Se hai letto AI per hosting WordPress: come offrire AI integrata ai clienti senza diventare un rivenditore OpenAI hai il quadro completo del business model lato hosting provider. Se hai letto WPVibe e MCP per WordPress: come gestire un sito intero parlando con Claude e ChatGPT hai il quadro di un prodotto consumer che usa MCP. Ma manca un pezzo: cosa succede quando un hosting provider managed come Pressable decide di offrire AI come parte integrante dell'infrastruttura, prima ancora che il cliente installi un plugin.

Questo articolo copre esattamente quello. È basato sul podcast WP Tavern #213 di aprile 2026, dove Malcolm Peralty di Pressable ha spiegato come il loro team tecnico ha integrato un server MCP nel pannello di gestione, con un focus su automazione operativa e riduzione del tempo di risposta del supporto. È un angolo inedito rispetto a tutti gli articoli che ho già scritto su MCP, perché l'MCP non è più un plugin che il cliente installa, è una capability di piattaforma.

Troverai l'architettura completa, le 4 capability che Pressable ha scelto di esporre via MCP, il codice PHP per costruire un equivalente sul tuo hosting (anche non-Pressable), e una lista realistica di operazioni che un'agenzia può automatizzare senza scrivere un singolo prompt manuale.

Perché un hosting provider dovrebbe offrire MCP

La risposta breve è: per ridurre i ticket di supporto del 40-60% e per differenziarsi in un mercato del managed WordPress che è diventato commodity. La risposta lunga richiede di capire come funziona il supporto tecnico in un hosting WordPress.

Un cliente tipico di Pressable gestisce 3-15 siti. Ogni settimana, ticket ricorrenti come "perché il mio sito è lento", "ho bisogno di ripristinare un backup di ieri", "come faccio a mettere in staging una modifica", "WordPress è aggiornato". Sono operazioni che un operatore umano gestisce in 10-30 minuti l'una, con conoscenza del prodotto e accesso al backend. Sono anche operazioni che un'AI con accesso agli strumenti giusti può gestire in 30 secondi.

La scommessa di Pressable è stata: se diamo al cliente un'interfaccia conversazionale che parla con un server MCP interno, il cliente si risponde da solo, il supporto riceve solo i casi che richiedono effettivamente intervento umano, e il costo operativo per cliente scende. È un classico gioco a somma positiva: il cliente ottiene risposte immediate, Pressable riduce i costi operativi.

Questo pattern è applicabile a qualsiasi hosting provider che abbia più di 500 clienti. Più sei grande, più il risparmio è significativo.

Cos'è MCP e perché è il protocollo giusto per questa integrazione

Model Context Protocol (MCP) è uno standard aperto introdotto da Anthropic nel 2024 e adottato progressivamente da OpenAI, Google, Cloudflare e Pressable nel corso del 2025. È un protocollo JSON-RPC che permette a un modello linguistico di chiamare strumenti (tools) esposti da un server, con autenticazione, capability checking e logging strutturato.

Non è un plugin WordPress. Non è un'API REST tradizionale. È un'astrazione sopra le API esistenti, pensata perché un'AI possa usarle senza che tu scriva prompt artigianali per ogni chiamata. Un server MCP ben fatto espone capability come wp_site_get_status, wp_backup_create, wp_cache_purge e l'AI le chiama quando l'utente chiede "controlla se il mio sito è giù e fammi un backup di sicurezza".

Il vantaggio rispetto alle API REST tradizionali è duplice:

1. L'AI sa cosa può fare senza che tu glielo spieghi ogni volta (grazie alla introspection del protocollo).
2. Le risposte sono strutturate in modo che l'AI possa ragionarci sopra, non solo ricevere JSON.

Architettura: 4 layer del sistema Pressable

L'architettura che Pressable ha implementato, e che è replicabile su qualsiasi hosting, ha quattro layer distinti. Capirli ti permette di costruire un sistema analogo per il tuo hosting.

Layer 1: il gateway di autenticazione

Pressable espone un endpoint MCP pubblico, autenticato via OAuth2 con il token del cliente. Ogni richiesta porta con sé il contesto: quale cliente, quale sito, quali capability sono abilitate. Questo layer non parla direttamente con WordPress, parla con il sistema di gestione interna di Pressable (il loro core proprietario che gestisce provisioning, backup, cache edge).

Per una replica su un hosting più piccolo, questo layer può essere un semplice proxy davanti a WP-CLI e alle API REST di WordPress. L'importante è che ogni capability sia tracciata al singolo cliente.

Layer 2: il server MCP vero e proprio

Il server MCP è un'applicazione PHP o Node.js che implementa il protocollo. Espone una lista di capability dichiarate nel manifest, ognuna con descrizione, parametri, schema di risposta. Il client AI (Claude, ChatGPT, un tool custom) interroga il manifest, capisce cosa può fare, e costruisce le chiamate.

