WordPress（WordPress.com／WordPress本体）

Claude Codeに、どこまで権限を渡せるか

読み取り専用で渡せるか あり

WordPress.com MCP は認可時に『Read only』を選べる（『Read only turns off every Write tool. Read tools stay as they are.』）。設定はアカウント全体で、接続している全クライアントが共有する（公式）。Full access／Read only のほか、既存のカスタム設定を維持する選択肢があり、個別ツールのオン／オフはアカウント設定で変える。WordPress本体の MCP Adapter 側には読み取り専用モードの記載なし（公式記事は、公開HTTPエンドポイントには読み取り専用の ability だけ、本番では専用の低権限ユーザーを勧める）。https://developer.wordpress.com/docs/mcp/

権限（スコープ）を選べるか あり

WordPress.com MCP: OAuth 2.1（PKCE）。OAuthスコープの記載はなく、アクセスレベル（Full access／Read only）とツール単位のオン／オフで範囲を決める。利用できるツールはプラン・ホスティング・ユーザー権限・アカウントのツール設定で変わると公式にある。WordPress本体: 各 ability の permission_callback と、接続ユーザーのロールで決まる。ability は meta.mcp.public が true のものだけが既定サーバーに出る（公式記事）。

危険な操作の既定

WordPress.com MCP: ツールリファレンスに『すべての書き込み・更新・削除は user confirmation が必要』とある。エージェントが内容を説明して承認を得たうえで、実行パラメータに user_confirmed: true（真偽値。'yes do it' のような自由文は不可）を渡す決まり。user.change-role／user.remove-access／plugin.uninstall は user_confirmed: true が無いと実行せずプレビューを返す。プランの移動・購読者の追加（newsletter.subscribers.add）・import-status は既定でオフ（ユーザーが設定でオン）。DNS系4ツールは『ライブのDNSを変え、メールやサイトを壊しうる』と公式が警告、site.provision は『本物のサイトを作るので、タイトルとURLの確認後に』と記載。サーバーがユーザーの画面承認を直接取る仕組みかは記載なし（承認はエージェントが取り、パラメータで渡す書き方）。MCP Adapter 側: 危険操作の既定制御の記載なし（『破壊的な操作で __return_true の権限判定を避ける』という助言のみ）。

削除ができるか できる

WordPress.com MCP: 投稿・ページ（30日以内なら復元可）・コメント・同期パターン・ブロックのナビゲーションメニューはゴミ箱へ。カテゴリ・タグ・メディア・分類用語・クラシックメニュー（とゴミ箱非対応の投稿タイプの項目で force=true）は完全削除（『WordPress.com does not trash attachments』）。ほかに plugin.uninstall、user.remove-access（そのサイトでは元に戻せない）、支払い方法の削除。Read only を選ぶと書き込みツールごとオフ。WP-CLI: wp post delete（既定はゴミ箱、--force で完全削除）。MCP Adapter: ability 次第で、公式記事に一覧なし。

取り消し方（キー・接続）

WordPress.com: Security → Connected applications で Disconnect（AIクライアント側で接続を外しても WordPress.com 側の登録は消えないため、該当エントリをそれぞれ Disconnect）。MCP機能自体はアカウント設定でオフにでき、オフにした後はクライアントで接続し直しが必要。MCP Adapter（Application Password）の取り消し手順は公式記事に記載なし（認証情報のローテーションの助言のみ）。

根拠のページ

つなぎ方（公式の資料にある範囲）

できる操作

読み取りでできる操作

• 【MCP】（WordPress.com）投稿・ページ・コメント・メディア・カテゴリ・タグ・パターンの一覧／取得、コンテンツ検索、テーマ設定、サイト設定・統計・アクティビティログ・バックアップ状況・プラグイン一覧・ユーザー一覧、アカウント情報・ドメイン一覧・サブスクリプション・請求書の取得
• 【MCP】（WordPress本体）MCP Adapter 経由で、公開（meta.mcp.public）された ability を発見・実行（公式記事は、公開HTTPエンドポイントには読み取り専用の ability を勧めている）
• 【CLI】wp コマンドでの投稿・プラグイン・ユーザー等の一覧／取得（公式の個別ページは wp post delete のみ確認）
• 【API】REST API でのコンテンツ取得（非公開・パスワード保護・内部ユーザー等のコンテンツは認証が必要と公式にある）

