Scarica

Guida rapida

Installa il plugin sul sito, dagli una chiave di firma, crea un token e collega Claude o ChatGPT. Cinque passaggi; l’unica cosa da scrivere a mano è l’indirizzo del tuo sito.

Plugin 1.7.0Xaflo Desktop 2.0.2Server MCP 1.3.0

In questa pagina

Prima di iniziare

  • Un sito WordPress che amministri, con WordPress 6.0 o successivo e PHP 8.1 o successivo, servito in HTTPS. Il plugin rifiuta le richieste in HTTP semplice (fanno eccezione gli host di sviluppo locale come localhost o *.test).
  • Un client AI che parla MCP: Claude Code, Claude Desktop o ChatGPT Desktop.
  • Xaflo Desktop (Windows & Linux), oppure Node.js 18 o successivo se vuoi usare il server MCP senza l’app.

1. Installa il plugin

Scarica xaflo-wp-connect-1.7.0.zip dalla pagina Scarica (se vuoi, verifica prima il checksum). In WordPress vai su Plugin → Aggiungi nuovo plugin → Carica plugin, scegli il file, poi Installa ora e Attiva.

Nell’amministrazione compare il menu Xaflo, con Bacheca, Collega, Registro di audit, Token, Impostazioni, Manutenzione e Informazioni. Dalla 1.7.0 le schermate seguono la lingua di WordPress, italiano o inglese (in inglese: Dashboard, Connect, Audit Log, Tokens, Settings, Maintenance, About).

2. Aggiungi la chiave di firma

I token sono firmati con una chiave segreta che vive in wp-config.php, mai nel database. Finché manca, il plugin mostra l’avviso “A signing secret must be added to wp-config.php before API tokens can be issued.”

Apri Xaflo → Impostazioni. Se WordPress può scrivere in wp-config.php, puoi lasciare che il plugin ci installi una chiave appena generata. Se non può, copia il valore di 64 caratteri che ti propone e aggiungilo tu, sopra la riga That’s all, stop editing! (in italiano: “Finito, interrompere le modifiche!”).

wp-config.php
define( 'WPCB_JWT_SECRET', 'incolla-qui-il-valore-di-64-caratteri' );

La chiave deve avere almeno 32 caratteri. Cambiarla o rimuoverla invalida tutti i token emessi con lei: esattamente quello che vuoi se un token finisce in mani sbagliate.

3. Crea un token

Vai su Xaflo → Token e crea un nuovo token. Dagli un nome che riconoscerai (“Claude sul portatile”), scegli gli scope e la durata: 30 giorni di default, da 1 a 365. La schermata raggruppa gli scope e avvisa per ognuno di quelli pericolosi.

Comincia in sola lettura. Con questi scope l’assistente vede tutto quello che conta senza poter cambiare nulla:

auth:readcontent:readseo:readanalytics:readsite:read

Copia il token con il pulsante di copia appena compare. Viene mostrato una volta sola: tienilo nel tuo password manager. Il token è legato al tuo utente WordPress, quindi non può mai fare più di quanto può fare il tuo account. Permessi dei token spiega ogni scope e quando aggiungere i permessi di scrittura.

4. Collega l’assistente

Con Xaflo Desktop (consigliato)

Installa Xaflo Desktop dalla pagina Scarica. Dalla 2.0.1 contiene il server MCP e un suo Node, quindi non c’è nient’altro da installare.

  1. In Siti fai clic su Aggiungi sito e completa i tre passaggi: Indirizzo, Token e Nome in Claude Code, il nome con cui Claude elenca i tool del sito. Verifica e continua prova la connessione.
  2. Riavvia Claude Code per usare il nuovo sito. Per Claude Desktop o ChatGPT Desktop apri la scheda del sito e usa Configura Claude e ChatGPT per avere uno snippet pronto da incollare; il token resta nelle variabili d’ambiente, mai negli argomenti.
  3. Nella stessa scheda, Istruzioni per l’AI → Copia le istruzioni ti dà un riepilogo del sito da incollare in una nuova chat. Non contiene alcun token.
  4. Apri wp-admin ti fa entrare direttamente quando il token ha admin:login (plugin 1.7.0).

La barra laterale ha cinque voci: Siti, Remoto, Libreria, Licenza e Impostazioni. Desktop Lite costa €0 per 1 sito; per averne di più vedi Più siti. Desktop 2.0 è la versione per Windows; quella per Linux è ancora la 1.1.1, con la struttura precedente e il pulsante Setup instructions.

Solo con Claude Code

Il server MCP è incluso nel plugin, quindi te lo fornisce il tuo stesso sito. Installalo una volta con Node.js 18 o successivo (sostituisci l’indirizzo con quello del tuo sito):

Terminale
npm install -g https://your-site.example/wp-content/plugins/wp-claude-bridge/mcp/claude-wp-mcp-1.3.0.tgz

Poi registra il sito in Claude Code. Con --scope user è disponibile in tutti i progetti:

Terminale
claude mcp add --scope user my-site -- claude-wp-mcp --site https://your-site.example --token YOUR_TOKEN

Su Linux puoi fare i due passaggi in uno con l’installer servito dal tuo sito. Controlla Node.js, installa il pacchetto, fa una copia e poi aggiorna le configurazioni di Claude Desktop e Claude Code che trova, e prova la connessione. Registra il sito con il nome wordpress:

bash
WPCB_TOKEN=YOUR_TOKEN bash -c "$(curl -fsSL https://your-site.example/wp-json/wpcb/v1/install/script.sh)"

Con un file di configurazione

Claude Desktop (claude_desktop_config.json) e gli altri client MCP usano lo stesso comando. Passa sito e token nelle variabili d’ambiente, così il token non compare mai nell’elenco dei processi (funzionano anche --site e --token):

JSON
{
  "mcpServers": {
    "my-site": {
      "command": "claude-wp-mcp",
      "env": { "WPCB_SITE": "https://your-site.example", "WPCB_TOKEN": "YOUR_TOKEN" }
    }
  }
}

5. Controlla la connessione

Chiudi del tutto il client AI e riaprilo: i server MCP partono quando parte il client. In Claude Code, lancia /mcp e cerca il tuo sito nell’elenco. Poi chiedi:

Esegui wp_health_check su my-site e dimmi le versioni del plugin, di WordPress e di PHP.

Chiama
wp_health_check

Con il server MCP 1.3.1 (in Xaflo Desktop 2.0.2) e il plugin 1.7.0, la risposta elenca anche gli scope del token in uso. Puoi anche aprire https://your-site.example/wp-json/wpcb/v1/health nel browser: non serve un token e risponde con la versione del plugin, le versioni di WordPress e PHP, l’indirizzo del sito e l’ora.

Da questo momento ogni chiamata dell’assistente finisce in Xaflo → Registro di audit.

E adesso