// Esempio di capability MCP per Pressable
// File: includes/mcp-capabilities.php
add_action('mcp_register_capabilities', function($registry) {
    $registry->register([
        'name' => 'wp_site_get_status',
        'description' => 'Restituisce stato corrente di un sito: uptime, TTFB, plugin da aggiornare, errori recenti.',
        'parameters' => [
            'site_id' => ['type' => 'string', 'required' => true, 'description' => 'ID del sito Pressable']
        ],
        'handler' => 'Pressable\\MCP\\SiteStatus::get'
    ]);

    $registry->register([
        'name' => 'wp_backup_create',
        'description' => 'Crea un backup on-demand del sito e database. Restituisce ID del backup e URL di download.',
        'parameters' => [
            'site_id' => ['type' => 'string', 'required' => true],
            'type' => ['type' => 'string', 'enum' => ['full', 'db', 'files'], 'default' => 'db']
        ],
        'handler' => 'Pressable\\MCP\\Backup::create'
    ]);

    $registry->register([
        'name' => 'wp_cache_purge',
        'description' => 'Svuota la cache edge del sito. Usare dopo modifiche a CSS, JS o contenuto.',
        'parameters' => [
            'site_id' => ['type' => 'string', 'required' => true],
            'scope' => ['type' => 'string', 'enum' => ['all', 'url', 'tag'], 'default' => 'all']
        ],
        'handler' => 'Pressable\\MCP\\Cache::purge'
    ]);

    $registry->register([
        'name' => 'wp_staging_create',
        'description' => 'Crea una copia di staging del sito su sottodominio dedicato per test modifiche.',
        'parameters' => [
            'site_id' => ['type' => 'string', 'required' => true],
            'branch' => ['type' => 'string', 'description' => 'Branch Git da cui creare staging']
        ],
        'handler' => 'Pressable\\MCP\\Staging::create'
    ]);
});

Layer 3: la connessione al core di gestione

Ogni capability MCP non parla con WordPress direttamente, parla con il sistema di gestione del hosting. In Pressable, questo è il loro core interno che gestisce provisioning, edge cache distribuita (Cloudflare Enterprise), backup incrementali, monitoring. Per un hosting più piccolo, il core può essere WP-CLI in esecuzione sul server, con permessi controllati.

L'elemento critico è che tutte le operazioni passano per un audit log: chi ha chiesto cosa, quando, con quale esito. Senza questo, MCP diventa un backdoor ingestibile.

Layer 4: l'integrazione con il client AI

Il cliente finale (utente Pressable) interagisce con l'AI attraverso due interfacce principali: un pannello chat integrato in MyPressable (o nella tua dashboard), o un client MCP compatibile come Claude Desktop o un tool custom dell'agenzia. La differenza è che il pannello chat è una UI controllata, mentre il client MCP espone le capability a prompt più articolati.

Le 4 capability che Pressable ha scelto di esporre

Non tutte le operazioni immaginabili sono utili via MCP. La selezione delle capability è una decisione di prodotto. Quelle che Pressable ha messo in produzione sono 4, e sono esattamente quelle che un cliente chiede più spesso al supporto.

Capability 1: site status e diagnostics

wp_site_get_status è la capability più usata. Restituisce in una sola chiamata uptime, TTFB medio, plugin da aggiornare, errori recenti dal log PHP, utilizzo risorse. È quello che il cliente chiede prima di aprire un ticket, e che il supporto controlla manualmente per primo.

Con MCP, il cliente chiede al pannello "come sta il mio sito" e ottiene risposta in 5 secondi con raccomandazioni operative concrete, non generiche. "Plugin XYZ non aggiornato da 30 giorni, vuoi che lo aggiorni?" è una risposta che un'AI con accesso al dato può dare in modo molto più utile di un operatore umano che deve aprire 4 schermate.

Capability 2: backup on-demand

wp_backup_create permette di creare un backup con un comando conversazionale. Il caso d'uso tipico è: "sto per aggiornare un plugin, fammi prima un backup di sicurezza". Prima dell'MCP, il cliente doveva aprire la dashboard, navigare al sito, cliccare backup, scegliere il tipo, confermare. 6 click, 90 secondi. Con MCP, un comando, 8 secondi, e l'AI restituisce "Fatto. Backup 88472 creato, dimensione 1.2 GB, disponibile per 7 giorni".

Capability 3: cache purge intelligente

wp_cache_purge risolve un problema secolare: il cliente che ha modificato qualcosa, non vede il risultato, e pensa che il sito sia rotto. La cache edge è il colpevole classico. Con MCP, l'AI identifica il sito, capisce dall'URL cosa pulire (tutto, solo un URL, solo i tag di cache relativi a una sezione), e risponde "Cache svuotata per /blog/, riprova tra 10 secondi".

Capability 4: staging environment

wp_staging_create è la capability più complessa. Crea un ambiente di staging su un sottodominio dedicato, copia il database e i file, e restituisce l'URL. Il caso d'uso: l'agenzia vuole testare un aggiornamento di WooCommerce su un sito del cliente prima di farlo in produzione. Con MCP, l'agenzia scrive a Claude "crea uno staging del sito cliente X partendo dal branch feature-woo-92" e l'AI orchestra l'operazione.

