Claude WordPress API : connectez-le sans casser votre site

Pour connecter Claude à WordPress par l'API REST, il suffit de créer un mot de passe d'application sur un utilisateur dédié, puis de donner à Claude l'adresse de l'API de votre site, cet identifiant et ce mot de passe. Aucun plugin n'est nécessaire, et Claude peut alors lire vos contenus et préparer des brouillons que vous relisez avant publication. Je vous montre ici la version prudente, celle que je recommande à un propriétaire de site qui n'est pas développeur.

Que signifie connecter Claude à l'API REST de WordPress ?

L'API REST de WordPress est l'interface intégrée au cœur du CMS qui permet à un programme de lire et d'écrire des articles, des pages et des catégories par des adresses web, sans passer par le tableau de bord. Connecter Claude à cette API revient à lui donner un identifiant pour qu'il appelle ces adresses à votre place, à partir d'une simple consigne en français.

Concrètement, selon le guide de instawp.com, au lieu que vous exécutiez vous-même une requête POST /wp/v2/posts, Claude interprète votre demande et fait l'appel, avec l'authentification et la mise en forme des paramètres. Vous gardez la main sur ce qu'il a le droit de faire, parce que ce droit dépend du compte WordPress que vous lui prêtez.

Pourquoi choisir l'API REST plutôt qu'un plugin MCP ?

Parce que c'est la voie la plus courte et la moins intrusive. Lucas Fonseque, créateur de sites, la présente sur lucasfonseque.fr (guide mis à jour en octobre 2026) comme la méthode qu'il utilise lui-même : aucune extension, cinq minutes de mise en place, et elle fonctionne sur tout WordPress auto-hébergé.

Le protocole MCP (Model Context Protocol, un standard ouvert d'Anthropic qui permet à une IA de découvrir et d'appeler les outils d'un serveur) va plus loin, mais il ajoute une pièce à maintenir sur votre site. Mon avis tient en une phrase : tant que votre besoin est « lire et préparer des brouillons », l'API REST suffit, et chaque composant en moins est une surface d'attaque en moins.

Un point à vérifier avant de commencer : Claude doit pouvoir joindre votre site. Dans Claude Cowork, l'agent appelle l'adresse de votre API depuis votre poste, comme le montre Jamie WP dans sa démonstration sur poodlepress.com. Avec Claude Code, l'appel part de votre terminal. Un site WordPress en local, non publié sur internet, ne convient qu'à ces deux usages.

Que faire avant de créer le moindre mot de passe ?

Avant toute chose, faites une sauvegarde complète du site et créez un utilisateur WordPress réservé à Claude. Ces deux gestes transforment une erreur potentiellement coûteuse en incident sans conséquence : la sauvegarde permet de revenir en arrière, et l'utilisateur limité empêche Claude de toucher à ce qui n'est pas du contenu.

C'est l'étape que les tutoriels vidéo mettent le moins en avant. Les extraits que j'ai lus des vidéos de Darrel Wilson, Jamie WP et Themeisle vont droit au plugin ou au mot de passe, avant tout conseil de sauvegarde.

Quel rôle donner à l'utilisateur de Claude ?

Le rôle Contributeur est le plus sûr pour l'usage « brouillons ». Dans WordPress, un Contributeur peut écrire et modifier ses propres articles, mais il ne peut pas les publier. Même si Claude se trompe de consigne, rien ne sort en ligne tout seul.

Le revers : un Contributeur n'envoie pas d'images dans la médiathèque et ne voit pas les brouillons des autres auteurs. Si vous voulez que Claude améliore des articles existants, il faudra un rôle Éditeur, donc plus de pouvoir. Je commence toujours par le rôle le plus bas, puis j'élève seulement si un besoin précis le justifie.

Comment sauvegarder avant le premier essai ?

Utilisez l'outil de sauvegarde de votre hébergeur ou une extension de sauvegarde, et vérifiez que la copie contient bien la base de données et le dossier wp-content. Une sauvegarde jamais restaurée reste une hypothèse : faites au moins une fois l'essai de restauration sur un site de test.

