Claude y ChatGPT con todo el poder en WordPress. El interruptor lo tienes tú.
De serie, AlphaBridge solo lee. Un administrador activa el acceso de escritura con un interruptor. Cada llamada se ejecuta con los permisos de un usuario de WordPress. Con Pro tienes una vuelta atrás preparada para páginas y archivos.
Cómo se protegen las partes delicadas.
Las herramientas de contenido son sencillas. Los archivos, la base de datos y el despliegue conllevan riesgos reales. Estas tres capas los protegen.
Credenciales cifradas
Las contraseñas de despliegue se cifran con libsodium (XSalsa20-Poly1305) antes de llegar a la base de datos. Cualquier cambio en el valor guardado se detecta. Ninguna herramienta las devuelve.
Verificación del mismo servidor
Antes de subir un archivo, AlphaBridge comprueba el destino con un archivo de prueba. Tiene que ser el servidor en el que funciona tu sitio. Un host redirigido o suplantado no supera la comprobación. Las claves de host SFTP se fijan por su huella SHA256.
Tu interruptor, tus permisos
De serie, el plugin solo lee. Un administrador activa el acceso de escritura con un interruptor. Entonces se activan todas las herramientas y, con Pro, también las habilidades de otros plugins. Desactiva lo que no necesites. Cada llamada se ejecuta con los permisos de WordPress de su usuario y los comprueba para esa entrada, ese archivo o ese término concretos. Las herramientas de base de datos de Pro leen con una única consulta SELECT. Solo cambian filas mediante escrituras estructuradas. Cada conexión mantiene su propio nivel de acceso.
Cada capa, explicada.
Lo que hace el plugin, capa por capa.
- OAuth 2.1 con PKCE. Claude se conecta a través de una pantalla de consentimiento protegida por inicio de sesión en tu propio sitio: descubrimiento estándar, sin copiar tokens y sin cuenta con nosotros.
- Tokens con hash, limitados y revocables. Los tokens solo se guardan como hash. Se pueden limitar a solo lectura o solo contenido y tener una caducidad. Puedes rotarlos con un clic y revocarlos en cualquier momento.
- Comprobación de permisos por herramienta y por objeto. Cada llamada se ejecuta como un usuario real de WordPress. Comprueba la capacidad para la entrada, el archivo o el término concreto que toca, no solo un rol global.
- Protección de secretos por capas. En el plugin gratuito, las opciones y los transients solo son accesibles a través de una lista fija de ajustes habituales del sitio. Las herramientas de opciones de Pro aceptan otros nombres, pero rechazan los relevantes para la seguridad mediante una lista de bloqueo. Una lista de bloqueo solo conoce lo que conoce, así que escribir opciones sigue siendo una decisión de nivel administrador. El acceso a los metadatos va por capas. Se rechazan las claves protegidas, las claves de is_protected_meta() y los patrones compuestos de credenciales (api_key, access_token, client_secret …). Los metadatos genéricos pasan la comprobación de capacidad por clave del propio WordPress. Leer claves protegidas con «_» requiere manage_options y una petición explícita.
- Protección SQL con una lista de permitidos. Las herramientas de base de datos (Pro) solo aceptan tipos de sentencia permitidos. Bloquean los esquemas del sistema y las funciones peligrosas. Cierran las vías para eludirlas mediante comentarios, CTE y PREPARE.
- Despliegue atómico opcional con reversión. Con atomic:true (desactivado por defecto), los despliegues del sitio completo se descomprimen en una carpeta de preparación, comprueban cada archivo y guardan una copia de seguridad. Después hacen el cambio renombrando. Una subida fallida antes del cambio deja el sitio como estaba. Un cambio fallido se revierte solo.
- Protecciones en todas partes. Protección contra path traversal y descarga de URL a prueba de SSRF, con redirecciones que se vuelven a validar. Un límite fijo de peticiones contra abusos. Y un interruptor principal que mantiene el sitio en solo lectura hasta que un administrador activa el acceso de escritura.
- Un registro de auditoría. El plugin guarda las últimas 200 llamadas a herramientas, cada una con su usuario y su resultado. La página de ajustes muestra las más recientes con hora, herramienta y estado.
El núcleo es de código abierto.
El código fuente completo del plugin gratuito es público en GitHub y en WordPress.org. Incluye el interruptor principal, las comprobaciones de permisos y el registro. Pro y Agency se basan en este núcleo. Sus partes propias, como la protección SQL y Site Deploy, no son públicas.
Hecho para quienes responden de sitios ajenos.
Los sitios de clientes necesitan constancia de lo que hace la IA. AlphaBridge la muestra en el registro.
Conexiones por cliente
Da a cada cliente su propio token: solo lectura, solo contenido o acceso completo, con caducidad opcional. Rótalo o revócalo sin tocar nada más.
Un registro claro
La página de ajustes muestra las últimas llamadas a herramientas con hora y estado, permitidas o rechazadas. El plugin guarda las últimas 200 por sitio.
Alcance bajo control
Nada se escribe hasta que un administrador activa el acceso de escritura. Puedes desactivar herramientas sueltas y grupos. Buscar y reemplazar de Pro muestra por defecto una vista previa de los cambios. Los despliegues solo llegan al servidor en el que funciona tu sitio.
Preguntas sobre seguridad.
¿Puede Claude hacer más de lo que permite mi cuenta de WordPress?
No. Cada llamada se ejecuta con los permisos del usuario de WordPress conectado. Lo que ese usuario no puede hacer, la IA tampoco.
¿Qué puede hacer la IA mientras el acceso de escritura está desactivado?
Solo leer: contenido, medios, términos, comentarios, ajustes y la estructura del sitio. Las herramientas que escriben se rechazan. También las que leen código, archivos, la base de datos, registros o credenciales.
¿Puedo ver lo que ha hecho la IA?
Sí. El plugin guarda las últimas 200 llamadas a herramientas, cada una con su usuario y su resultado. La página de ajustes muestra las más recientes.
¿Puedo revertir un cambio?
Con Pro, sí, en ediciones de páginas y archivos. Pro guarda un punto de restauración para estas ediciones, por defecto durante 7 días.
Un interruptor, todo el poder. Y con Pro, una vuelta atrás.
Consigue Pro por $49 al año o $9 al mes. O pruébalo gratis 7 días, sin tarjeta. El registro y el interruptor principal vienen en todas las ediciones, también en el plugin gratuito.