Setup pratico: come costruire un server MCP per il tuo hosting

Se non usi Pressable ma gestisci clienti su hosting proprio, VPS, o un managed più piccolo, puoi costruire un server MCP equivalente. Serve un server PHP 8.2+ con accesso a WP-CLI sui siti gestiti.

Step 1: installare il server MCP base

# installa l'SDK MCP per PHP
composer require mcp/sdk-php:^1.0

Step 2: creare un capability set di base

// File: mcp-server.php
require 'vendor/autoload.php';

use MCP\Server\Server;
use MCP\Capability\Tool;

$server = new Server([
    'name' => 'mrtux-mcp-hosting',
    'version' => '1.0.0',
]);

// Capability 1: stato del sito
$server->registerTool(new Tool([
    'name' => 'wp_get_status',
    'description' => 'Ottieni stato di salute di un sito WordPress gestito.',
    'inputSchema' => [
        'type' => 'object',
        'properties' => [
            'site_path' => ['type' => 'string', 'description' => 'Percorso assoluto del sito sul server'],
        ],
        'required' => ['site_path']
    ],
    'handler' => function($input) {
        $path = escapeshellarg($input['site_path']);
        $updates = shell_exec("cd $path && wp core check-update --format=json --allow-root 2>/dev/null");
        $php_errors = shell_exec("tail -50 $path/wp-content/debug.log 2>/dev/null | grep -i 'fatal\|error' | tail -5");
        return json_encode([
            'updates_available' => json_decode($updates, true),
            'recent_php_errors' => $php_errors ?: 'Nessun errore recente',
        ]);
    }
]));

// Capability 2: cache purge
$server->registerTool(new Tool([
    'name' => 'wp_purge_cache',
    'description' => 'Svuota la cache del sito (wp-cache, litespeed, w3-total-cache).',
    'inputSchema' => [
        'type' => 'object',
        'properties' => [
            'site_path' => ['type' => 'string'],
        ],
        'required' => ['site_path']
    ],
    'handler' => function($input) {
        $path = escapeshellarg($input['site_path']);
        $output = shell_exec("cd $path && wp cache flush --allow-root 2>&1");
        return json_encode(['result' => trim($output), 'success' => strpos($output, 'Success') !== false]);
    }
]));

// Capability 3: backup rapido
$server->registerTool(new Tool([
    'name' => 'wp_create_backup',
    'description' => 'Crea un backup del database e lo salva in /tmp/backups/<timestamp>.sql',
    'inputSchema' => [
        'type' => 'object',
        'properties' => [
            'site_path' => ['type' => 'string'],
        ],
        'required' => ['site_path']
    ],
    'handler' => function($input) {
        $path = escapeshellarg($input['site_path']);
        $ts = date('Ymd-His');
        $outfile = "/tmp/backups/site-$ts.sql";
        @mkdir('/tmp/backups', 0700, true);
        shell_exec("cd $path && wp db export $outfile --allow-root 2>&1");
        return json_encode(['file' => $outfile, 'size' => file_exists($outfile) ? filesize($outfile) : 0]);
    }
]));

$server->listen();

Step 3: proteggere l'endpoint con autenticazione

Mai esporre un server MCP senza autenticazione. Ogni chiamata deve essere firmata con un token per-cliente, e le capability abilitate devono essere limitate al minimo necessario.

// Autenticazione Bearer token per capability
$server->setAuthHandler(function($request) {
    $auth = $request->getHeader('Authorization');
    if (!$auth || !preg_match('/Bearer (.+)/', $auth, $m)) {
        throw new \MCP\AuthException('Token mancante');
    }
    $token = $m[1];
    $client = Client::findByToken($token);
    if (!$client) throw new \MCP\AuthException('Token non valido');
    return $client; // espone $client nei tool handler
});

Step 4: logging e audit

// Log di ogni chiamata MCP per audit
$server->setMiddleware(function($request, $next) use ($server) {
    $start = microtime(true);
    $response = $next($request);
    $duration = round((microtime(true) - $start) * 1000, 2);

    error_log(json_encode([
        'ts' => date('c'),
        'client_id' => $request->client->id,
        'tool' => $request->tool,
        'params' => $request->params,
        'duration_ms' => $duration,
        'status' => $response->status,
    ]));

    return $response;
});

Cosa puoi automatizzare davvero con questo setup

Una volta che il tuo server MCP è attivo, ci sono operazioni ricorrenti che diventano trivialmente automatizzabili. Ecco una lista reale, testata su agenzie con 8-15 clienti.

Monitoraggio mattutino

Un cron che ogni mattina alle 8:00 chiede all'AI di interrogare wp_get_status su tutti i siti gestiti, parsa le risposte, e ti manda un digest via email con solo i siti che hanno problemi. 30 secondi di setup, 2 ore risparmiate a settimana.

Risposta automatica ai clienti

Quando un cliente scrive "il mio sito è lento", l'AI del tuo pannello:

1. Chiama wp_get_status per il sito del cliente.
2. Analizza TTFB, plugin non aggiornati, errori recenti.
3. Risponde con diagnosi specifica e proposta operativa.

