are per key and checked on every route, so a read-only key stays read-only.
  • Every call is written to an audit log you can read in the WordPress admin.
  • Revoking a key in WordPress takes effect immediately.

Ask the assistant to confirm before destructive actions, and keep a current backup — it can delete content when you tell it to.

Related

  • WpAgent — hosted dashboard built on the same bridge, with a free read-only tier
  • The bridge plugin is GPL-2.0-or-later; this server is MIT.

Licence

MIT © KipDev

來源：README.md，提交 9e7ef03

工具

0
SourceWeft 尚未在沙箱中啟動過該軟體包，因此其工具未知。

版本歷史

1
  1. v1.1.4最新Sep 16, 2026

評分

已滿足適用檢查項的 50%

該評分衡量此收錄條目的完整程度，依據註冊中心條目、端點與公開來源計算得出。它不是對伺服器本身的評價，也不表示伺服器安全或目前可用：可連通性是帶日期的檢查結果，評分也不包含安裝量或使用者評價。

  • 近 30 天內可連通25 分

    請保持端點能夠回應 MCP 握手；SourceWeft 每 30 天探測一次。

  • 已宣告認證方式10 分

    請在註冊中心條目中宣告憑證請求標頭，或保持端點能夠回應探測，以便判定其認證方式。

  • 已列出工具15 分

    請讓伺服器在無憑證時回應 tools/list，或發布可在沙箱中無憑證啟動的軟體包。

  • 描述必需15 分
  • 圖示10 分
  • 文件15 分
  • 授權條款10 分