Connecter Claude à WordPress ou à Shopify : API, serveur MCP ou connecteur

En bref

• Trois façons de relier Claude à un site WordPress ou Shopify : appeler l'API du site, passer par un serveur MCP, ou activer un connecteur prêt à l'emploi dans Claude. Elles se recoupent (un connecteur est un serveur MCP hébergé par un tiers) ; ce qui les distingue, c'est qui les installe et ce que Claude a le droit de faire ensuite.
• Le vrai sujet n'est pas la technique mais les droits : lire seulement, écrire sur une copie, ou modifier le site en ligne. Ordre sûr : lecture seule, environnement de test, sauvegarde, puis écriture validée à la main.
• Pour une PME sans développeur, le connecteur officiel, en lecture seule d'abord. Pour un site ou une boutique à enjeu, un environnement de test et quelqu'un qui relit chaque modification.

Sources lues le 16 octobre 2026 : Anthropic, WordPress, WordPress.com, Shopify. Je n'ai pas testé ces connexions sur un site client : ce billet rapporte ce que la documentation établit, et marque d'un « ce que j'en conclus » ce qui relève de mon interprétation.

Ce que « connecter Claude à un site » veut dire

Claude ne « voit » pas votre site tant qu'on ne lui donne pas un canal d'accès, et ce canal passe par un compte : tout ce que ce compte peut faire, Claude peut le faire. Le protocole MCP (Model Context Protocol), un standard ouvert créé par Anthropic, décrit à Claude ce qu'un outil permet de lire et de faire. Le principe est expliqué dans le guide MCP pour dirigeants.

Deux points de l'aide d'Anthropic (lue le 16 octobre 2026) changent le choix du montage :

• un connecteur personnalisé (serveur MCP distant) est joint depuis l'infrastructure d'Anthropic, pas depuis votre ordinateur. Un serveur sur un réseau privé, derrière un VPN ou un pare-feu ne se connecte pas, sauf à autoriser les adresses IP d'Anthropic. Un site de test installé sur votre poste n'est donc pas joignable de cette façon ;
• les serveurs MCP locaux déclarés dans Claude Desktop (fichier claude_desktop_config.json) sont un mécanisme à part, qui passe par le réseau de votre ordinateur.

Anthropic rappelle aussi qu'un connecteur personnalisé relie Claude à un service qu'elle n'a pas vérifié, qu'un serveur malveillant peut glisser des consignes cachées (injection de consignes), et qu'il faut lire chaque demande d'approbation d'outil avant de cliquer sur « Allow always » (toujours autoriser). Sur Team et Enterprise, l'ajout d'un connecteur à l'organisation est réservé aux propriétaires ou à un rôle autorisé, et un identifiant partagé donne à tous les mêmes accès.

Voie 1 : l'API du site, pour un développeur

WordPress. L'API REST de WordPress permet à une application d'envoyer et de recevoir du JSON pour lire, créer et modifier articles, pages et autres contenus. Le manuel officiel précise que ce qui est public sur le site l'est aussi par l'API, alors que les contenus privés, les utilisateurs internes ou les métadonnées exigent une authentification. Pour une application externe, il présente les mots de passe d'application (livrés avec WordPress depuis la version 5.6), créés depuis la page de modification d'un utilisateur et transmis en authentification Basic sur une connexion HTTPS.

Shopify. L'équivalent est l'API Admin GraphQL. La commande shopify store execute de Shopify CLI l'appelle sur une boutique, et la documentation indique que les mutations (les écritures) sont désactivées par défaut : il faut ajouter --allow-mutations pour modifier des données.

Ce que j'en conclus (interprétation de Waimia). Dans cette voie, Claude ne touche à rien seul : un développeur lui fait écrire le script ou la commande, la relit, puis l'exécute. Avantage : contrôle complet, aucun tiers. Limite : tout est à construire, y compris les garde-fous.

