Craft CMS und KI: Fragen, bevor Sie einen Client verbinden.

Was kann ein KI-Client an meiner Site wirklich verändern?

Einträge, Entwürfe, Kategorien und Globals — und nur, wenn Sie diese Werkzeuge eingeschaltet haben, denn alles, was etwas verändert, ist standardmässig aus. Lesend geht es um Inhalte, Assets, das Schema und Betriebsauskünfte. Die vollständige Liste mit der Einstufung jedes Werkzeugs steht in der Werkzeugreferenz.

Kann er mehr als die Person, deren Token er benutzt?

Nein. Ein Token gehört zu genau einem Craft-Benutzer, und jedes Element durchläuft Crafts eigene Rechteprüfung für diesen Benutzer auf dieser Site. Der Scope des Tokens kann das weiter verengen; er weitet es nie aus. Geben Sie einem Token den kleinsten Benutzer, der die Aufgabe noch erfüllt.

Führt es beliebiges PHP, Shell-Befehle oder Templates aus?

Nein. Es gibt kein Werkzeug, das übergebenen Code ausführt. Das ist eine bewusste Lücke, kein Merkmal, das noch kommt.

Deployt es, oder überträgt es Dateien auf einen Server?

Nein. Dieses Plugin überträgt keine Dateien und verbindet sich nie über SSH oder FTP mit einem Server. Es arbeitet innerhalb der Craft-Installation, in der es installiert ist. Wer das braucht, findet es nicht in diesem Produkt.

Was passiert, wenn ein Token abhandenkommt?

Widerrufen — im Control Panel oder mit php craft alphabridge-mcp/tokens/revoke <id> —, und der nächste Aufruf damit scheitert. Danach zeigt das Prüfprotokoll, was damit getan wurde. Token können ausserdem ein Ablaufdatum tragen, ein vergessener hört also von selbst auf zu wirken. Gespeichert wird nur ein SHA-256-Hash, ein Datenbankabzug liefert also keinen brauchbaren Token.

Was steht im Prüfprotokoll — ist das eine Kopie meiner Inhalte?

Nein. Es hält fest, wann, welches Werkzeug, welcher Benutzer und mit welchem Ausgang, dazu die Namen der Argumente. Argumentwerte hält es nicht fest. Sie sehen, dass ein Eintrag mit einer Section und einem Titel angelegt wurde; den Titel können Sie dort nicht lesen.

Funktioniert es mit einer Craft-Installation mit mehreren Sites?

Ja. Site-Handles werden dort angenommen, wo sie zählen, und die Site-Berechtigung gehört zu jeder Prüfung — ein Redakteur, der auf einer Site arbeiten darf, erreicht über den KI-Client auch nur diese. Wo ein Wert je Site verschieden ist, etwa bei den Globals, nennt die Antwort die gelesene Site.

Welche KI-Clients funktionieren damit?

Jeder Client, der MCP über Streamable HTTP spricht und einen Authorization-Header senden kann: Claude Code, Claude Desktop, Cursor und andere. Konfigurationsbeispiele stehen in der Dokumentation. Clients, die einen Token nur in einer URL unterbringen, brauchen eine Einstellung, die standardmässig aus ist; die Dokumentation erklärt vorher, worauf man sich einlässt.

Was kostet es, und kann ich es vorher ausprobieren?

49 $ einmalig je Produktivumgebung, danach 19 $ im Jahr für weitere Aktualisierungen, über den Craft Plugin Store unter der Craft License — sobald der Eintrag freigeschaltet ist; er wird gerade vorbereitet. Entwicklungs- und Staging-Umgebungen sind frei zum Ausprobieren; das gehört zur Craft License, es ist keine Testfrist, die wir gewähren.

Was passiert beim Deinstallieren?

Die Migration wird zurückgenommen: Beide Tabellen, alphabridge_tokens und alphabridge_audit, werden entfernt, und es bleibt nichts zurück. Das Deinstallieren gehört bei jeder Änderung zum automatischen Ende-zu-Ende-Test, es ist also kein Weg, der nur einmal ausprobiert wurde.

Noch offen? Schreiben Sie an mail@cultureclub.dev, oder lesen Sie, wie die Sicherheitskette arbeitet.