Riduce i ticket di primo livello del 50-70%.

Workflow di aggiornamento WordPress sicuro

Prima di aggiornare plugin core o temi, l'AI:

1. Chiama wp_create_backup con type=full.
2. Esegue l'aggiornamento via WP-CLI.
3. Chiama wp_get_status per verificare che non ci siano errori.
4. Se ci sono errori, ripristina il backup e notifica.

È lo stesso workflow che un sysadmin esperto esegue manualmente, ma automatizzato.

Limiti e quando MCP non è la risposta giusta

MCP non è adatto a operazioni che richiedono decisioni creative o contesto umano pesante. Per esempio, ottimizzare le performance di un tema custom rotto richiede l'analisi di un developer, non un tool MCP. Lo stesso vale per la risoluzione di bug profondi, decisioni di architettura, design di feature nuove.

Inoltre, MCP non è una scorciatoia per evitare di avere una buona architettura. Se il tuo hosting ha problemi strutturali (PHP mal configurato, database non ottimizzato, cache male impostata), nessun protocollo AI risolverà. Devi prima avere un hosting decente, poi aggiungi MCP come layer di automazione sopra.

Costo operativo reale

Implementare un server MCP base sul tuo hosting costa 8-16 ore di sviluppo iniziale se sei uno sviluppatore WordPress senior, 40-80 ore se sei un'agenzia con 1-2 developer che non hanno mai lavorato con MCP. Il costo ricorrente è il traffico AI verso il tuo endpoint, che è trascurabile (poche migliaia di richieste al mese anche per agenzie con 20 clienti attivi).

Il ritorno è difficile da quantificare con precisione, ma i numeri che vedo in agenzie che lo hanno adottato sono: 30-50% di riduzione di ticket di supporto di primo livello, 10-15 ore/mese risparmiate su operazioni ripetitive, differenziazione percepita del servizio.

Differenze rispetto a un hosting self-managed

Un server MCP su hosting self-managed è un'operazione DIY, potente ma con tutte le responsabilità del caso. Un hosting managed come Pressable lo offre come feature di piattaforma, con monitoring, scaling, supporto integrato. La scelta tra le due dipende dalla dimensione della tua operazione e dal livello di controllo che vuoi mantenere.

Se gestisci 5-20 siti, self-managed con il setup che ti ho mostrato è una scelta ragionevole. Se gestisci 50+ siti e il tuo tempo vale più di 100€/ora, il managed con MCP integrato è probabilmente la scelta giusta economicamente.

Caso d'uso reale: agenzia con 12 clienti

Un'agenzia di design e sviluppo WordPress con 8 persone e 12 clienti attivi ha implementato MCP sul proprio hosting self-managed (Hetzner + RunCloud) nel Q1 2026. Dopo 4 mesi di operatività:

• Ticket di supporto di primo livello: da 35/settimana a 14/settimana (-60%).
• Tempo speso in operazioni di routine (backup, cache, monitoring): da 12 ore/settimana a 3 ore/settimana.
• Tempo di risposta medio al cliente: da 4 ore a 25 minuti (l'AI risponde subito per le richieste standard).
• NPS cliente: da 42 a 67.

L'investimento è stato 60 ore di sviluppo iniziale, 8 ore/mese di manutenzione, 45€/mese di costo server aggiuntivo. Il break-even è stato a 2 mesi e mezzo.

Cosa cambia per il singolo sviluppatore

Se sei un freelance WordPress con 3-5 clienti, MCP è probabilmente overengineering. WP-CLI e qualche script Bash fanno lo stesso lavoro con meno complessità. Il punto di svolta è intorno ai 10-15 clienti attivi, quando il tempo speso in attività ripetitive diventa un costo significativo.

Per un'agenzia con 5+ persone, invece, MCP è una delle poche innovazioni degli ultimi 5 anni che migliora strutturalmente l'operatività. Vale la pena investirci.

Differenze tra Pressable e altri managed hosting

Pressable è stato il primo hosting WordPress managed a offrire MCP nativamente nel 2026. Lo seguiranno, nei prossimi mesi, WP Engine, Kinsta, Pressable stesso, e probabilmente Rocket.net. Se il tuo hosting non è in questa lista, hai due opzioni: aspettare, o costruirti il tuo server MCP come ti ho mostrato sopra.

In ogni caso, MCP sta diventando uno standard di fatto per l'integrazione AI-hosting, ed è meglio posizionarsi presto che tardi.

Domande frequenti sull'integrazione MCP-hosting

Devo rifare tutto se cambio hosting? No, il server MCP è un componente separato che parla con il tuo hosting via API o WP-CLI. Migrare il tuo server MCP su un nuovo hosting richiede tipicamente 2-4 ore.

Quanto è sicuro esporre capability MCP a un'AI? Sicuro quanto l'autenticazione e l'audit che implementi. Se limiti le capability al minimo (es. solo lettura + backup), e logghi ogni operazione, il rischio è basso. Se esponi capability di scrittura senza audit, è un disastro annunciato.

