In unserem letzten Artikel haben wir beschrieben, wie KI-Fähigkeiten zunehmend tief in den WordPress-Core wandern – angeführt von der Abilities API, die seit WordPress 6.9 fester Bestandteil des Systems ist. Abilities standardisieren, wie Core, Plugins und Themes ihre Funktionen mit Ein- und Ausgabe-Schema, Berechtigungsprüfung und Callback nach außen beschreiben.
Was in der Theorie überzeugend klingt, wird erst dann nützlich, wenn eine KI-Anwendung diese Abilities tatsächlich aufrufen kann. Genau das leistet das Model Context Protocol (MCP): ein offenes Protokoll, über das KI-Assistenten wie Claude Desktop, Claude Code, Cursor oder VS Code mit externen Werkzeugen und Datenquellen kommunizieren. Dieser Artikel zeigt, wie die Verbindung zwischen WordPress-Abilities und MCP-Clients in der Praxis aufgebaut wird – als direkter Folgeartikel zum Abilities-API-Beitrag.
Zwei Wege zum Ziel
In der Praxis haben sich zwei unterschiedliche Ansätze etabliert, WordPress per MCP ansprechbar zu machen.
1. Der offizielle Weg: mcp-adapter von Automattic
Automattic hat mit dem ursprünglichen „WordPress MCP“-Plugin früh experimentiert. Dieses Plugin gilt inzwischen als veraltet – der Nachfolger heißt mcp-adapter und ist als „AI Building Block“ für WordPress konzipiert. Er gilt inzwischen als stabil und soll das kanonische Plugin bzw. Composer-Paket für MCP-Integrationen in WordPress werden. Wer eigene Plugins oder Themes entwickelt und deren Fähigkeiten über MCP zugänglich machen will, sollte direkt auf den mcp-adapter setzen statt auf das alte Plugin.
Der mcp-adapter fungiert dabei als Übersetzer: Er nimmt die intern über die Abilities API registrierten Fähigkeiten und macht sie für MCP-Clients auffindbar und aufrufbar – inklusive der nötigen Metadaten zu Ein- und Ausgaben sowie Berechtigungen.
2. Der pragmatische Weg: ein eigenständiger MCP-Server
Für Agenturen und Entwickler, die schnell mit bestehenden WordPress-Installationen arbeiten wollen, ohne selbst PHP-seitig etwas zu registrieren, gibt es eigenständige Node.js-basierte MCP-Server wie mcp-wp-abilities. Diese verbinden sich per REST API mit einer beliebigen WordPress-6.9+-Instanz und entdecken automatisch zur Laufzeit alle dort registrierten Abilities, ohne dass eine feste Tool-Liste im Code hinterlegt werden muss. Jedes Plugin, das eigene Abilities registriert, wird dadurch automatisch für den MCP-Client verfügbar.
Dieser Ansatz eignet sich besonders gut, wenn mehrere Kundenseiten angebunden werden sollen, ohne auf jeder Seite individuellen Code zu pflegen.
Praktisches Setup mit einem Standalone-Server
Als konkretes Beispiel dient hier die Einrichtung eines eigenständigen MCP-Servers gegen eine bestehende WordPress-Installation.
Voraussetzungen
- WordPress 6.9 oder neuer (Abilities API muss aktiv sein)
- Node.js 18 oder neuer auf dem Rechner, der den MCP-Server ausführt
- Ein WordPress Application Password für die Authentifizierung
Ein Application Password lässt sich unter Benutzer → Profil → Anwendungspasswörter in der WordPress-Administration anlegen. Es sollte pro Anwendungsfall separat vergeben und regelmäßig rotiert werden.
