Scarica
Xaflo WP Connect · plugin WordPress · v1.7.0

Dai all’assistente una chiave, non la casa.

Il plugin gratuito, con licenza MIT, che trasforma il tuo sito in 84 strumenti tipizzati. Ogni chiamata porta un token con permessi limitati e finisce nel registro, anche quando viene rifiutata, e ciò che non si può annullare aspetta il tuo sì.

Scarica il plugin · v1.7.0 Sfoglia tutti gli strumenti

Gratis · MIT · nessuna chiave di licenza · nessuna telemetria · WordPress 6.0+ · PHP 8.1+

Aggiorni da una versione precedente? Ruota il segreto di firma in Xaflo → Impostazioni, poi crea nuovi token e sostituiscili in ogni client. Le versioni precedenti permettevano a un token amministratore di sola lettura di leggere il file che contiene il segreto. Cosa è cambiato

Provalo: costruisci un token

Attiva e disattiva i permessi. Si accendono gli strumenti che quel token può chiamare; quelli rischiosi mostrano la doppia conferma che devono superare.

Nuovo token · seo-agentHS256 · 30 giorni
Scegli i permessiarancione = uno degli 10 permessi che il plugin considera rischiosi
Preset
Il tokenheader.payload.signature
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczpcL1wveW91ci1zaXRlLmV4YW1wbGUiLCJzdWIiOjEsIm5hbWUiOiJzZW8tYWdlbnQiLCJzY29wZXMiOlsiY29udGVudDpyZWFkIiwic2VvOnJlYWQiLCJzZW86d3JpdGUiLCJhbmFseXRpY3M6cmVhZCJdLCJqdGkiOiIzZjljMmIxZS04ZDRhLTRmNmItOWEyZS03YzFkNWUwYjRhOTEiLCJpYXQiOjE3OTQzMDQ4MDAsImV4cCI6MTc5Njg5NjgwMH0.kq3Z0V8xR2fJm1yTqP9wLs4BvN7cHd6eA5uIo0rWzXg
Payload decodificatovalori di esempio
{
  "iss": "https:\/\/your-site.example",
  "sub": 1,
  "name": "seo-agent",
  "scopes": [
    "content:read",
    "seo:read",
    "seo:write",
    "analytics:read"
  ],
  "jti": "3f9c2b1e-8d4a-4f6b-9a2e-7c1d5e0b4a91",
  "iat": 1794304800,
  "exp": 1796896800
}
Cosa può chiamare questo tokenMCP
28di 84 strumenti sbloccati
wp_list_postswp_get_postwp_create_postwp_update_postwp_delete_postwp_publish_postwp_list_pageswp_create_pagewp_update_pagewp_delete_pagewp_list_termswp_create_termwp_searchwp_list_mediawp_upload_media_urlwp_upload_media_b64wp_set_media_metawp_delete_mediawp_optimize_imagewp_find_unused_mediawp_get_seowp_set_seowp_analyze_seowp_audit_seo_bulkwp_get_sitemap_statuswp_find_broken_linkswp_analytics_detectwp_analytics_overviewwp_analytics_top_postswp_analytics_top_referrerswp_analytics_top_keywordswp_analytics_post_statswp_analytics_compare_periodwp_analytics_trend_by_categorywp_analytics_no_traffic_pageswp_get_active_themewp_list_theme_fileswp_read_theme_filewp_write_theme_filewp_inject_custom_csswp_switch_themewp_get_menuswp_create_menuwp_update_menuwp_get_widgetswp_set_widgetswp_get_customizerwp_set_customizerwp_list_pluginswp_read_plugin_filewp_scaffold_pluginwp_write_plugin_filewp_install_plugin_zipwp_install_plugin_repowp_activate_pluginwp_deactivate_pluginwp_health_checkwp_get_settingswp_set_settingswp_db_querywp_cli_execwp_performance_checkwp_backup_createwp_backup_listwp_backup_restorewp_list_languageswp_multilingual_detectwp_get_post_translationswp_link_post_translationwp_set_post_languagewp_get_media_translationswp_set_media_translation_metawp_audit_media_translationswp_list_string_translationswp_audit_string_translationswp_fs_listwp_fs_readwp_fs_searchwp_fs_downloadwp_fs_writewp_fs_uploadwp_fs_mkdirwp_fs_renamewp_fs_delete

Mostrato con il preset Agente SEO. Con JavaScript attivo, accendi e spegni i permessi per vedere cambiare gli strumenti.

leggescrivedoppia conferma

Definiti anche, ma non richiesti da nessuno strumento MCP: auth:read, audit:read, dashboard:read. admin:login serve solo all’accesso rapido di Xaflo Desktop; il server MCP non lo espone, di proposito.

