Imagina abrir Claude o ChatGPT y escribir: «¿Qué pedidos han entrado hoy y cuáles están pendientes de pago?». Y que conteste con los datos reales de tu tienda, no con una respuesta genérica. Eso ya es posible con piezas oficiales de WordPress. Pero la parte que importa no es lo que puede hacer, sino con qué permisos lo hace. Ahí se separan las instalaciones sensatas de las que dan miedo.
Este artículo explica qué son esas piezas en lenguaje normal, qué puedes pedirle de forma realista y cómo evitar el error más típico: darle a la IA las llaves de todo.
Qué es esto, sin siglas
Hay dos piezas, y conviene no confundirlas.
La Abilities API viene dentro de WordPress desde la versión 6.9. Es un registro: una lista donde cada plugin o tema anota lo que sabe hacer («consultar pedidos», «crear un producto»), con qué datos de entrada y de salida, y quién tiene permiso para ejecutarlo. Según la documentación oficial, cada habilidad (ability) tiene nombre, descripción, esquema de datos y una función de permisos opcional. Por sí sola no conecta nada con ninguna IA. Es el catálogo.
El MCP Adapter es el puente. MCP significa Model Context Protocol, un estándar abierto para que un asistente de IA use herramientas externas. El adaptador traduce las habilidades de ese catálogo a un idioma que Claude, ChatGPT y otros clientes MCP entienden. Está descrito en el blog oficial de desarrolladores de WordPress y no trae funciones de IA propias, como aclara su ficha en WordPress.org: solo conecta.
Una forma de verlo: la Abilities API es la carta del restaurante. El MCP Adapter es el camarero que la lleva a la mesa. Y la IA es el cliente que pide, pero solo puede pedir lo que está en la carta.
Qué versión instalar (y por qué hay información contradictoria)
Si buscas guías, verás versiones y formas de instalar distintas. Es normal: el adaptador ha cambiado mucho este año. Lo que dice la fuente oficial hoy:
- La ficha del plugin en WordPress.org muestra la versión 0.7.1, publicada a mediados de octubre de 2026. Requiere WordPress 6.9 o superior y PHP 7.4 o superior. Se instala como cualquier plugin, desde Plugins > Añadir nuevo.
- La página de versiones en GitHub indica que la 0.7.0 (2 de octubre) fue la primera publicada en el directorio de WordPress.org, y que usarlo como librería incluida vía Composer queda desaconsejado en favor de instalar el plugin. La 0.7.0 también trajo cambios que rompen compatibilidad, así que una guía de hace tres meses puede no valer.
- El artículo oficial de febrero habla de descargar el ZIP desde GitHub. Era el camino entonces; ahora existe el directorio.
Una nota de honestidad: las fuentes difieren en un día en la fecha exacta de la 0.7.1 (15 o 16 de octubre), por eso no la fijo. Mira la ficha del plugin para ver qué hay en el momento en que lo leas. Y el adaptador sigue en versiones 0.x: esto madura rápido y conviene tratarlo como tecnología joven.
Qué puedes pedirle de forma realista
Aquí hay que ser exigente, porque abundan las promesas. La regla es sencilla: la IA solo puede hacer lo que alguien haya registrado como habilidad. WordPress aporta el mecanismo; lo que existe depende de los plugins instalados y de lo que se desarrolle a medida.
Un caso donde hay documentación oficial concreta es WooCommerce. Su documentación para desarrolladores y su anuncio de la versión 10.9 describen siete habilidades:
Tipo | Habilidades |
|---|---|
Lectura | Consultar productos, consultar pedidos |
Escritura | Crear producto, actualizar producto, eliminar producto (va a la papelera por defecto), cambiar el estado de un pedido, añadir una nota a un pedido |
Con eso, lo que sí encaja:
- Preguntar por tus pedidos. «¿Qué ha entrado esta semana?» o «¿Hay pedidos esperando pago?». Es una consulta con filtros sobre los pedidos reales.
- Ajustar stock o precios de un producto, que es una actualización de producto. Conviene hacerlo con confirmación humana.
- Dejar una nota o cambiar el estado de un pedido tras revisarlo.
Y lo que depende de otras piezas:
- Redactar borradores de entradas. No he encontrado una habilidad oficial de WooCommerce o del núcleo documentada para esto; hay que contar con un plugin que la registre o desarrollarla. Se puede, pero no viene «de serie».
- Cualquier otra acción (formularios, SEO, informes): igual. Si nadie la ha registrado, no existe para la IA.
