Inicio/Glosario/MCP para WordPress
Infraestructura técnicaMCP para WordPress
Capa que permite a un agente de IA operar un sitio WordPress de forma controlada, exponiendo funciones del CMS como herramientas estandarizadas del Model Context Protocol. Descansa en dos piezas oficiales: la Abilities API y el MCP Adapter.
Qué es
"MCP para WordPress" no es un plugin suelto, sino la combinación de dos componentes oficiales de la iniciativa "AI Building Blocks for WordPress". La Abilities API es un registro estandarizado de capacidades del sitio: declara qué puede hacer WordPress de forma tipada y descubrible. El MCP Adapter es el puente que traduce esas capacidades a los primitivos del MCP · Model Context Protocol, el estándar que normaliza cómo un cliente de IA descubre e invoca herramientas, para que un cliente (Claude, Cursor, VS Code) las descubra e invoque.
La Abilities API se incorpora al core en WordPress 6.9 (antes era plugin). Cada ability se registra con wp_register_ability(): un identificador con namespace, esquemas tipados de entrada y salida, un permission_callback (qué capacidad o rol de WP hace falta) y un execute_callback (la lógica real). Sirve por igual para el core, los plugins y los themes. El MCP Adapter mapea esas abilities a los tres primitivos del MCP: las ejecutables se exponen como tools, las de solo lectura pueden modelarse como resources (contexto pasivo) y también como prompts. Trae tres herramientas integradas que siguen el patrón discover/info/execute: mcp-adapter-discover-abilities, mcp-adapter-get-ability-info y mcp-adapter-execute-ability.
El control no es una decisión del agente: se hereda del modelo de permisos nativo de WordPress. Cada invocación pasa por el permission_callback de la ability (comprobación de capabilities) y requiere usuario autenticado. Una ability se publica al servidor MCP con el flag de metadatos meta.mcp.public = true. Los transportes soportados son HTTP (spec MCP 2025-06-18, sitios remotos vía proxy con Application Password u OAuth) y STDIO (local vía WP-CLI), con arquitectura extensible para transportes propios.
Por qué importa
Separa dos planos que suelen mezclarse: qué puede hacer el sitio (Abilities API) y cómo lo consume un agente (MCP Adapter). Esa separación hace que la superficie expuesta a la IA sea explícita y auditable a nivel de código, en lugar de un acceso difuso al CMS. Es la forma estructurada de exponer WordPress a un Agente de IA y mesh de agentes —flujos donde varios agentes coordinan tareas— sin abrir el sitio de par en par. Es también una alternativa más tipada que cablear cada operación contra la API REST del CMS, que MCP envuelve en capacidades descubribles.
El acceso queda acotado por el modelo de permisos de WordPress, no por la buena voluntad del agente. La autorización vive en el permission_callback y en las capabilities del usuario, lo que permite delimitar qué operaciones quedan al alcance de la IA. Conviene recordar que la trazabilidad real depende de los logs de WordPress, del servidor o de plugins de auditoría: el adapter no documenta un registro de auditoría propio. Esto enlaza con el Hardening y seguridad de servidores —la superficie de ataque crece con cada ability ejecutable expuesta—, no es una capa que el adapter resuelva por sí solo.
Al ser piezas oficiales del core y un paquete mantenido (Composer wordpress/mcp-adapter), la adopción es incremental: un sitio que ya registra abilities está a un paso de exponerlas. Para flujos no conversacionales, esas mismas tools encajan en una Automatización con n8n, que puede invocar las abilities como pasos de un workflow. La aparición de "canonical abilities" en WooCommerce apunta a que el patrón se estandariza más allá del core, aunque su madurez y cobertura siguen en evolución.
En profundidad
Abilities API: registro de capacidades con wp_register_ability
La Abilities API es el "mapa de funciones" del sitio. Con wp_register_ability() un desarrollador declara una capacidad con identificador con namespace, esquemas tipados de entrada y salida, un permission_callback que comprueba la capability o rol de WordPress necesario, y un execute_callback con la lógica real. El registro funciona para core, plugins y themes, lo que convierte cualquier funcionalidad en algo descubrible, tipado y ejecutable de forma uniforme. Incluida en el core desde WordPress 6.9; antes existía como plugin.
MCP Adapter: del mapa de abilities a tools, resources y prompts
El MCP Adapter traduce las abilities a los tres primitivos del MCP · Model Context Protocol, el estándar que el adapter implementa para que un cliente de IA hable con el sitio. Las abilities ejecutables se exponen como tools (acciones), las de solo lectura pueden mapearse como resources (datos pasivos de contexto) y también pueden modelarse como prompts. El adapter incorpora tres herramientas propias que siguen el patrón discover/info/execute: mcp-adapter-discover-abilities (listar), mcp-adapter-get-ability-info (inspeccionar) y mcp-adapter-execute-ability (invocar). Es el paquete oficial Composer wordpress/mcp-adapter; el anterior Automattic/wordpress-mcp queda deprecado en su favor.