Cosa espone il plugin

Ogni strumento, raggruppato per ciò che tocca.

84 strumenti MCP sopra 94 route REST. Ognuno dichiara il permesso che gli serve, così un token può fare un solo lavoro.

Apri il catalogo completo
Contenuti13

Articoli, pagine, termini e ricerca.

Media7

Caricamenti, testi alternativi, ottimizzazione immagini, pulizia.

SEO6

Meta tramite il tuo plugin SEO, audit, link rotti.

Statistiche9

Il traffico dal plugin di statistiche che usi già.

Tema e design13

File del tema, CSS personalizzato, menu, widget, Customizer.

Plugin8

Elenca, leggi, crea, installa, attiva.

Sito e sistema6

Impostazioni, stato, prestazioni, database, WP-CLI.

File9

Sfoglia e modifica i file: i caricamenti con site:write, ovunque con fs:admin.

Backup3

Istantanee di database e file, e ripristino.

Multilingua10

Traduzioni di articoli, media e stringhe (WPML).

84 strumenti =43 lettura+14 scrittura+27 rischiosi· 13 con doppia conferma
Modello di sicurezza

I paletti sono codice, non una promessa nel prompt.

Cosa impone il plugin a ogni richiesta, qualunque cosa decida di fare l’assistente.

Token limitati e a scadenza

Ogni token è un JWT firmato con un segreto in wp-config.php, con i soli permessi che spunti e una durata da 1 a 365 giorni (30 di default). Lo revochi quando vuoi. Il sito conserva i metadati del token, mai il token, e può accettare token solo dagli indirizzi IP che indichi.

HS256 · lista di IP ammessi · ruotando il segreto si annullano tutti i token

File: i caricamenti di default, il resto solo su richiesta

site:write modifica file semplici (immagini, documenti, testo) solo dentro wp-content/uploads. Per tutto il resto serve fs:admin, concesso a parte e mai di default. I file protetti restano fuori portata per ogni token: wp-config.php, .env, backup, dump SQL, debug.log e la cartella del plugin stesso.

fuori dai caricamenti senza fs:admin: 403 xaflo_fs_outside_uploads

Le chiamate irreversibili aspettano il tuo sì

Cancellazioni definitive, ripristini di backup, cambi di tema, installazioni di plugin da un link o dalla directory, sostituzioni di un plugin installato, scritture sul database, un nuovo indirizzo del sito, cancellazioni di file e cartelle non vuoti, e ogni sovrascrittura, rinomina, cancellazione o modifica al codice con fs:admin rispondono prima 428 con un token monouso. Gli strumenti MCP ti mostrano la modifica e devono chiedere; Xaflo Desktop chiede sempre.

monouso · cinque minuti · legato a operazione, utente e contenuto

Una guardia davanti al database

Solo SELECT, INSERT, UPDATE e DELETE sulle tabelle del sito, per gli amministratori. Gli hash delle password non escono mai. Le scritture girano in una transazione e vengono annullate se toccano utenti, ruoli, capacità, token o opzioni protette. È un filtro sul testo della query, non un parser completo: db:write può comunque modificare la maggior parte delle tabelle.

le scritture richiedono InnoDB sulle tabelle protette

Un registro di ogni chiamata, rifiuti compresi

Ogni richiesta viene salvata una volta con ora, token, utente, route, permesso richiesto ed esito, comprese quelle respinte. Password e chiavi sono oscurate; contenuti dei file, valori SQL e argomenti dei comandi sono sostituiti dalla loro dimensione. Conservato 90 giorni di default.

identità solo da dati verificati

Limiti di frequenza, HTTPS, link di accesso

60 richieste al minuto per token di default, meno per i permessi rischiosi, e un limite anche per gli amministratori connessi. L’API rifiuta l’HTTP in chiaro fuori dagli host locali. admin:login rilascia link monouso per wp-admin che scadono in 60 secondi, mai su un sito senza HTTPS o con un plugin a due fattori attivo.

oltre il limite: 429 con Retry-After

Equivalenti a un amministratore

Questi permessi possono fare tutto ciò che fa un amministratore, qualunque cosa manchi al token. Dalli solo a token a cui affideresti un account amministratore:

fs:adminadmin:logindb:writecli:execsystem:backupplugin:writetheme:write

Le conferme proteggono dagli incidenti, non da chi possiede il token: può chiederne una e usarla in due chiamate.