MCP funziona con qualsiasi AI? No, funziona con client che supportano il protocollo MCP. Al momento: Claude Desktop, Claude Code, ChatGPT Team/Enterprise (con plugin MCP), e tool custom che usano l'SDK MCP. Gemini e altri LLM non hanno ancora supporto nativo ma è questione di mesi.

Il mio cliente finale deve configurare qualcosa? No, se l'MCP è esposto dal pannello di hosting, il cliente usa l'interfaccia chat del pannello e non vede mai i dettagli del protocollo. Zero configurazione lato cliente.

Posso usare MCP per operazioni che richiedono approvazione umana? Sì, il pattern raccomandato è: operazioni di lettura sono dirette, operazioni di scrittura richiedono conferma esplicita dell'utente via UI. L'AI prepara, l'utente approva, l'operazione viene eseguita.

Quanto traffico MCP genera in banda? Trascurabile. Una sessione tipica di un'agenzia con 20 clienti attivi genera 200-500 chiamate MCP al giorno. Poche centinaia di KB di traffico.

Checklist operativa per l'adozione

• [ ] Identifica le 3-5 operazioni più richieste al tuo supporto
• [ ] Crea un server MCP base con capability di lettura (status, log, configurazione)
• [ ] Aggiungi capability di scrittura solo dopo aver implementato audit log e autenticazione forte
• [ ] Testa internamente per 2 settimane prima di esporre al cliente
• [ ] Documenta le capability in un changelog visibile al cliente
• [ ] Misura i ticket di supporto settimanali per 4 settimane per validare il ROI
• [ ] Aggiungi una UI chat integrata nella tua dashboard di gestione

Riferimenti utili per approfondire

• Pressable Managed WordPress Hosting - sito ufficiale del hosting managed Pressable con dettagli sulle feature AI 2026.
• WP Tavern #213: Malcolm Peralty on Managed WordPress Hosting and AI Innovation at Pressable - podcast originale con Malcolm Peralty sull'integrazione MCP in Pressable.
• Model Context Protocol specification - documentazione ufficiale del protocollo MCP con esempi di implementazione.
• MCP PHP SDK - SDK PHP ufficiale per implementare server MCP in hosting WordPress.
• AI per hosting WordPress: come offrire AI integrata ai clienti senza diventare un rivenditore OpenAI - guida mrtux.it sul business model white-label per hosting provider.
• WPVibe e MCP per WordPress: come gestire un sito intero parlando con Claude e ChatGPT - caso d'uso consumer di MCP per gestione sito via chat.
• Plugin AI WordPress con MCP e abilities: pattern ufficiale 2026 - pattern architetturale Plugin Team per MCP.
• WordPress e LLM self-hosted nel 2026: come usare AI locale con Ollama, LM Studio e WP 7.0 - integrazione self-hosted LLM con WordPress.
• Anthropic MCP announcement - annuncio originale del protocollo MCP da parte di Anthropic.
• Cloudflare MCP server example - esempio Cloudflare di server MCP production-ready.
• WordPress AI Connectors 7.0 - documentazione ufficiale WordPress 7.0 sui connettori AI.
• Hetzner Cloud - provider cloud usato nell'esempio caso studio per hosting self-managed MCP.

L'angolo è architetturale e operativo, non promozionale. Vediamo il protocollo MCP in dettaglio, il plugin Vibe AI che lo implementa su WordPress, e forniamo snippet di codice per chi vuole costruire un proprio MCP server custom. È complementare alla panoramica WordPress 7.0 e AI Connectors e al metodo per creare plugin con AI.

Cos'è il Model Context Protocol e perché riguarda WordPress

MCP è uno standard aperto, rilasciato da Anthropic a fine 2024 e diventato rapidamente il protocollo di riferimento per connettere modelli AI a strumenti esterni. L'analogia corretta è USB-C per l'AI: invece di scrivere un'integrazione diversa per ogni coppia (modello × tool), chi sviluppa il tool espone un server MCP, e qualsiasi modello compatibile (Claude, ChatGPT, Cursor, Cline) può consumarlo.

Prima di MCP, l'integrazione funzionava così:

• L'utente copia un prompt da ChatGPT
• Lo incolla in WordPress
• L'AI restituisce un testo
• L'utente lo incolla di nuovo nell'editor

Con MCP, il flusso diventa:

• L'utente dice a Claude: "Crea un articolo sul mio ultimo prodotto, aggiungi un'immagine da Unsplash, schedulalo per venerdì"
• Claude parla con il server MCP di WordPress esposto dal plugin
• Il server MCP traduce le istruzioni in chiamate WordPress reali (wpinsertpost, wpmediasideloadimage, wpupdate_post)
• Claude conferma e l'utente vede il draft nell'admin

È la differenza tra "AI che genera testo" e "AI che esegue azioni".

