كيف تربط وكيل ذكاء اصطناعي بـ WordPress بأمان (MCP و REST API والصلاحيات)

الطريقة الأكثر أمانًا لربط وكيل ذكاء اصطناعي بموقع WordPress اليوم هي واجهة Abilities API الخاصة بـ WordPress نفسه (الإصدار 6.9 وما بعده) مع إضافة MCP Adapter الرسمية. تعرض هذه الإضافة القدرات التي تختارها أنت فقط، على شكل أدوات يستطيع أي وكيل متوافق مع MCP استدعاءها، مثل Claude أو Cursor أو VS Code. يتصل الوكيل كمستخدم WordPress مخصص بصلاحيات محدودة عبر كلمة مرور تطبيق (Application Password)، ولا يتصل أبدًا بحساب المدير الخاص بك. وإذا كنت تحتاج فقط إلى سكربت أو أتمتة تقرأ المقالات وتكتبها، فإن REST API مع كلمة مرور تطبيق تفي بالغرض أيضًا. وقواعد الصلاحيات واحدة في الحالتين.

يشرح هذا الدليل المكونات الأساسية، ويأخذك خطوة بخطوة خلال الإعداد، ويغطي قواعد الصلاحيات التي تمنع الوكيل من أن يتحول إلى ثغرة أمنية.

“وكيل ذكاء اصطناعي لـ WordPress” قد يعني ثلاثة أشياء مختلفة

نتائج البحث تخلط بين هذه الأنواع، لذا من المفيد أن تحدد ما تحتاجه أولًا:

الخيار الثالث هو الأقوى، وهو أيضًا الخيار الذي تكون فيه الصلاحيات أهم ما يكون، لأن الوكيل يتصرف كمستخدم مسجّل الدخول.

المكونات الأساسية: MCP و Abilities API و MCP Adapter

بروتوكول سياق النموذج (Model Context Protocol أو MCP) معيار مفتوح لربط تطبيقات الذكاء الاصطناعي بالأدوات والبيانات الخارجية. يقدم خادم MCP أدوات (إجراءات يستطيع الذكاء الاصطناعي استدعاءها)، وموارد (بيانات يستطيع قراءتها)، وموجّهات (قوالب قابلة لإعادة الاستخدام). راجع modelcontextprotocol.io.

أما WordPress Abilities API، المتاحة منذ WordPress 6.9، فهي طريقة قياسية لتسجيل “القدرات” (abilities): وحدات وظيفية مسمّاة لكل منها مخطط JSON Schema للمدخلات والمخرجات، وتصنيف، ودالة للتحقق من الصلاحية، ودالة للتنفيذ. ويصفها دليل Abilities API بأنها سجل مركزي تستطيع الإضافات والقوالب والأنظمة الخارجية مثل وكلاء الذكاء الاصطناعي اكتشافه. ويأتي WordPress 6.9 بثلاث قدرات أساسية: core/get-site-info و core/get-user-info و core/get-environment-info.

و WordPress MCP Adapter هي الحزمة الرسمية التي تحوّل القدرات المسجلة إلى أدوات وموارد MCP. في فبراير 2026 نشرت مدونة مطوري WordPress مقدمة كاملة عن MCP Adapter. بمجرد تفعيلها، تسجّل خادمًا افتراضيًا باسم mcp-adapter-default-server يضم ثلاث أدوات: mcp-adapter-discover-abilities و mcp-adapter-get-ability-info و mcp-adapter-execute-ability. يكتشف الوكيل ما يُسمح له بفعله، ثم يقرأ التفاصيل، ثم ينفّذ.

باختصار: WordPress MCP هو MCP Adapter وهو يعرض القدرات المسجلة في موقعك لوكلاء الذكاء الاصطناعي، وكل قدرة محمية بفحص صلاحيات خاص بها وبصلاحيات المستخدم المتصل.