Voie 2 : un serveur MCP, pour brancher Claude à l'outil

WordPress. WordPress publie un composant officiel, le MCP Adapter, qui s'appuie sur l'Abilities API arrivée avec WordPress 6.9 : les fonctions du site (« abilities ») sont déclarées, typées, puis exposées à un assistant comme outils MCP. D'après le blog des développeurs WordPress (4 février 2026) :

• l'adaptateur s'installe comme extension depuis la page des versions de son dépôt GitHub et crée un serveur par défaut ;
• une fonction n'est visible par défaut que si elle est marquée publique pour MCP ;
• en local, la liaison passe par WP-CLI (STDIO) ; pour un site public, par HTTP avec un mot de passe d'application ou une authentification OAuth sur mesure, via un relais qui demande Node.js ;
• les clients MCP agissent comme des utilisateurs WordPress connectés. L'article recommande un utilisateur dédié aux droits limités, surtout en production, de ne pas exposer de fonctions puissantes à des clients non audités, de privilégier la lecture seule sur un point d'accès HTTP public, et de journaliser l'usage.

Shopify. Shopify propose un serveur Dev MCP. Il tourne en local, sans authentification, et donne à l'assistant la documentation Shopify, les schémas d'API et la validation de code : il sert à écrire du code correct, pas à gérer une boutique. Le Shopify AI Toolkit, qui s'installe notamment dans Claude Code, ajoute des tâches de gestion de boutique par l'identité authentifiée de Shopify CLI, « avec vous qui choisissez quand les exécuter », selon la documentation.

Ce que j'en conclus. Cette voie convient à un développeur ou à un prestataire. Pour le propriétaire du site, la règle utile est celle de WordPress : n'exposer que ce qui est nécessaire, en lecture d'abord.

Voie 3 : un connecteur prêt à l'emploi dans Claude

WordPress.com est partenaire officiel de l'annuaire des connecteurs de Claude. Il faut d'abord activer l'accès MCP dans le compte : c'est disponible sur les offres payantes, et pour un site WordPress auto-hébergé via Jetpack avec une offre Jetpack AI ou Jetpack Complete. À l'autorisation, WordPress.com propose « Full access » (lecture et écriture) ou « Read only » (lecture seule). Ce choix s'applique à tout le compte, donc aussi à tout autre agent IA déjà connecté. Les opérations d'écriture, suppression comprise, demandent votre confirmation avant exécution, et les articles et pages supprimés restent récupérables 30 jours dans la corbeille. La documentation lue ne décrit pas d'autre cas pour un site auto-hébergé sans Jetpack : il relève alors de la voie 2.

Shopify propose un connecteur pour Claude. Il ne figure pas dans la boutique d'applications Shopify : on l'installe depuis Claude, puis on approuve l'accès dans l'administration Shopify. Ce qu'il peut faire dépend de l'accès approuvé et des droits du compte du personnel utilisé. L'aide de Shopify liste elle-même ses limites :

• l'outil lit mais ne modifie pas, tant que vous n'approuvez pas l'écriture ;
• il peut modifier un thème non publié, mais ni votre thème en ligne, ni publier ou supprimer un thème. Shopify conseille de dupliquer le thème, de laisser l'outil modifier la copie, puis de publier la copie vous-même ;
• il ne change ni le forfait, ni les paiements, les taxes ou les domaines, et ne rembourse, n'annule ni ne capture de commande, même avec l'écriture approuvée ;
• certaines actions agissent en direct : une collection créée est publiée sur la boutique en ligne, et un produit peut être passé à l'état actif ;
• les changements en masse se font un élément à la fois et un lot peut s'arrêter en route. Pour les pages, menus et métachamps, le connecteur demande confirmation, avec des résultats plus variables que pour les actions nommées.