Installazione

Tre passaggi, poi chiedi.

xaflo-wp-connect-1.7.0.zipstabile
  • Versione1.7.0
  • RilascioNovember 11, 2026
  • LicenzaMIT
SHA-2565448186ab0bb3c6ffef58cc183eb9e49dbc0e3db17abe25f140a90fc8ba08766
Scarica .zip

Gli aggiornamenti arrivano dal feed di questo sito, ognuno con il suo checksum pubblicato.

  1. Carica e attiva

    In WordPress vai su Plugin → Aggiungi nuovo → Carica plugin, scegli il .zip e attivalo. Per controllare prima il file:

    Windows · PowerShell
    Get-FileHash .xaflo-wp-connect-1.7.0.zip -Algorithm SHA256
    macOS · Linux
    shasum -a 256 xaflo-wp-connect-1.7.0.zip

  2. Imposta il segreto di firma

    I token sono firmati con WPCB_JWT_SECRET, di almeno 32 caratteri. La schermata delle impostazioni del plugin può scriverlo per te in wp-config.php, tenendo un backup del file; oppure aggiungilo tu:

    wp-config.php
    define( 'WPCB_JWT_SECRET', 'incolla-qui-64-caratteri-esadecimali-casuali' );

  3. Crea un token e collegati

    In Xaflo → Tokens crea un token con i soli permessi che servono e copialo: viene mostrato una volta sola. Poi passalo a Xaflo Desktop, o direttamente a Claude Code:

    Claude Code · terminale
    claude mcp add my-wp claude-wp-mcp --site https://example.com --token <il-tuo-token>
    Oppure lascia fare a Xaflo Desktop, senza installare altro
Requisiti

Gira dove gira WordPress.

Le versioni arrivano direttamente dal manifest di aggiornamento che legge il plugin stesso.

  • WordPress6.0+ · testato fino a 7.0
  • PHP8.1+
  • HTTPSobbligatorio per l’API (esclusi .test, .local e localhost)
  • Segreto di firmaWPCB_JWT_SECRET, almeno 32 caratteri
  • Backupl’estensione PHP ZipArchive
  • Scritture sul databaseInnoDB per le tabelle users, usermeta, options e dei token
  • WP-CLIfacoltativo; wp_cli_exec resta spento finché non lo attivi
FAQ

Prima di installare.

È davvero gratis?

Sì. Il plugin ha licenza MIT e il codice è lo stesso qualunque edizione di Xaflo Desktop usi, o anche senza.

Invia dati a Xaflo?

Nessuna telemetria. Le richieste vanno dal server MCP sul tuo computer direttamente al tuo sito. Il plugin contatta questo sito solo per controllare i propri aggiornamenti.

Quali assistenti possono usarlo?

Qualsiasi client MCP. Claude Code, Claude Desktop e ChatGPT Desktop sono quelli che Xaflo Desktop configura per te; l’API REST funziona anche da curl, Python o Node con gli stessi token.

Mi serve Xaflo Desktop?

No. Bastano il plugin e il server MCP. Desktop tiene tanti siti, token e backup in un’unica finestra e scrive per te la configurazione dell’assistente.

E se un token finisce in mani sbagliate?

Revocalo in Xaflo → Tokens e smette di funzionare dalla richiesta successiva. Fino ad allora può fare solo ciò che i suoi permessi consentono, entro i limiti di frequenza, e ogni sua chiamata resta nel registro.

L’assistente può rompere il sito?

Solo dentro i permessi che gli dai. Tieni gli agenti su permessi di lettura e contenuti. Le chiamate irreversibili richiedono una seconda chiamata con un token monouso, che l’assistente deve chiederti; Xaflo Desktop lo chiede sempre a te. Prima di una sessione importante fai un backup completo con wp_backup_create.

Gratis · MIT

Un plugin. Ogni strumento dietro una chiave.

Scarica la v1.7.0 Scarica Xaflo Desktop