Cette règle n'a rien d'exotique. Un utilisateur de Reddit sur r/ClaudeAI, propriétaire d'un site hérité d'un ancien développeur (code mal rangé dans des plugins de snippets, conditions qui se déclenchent sur de mauvaises pages), pose exactement la question que se posent les non-développeurs : peut-on laisser Claude exécuter des changements sur un site de production ? Sa propre réponse implicite est de valider chaque étape à la main, et je la partage.

Comment créer un mot de passe d'application pas à pas ?

Dans le tableau de bord WordPress, ouvrez Utilisateurs puis Profil sur le compte de Claude, descendez jusqu'à la section « Mots de passe d'application », nommez le mot de passe (par exemple « Claude »), puis cliquez sur « Ajouter un nouveau mot de passe d'application ». WordPress affiche alors le mot de passe une seule fois : copiez-le immédiatement.

Un mot de passe d'application est un identifiant secondaire, généré par WordPress, qui donne accès à l'API sans révéler le mot de passe de connexion du compte. Cette fonction existe dans le cœur de WordPress depuis la version 5.6, et elle est documentée dans le handbook officiel sur developer.wordpress.org.

Le principe est celui que décrit Jamie WP : noter le nom d'utilisateur, générer le mot de passe, le copier, puis le coller dans Claude avec l'adresse de l'API. Il précise qu'il révoque ce mot de passe après la démonstration. Faites de même dès que la séance est finie, car la révocation se fait en un clic, sans changer le mot de passe du compte.

Quelles conditions techniques faut-il remplir ?

Votre site doit être servi en HTTPS : par défaut, WordPress ne propose les mots de passe d'application que sur une connexion chiffrée, hors environnement local. Certains plugins de sécurité ou configurations d'hébergeur désactivent aussi l'API REST ou ces mots de passe, et la section n'apparaît alors pas dans le profil.

Si elle manque, vérifiez d'abord vos extensions de sécurité, puis demandez à votre hébergeur. Ne contournez pas ce blocage en installant un plugin au hasard.

Comment donner l'accès à Claude et vérifier que ça marche ?

Dites à Claude, dans Claude Cowork ou Claude Code, quelque chose comme : « Je te connecte à mon site WordPress. L'adresse de l'API est https://votre-site.fr/wp-json/wp/v2/, mon identifiant est X et le mot de passe d'application est Y. » C'est la formule que propose lucasfonseque.fr, et elle fonctionne parce que WordPress accepte l'authentification de base avec ce couple.

Demandez ensuite un test inoffensif : « lis-moi le titre de mes cinq derniers articles ». Si Claude répond correctement, la connexion est établie. Une erreur 401 signale un identifiant ou un mot de passe mal copié (les espaces du mot de passe doivent être conservés ou retirés de façon cohérente). Une erreur 403 indique que le rôle de l'utilisateur ne permet pas l'action demandée, ce qui est le comportement voulu pour un Contributeur qui tente de publier.

Que peut-on demander à Claude une fois connecté ?

Une fois connecté, Claude peut lire vos articles, pages, catégories et métadonnées, créer des articles en brouillon et modifier du contenu existant, dans la limite des droits du compte. Selon lucasfonseque.fr, il peut aussi renseigner les titres et descriptions SEO d'un plugin comme Rank Math, analyser votre maillage interne ou dresser un état des lieux de votre contenu.

Le gain de temps est réel. D'après skuria.fr (article du 18 avril 2026), un article structuré avec métadonnées renseignées peut sortir en brouillon en moins de 5 minutes au lieu de 45. Je prends ce chiffre comme un ordre de grandeur annoncé par l'éditeur du guide, pas comme une mesure indépendante.

Quelle consigne donner pour des brouillons exploitables ?