Les trois voies côte à côte

Voie	Qui la monte	Ce que Claude peut faire	Limite principale
1. API (WordPress REST, Shopify Admin)	Un développeur	Rien seul : il exécute le script prévu	Tout est à construire, garde-fous compris
2. Serveur MCP (MCP Adapter, Dev MCP)	Un développeur ou un prestataire	Appeler les fonctions que vous exposez	N'exposer que le nécessaire ; le Dev MCP ne gère pas la boutique
3. Connecteur (WordPress.com, Shopify)	Le propriétaire du site, en quelques clics	Lire, et écrire si vous l'autorisez	Les droits viennent du compte : vérifier le périmètre accordé

Quatre garde-fous avant de laisser Claude écrire

1. Des droits au plus juste. Un compte dédié, pas le compte administrateur. WordPress le recommande pour MCP ; WordPress.com offre le mode « Read only » ; côté Shopify, l'accès suit les droits du compte du personnel utilisé. Dans Claude, le menu « Search and tools » permet de désactiver les outils inutiles à la conversation.
2. Un environnement de test. Pour WordPress, un site local relié en STDIO, que le blog des développeurs présente comme le montage le plus direct en local. Pour Shopify, une boutique de développement : un environnement de test que vous contrôlez, sans effet sur une boutique en ligne, qui ne traite pas de vrais paiements et ne peut ni devenir une boutique de production ni être transférée à un client. Ce que j'en conclus : elle part vide, il faut la remplir d'un échantillon de produits pour que l'essai soit représentatif.
3. Une sauvegarde qui se restaure. WordPress demande de sauvegarder la base de données et les fichiers (il faut les deux pour restaurer un site) et de le faire avant toute mise à jour. Shopify conseille de dupliquer un thème avant de le personnaliser ; un thème téléchargé n'inclut ni produits, ni collections, ni pages, qui s'exportent à part.
4. Une validation humaine et une trace. Lire chaque demande d'approbation, ne laisser « toujours autoriser » qu'à un outil de confiance, noter ce qui a été modifié. WordPress.com impose déjà la confirmation des écritures ; sur la voie 2, la journalisation est à mettre en place.

Que choisir, pour une PME

Ce que j'en conclus (interprétation de Waimia, pas un fait établi). Une seule recommandation : commencez par le connecteur officiel en lecture seule, sur le site que vous connaissez. Demandez à Claude de lister les pages sans description, les produits sans image, les articles anciens : vous mesurez l'utilité sans rien risquer. N'ouvrez l'écriture qu'après une sauvegarde, sur un site de test ou un thème dupliqué, et passez par un développeur dès que le site est auto-hébergé sans Jetpack ou que la boutique réalise l'essentiel de votre chiffre d'affaires.

Ce que ce billet ne sait pas

• Je n'ai pas testé ces connecteurs sur un site client, et je ne publie aucune mesure de temps gagné.
• Le prix des offres Jetpack AI et Jetpack Complete n'a pas été relevé.
• Je n'ai pas relevé les niveaux d'accès que Shopify propose au moment de l'autorisation : la page du connecteur dit seulement que l'accès approuvé et les droits du compte limitent ce qu'il peut faire.
• Ces outils évoluent vite (le MCP Adapter, le Shopify AI Toolkit, les connecteurs) : la documentation citée date d'octobre 2026.
• Aucune source lue ne traite de WooCommerce en particulier.

Et après ?

Brancher Claude à vos outils, avec les bons droits et un essai hors production, est l'objet de l'intégration de Claude en entreprise. Elle commence par un sprint de cadrage de 10 heures à 999 € HT, qui livre un prototype testé : on y décide quels outils brancher, avec quels droits, et on l'éprouve sur un environnement de test. La mise en production relève du pilote, dès 2 000 € HT. Avant de brancher un connecteur, le kit conformité et administration de Claude (PDF envoyé par e-mail) liste les réglages d'administration à vérifier, avec leur valeur par défaut. Si votre site lui-même est à refaire ou à maintenir, voyez nos pages WordPress et Shopify. Pour démarrer sans engagement : l'audit IA gratuit (comment se passe l'audit de 45 minutes).