MCP Adapter أم REST API العادية؟

بالنسبة لوكلاء الذكاء الاصطناعي، الـ Adapter هو الخيار الافتراضي الأفضل. فأنت تقرر ما يستطيع الوكيل فعله قدرةً بقدرة، بدلًا من أن تمنحه كل ما يستطيعه دور كامل.

خطوة بخطوة: اربط عميل MCP بـ WordPress

1. تحقق من الأساسيات

• WordPress 6.9 أو أحدث (تتطلبه Abilities API).
• HTTPS على الموقع. تُرسل كلمات مرور التطبيقات عبر Basic Auth وهي مصممة للطلبات عبر https.
• نسخة تجريبية (staging) لتجربة ذلك عليها أولًا، ونسخة احتياطية حديثة من الموقع الفعلي.

2. ثبّت MCP Adapter

يثبّت دليل مدونة مطوري WordPress الـ Adapter كإضافة من صفحة Releases في مستودعه على GitHub. فعّلها وسيُسجَّل الخادم الافتراضي وأدواته الثلاث. نقطة MCP في موقعك لعملاء HTTP هي /wp-json/mcp/mcp-adapter-default-server.

3. اختر القدرات التي يراها الوكيل

افتراضيًا، لا تكون القدرة متاحة عبر الخادم الافتراضي إلا إذا تضمّن تسجيلها meta.mcp.public = true. هذا الاشتراك الاختياري هو مفتاح الأمان الرئيسي لديك. إليك قدرة صغيرة للقراءة فقط تعرض أحدث المسودات، معروضة لـ MCP ومقصورة على المستخدمين الذين يستطيعون تحرير المقالات:

add_action( 'wp_abilities_api_categories_init', function () {
    wp_register_ability_category( 'content-review', array(
        'label'       => 'Content review',
        'description' => 'Read-only abilities for reviewing content.',
    ) );
} );

add_action( 'wp_abilities_api_init', function () {
    wp_register_ability( 'myplugin/list-drafts', array(
        'label'               => 'List drafts',
        'description'         => 'Returns the 20 most recent draft posts: ID, title, last modified.',
        'category'            => 'content-review',
        'input_schema'        => array(),
        'output_schema'       => array( 'type' => 'array', 'items' => array( 'type' => 'object' ) ),
        'execute_callback'    => function () {
            $drafts = get_posts( array( 'post_status' => 'draft', 'numberposts' => 20 ) );
            return array_map( function ( $post ) {
                return array( 'id' => $post->ID, 'title' => $post->post_title, 'modified' => $post->post_modified );
            }, $drafts );
        },
        'permission_callback' => function () {
            return current_user_can( 'edit_posts' );
        },
        'meta'                => array( 'mcp' => array( 'public' => true ) ),
    ) );
} );

ولعرض القدرات الأساسية الثلاث، يستخدم الدليل نفسه الفلتر wp_register_ability_args لإضافة العلامة mcp.public إليها. إنها اختبار أول جيد وغير ضار.

4. أنشئ مستخدمًا مخصصًا وكلمة مرور تطبيق

أنشئ مستخدم WordPress جديدًا للوكيل وحده، مثل ai-agent، بأدنى دور يغطي المهمة. دور المؤلف (Author) أو المحرر (Editor) يكفي لأعمال المحتوى، واستخدم دورًا مخصصًا إذا احتجت إلى شيء بينهما. ثم افتح ملف ذلك المستخدم (المستخدمون > تحرير المستخدم)، وأنشئ تحت Application Passwords كلمة مرور تحمل اسم العميل، مثل “Claude Code – laptop”. كلمات مرور التطبيقات موجودة في WordPress منذ الإصدار 5.6، وفق دليل مصادقة REST API.

تحمل كلمة مرور التطبيق كل صلاحيات المستخدم التابعة له. ولهذا فإن المستخدم المخصص أهم من أي شيء آخر في هذا الدليل.