Installation
bash
npm install -g mcp-wp-abilitiesKonfiguration
Der Server benötigt drei Umgebungsvariablen:
| Variable | Beschreibung |
|---|---|
WORDPRESS_URL | Die URL der WordPress-Seite, z. B. https://kundenseite.de |
WORDPRESS_USERNAME | Der WordPress-Benutzername |
WORDPRESS_APP_PASSWORD | Das zuvor erzeugte Anwendungspasswort |
Für Claude Desktop wird der Server in der Konfigurationsdatei eingetragen (macOS-Pfad als Beispiel):
json
{
"mcpServers": {
"wp-abilities": {
"command": "npx",
"args": ["-y", "mcp-wp-abilities"],
"env": {
"WORDPRESS_URL": "https://kundenseite.de",
"WORDPRESS_USERNAME": "ihr-benutzername",
"WORDPRESS_APP_PASSWORD": "ihr-anwendungspasswort"
}
}
}
}Für Claude Code lässt sich der Server über die CLI registrieren:
bash
claude mcp add wp-abilities \
--env WORDPRESS_URL=https://kundenseite.de \
--env WORDPRESS_USERNAME=ihr-benutzername \
--env WORDPRESS_APP_PASSWORD=ihr-anwendungspasswort \
-- npx -y mcp-wp-abilitiesErste Anfragen
Nach dem Neustart des MCP-Clients stehen die auf der WordPress-Seite registrierten Abilities als Werkzeuge zur Verfügung. In der Praxis sehen typische Anfragen so aus:
- „Zeig mir alle Entwürfe der letzten Woche.“
- „Erstelle einen Blogpost-Entwurf mit dem Titel ‚Neuigkeiten aus dem Sommer 2026‘.“
- „Welche Plugins sind auf dieser Seite installiert?“
Der Client übersetzt diese natürlichsprachigen Anfragen in konkrete Tool-Aufrufe, die der MCP-Server an die WordPress-REST-API weiterreicht.
Eigene Abilities registrieren
Wer ein eigenes Plugin entwickelt, kann eigene Fähigkeiten registrieren, die dann automatisch über den mcp-adapter oder einen Abilities-Discovery-Server sichtbar werden. Das Prinzip lässt sich am Beispiel eines Demo-Plugins von WooCommerce nachvollziehen, das eine eigene Ability zur Abfrage von Shop-Statistiken registriert. Der grobe Ablauf:
- Eine Ability wird mit einem eindeutigen Namensraum registriert (z. B.
meinplugin/kundenstatistik). - Ein- und Ausgabe-Schema werden als JSON-Schema definiert, damit die KI weiß, welche Parameter erwartet werden und welche Struktur die Antwort hat.
- Eine Berechtigungsprüfung legt fest, welche Nutzerrolle die Ability ausführen darf.
- Ein Callback enthält die eigentliche Logik – in der Regel ein Wrapper um bereits bestehende Plugin-Funktionen.
Der große Vorteil: Bestehender Code muss dafür kaum verändert werden. Die Ability ist im Kern eine standardisierte Hülle um Funktionalität, die im Plugin ohnehin schon existiert.
Sicherheitsaspekte
Der Komfort einer natürlichsprachigen Steuerung von WordPress bringt Verantwortung mit sich:
- Prinzip der geringsten Rechte: MCP-Aufrufe laufen unter den Rechten des verwendeten WordPress-Benutzers. Für die Anbindung sollte möglichst ein eingeschränkter Nutzer statt eines Administrator-Kontos verwendet werden.
- Application Passwords rotieren: Anwendungspasswörter sollten regelmäßig erneuert und bei Verdacht auf Kompromittierung sofort widerrufen werden.
- HTTPS erzwingen: MCP-Verbindungen zu WordPress sollten ausschließlich über verschlüsselte Verbindungen laufen.
- JWT vs. Application Password: Der offizielle mcp-adapter-Pfad setzt in vielen Implementierungen auf token-basierte JWT-Authentifizierung mit eigener Verwaltungsoberfläche, während Standalone-Server häufig auf klassische Application Passwords setzen. Für produktive Umgebungen mit mehreren Nutzern ist die JWT-Variante meist die pflegeleichtere Wahl.
- Audit-Logging: Gerade bei schreibenden Operationen (Beiträge veröffentlichen, Nutzer anlegen) empfiehlt sich eine Protokollierung, welche Anfrage welche Änderung ausgelöst hat.
Fazit und Ausblick
Die Kombination aus Abilities API und MCP macht WordPress schon heute für KI-Assistenten ansprechbar – sei es über den offiziellen mcp-adapter für eigene Plugin-Entwicklungen oder über eigenständige Discovery-Server für den schnellen Einstieg bei bestehenden Installationen. Für sevmatic-Kunden bedeutet das: Wiederkehrende redaktionelle oder administrative Aufgaben lassen sich schon jetzt experimentell in natürlichsprachige Workflows überführen.
Mit dem für WordPress 7.0 angekündigten WP AI Client und der geplanten Workflows API wird dieser Weg noch komfortabler – dazu mehr in einem der nächsten Beiträge.
Dieser Artikel ist Teil unserer Serie zu KI-Integrationen im WordPress-Ökosystem. Den vorherigen Beitrag zur Abilities API finden Sie hier KI wandert tief in den WordPress-Core – nicht nur in Plugins.
