MCP WordPress : quels droits donner à un agent IA ou à votre prestataire

Un prestataire vous propose de relier son assistant au site pour préparer des brouillons, corriger les liens ou auditer les contenus. La connexion paraît simple, mais elle engage les pouvoirs du compte utilisé. Le MCP WordPress permet à un client IA d’appeler des fonctions du site ; il faut connaître ces fonctions et leurs contrôles avant de lui ouvrir un accès.

La documentation WordPress rappelle que les clients MCP agissent comme des utilisateurs connectés. Une consigne demandant de ne rien publier ne remplace donc pas une restriction technique. L’intégration, les capacités exposées et les paramètres du client IA déterminent ensemble ce qui pourra réellement se produire.

Le contrôle commence par un compte dédié et une tâche précise. Il se poursuit avec la validation des changements, le journal d’activité et la révocation. Il faut aussi distinguer un site autohébergé du service WordPress.com : leurs connexions et leur portée ne sont pas identiques, notamment pour une agence gérant plusieurs sites.

Transparence : le fondateur d’ExternFlow exerce aussi dans les prestations externalisées. Voir la déclaration d’intérêts.

MCP WordPress : ce qu’un agent peut faire sur votre site

MCP, ou Model Context Protocol, permet à un client IA de découvrir puis d’appeler des outils exposés par un service. La liste exposée détermine les actions disponibles. Elle peut comprendre des lectures, la rédaction d’un article ou des changements plus sensibles. Le protocole ne rend pas toutes ces opérations accessibles par défaut et ne remplace pas leur contrôle d’autorisation.

Il existe deux flux à distinguer. Quand WordPress appelle un modèle par une clé API, le site utilise le fournisseur d’IA. Quand un client extérieur appelle un serveur MCP WordPress, il demande au site d’exécuter une fonction.

Site autohébergé : adaptateur et utilisateur dédié

L’Abilities API, introduite dans WordPress 6.9, permet de déclarer des capacités. L’adaptateur MCP 0.7.0, annoncé au répertoire officiel le 7 octobre 2026, reste expérimental. Il les relie au protocole ; seules les capacités exposées sont découvrables selon sa configuration. Le serveur par défaut propose notamment découverte, détails et exécution. Cela ne signifie pas que toute fonction d’une extension devient automatiquement appelable par un assistant distant.

Chaque capacité doit vérifier les permissions nécessaires. Le compte fixe un plafond de droits, auquel s’ajoutent les restrictions du serveur et de l’extension. Un mot de passe d’application peut authentifier une connexion distante sur HTTPS. Choisissez un composant maintenu et vérifiez sa documentation actuelle : des tutoriels continuent de décrire d’anciens projets, dont certains sont archivés.

WordPress.com et Jetpack : une portée à examiner

WordPress.com utilise une connexion OAuth et dessert aussi des sites reliés par Jetpack, sous les conditions d’offre prévues. Une connexion peut atteindre tous les sites du compte. Pour une agence, brancher un compte central dans Claude, ChatGPT, Codex ou Cursor impose donc de vérifier les sites clients rattachés avant tout essai, même si la mission concerne une seule adresse.

La documentation prévoit des paramètres au niveau du compte et un catalogue commun de fonctions. Les choix « lecture seule » et « accès complet » modifient les outils du compte, partagés par ses clients connectés. Contrôlez ce mode et les outils activés, puis les droits effectifs sur chaque site. Consignez la portée dans la fiche d’habilitation du prestataire. Google utilise le même protocole pour les applications connectées à Search et à Gemini, ouvertes en préversion le 28 octobre 2026.

Le mot de passe d’application hérite des droits du compte

Un mot de passe d’application est distinct du mot de passe principal. Il peut être révoqué séparément, sans couper les autres intégrations. Son nom permet d’identifier le client et la mission ; les informations de dernière utilisation aident au contrôle. Elles ne constituent toutefois pas un journal détaillé de toutes les opérations effectuées pendant une session.

La limitation passe par le rôle et le serveur. Créer le secret sur un compte Administrateur donne une authentification avec les capacités de cet utilisateur ; l’étiquette « lecture seule » du client ne suffit pas à transformer le secret en permission restreinte. Si le serveur applique une restriction supplémentaire, elle doit être documentée et vérifiable.

Une intégration reçoit son propre secret nommé, par exemple avec l’outil, le prestataire et la date. Évitez le profil principal de l’entreprise pour les travaux courants. Un accès dédié rend la révocation plus simple et permet de distinguer les missions. Ne copiez pas le secret dans les échanges ordinaires ni dans un document destiné à tous les intervenants.