5. اربط عميل الذكاء الاصطناعي

هناك طريقتان للنقل:

• المواقع المحلية (STDIO): يشغّل العميل WP-CLI مباشرة عبر wp mcp-adapter serve --server=mcp-adapter-default-server --user=<user> مع --path يشير إلى موقعك. لا توجد كلمة مرور في هذه الحالة.
• المواقع البعيدة (HTTP): يشغّل العميل الوسيط @automattic/mcp-wordpress-remote عبر npx، وهو يحتاج إلى Node.js على جهازك وثلاثة متغيرات بيئة.

يبدو إعداد HTTP هكذا في Claude Desktop أو Claude Code (.mcp.json) أو Cursor. أما VS Code فيستخدم المفتاح servers بدلًا من mcpServers:

{
  "mcpServers": {
    "my-wordpress": {
      "command": "npx",
      "args": ["-y", "@automattic/mcp-wordpress-remote@latest"],
      "env": {
        "WP_API_URL": "https://example.com/wp-json/mcp/mcp-adapter-default-server",
        "WP_API_USERNAME": "ai-agent",
        "WP_API_PASSWORD": "<application password>"
      }
    }
  }
}

لا تحفظ ملفًا كهذا في نظام التحكم بالإصدارات وفيه كلمة مرور حقيقية. احتفظ بالقيمة في ملف بيئة محلي مستثنى من التحكم بالإصدارات، ودع العميل يقرأها من هناك.

6. ابدأ بالقراءة فقط، ثم اختبر

أعد تشغيل العميل واطلب منه عرض القدرات التي يراها. يجب أن يستدعي أداة الاكتشاف ويعيد فقط ما عرضته أنت. شغّل قدرة للقراءة فقط وتحقق من النتيجة، وبعدها فقط أضف القدرات التي تغيّر المحتوى، واحدة تلو الأخرى، وعلى النسخة التجريبية أولًا.

الصلاحيات: القواعد التي تحافظ على الأمان

تتصرف عملاء MCP كمستخدمي WordPress مسجّلي الدخول، لذا تعامل معها كجزء من سطح الهجوم على موقعك. هذه نصيحة دليل MCP Adapter نفسه، مضافًا إليها ما أطبقه على مواقع العملاء:

• أقل قدر من الصلاحيات. مستخدم مخصص بأدنى دور، و permission_callback على كل قدرة يتحقق من أدنى صلاحية لازمة. لا تُعِد true أبدًا لأي عملية مدمّرة.
• القراءة فقط عبر الإنترنت. في اتصالات HTTP، فضّل القدرات القرائية: التشخيص والتقارير والوصول إلى المحتوى. واقصر قدرات الكتابة على النسخة التجريبية أو المهام محددة النطاق بدقة.
• كلمة مرور لكل عميل. سمِّ كل كلمة مرور تطبيق باسم الجهاز أو الأداة، وألغها فور الاستغناء عن ذلك الجهاز أو تلك الأداة.
• البشر يوافقون على النشر. دع الوكيل ينشئ المسودات. أما النشر والحذف وتغيير الإعدادات فتبقى بيد شخص.
• سجّل الاستخدام. اعرف ما الذي استُدعي ومتى، حتى تلاحظ أي شيء غريب.

لماذا يهم هذا؟ لأن كلمة مرور الوكيل تسجيل دخول حقيقي. إذا تسرّبت، يحصل المهاجم على كل ما يستطيعه ذلك المستخدم، وهذا بالضبط ما يستطيعه حساب مدير مخترق إذا منحت الوكيل صلاحيات المدير.

كيف أستخدم ذلك في سير عملي الخاص

أستخدم وكلاء الذكاء الاصطناعي مع WordPress في عملي، عبر هذه المنظومة نفسها: إضافة MCP Adapter على الموقع، وكلمة مرور تطبيق لمستخدم الوكيل، و @automattic/mcp-wordpress-remote كجسر. وقد ترسّخت لديّ بعض العادات:

• بيانات الدخول لا تلمس ملف الإعداد ولا المحادثة. يستدعي إعداد MCP سكربت تحميل صغيرًا يقرأ ملف بيئة محليًا مستثنى من git، ويمرر للوسيط فقط المتغيرات التي يحتاجها ذلك الاتصال بعينه.
• النسخة التجريبية أولًا في مواقع العملاء، ونسخة احتياطية مؤكدة قبل أي تغيير على مستوى الموقع، والوكيل يستأذن قبل أي تغيير مدمّر.
• بيانات منشئ الصفحات تحتاج إلى عناية. في مواقع Elementor تُخزَّن بيانات التخطيط في post meta. بعد أن يحدّثها الوكيل، امسح ذاكرة Elementor المؤقتة (مسار REST هو DELETE /elementor/v1/cache)، وإلا قد تستمر الواجهة في عرض النسخة القديمة.

هذا جوهر سير العمل المدعوم بالذكاء الاصطناعي الذي أبنيه: وكلاء يُنجزون المحتوى ومكونات الواجهة وميزات WordPress، بينما يقرر البشر ما يُنشر.

مهام عملية يمكن تكليف الوكيل بها

• التشخيص: قراءة معلومات البيئة (إصدارات WordPress و PHP، والإضافات المفعّلة) قبل أي تحديث أو طلب دعم.
• مسودات المحتوى: إنشاء مسودات من موجز معتمد، مع تعبئة التصنيفات والمقتطفات، جاهزة للمراجعة البشرية.
• ضبط جودة المحتوى: عرض المسودات التي ينقصها وصف ميتا أو صورة بارزة أو روابط داخلية.
• وكلاء الأتمتة: الفكرة نفسها تعمل في n8n. على سبيل المثال، يستطيع وكيل n8n لعملاء واتساب استخدام أدوات تقرأ من موقعك أو تكتب فيه، وفق قواعد الصلاحيات نفسها.

الأسئلة الشائعة

هل يحتوي WordPress على وكيل ذكاء اصطناعي مدمج؟

لا. يتضمن WordPress 6.9 واجهة Abilities API التي تتيح لوكلاء الذكاء الاصطناعي والأدوات الأخرى اكتشاف وظائف الموقع وتشغيلها، إضافة إلى ثلاث قدرات أساسية. أما MCP Adapter الذي يربط هذه القدرات بعملاء الذكاء الاصطناعي فهو حزمة رسمية منفصلة. والوكيل نفسه هو عميل الذكاء الاصطناعي الذي تربطه.

هل من الآمن منح وكيل ذكاء اصطناعي وصولًا إلى WordPress؟

يمكن أن يكون آمنًا، إذا استخدم الوكيل مستخدمًا مخصصًا بصلاحيات محدودة، ولم يرَ إلا القدرات التي تعرضها، وعمل بالقراءة فقط عبر الإنترنت حيثما أمكن، وترك النشر لشخص. لا تربط وكيلًا بحساب المدير الخاص بك أبدًا.

هل أحتاج إلى MCP Adapter، أم تكفي REST API؟

للسكربتات وأدوات الأتمتة، تكفي REST API مع كلمة مرور تطبيق. أما لعملاء الذكاء الاصطناعي، فـ MCP Adapter أفضل لأن الوكيل لا يرى إلا القدرات التي اخترتها، ولكل منها فحص صلاحيات ووصف خاص بها.

ما أفضل إضافة ذكاء اصطناعي لـ WordPress؟

يعتمد ذلك على المهمة. روبوت محادثة للزوار، ومساعد كتابة داخل المحرر، ووكيل خارجي يدير الموقع، هي أدوات مختلفة. وللنوع الثالث، ابدأ بـ Abilities API و MCP Adapter الرسميتين قبل إضافة موصلات من أطراف ثالثة.

أين يقع هذا من الصورة الكاملة

ربط الوكيل أمر سهل. أما التأكد من أن الموقع والمستخدمين والتكاملات المحيطة به في حالة جيدة فهو العمل الحقيقي. إذا أردت نظرة منظمة على كل ذلك، فابدأ بـ تدقيق موقعك ومنظومتك، أو اطلب مني تدقيقًا مجانيًا لمنظومة WordPress لديك.