¿Es seguro dejar que Claude o ChatGPT editen WordPress?

Después de instalar AlphaBridge, solo lee. Los asistentes ven contenido, medios, términos, comentarios, ajustes y la estructura del sitio. Con Pro también leen los usuarios y, con WooCommerce, los datos de la tienda. Se rechaza toda herramienta que crea, cambia o borra. También las que leen código, archivos o la base de datos.

Un administrador activa «Acceso de escritura para asistentes de IA» arriba del todo en Ajustes → AlphaBridge MCP. El interruptor vale para todas las conexiones: Claude, ChatGPT, Cursor y todas las demás.

Antes de activarlo, el administrador marca una casilla bajo un aviso. El aviso dice que a partir de ahí los cambios se aplican de inmediato y pueden ser destructivos. Activarlo es responsabilidad del propietario. La casilla confirma además que existe una copia de seguridad reciente. El plugin registra quién lo activó y cuándo.

Al activarlo se activan todas las herramientas. Después, en «Ajuste fino», desactivas las herramientas sueltas o los grupos que no necesites. Si más adelante vuelves a activar el acceso de escritura, se vuelven a activar todas las herramientas. Un clic desactiva el acceso de escritura.

Cada conexión pertenece a un usuario de WordPress. Cada herramienta comprueba la capacidad de ese usuario para la entrada, el archivo o el término concreto. Lo que el usuario no puede hacer, la IA tampoco.

Claude y ChatGPT se conectan a través de una pantalla de consentimiento en tu propio sitio. Después, la conexión actúa como la cuenta que la aprobó. Por defecto, solo los administradores pueden aprobar conexiones.

Cada conexión tiene además un nivel de acceso. Restringe lo que puede hacer el usuario y nunca lo amplía. Lo eliges en la pantalla de consentimiento antes de aprobar.

• Con acceso de solo lectura, la conexión ve lo que la cuenta puede ver y no cambia nada.
• Con acceso de solo contenido, también cambia o borra entradas, páginas, medios, términos y comentarios. Los archivos de temas y plugins y los ajustes del sitio quedan fuera de su alcance.
• Con Pro, el acceso de solo contenido también bloquea las herramientas que cambian la base de datos.
• Con acceso completo, puede hacer todo lo que puede hacer la cuenta con las herramientas activadas.

Cursor, Claude Code y los scripts se conectan, en cambio, con un token. Un administrador crea esa conexión a mano en los ajustes. Requiere un usuario de WordPress, un nivel de acceso y, opcionalmente, una caducidad en días. Para trabajo de contenido puro, elige una cuenta de Editor en lugar de una de administrador.

Los tokens solo se guardan como hash. Puedes rotar el secreto de una conexión con un clic o revocar la conexión.

AlphaBridge guarda las últimas 200 llamadas a herramientas en un registro de auditoría. Cada entrada contiene la hora, el usuario, la herramienta y el resultado. Guarda los nombres de los argumentos, no sus valores. La página de ajustes muestra las entradas más recientes. Las entradas antiguas se sobrescriben y el registro se puede desactivar. Así que comprueba que está activado.

Haz una copia de seguridad completa de archivos y base de datos antes de activar el acceso de escritura. Guárdala fuera del sitio y comprueba que puedes restaurarla. Muchos hostings hacen copias automáticas, así que comprueba si el tuyo las hace y con qué frecuencia. Prueba primero los cambios grandes en una copia de pruebas, si tienes una. Cuando una herramienta ofrezca una vista previa, mírala antes de aplicar el cambio.

Pro crea un punto de restauración cuando Claude edita una página o un archivo. Pro guarda los 50 más recientes, cada uno durante 7 días por defecto, ajustable de 1 a 30 días. Las herramientas de tienda, SEO y usuarios de Pro no se pueden deshacer, y las escrituras en la base de datos tampoco. Los detalles están en la guía Deshacer cambios de la IA con Pro.

Pro comprueba la sintaxis del PHP antes de guardarlo, en archivos de hasta 512 KB. Después de cada edición PHP en un plugin activo, el tema activo o un fragmento, Pro llama al sitio. Si el sitio ya no carga, Pro vuelve a poner la versión anterior. La prueba llama a la página de inicio, no al proceso de pago ni a las tareas cron. Activar un plugin o un tema no pasa por esta prueba, y Site Deploy en Agency tampoco.

Conoce también los límites. AlphaBridge comprueba si una llamada está permitida. No comprueba si la llamada es correcta ni qué querías decir. Los asistentes de IA se equivocan. También pueden seguir instrucciones que alguien ha escondido en un comentario, una página o un archivo. Y cambiar el estado de un pedido puede enviar e-mails a tus clientes.

Todo el modelo de seguridad está en la página de seguridad.

• Haz una copia de seguridad completa de archivos y base de datos, y guárdala fuera del sitio.
• Comprueba una vez que la copia se puede restaurar.
• Deja que la IA lea y te aconseje primero, antes de activar el acceso de escritura.
• Da a cada conexión el nivel de acceso más restringido que permita hacer el trabajo.
• Para las conexiones creadas a mano, usa una cuenta de WordPress con solo los permisos que requiere el trabajo.
• Fija una caducidad para los trabajos puntuales y revoca las conexiones que ya no uses.
• Activa el acceso de escritura solo para el trabajo y desactívalo después.
• Después de activarlo, desactiva en «Ajuste fino» las herramientas que no necesites.
• Para bloquear las herramientas de Pro que escriben o borran archivos de temas y plugins, define DISALLOW_FILE_EDIT en wp-config.php.
• Pide primero una vista previa cuando una herramienta la ofrezca.
• Prueba primero las actualizaciones y los cambios de archivos y base de datos en una copia de pruebas.
• Ten cuidado cuando la IA trabaje con contenido de terceros, como los comentarios.
• Lee el registro de auditoría después del trabajo.
• Con Pro, guarda el token de deshacer de cada respuesta hasta que hayas comprobado el resultado.