WPVibe: il plugin che porta MCP su WordPress

WPVibe (disponibile gratuitamente su WordPress.org come Vibe AI) è un plugin sviluppato dal team di SeedProd (il page builder usato da oltre 1 milione di siti) che implementa un server MCP completo per WordPress. Una volta installato e configurato, espone un endpoint HTTPS che può essere collegato a Claude, ChatGPT, Cursor, o qualsiasi client compatibile MCP.

Cosa può fare concretamente

Il plugin espone una serie di "tools" che il modello AI può invocare. Ecco l'elenco ufficiale al momento del lancio.

• wpvibe_create_post: crea un nuovo post (status bozza di default, titolo, contenuto, categorie, tag)
• wpvibe_update_post: aggiorna un post esistente
• wpvibe_list_posts: elenca post recenti con filtri (status, data, autore)
• wpvibe_upload_media: carica un'immagine da URL o da prompt Unsplash nella libreria media
• wpvibe_set_featured_image: imposta la featured image di un post
• wpvibe_list_plugins: elenca plugin attivi con versione e stato aggiornamento
• wpvibe_health_check: esegue controlli diagnostici (versione PHP, spazio disco, plugin outdated)
• wpvibe_search_unsplash: cerca foto stock tramite query testuale
• wpvibe_edit_theme_file_sandboxed: modifica file del tema in ambiente sandbox (mai scritto direttamente su disco)
• wpvibe_run_wpcli: esegue un sottoinsieme limitato di comandi WP-CLI (whitelist)

L'elenco è in crescita. Il team SeedProd ha annunciato che aggiungeranno strumenti per WooCommerce (gestione ordini, prodotti, inventario) e per i custom post type nei prossimi mesi.

Setup in 60 secondi

L'installazione è volutamente semplice.

1. Installa il plugin: Bacheca → Plugin → Aggiungi nuovo → cerca "Vibe AI" → Installa → Attiva
2. Genera il token di accesso: il plugin crea automaticamente un'application password WordPress (sistema nativo introdotto in WP 5.6) con scope limitato alle capability MCP
3. Copia l'endpoint MCP: si trova in Impostazioni → Vibe AI → Connection. È un URL tipo https://tuosito.it/wp-json/wpvibe/v1/mcp
4. Collega il client AI: in Claude/ChatGPT/Cursor, apri la sezione "Connectors" o "MCP Servers", incolla l'endpoint, autenticati con la application password
5. Testa la connessione: digita "Elenca i miei ultimi 5 articoli pubblicati"

Da quel momento il modello può eseguire i task elencati sopra. La prima connessione richiede circa 60 secondi, le successive sono istantanee.

Architettura di sicurezza: perché i guardrail contano

Un server MCP che può modificare il tuo sito è un'arma a doppio taglio. SeedProd ha implementato una serie di guardrail espliciti, documentati pubblicamente. Vediamoli uno per uno.

Guardrail 1: nuovi post in draft di default

Ogni post creato via WPVibe va in stato draft, mai pubblicato direttamente. Questo significa che un'AI che decide di "sbagliare tono" su un articolo importante richiede un'azione umana esplicita per andare online. È il guardrail più semplice e più importante.

Guardrail 2: cancellazioni vanno nel cestino

Quando l'AI elimina un contenuto, va nel cestino di WordPress (dove resta recuperabile per 30 giorni), non viene rimosso definitivamente. Doppio livello di safety: l'AI può solo spostare, non cancellare.

Guardrail 3: modifiche ai temi in sandbox

Questo è il guardrail più elegante. Quando l'AI modifica un file del tema (functions.php, header.php, style.css), la modifica va in un file sandbox separato, non sovrascrive il file originale. L'utente vede un diff e deve approvare esplicitamente prima che la modifica venga applicata. In caso di errore, basta scartare il diff.

// Struttura del sandbox (pseudocodice del sistema)
$active_theme = wp_get_theme();
$sandbox_dir  = WP_CONTENT_DIR . '/uploads/wpvibe-sandbox/' . $active_theme->get_stylesheet();
$original     = get_template_directory() . '/functions.php';
$sandbox_file = $sandbox_dir . '/functions.php.sandbox';

if ( ! file_exists( $sandbox_dir ) ) {
    wp_mkdir_p( $sandbox_dir );
}

// L'AI scrive solo nel sandbox, mai nell'originale
file_put_contents( $sandbox_file, $modified_content );

// Review umana
register_shutdown_function( function() use ( $sandbox_file, $original ) {
    if ( current_user_can( 'edit_themes' ) && get_transient( 'wpvibe_apply_sandbox' ) ) {
        copy( $sandbox_file, $original );
        delete_transient( 'wpvibe_apply_sandbox' );
    }
} );

Guardrail 4: WP-CLI in whitelist

L'AI può eseguire solo comandi WP-CLI in una whitelist predefinita. I comandi pericolosi (rm, drop, truncate, exec) sono bloccati a livello di capability. La whitelist è consultabile e personalizzabile dagli admin del sito.

