Огляд MCP-сервера Novamira для WordPress: можливості та безпекові обмеження
Novamira з'єднує сайти WordPress з ШІ-агентами Claude Code, Cursor та Codex через Model Context Protocol. Вона забезпечує виконання WP-CLI, PHP і редагування блоків Gutenberg, але через права адміністратора підходить лише для staging.
Чому це важливо
Ви можете безпечно автоматизувати розробку WordPress зі свого агента в IDE, якщо обмежитеся staging-середовищем та ручним контролем.
TL;DR
- 01Ніколи не підключайте Novamira MCP до продакшену; використовуйте лише локальні або staging-копії.
- 02Обов'язково створюйте бекап бази даних перед запуском агентних сесій редагування.
- 03Слідкуйте, щоб агент викликав wp_slash() для JSON, аби уникнути пошкодження структури Elementor.
Ключові факти
- Версія плагіна
- 1.12.8 (протестовано 1.12.5)
- Ліцензія
- AGPL-3.0 (ядро)
- Вартість Pro
- €49/рік (3 сайти), €149/рік (1 000 сайтів), €299 назавжди
- Мінімальні вимоги
- WordPress 6.9, PHP 8.0, Node.js 18+ для проксі
Пряме керування WordPress через агентів
Novamira відкриває нутрощі WordPress через Model Context Protocol (MCP), дозволяючи агентам у Claude Code, Cursor та Codex запускати довільний PHP, виконувати команди WP-CLI, робити SQL-запити та правити блоки Gutenberg. Плагін доступний за ліцензією AGPL-3.0 і потребує WordPress 6.9+ та PHP 8.0+. Віддалені клієнти підключаються через HTTPS та проксі @automattic/mcp-wordpress-remote на Node.js 18+.
Безпекові компроміси адміністративних прав
Архітектура безпеки Novamira має жорстке обмеження: будь-який підключений агент діє як повноправний адміністратор. Хоча згенерований PHP-код записується у wp-content/novamira-sandbox/ з обробником фатальних збоїв, можливість Execute PHP повністю обходить обмеження файлів. Плагін не створює бекапів і не має механізму відкату змін, тому його запуск на живому продакшені неприпустимий.
Серіалізація Gutenberg та пастка Elementor
Під час тестів найвища точність рендерингу Gutenberg досягалася чергою змін через сесію редактора, для чого потрібна відкрита вкладка wp-admin. Робота з Elementor вимагає пильності: функція update_post_meta() вирізає зворотні слеші, тому агент зобов'язаний викликати wp_slash() для JSON, інакше дерево віджетів буде безповоротно пошкоджено.
Спробуй за 2 хвилини
{
"mcpServers": {
"wordpress-staging": {
"command": "npx",
"args": ["-y", "@automattic/mcp-wordpress-remote", "--url", "https://staging.example.local"]
}
}
}json
✓ Коли використовувати
- Швидке створення прототипів тем чи плагінів на локальних інстансах у Docker.
- Автоматизація міграції контенту та макетів на тестових стендах за наявності бекапів.
- Діагностика помилок PHP та інспектування хуків безпосередньо з IDE через ШІ-агента.
✕ Коли НЕ варто
- На продакшен-сайтах, де неконтрольовані зміни в базі можуть викликати падіння сервісу.
- У великих командах, яким потрібні обмежені ролі доступу лише для читання.
- Для повністю автономних фонових агентів без відкритої сесії wp-admin.
Що зробити сьогодні
- Клонуйте базу даних сайту на ізольований staging перед активацією AI-інструментів.
- Перевірте директорію wp-content/novamira-sandbox/ на наявність залишкових скриптів після тестів.
- Налаштуйте таймаути MCP-клієнта з урахуванням багатоетапної серіалізації блоків Gutenberg.