Une consigne utile précise trois choses : le sujet et le public, le statut obligatoire (draft, jamais publish) et les contraintes de forme (titres, longueur, ton). Écrivez-les une fois dans un fichier de consignes, par exemple CLAUDE.md si vous travaillez avec Claude Code, pour ne pas les répéter à chaque demande.

Exemple de formulation : « Crée un brouillon sur le sujet X pour des gérants de PME, 800 mots, sans publier. Donne-moi le lien d'aperçu. » Le mot « brouillon » est répété exprès : la consigne de statut doit être aussi explicite que la consigne de contenu.

Comment relire avant publication ?

Ouvrez le brouillon dans WordPress, comparez-le à votre intention, vérifiez chaque chiffre et chaque lien, puis publiez vous-même. Le skuria.fr fait de la relecture humaine un principe de son architecture, et son article rappelle que la connexion sert à supprimer la friction entre la décision éditoriale et la mise en ligne, pas à produire du contenu à la chaîne.

Cette précaution compte pour une autre raison : un texte généré peut contenir des affirmations inventées. L'API ne les détecte pas, c'est à vous de le faire. Mon fil conducteur sur ai-first.fr reste le même : l'IA lit, décide, agit et rend compte, mais un humain garde le contrôle sur ce qui engage l'entreprise.

Quelles autres façons de connecter Claude à WordPress existent ?

Il existe quatre autres routes : un plugin MCP gratuit installé sur le site, un serveur MCP managé, un outil qui ajoute des capacités d'IA directement dans WordPress, et le connecteur officiel de WordPress.com. Elles sont plus riches que l'API REST, mais chacune déplace une partie du contrôle vers un composant externe.

Le tableau compare les cinq méthodes sur ce qui compte pour un dirigeant : le temps de mise en place, ce que l'IA peut toucher et le risque à surveiller.

Quand faut-il préférer un serveur MCP à l'API REST ?

Quand vous voulez que Claude agisse sur des éléments que l'API REST de base expose mal : un constructeur de pages, une boutique WooCommerce, des champs personnalisés. Un utilisateur de r/BricksBuilder décrit ainsi un pont de 37 outils pour piloter Bricks Builder depuis Claude Code, et un autre développeur sur r/Wordpress a construit un plugin de 96 outils pour gérer produits, commandes et SEO en langage naturel.

Côté officiel, le blog développeur de WordPress a présenté en février 2026 le MCP Adapter, qui s'appuie sur l'Abilities API arrivée avec WordPress 6.9 et permet à Claude Desktop ou Claude Code d'appeler des fonctions déclarées par le site. C'est la direction du cœur de WordPress, donc elle mérite d'être suivie.

Plus un outil donne de pouvoir, plus la question « qu'est-ce qui est désactivé par défaut ? » devient centrale. expresstech.io (13 janvier 2026) le souligne : sur InstaMCP, les outils execute_php, db_query et site_files sont livrés désactivés. Je retiens la règle, quel que soit l'outil : n'activer les outils dangereux que pour une tâche précise.

Pourquoi je n'installe pas d'agent dans l'administration par défaut ?

Parce que l'argument de simplicité des tutoriels vidéo ne dit rien du risque. Darrel Wilson affirme que le plugin Novamira est de loin la méthode la plus simple parmi toutes celles qu'il a essayées, et sa vidéo est claire. Elle ne dit pas ce qui se passe si l'agent se trompe sur un site en production.

Je ne conteste pas la simplicité, je conteste l'ordre des priorités. Pour une PME, le bon point de départ est le périmètre le plus étroit qui répond au besoin, puis on l'élargit. Sur ce point, le mot de passe d'application sur un compte Contributeur est difficile à battre.

Faut-il vraiment connecter Claude à votre WordPress ?

Oui, si votre besoin est de préparer des brouillons, d'auditer du contenu et de renseigner des métadonnées, et non, si l'idée est de laisser une IA publier seule. Dans le premier cas, la connexion par API REST fait gagner un temps mesurable pour un risque maîtrisé. Dans le second, vous créez exactement le chaos que je veux éviter chez les dirigeants que j'accompagne.