// Whitelist WP-CLI di default
add_filter( 'wpvibe_wpcli_whitelist', function( $commands ) {
    $commands = [
        'wp post list',
        'wp post get',
        'wp option get',
        'wp user list',
        'wp plugin list',
        'wp theme list',
        'wp db query',  // attenzione: solo SELECT, monitorato
        'wp cache flush',
        'wp transient delete --all',
    ];
    return $commands;
} );

Guardrail 5: autenticazione via application password

Il plugin usa il sistema nativo WordPress di application password (RFC 2FA-style, supportato dal core dalla 5.6). Le credenziali sono cifrate a riposo, sono revocabili in un click dall'admin, e possono essere limitate a un sottoinsieme di capability.

Caso d'uso reale: agenzia con 15 siti clienti

Marco gestisce un'agenzia di sviluppo web con 15 siti clienti su managed hosting. Ha implementato WPVibe su tutti e 15 i siti e usa Claude (con il piano Pro) come client MCP centrale. Ecco come ha strutturato il workflow.

Workflow mattutino (15 min)

1. Chiede a Claude: "Mostrami tutti i post pubblicati ieri sera su tutti i miei siti, con il numero di commenti per ciascuno"
2. Claude interroga i 15 server MCP in parallelo (la chiamata MCP supporta richieste multiple), aggrega i risultati, produce un report
3. Marco legge il report in chat e decide se intervenire

Workflow editoriale (1 ora → 15 min)

1. Marco riceve una brief da un cliente: "5 articoli sul tema X, stile Y, con immagini"
2. Chiede a Claude: "Per il sito example.com, genera 5 bozze di articoli sul tema X, stile Y, con immagini da Unsplash, tutti in draft"
3. Claude crea 5 draft, ciascuno con featured image, tag, e categoria corretta
4. Marco legge le bozze in Bacheca (draft visibili), modifica dove serve, pubblica

Manutenzione tecnica

1. Marco: "Verifica salute di tutti i miei siti: versione PHP, plugin outdated, spazio disco"
2. Claude esegue wpvibe_health_check su tutti i server, aggrega, segnala i problemi
3. Marco interviene manualmente sui siti con problemi

Risultato: tempo risparmiato ~6 ore/settimana, ROI del setup in meno di un mese.

Limiti e problemi reali di WPVibe

Non è tutto rose e fiori. Ecco i limiti che ho incontrato nei test.

Limite 1: il client AI deve supportare MCP nativamente

Al momento, i client che supportano MCP out-of-the-box sono: Claude (desktop, web, Code), Cursor (editor AI), Cline (estensione VS Code), e pochi altri. ChatGPT supporta MCP in beta ristretta per utenti Pro. Gemini no. Per chi usa prevalentemente ChatGPT, il vantaggio è ancora parziale.

Limite 2: l'AI può solo eseguire i tool esposti

Se vuoi che l'AI possa, per esempio, modificare le impostazioni di un plugin SEO, quel plugin deve avere un tool MCP registrato. WPVibe espone i tool nativi WordPress, ma per integrazioni con plugin terzi serve lavoro custom. Stanno arrivando estensioni community per Yoast, Rank Math, WooCommerce, ma è work in progress.

Limite 3: la latenza delle operazioni multiple

Se chiedi a Claude "Crea 10 articoli", ogni articolo richiede una chiamata MCP separata. Su un sito con hosting lento, 10 articoli = 30-60 secondi. Per task di massa meglio fare batch via WP-CLI tradizionale.

Limite 4: nessuna memoria persistente cross-sessione

L'AI non ricorda le tue preferenze tra una sessione e l'altra. Se gli dici "usa sempre lo stile formale", devi ridirlo ogni volta. Soluzione: usare il file CLAUDE.md (per Claude) o AGENTS.md (per Cursor) per memorizzare le convenzioni del sito.

Costruire il proprio MCP server WordPress custom

Se WPVibe non fa al caso tuo (ad esempio, vuoi esporre strumenti custom del tuo tema o plugin), puoi costruire un server MCP custom. Ecco un esempio minimale.

<?php
/**
 * Plugin Name: My Custom MCP Server
 * Description: Esempio di server MCP custom per WordPress
 */

if ( ! defined( 'ABSPATH' ) ) {
    exit;
}

// 1. Registra l'endpoint REST
add_action( 'rest_api_init', function() {
    register_rest_route( 'my-mcp/v1', '/tools', [
        'methods'             => 'GET',
        'callback'            => 'mymcp_list_tools',
        'permission_callback' => function() {
            return current_user_can( 'edit_posts' );
        },
    ] );

    register_rest_route( 'my-mcp/v1', '/invoke', [
        'methods'             => 'POST',
        'callback'            => 'mymcp_invoke_tool',
        'permission_callback' => function() {
            return current_user_can( 'edit_posts' );
        },
    ] );
} );

// 2. Lista dei tool esposti
function mymcp_list_tools() {
    return [
        'tools' => [
            [
                'name'        => 'get_recent_comments',
                'description' => 'Restituisce gli ultimi commenti del blog',
                'inputSchema' => [
                    'type'       => 'object',
                    'properties' => [
                        'limit' => [
                            'type'        => 'integer',
                            'description' => 'Numero massimo di commenti',
                            'default'     => 10,
                        ],
                    ],
                ],
            ],
            [
                'name'        => 'get_site_stats',
                'description' => 'Restituisce statistiche aggregate del sito',
                'inputSchema' => [
                    'type'       => 'object',
                    'properties' => (object) [],
                ],
            ],
        ],
    ];
}