書き込みでできる操作

• 【MCP】（WordPress.com）投稿・ページ・コメント・メディア・カテゴリ・タグの作成／更新、メディアのアップロード／生成、サイト設定・テーマ切替・ナビゲーション・テンプレート・グローバルスタイルの更新、プラグインのインストール／有効化／更新、ユーザー招待・権限変更、ニュースレター設定、サイトの公開（manage-site.launch）・表示設定、新規サイト作成（site.provision）
• 【MCP】（WordPress.com）新規の投稿・ページは下書きで始まる（公式ブログの記載）
• 【MCP】（WordPress本体）ability として登録された更新処理（例として公式記事は「投稿の更新」などを挙げる）
• 【CLI】wp コマンドによる更新・削除など（今回確認したのは wp post delete）
• 【API】REST API でのコンテンツの作成・更新

管理者操作（削除・課金・設定変更など）

• 【MCP】（WordPress.com）削除系: 投稿・ページ・コメントはゴミ箱へ（30日以内なら復元可と公式にある）。カテゴリ・タグ・メディア・分類用語・クラシックメニューは完全削除（元に戻せない）。user.remove-access（そのサイトでの権限削除、元に戻せない）、plugin.uninstall、subscriptions.payment_method.remove（支払い方法の削除）も一覧にある
• 【MCP】（WordPress.com）課金・契約まわり: subscriptions.stop_renewal / resume_renewal、plan 関連の取得、wpcom-domain-purchase（検索とチェックアウトリンクの提示）。ドメインのDNS更新ツール4種はライブのDNSを変更し、メールやサイトを壊しうると公式にある
• 【MCP】（WordPress.com）user.invite / resend-invite は実行するとメールをすぐ送る（テストで実行しないよう公式に注意書き）
• 【MCP】（WordPress.com）既定で無効（MCP設定で個別にオンにする）: プランの移動（subscriptions.move_to_site）、newsletter.subscribers.add、newsletter.subscribers.import-status（ツールリファレンスの記載。それぞれ個別のトグル）
• 【CLI】wp post delete は既定でゴミ箱、--force で完全削除
• 【MCP】（WordPress本体）破壊的操作の ability では __return_true の権限判定を避けるよう公式記事が書いている

制限

• WordPress.com MCP: すべての有料プランで利用可。無料サイトは作成後30日間のみ。Jetpack 接続のセルフホストサイトは Jetpack AI または Jetpack Complete プランが必要（公式）
• WordPress.com MCP: アカウント設定でMCPをオンにする必要がある（公式の ‘MCP must also be enabled in your account settings’）
• WordPress.com: プラグイン操作はプラグインのインストールを含むプランが必要。Marketplace プラグインは購入が必要（公式）
• MCP Adapter: PHP 7.4 以上、WordPress 6.9 以上（公式README）
• WordPress.com MCP の MCP ツール／MCP を無効にした場合は、クライアント側で接続をやり直す必要がある（公式）

認証・料金・日本語・実機検証

認証方式

【WordPress.com MCP】OAuth 2.1（ブラウザで認証）。【WordPress本体 MCP】STDIO は WP-CLI の --user、HTTP は WordPress の Application Password（WP_API_USERNAME / WP_API_PASSWORD）。【REST API】公式ページは、サイトと同じ認証制限が適用されるとのみ記載（Cookie／Application Password の手順は今回のページには無し）。

公表されている料金（2026年10月16日確認）

WordPress.com 料金ページ（米ドル表示・税別・2026-10-16確認）: Free $0、Personal 月払い $9／年払い換算 $4、Premium 月払い $18／年払い換算 $8、Business 月払い $40／年払い換算 $25、Commerce 月払い $70／年払い換算 $45、Enterprise は金額表示なし（WordPress VIP へ）。2年・3年払いの換算価格もあるが省略。更新価格はページ上で表示されず不明。WordPress本体ソフトの価格は未確認。 料金ページ

日本語対応

あり。WordPress.com のサポート文書に日本語版（https://wordpress.com/ja/support/ 。タイトル「日本語サポート – 公式 WordPress.com カスタマーサポート」）、WordPress本体に日本語のサポートフォーラム（ja.wordpress.org/support/）があることを確認。同サポートページには「AI 機能」（/ja/ai）があるが、MCP の記載・リンクは見当たらなかった。developer.wordpress.com の MCP ドキュメントの日本語版は見つからず、MCPドキュメントは英語のみと見られる（断定はできない）。管理画面の日本語表示は未確認。

Claude Code実機検証

未検証（この台帳は、動かして確かめた記録ではありません。Akiraが試したときは、検証日つきで書き換えます）