También conviene saber que WooCommerce marca su integración MCP como vista previa para desarrolladores («developer preview», con APIs que pueden cambiar) y que no incluye el adaptador: hay que instalarlo aparte. Además, el endpoint antiguo /wp-json/woocommerce/mcp y su autenticación con clave de API desaparecen en WooCommerce 11.3, prevista para la semana del 9 de noviembre de 2026. Si una guía te habla de él, a partir de esa versión ya no te servirá.
Seguridad: la parte que no se puede improvisar
El artículo oficial de WordPress lo dice sin adornos: los clientes MCP actúan como usuarios de WordPress con sesión iniciada, así que hay que tratarlos como parte de la superficie de ataque de tu web. Traducido a decisiones prácticas:
1. Las Application Passwords heredan los permisos del usuario. Una contraseña de aplicación es un acceso a nombre de un usuario concreto. Si lo creas con tu usuario administrador, la IA actúa como administrador. Crea un usuario dedicado, con el rol mínimo que necesite, y genera la contraseña para ese usuario. La guía de WordPress recuerda que se pueden revocar una a una sin tocar la contraseña principal, y que deben usarse siempre con HTTPS.
2. Las habilidades son privadas por defecto. El repositorio oficial explica que una habilidad solo se expone a MCP si se marca como pública. Hay un matiz de versión: desde la 0.6.0, las que llevan la marca general de pública (meta.public) se exponen por defecto, salvo que digan lo contrario con meta.mcp.public. Por eso, antes de conectar, revisa qué habilidades quedan expuestas en tu web, no solo las tuyas: también las de los plugins.
3. Cada habilidad lleva su propia llave. El servidor por defecto exige un usuario autenticado, y después cada habilidad aplica su función de permisos. El blog de desarrolladores pide usar el mínimo necesario y evitar permisos abiertos en operaciones destructivas. Si una habilidad borra o modifica, que lo haga solo quien deba.
4. Si la web es pública, empieza por lectura. La recomendación oficial para conexiones expuestas a internet es preferir habilidades de solo lectura. Con una tienda, es el consejo más útil que puedo darte: abre la lectura, mira una semana cómo se usa y abre la escritura después.
5. Datos personales. La documentación de WooCommerce avisa de que las consultas de pedidos y clientes pueden incluir nombres, emails y direcciones. Si un asistente externo los procesa, eso es tratamiento de datos personales: tiene implicaciones con el RGPD que hay que revisar antes, no después.
Cómo conectar Claude o ChatGPT (y dónde se complica)
En teoría es directo: el adaptador publica un servidor en /wp-json/mcp/mcp-adapter-default-server y el cliente se conecta. En la práctica hay dos fricciones.
Primera: desde fuera, tu web tiene que ser alcanzable. Según la ayuda de Claude, los conectores personalizados se conectan desde la nube de Anthropic, no desde tu ordenador, así que el servidor debe ser accesible desde internet. Para probar en local, WordPress documenta otra vía, por línea de comandos (WP-CLI).
Segunda: la autenticación. La receta oficial para conexiones remotas usa un proxy (@automattic/mcp-wordpress-remote) con usuario y contraseña de aplicación. Claude admite OAuth, sin autenticación o cabeceras fijas. El propio blog oficial reconoce que, en sitios autoalojados, hoy no hay una opción OAuth lista para usar, y que se recurre a contraseñas de aplicación o tokens JWT. Cómo casar cada cliente con cada método es justo lo que hay que diseñar con cuidado. Con ChatGPT, comprueba antes qué conexiones MCP permite tu plan: varía y no he podido verificarlo con una fuente primaria al escribir esto.
Cómo empezar sin complicarte
Un orden razonable:
- Prueba primero en una copia. Un entorno de pruebas con el adaptador instalado y datos ficticios. Que nadie estrene esto en la tienda real.
- Crea un usuario nuevo con el rol mínimo y una contraseña de aplicación solo para esa conexión.
- Abre solo lectura. Pedidos y productos. Nada más.
- Prueba preguntas de verdad, las que harías un martes por la mañana, y comprueba que las respuestas coinciden con tu panel.
- Añade escritura de una en una, con confirmación humana, y apunta qué habilidad has abierto y por qué.
- Anota cómo se revoca. Si un día quieres cortar el acceso, que sea borrar una contraseña de aplicación y no una investigación.
Si no te apetece montar todo esto tú, en AGENCIA RSE lo preparamos como servidor MCP para WordPress: permisos diseñados antes de instalar, prueba en copia y documentación de lo que puede hacer cada herramienta. Pero con los pasos de arriba y las fuentes enlazadas, puedes empezar tú.
Si ves un dato desactualizado, escríbenos y lo corregimos. El adaptador cambia cada pocas semanas.