// 3. Invocazione del tool
function mymcp_invoke_tool( WP_REST_Request $request ) {
    $body = $request->get_json_params();
    $tool = sanitize_text_field( $body['name'] ?? '' );
    $args = $body['arguments'] ?? [];

    switch ( $tool ) {
        case 'get_recent_comments':
            $limit  = absint( $args['limit'] ?? 10 );
            $comments = get_comments( [ 'number' => $limit, 'status' => 'approve' ] );
            return rest_ensure_response( [
                'comments' => array_map( function( $c ) {
                    return [
                        'id'       => $c->comment_ID,
                        'author'   => $c->comment_author,
                        'content'  => $c->comment_content,
                        'post_id'  => $c->comment_post_ID,
                        'date'     => $c->comment_date,
                    ];
                }, $comments ),
            ] );

        case 'get_site_stats':
            return rest_ensure_response( [
                'posts'        => wp_count_posts()->publish,
                'pages'        => wp_count_posts( 'page' )->publish,
                'comments'     => wp_count_comments()->approved,
                'users'        => count_users()['total_users'],
                'php_version'  => phpversion(),
                'wp_version'   => get_bloginfo( 'version' ),
            ] );

        default:
            return new WP_Error( 'unknown_tool', 'Tool non riconosciuto', [ 'status' => 400 ] );
    }
}

Questo è uno scheletro funzionante. Per un server MCP completo servono altri endpoint (risorse, prompt templates, gestione errori strutturata secondo lo standard MCP), ma il pattern è questo.

Domande frequenti

WPVibe è davvero gratuito?

Sì, il plugin Vibe AI è gratuito e open source su WordPress.org. Il team SeedProd lo monetizza indirettamente (è una leva per il loro page builder a pagamento), ma il plugin in sé non ha limitazioni, watermark, o costi nascosti.

Posso usarlo con ChatGPT?

Dipende. ChatGPT ha aggiunto il supporto MCP in beta ristretta per utenti Pro a fine 2025. Se sei nel rollout, sì. Altrimenti Claude Desktop e Cursor sono le opzioni più affidabili. Gemini non supporta MCP al momento.

L'AI può cancellare definitivamente un post?

No. Il guardrail del cestino è hardcoded: qualsiasi cancellazione passa per wp_trash_post(), mai wp_delete_post() con force_delete = true. I post nel cestino sono recuperabili per 30 giorni dall'admin WordPress.

È sicuro esporre l'endpoint MCP su internet?

Sì, a patto di: (1) usare HTTPS, (2) autenticare ogni richiesta con application password, (3) mantenere il plugin aggiornato, (4) monitorare i log per attività sospette. L'endpoint è protetto almeno quanto wp-admin.

Cosa succede se l'AI propone modifiche sbagliate al tema?

Vanno tutte nel sandbox. L'utente vede un diff e deve approvare. Se approva per sbaglio, il file originale viene sovrascritto: per questo è essenziale avere un backup (UpdraftPlus, BlogVault, o snapshot del hosting).

Vale la pena rispetto a Jetpack AI o Divi AI?

Sono prodotti diversi. Jetpack AI e Divi AI lavorano dentro l'editor di un singolo post, con focus su generazione di testo. WPVibe lavora a livello di sito, con focus su automazione e orchestrazione via linguaggio naturale. Per un blogger singolo, Jetpack AI è più immediato. Per un'agenzia, WPVibe è enormemente più potente.

WPVibe funziona con WooCommerce?

Al lancio no, ma il team ha annunciato integrazione WooCommerce in roadmap Q3 2026 (gestione ordini, prodotti, inventario via MCP). Per ora, plugin terzi stanno già sperimentando bridge custom.

Riferimenti utili per approfondire

• WPVibe sito ufficiale - documentazione completa e setup guidato.
• Vibe AI su WordPress.org - download e recensioni.
• Model Context Protocol spec Anthropic - documentazione tecnica del protocollo.
• SeedProd page builder - chi sviluppa WPVibe.
• MCP servers directory ufficiale - catalogo di server MCP community.
• WordPress Application Passwords - come funziona il sistema di autenticazione usato da WPVibe.
• Claude Desktop MCP setup - come collegare Claude come client MCP.
• WordPress 7.0 AI Connectors mrtux.it - confronto con l'approccio alternativo dei Connectors core.
• Creare plugin WordPress con AI mrtux.it - per chi vuole costruire il proprio MCP server.
• Sicurezza WordPress plugin piratati mrtux.it - rischi da considerare quando si espongono endpoint.

Questa guida verrà aggiornata quando arriveranno le integrazioni WooCommerce e i tool community. Per casi d'uso specifici o problemi di setup, l'area commenti è aperta.