Craft CMS et IA : les questions à se poser avant de connecter un client.

Que peut réellement modifier un client IA sur mon site ?

Les entrées, les brouillons, les catégories et les globales — et seulement si vous avez activé ces outils, car tout ce qui modifie un état est désactivé par défaut. La lecture couvre les contenus, les ressources, le schéma et les informations d'exploitation. La liste complète, avec la classe d'accès de chaque outil, se trouve dans la référence des outils.

Peut-il faire plus que la personne dont il utilise le jeton ?

Non. Un jeton appartient à exactement un utilisateur Craft, et chaque élément passe le contrôle de permissions de Craft lui-même pour cet utilisateur, sur ce site. La portée du jeton peut encore restreindre cela ; elle ne l'élargit jamais. Attribuez un jeton à l'utilisateur le moins privilégié qui peut encore faire le travail.

Exécute-t-il du PHP arbitraire, des commandes shell ou des templates ?

Non. Aucun outil n'exécute le code que vous lui transmettez. C'est une absence voulue, pas une fonctionnalité en attente.

Déploie-t-il ou déplace-t-il des fichiers vers un serveur ?

Non. Ce plugin ne transfère pas de fichiers et ne se connecte jamais à un serveur par SSH ou FTP. Il travaille à l'intérieur de l'installation Craft dans laquelle il est installé. Si vous en avez besoin, cela ne fait pas partie de ce produit.

Que se passe-t-il si un jeton fuite ?

Révoquez-le — dans le panneau de contrôle ou avec php craft alphabridge-mcp/tokens/revoke <id> — et le prochain appel avec ce jeton échoue. Lisez ensuite le journal d'audit pour voir ce qui a été fait avec. Les jetons peuvent aussi avoir une date d'expiration, pour qu'un jeton oublié cesse de fonctionner de lui-même. Seul un hachage SHA-256 du jeton est stocké : un dump de la base de données ne donne donc à personne un jeton valide.

Que stocke le journal d'audit — est-ce une copie de mes contenus ?

Non. Il enregistre quand, quel outil, quel utilisateur et le résultat, plus le nom des arguments. Il n'enregistre pas leurs valeurs. Vous pouvez voir qu'une entrée a été créée avec une section et un titre ; vous ne pouvez pas lire ce titre dans le journal.

Fonctionne-t-il avec une installation Craft multisite ?

Oui. Les handles de site sont acceptés là où ils comptent, et la permission sur le site fait partie de chaque contrôle — un rédacteur qui peut travailler sur un site n'atteint que ce site via le client IA. Quand une valeur diffère selon le site, comme pour les globales, la réponse nomme le site qu'elle a lu.

Quels clients IA fonctionnent avec ?

Tout client qui parle MCP en Streamable HTTP et peut envoyer un en-tête Authorization : Claude Code, Claude Desktop, Cursor et d'autres. Des exemples de configuration figurent dans la documentation. Les clients qui ne peuvent placer un jeton que dans une URL ont besoin d'un réglage désactivé par défaut, et la documentation explique le compromis avant que vous ne l'activiez.

Combien ça coûte, et puis-je l'essayer d'abord ?

$49 une fois par environnement de production, puis $19 par an pour continuer à recevoir les mises à jour, via le Craft Plugin Store sous la Craft License — dès que la fiche sera en ligne, elle est en préparation. Les environnements de développement et de préproduction sont gratuits à l'essai ; cela fait partie de la Craft License, ce n'est pas une période d'essai que nous accordons.

Que se passe-t-il quand je le désinstalle ?

La migration est annulée : les deux tables, alphabridge_tokens et alphabridge_audit, sont supprimées et rien ne reste. La désinstallation fait partie du test automatisé de bout en bout à chaque modification ; ce n'est donc pas un chemin qu'on ne teste qu'une fois.

Encore un doute ? Écrivez à mail@cultureclub.dev, ou lisez comment fonctionne la chaîne de sécurité.