Quel rôle WordPress pour chaque tâche confiée à l’IA ?

Le rôle natif décrit un ensemble de capacités. Le minimum dépend de la tâche exacte et des outils installés : un Abonné ne peut pas, à lui seul, lire tout le contenu privé. Pour un audit public, la lecture des pages accessibles peut suffire. Si une capacité exige davantage, examinez son contrôle plutôt que de passer automatiquement au rôle supérieur.

L’Éditeur peut agir sur les contenus d’autrui, dont les effacer ; selon la configuration, il dispose aussi de capacités supplémentaires. L’Auteur travaille sur ses articles mais n’a pas les mêmes pouvoirs sur les pages. Une mission limitée à des textes alternatifs ne justifie donc pas nécessairement tous les pouvoirs d’un rôle natif : un rôle personnalisé peut mieux convenir.

Les extensions fixent ce que trouve l’agent dans cette limite. Certaines métadonnées SEO demandent des fonctions particulières et ne sont pas exposées par le cœur. Pour tester les limites, préparez la tâche sur un environnement séparé, avec des exemples représentatifs, puis utilisez la matrice d’automatisation SEO pour examiner impact, détection d’erreur et possibilité de retour arrière.

Publication et retrait : les actions à faire approuver

L’ANSSI recommande d’éviter l’exécution automatisée d’actions critiques, dont la production de contenu public. La spécification MCP recommande un contrôle humain des appels d’outils. Le catalogue WordPress.com, mis à jour le 13 octobre 2026, impose une confirmation pour les écritures et décrit des suppressions définitives de médias ou de taxonomies. Une personne nommée approuve les changements sensibles, avec la cible et le contenu visibles avant l’action.

Sur WordPress.com, des fonctions créent les contenus en brouillon, tandis que modifier une publication existante peut changer immédiatement la page en ligne. Un brouillon initial ne protège pas les retouches suivantes. Le prestataire documente les appels utilisés et les confirmations attendues. Une catégorie renommée ou un slug changé peut aussi modifier des URL déjà indexées et des liens internes.

La sauvegarde couvre les champs réellement modifiés. Les révisions WordPress n’incluent pas automatiquement toutes les métadonnées d’une extension SEO. Elles ne suffisent donc pas pour annuler n’importe quel changement de title, de description ou de réglage. Demandez un export adapté et la trace de relecture du prestataire, avec un compte rendu avant-après pour le lot traité, y compris les mises à jour des métadonnées.

Dans Claude comme dans les autres clients, examinez les modes d’autorisation et les permissions permanentes. Un accord mémorisé peut supprimer les confirmations ultérieures. Pour tester le circuit, faites un essai de modification puis de refus, afin de vérifier que la personne chargée du contrôle peut réellement arrêter l’action dans la configuration choisie.

Injection de consignes : quand le contenu lu influence l’action

L’injection indirecte consiste à placer des instructions dans une source que l’IA consulte. La sécurité exige d’examiner les entrées : un commentaire, une page tierce ou un fichier importé peut tenter d’orienter son comportement. Le texte consulté reste une donnée non fiable, même s’il ressemble à une instruction administrative. OWASP décrit ce risque ; les protections du modèle ne dispensent pas de limiter ses pouvoirs.

Séparez lecture de sources tierces et écriture sensible lorsque la mission le permet. Ne laissez pas une session de modération choisir librement des actions sur les utilisateurs ou les réglages. Les recommandations de sécurité de l’ANSSI portent notamment sur les actions déclenchées depuis des entrées non maîtrisées : le périmètre exposé et les validations restent essentiels, même si l’assistant semble suivre les consignes.

Les outils inutiles sont désactivés et l’éditeur du serveur est identifié. Demandez qui maintient le composant, comment les incidents sont signalés et quelles données transitent. Une nouvelle connexion doit être examinée comme un accès au site, avec son responsable et son échéance ; elle ne devient pas acceptable par la seule présence du sigle MCP.

Rank Math, août 2026 : contrôler les accès créés par les extensions

Rank Math explique que sa version 1.0.277 créait un mot de passe d’application à l’ouverture du panneau Help & Support. L’éditeur indique que la version 1.0.277.2 retire l’agent concerné. La création du secret est reconnue par l’éditeur, qui admet aussi que l’explication aux utilisateurs n’était pas suffisamment claire avant l’ouverture de cet accès.

Selon Rank Math, les identifiants étaient chiffrés, non conservés côté éditeur et l’agent fonctionnait en lecture seule dans le rôle de l’utilisateur. Ces garanties sont des déclarations de l’éditeur ; elles ne créent pas une restriction native de portée du mot de passe WordPress. Elles ne doivent pas non plus être transformées en preuve d’un usage frauduleux ou d’une fuite.