| Primitivo MCP | Tipo de ability | Función |
|---|---|---|
| tool | Ejecutable | Acciones que el agente puede invocar |
| resource | Solo lectura | Datos pasivos de contexto |
| prompt | Modelable | Plantilla de interacción reutilizable |
| herramientas propias | discover/info/execute | Listar, inspeccionar e invocar abilities |
Transportes: HTTP remoto y STDIO local
El adapter soporta transporte HTTP (spec MCP 2025-06-18), pensado para sitios remotos a través de un proxy con autenticación por Application Password u OAuth, y transporte STDIO para uso local mediante WP-CLI. La arquitectura admite además transportes personalizados. La elección de transporte condiciona la autenticación y el punto desde el que el agente alcanza el sitio; el modo remoto vía HTTP es el que abre la puerta a clientes externos y, con ello, el que más pesa en el Hardening y seguridad de servidores.
| Transporte | Alcance | Autenticación |
|---|---|---|
| HTTP (spec 2025-06-18) | Sitio remoto vía proxy | Application Password u OAuth |
| STDIO | Local vía WP-CLI | Sesión local de la línea de comandos |
| Personalizado | Extensible por la arquitectura | Según implementación propia |
Control y seguridad: permisos nativos y usuario MCP dedicado
La seguridad se apoya en el modelo de permisos de WordPress. Cada llamada pasa por el permission_callback de la ability y exige usuario autenticado. Las buenas prácticas recomiendan crear un usuario MCP dedicado, evitar permisos amplios en operaciones destructivas y preferir abilities de solo lectura en endpoints públicos. La visibilidad de cada ability ante el servidor MCP se gobierna con el flag meta.mcp.public. La trazabilidad efectiva, no obstante, depende de los logs de WordPress, del servidor o de plugins de auditoría, no de un registro nativo del adapter; aquí el Análisis de logs es la vía real para reconstruir qué hizo el agente y cuándo.
Qué observar
Las señales que importan.
La Abilities API entra en el core en WordPress 6.9
Deja de ser un plugin externo y pasa a ser superficie nativa del CMS. Indica que el registro tipado de capacidades es el camino canónico, no una solución de terceros.
Una ability declara namespace, esquemas tipados, permission_callback y execute_callback
Estos cuatro elementos definen una capacidad completa: identidad, contrato de datos, control de acceso y lógica. Su presencia distingue una ability bien formada de una llamada arbitraria al CMS.
El control de acceso lo decide el permission_callback, no el agente
La autorización se resuelve con las capabilities nativas de WordPress en cada invocación. Señala que el límite de lo que la IA puede hacer está en el código del sitio, no en el cliente de IA.
Una ability se publica al servidor MCP con el flag meta.mcp.public = true
El flag de metadatos controla qué capacidades son visibles para el agente. Su ausencia mantiene una ability fuera del alcance del MCP por defecto.
El paquete oficial es Composer wordpress/mcp-adapter; Automattic/wordpress-mcp queda deprecado
Marca cuál es la dependencia mantenida. Apoyarse en el repositorio deprecado implica quedar fuera de las actualizaciones y del soporte del proyecto.
Conceptos clave
El vocabulario del término.
- Abilities API
- Registro estandarizado de capacidades de un sitio WordPress, incorporado al core en la versión 6.9. Declara funciones tipadas y descubribles para core, plugins y themes mediante wp_register_ability().
- MCP Adapter
- Paquete oficial (Composer wordpress/mcp-adapter) que traduce las abilities de WordPress a los primitivos del Model Context Protocol, permitiendo que clientes de IA las descubran e invoquen.
- wp_register_ability()
- Función con la que se registra una ability: identificador con namespace, esquemas de entrada y salida, permission_callback (control de acceso) y execute_callback (lógica de ejecución).
- permission_callback
- Función asociada a una ability que comprueba la capability o rol de WordPress necesario antes de ejecutarla. Es donde reside la autorización, no en el agente.
- Primitivos del MCP (tools, resources, prompts)
- Las tres formas en que el Model Context Protocol expone capacidades: tools para acciones ejecutables, resources para datos de solo lectura y prompts para plantillas de instrucción.
- meta.mcp.public
- Flag de metadatos de una ability que la hace visible para el servidor MCP. Controla qué capacidades quedan al alcance de un agente de IA.
- Transporte (HTTP / STDIO)
- Canal por el que un cliente MCP se comunica con el sitio: HTTP para acceso remoto vía proxy con Application Password u OAuth, y STDIO para uso local mediante WP-CLI.
Dónde lo aplicamos
Aún no mostramos casos.
No inventamos resultados. Cuando tengamos casos reales —anonimizados y medibles— donde este concepto marcó la diferencia, vivirán aquí.
Conceptos relacionados
Fuentes
- From Abilities to AI Agents: Introducing the WordPress MCP Adapter · 2026-02
- WordPress/mcp-adapter (repositorio oficial) · 2026-04-15
- Automattic/wordpress-mcp (repositorio deprecado en favor de mcp-adapter) · 2026
- Release announcement: MCP Adapter v0.3.0 · 2025-11-24
- wordpress/mcp-adapter (paquete Composer) · 2026
- Introducing canonical WooCommerce abilities for products and orders · 2026-05-12
Una pieza del glosario.
Forma parte del glosario de SEO, analítica e IA de InnovaOrigen Tech: un mapa de conceptos definidos con criterio y fuentes. Si quieres llevarlo a tu caso, lo vemos sin compromiso.