Architettura

Il percorso di una richiesta#

1. Tu“Sistema la meta description dell’articolo 482.”
2. Client AIClaude Code, Claude Desktop o ChatGPT Desktop sceglie il tool wp_set_seo.
3. Server MCPclaude-wp-mcp sul tuo computer trasforma la chiamata in una richiesta HTTPS, firmata con il tuo token.
4. PluginControlla HTTPS, token, scope, capability e limite di frequenza, poi esegue la modifica.
5. WordPressLa modifica viene salvata e annotata nel registro delle chiamate.

In mezzo non c’è nulla: nessun cloud Xaflo, nessun intermediario, nessun account. La richiesta va dal tuo computer al tuo sito.

Il plugin WordPress#

Xaflo WP Connect va su ogni sito che vuoi gestire. Aggiunge un’API REST sotto /wp-json/wpcb/v1 con 94 route, e tutto quello che la rende sicura:

• autenticazione con token (firmati con una chiave in wp-config.php), scope e controlli sulle capability di WordPress;
• obbligo di HTTPS, limiti di frequenza per token e un passaggio di conferma per le operazioni distruttive;
• un registro di ogni chiamata, backup, una protezione per l’SQL e una sandbox per la scrittura dei file;
• un’area di amministrazione sotto Xaflo: Dashboard, Connect, Audit Log, Tokens, Settings, Maintenance e About.

La cartella si chiama ancora wp-claude-bridge e il namespace wpcb/v1, dal primo nome del progetto. Il plugin ha licenza MIT.

Il server MCP#

claude-wp-mcp è un piccolo programma Node.js che parla il Model Context Protocol con il tuo client AI e HTTPS con il tuo sito. Registra 84 tool, tutti con nome wp_*: il Riferimento tool li raggruppa per attività, e il catalogo dei tool li descrive uno per uno.

Il client AI avvia una copia per ogni sito, tramite input e output standard, con sito e token come due argomenti o, meglio, come variabili d’ambiente WPCB_SITE e WPCB_TOKEN:

claude-wp-mcp --site https://your-site.example --token YOUR_TOKEN

Il pacchetto (1.3.0) è incluso nel plugin, in wp-content/plugins/wp-claude-bridge/mcp/, e in Xaflo Desktop: non lo scarichi mai da terzi.

Xaflo Desktop#

Xaflo Desktop è un’app per Windows & Linux che tiene i tuoi siti e i loro token in un solo posto. Dalla 2.0.1 contiene il server MCP e un suo Node, quindi non serve installare altro. La versione 2.0 (Windows) ha cinque voci nella barra laterale:

• Siti: aggiungi, verifica e scegli i siti; la scheda di ogni sito ha Configura Claude e ChatGPT, Istruzioni per l’AI e Apri wp-admin (già collegato, con admin:login).
• Remoto: Plugin, File, Deploy (lo .zip di un plugin su più siti), Manutenzione e Console (debug.log).
• Libreria: prompt e tool in un unico posto con ricerca.
• Licenza e Impostazioni.

Quando un sito chiede conferma, Desktop mostra cosa cambierà e aspetta il tuo clic. La versione per Linux è ancora la 1.1.1, con la struttura precedente.

L’app si aggiorna da sola. Alcune funzioni usano route REST che non hanno un tool MCP, come il file explorer e la manutenzione; le trovi nel Riferimento API REST.

Cosa esce dal tuo computer, e cosa no#

• Il tuo token resta nella configurazione del client AI, sul tuo computer. Viene inviato solo al tuo sito, nell’header Authorization, in HTTPS.
• I tuoi contenuti viaggiano tra il sito e il client AI, perché l’assistente deve leggerli per lavorarci. Cosa fa il fornitore dell’AI con il contenuto delle conversazioni dipende dal tuo accordo con lui.
• Xaflo non riceve nulla: la telemetria inviata a Xaflo è 0. Il plugin non fa richieste in uscita di sua iniziativa, a parte il controllo degli aggiornamenti verso questo sito nella versione self-hosted e i download che chiedi tu (media da un URL, lo zip di un plugin), che passano da una protezione SSRF.

Dove stanno le cose#