Ma recommandation tient en quatre gestes : sauvegarde, utilisateur Contributeur dédié, mot de passe d'application révoqué en fin de séance, relecture avant publication. Si vous préférez ne pas le faire vous-même, nous pouvons installer la connexion pour vous, voir Claude pour WordPress.

Quels sont les risques à ne pas sous-estimer ?

Le premier est le mot de passe lui-même : le coller dans une conversation le place dans un historique. Utilisez-en un dédié, révocable, rattaché à un compte limité. Le second est la donnée personnelle : si votre site contient des commentaires ou des fiches clients, le RGPD s'applique à ce que vous faites lire à un service tiers, comme l'explique la Commission européenne sur ec.europa.eu.

Le troisième est le plus banal : l'erreur de consigne. C'est la raison pour laquelle le brouillon relu reste le verrou final. Pour aller plus loin sur la méthode, lisez notre guide sur les automatisations Claude qui font vraiment économiser, et sur la sécurité, Claude et la prompt injection, un risque réel dès qu'une IA lit du contenu web puis agit. Pour votre premier usage, Comment utiliser Claude Code sans savoir coder donne la base du poste de travail.

Foire aux questions

Faut-il un plugin pour connecter Claude à WordPress ?

Non. L'API REST est intégrée à WordPress, et les mots de passe d'application existent dans le cœur depuis la version 5.6. Un plugin n'est utile que pour des outils MCP plus riches, par exemple piloter un constructeur de pages ou une boutique WooCommerce.

Un mot de passe d'application est-il sûr ?

Il est plus sûr que le mot de passe de connexion, car il se révoque seul, sans changer celui du compte, et il peut être rattaché à un utilisateur aux droits limités. Il reste un secret : ne le partagez pas, ne le laissez pas dans un fichier public et révoquez-le quand la séance de travail est terminée.

Claude peut-il publier un article tout seul sur mon site ?

Seulement si le compte utilisé en a le droit. Avec un utilisateur au rôle Contributeur, WordPress interdit la publication : Claude ne peut créer que des brouillons. C'est la raison pour laquelle je recommande ce rôle pour un premier essai.

Quelle différence entre l'API REST et le protocole MCP pour WordPress ?

L'API REST est l'interface native de WordPress, appelée avec un identifiant et un mot de passe d'application. Le MCP est une couche standardisée d'Anthropic qui expose des outils typés à Claude, via un plugin ou un serveur managé. Le MCP offre davantage d'actions, l'API REST demande moins de composants.

Que faire si la section Mots de passe d'application n'apparaît pas ?

Vérifiez que votre site est en HTTPS, puis que ni un plugin de sécurité ni votre hébergeur ne désactive l'API REST ou cette fonction. Si le blocage persiste, demandez à l'hébergeur de l'autoriser plutôt que d'installer une extension non vérifiée.

Vidéos YouTube

• Easily Connect Claude AI to WordPress in 3 Minutes — Darrel Wilson
• How to Connect Claude to WordPress—Just Copy & Paste! — Darrel Wilson
• The Quickest & Easiest Way to Connect Claude Cowork to WordPress — Jamie WP
• The Easiest Way to Connect Claude Code to WordPress With MCP — Themeisle

Discussions Reddit

• Anyone actually used Claude Code + WordPress MCP for production site work? — r/ClaudeAI
• WordPress plugin Bricks API Bridge + MCP — r/BricksBuilder
• Claude Code WordPress Plugin — r/Wordpress

Articles & ressources

• Connect Claude to WordPress: Best Methods for Developers — expresstech.io
• From Abilities to AI Agents: Introducing the WordPress MCP Adapter — developer.wordpress.org
• Connecter Claude à WordPress : le guide technique complet — skuria.fr
• Connecter Claude à WordPress : guide complet 2026 — lucasfonseque.fr
• How to Connect Claude with WordPress in 2026: 5 Methods — instawp.com
• REST API Authentication — developer.wordpress.org