La conséquence pratique est de vérifier les secrets dans chaque profil concerné, puis leur utilité et leur titulaire. Révoquez les entrées inexpliquées après vérification des intégrations actives. Ce contrôle complète l’inventaire du code tiers : une extension peut introduire une nouvelle voie d’authentification, au-delà de sa fonction visible dans l’administration.

Ce que le contrat fixe sur les accès de l’agent

Cinq mentions pour la clause d’accès

La CNIL recommande le moindre privilège, la traçabilité et le retrait des habilitations devenues inutiles. L’accès de l’assistant a un responsable identifié, même lorsque l’abonnement IA appartient au prestataire. La trame suivante est une base à adapter, avec les modalités de contrôle réalisables sur le site et dans le client retenu.

• Compte dédié, titulaire connu et capacités limitées à la mission.
• Clients IA et serveurs autorisés, fonctions accessibles et restrictions vérifiées.
• Validation des mises en ligne et des effacements par une personne désignée.
• Journal des actions, avec auteur, cible, date et durée de conservation justifiée.
• Révocation des secrets et connexions à l’échéance, avec preuve remise.

Le journal distingue actions humaines et actions assistées autant que les outils le permettent. Une conservation de six mois à un an peut constituer une convention de mission, à justifier selon les données et les besoins ; ce n’est pas une obligation universelle. La logique rejoint la clause d’accès des comptes Google, appliquée ici à des opérations sur le CMS.

Données personnelles et fournisseur du modèle

Les résultats transmis par un outil MCP peuvent rejoindre le contexte envoyé au modèle. Réduisez les données aux besoins de la mission : un audit éditorial n’exige généralement pas les commandes ni toutes les informations des utilisateurs. Examinez abonnement, fournisseur, stockage et traitement des données ; une déclaration de WordPress.com ne couvre pas automatiquement tous les services IA externes.

La qualification juridique dépend du montage réel. Si le prestataire agit comme sous-traitant au sens du RGPD, le recours à un autre sous-traitant suit notamment l’autorisation prévue à l’article 28. Le contrat identifie ce circuit et ses garanties, plutôt que de traiter le fournisseur du modèle comme un outil sans destinataire ni traitement propre.

Contrôler les accès déjà ouverts

Une revue commence par les comptes disposant de pouvoirs élevés, puis couvre les autres comptes capables d’authentifier une intégration. Un contrôle rapide peut révéler une anomalie ; il ne remplace pas une investigation si des actions inexpliquées apparaissent dans les journaux.

• Relever les utilisateurs, leurs rôles et la justification de leur présence.
• Examiner les mots de passe d’application, leurs noms et leur dernière utilisation.
• Identifier les serveurs installés et les fonctions qu’ils exposent.
• Sur WordPress.com, contrôler les sites rattachés et les paramètres MCP.
• Revoir les applications connectées et retirer les autorisations inutiles.
• Comparer l’activité récente aux interventions demandées.

Quitter le client IA ne révoque pas nécessairement la connexion chez le fournisseur. Effectuez le retrait dans le système qui porte l’autorisation, puis testez son effet. La liste des utilisateurs à la reprise d’un site et la clause de réversibilité donnent une base pour faire de ce contrôle un livrable de sortie.

Une revue accompagne tout changement de mission. Lorsque le prestataire termine une correction, son accès temporaire ne doit pas rester actif par habitude. L’entreprise conserve le registre, le contact responsable et la preuve de retrait, afin que la prochaine intervention démarre avec un périmètre connu.

Créer l’accès de l’agent avant de le connecter

Définissez un compte dédié aux capacités minimales, puis créez la connexion adaptée et son échéance. Le même contrôle vaut pour votre assistant et celui d’un prestataire. Retrouvez les méthodes de maîtrise des accès dans la Lettre ExternFlow.

Sources et références

La documentation des mots de passe d’application WordPress, les rôles et capacités et le dépôt MCP Adapter décrivent le fonctionnement des accès. Le serveur MCP WordPress.com et son catalogue d’outils précisent la portée du service. La publication officielle de MCP Adapter documente son statut. La mise au point de Rank Math est attribuée à l’éditeur. Les recommandations de sécurité de l’ANSSI et les recommandations de la CNIL sur les habilitations, les risques d’injection décrits par OWASP et la spécification MCP sur les outils donnent les repères de contrôle. Le RGPD encadre les traitements et la sous-traitance.