Claude e ChatGPT hanno pieni poteri su WordPress. L'interruttore lo tieni tu.
Di base AlphaBridge si limita a leggere. Un amministratore attiva l'accesso in scrittura con un solo interruttore. Ogni chiamata viene eseguita con i permessi di un utente WordPress. Con Pro, per pagine e file è sempre pronto un modo per tornare indietro.
Come sono protette le parti pericolose.
Gli strumenti per i contenuti sono semplici. File, database e deploy comportano rischi reali. Questi tre livelli li proteggono.
Credenziali cifrate
Le password di deploy vengono cifrate con libsodium (XSalsa20-Poly1305) prima di arrivare al database. Ogni modifica al valore salvato viene rilevata. Nessuno strumento le restituisce.
Verifica dello stesso server
Prima di caricare un file, AlphaBridge controlla la destinazione con un file di verifica: deve essere il server su cui gira il tuo sito. Un host reindirizzato o contraffatto non supera il controllo. Le chiavi host SFTP sono fissate tramite fingerprint SHA256.
Il tuo interruttore, i tuoi permessi
Di base il plugin si limita a leggere. Un amministratore attiva l'accesso in scrittura con un solo interruttore. A quel punto ogni strumento è attivo e, con Pro, anche le abilità degli altri plugin. Disattiva ciò che non ti serve. Ogni chiamata viene eseguita con i permessi WordPress del suo utente, verificati proprio per quell'articolo, file o termine. Gli strumenti database di Pro leggono con una singola SELECT. Modificano le righe solo tramite scritture strutturate. Ogni connessione mantiene il proprio livello di accesso.
Ogni livello, spiegato per bene.
Cosa fa il plugin, livello per livello.
- OAuth 2.1 con PKCE. Claude si collega tramite una schermata di consenso protetta da login sul tuo sito — discovery standard, nessun token da copiare, nessun account da noi.
- Token con hash, limitati e revocabili. I token vengono salvati solo come hash. Possono essere limitati a sola lettura o solo contenuti e avere una scadenza. Puoi rigenerarli con un clic e revocarli in qualsiasi momento.
- Controllo dei permessi per strumento e per oggetto. Ogni chiamata viene eseguita come un vero utente WordPress. Verifica la capacità per lo specifico articolo, file o termine che tocca, non solo un ruolo globale.
- Protezione a più livelli dei dati segreti. Nel plugin gratuito, opzioni e transient sono raggiungibili solo tramite un elenco fisso (allowlist) di impostazioni comuni del sito. Gli strumenti Pro per le opzioni accettano altri nomi, ma rifiutano quelli rilevanti per la sicurezza tramite una blocklist. Una blocklist conosce solo ciò che conosce, quindi scrivere le opzioni resta una decisione da amministratore. L'accesso ai meta è a più livelli. Chiavi protette, chiavi is_protected_meta() e schemi composti di credenziali (api_key, access_token, client_secret …) vengono rifiutati. I meta generici passano il controllo delle capacità per chiave di WordPress stesso. Leggere le chiavi protette "_" richiede manage_options e una richiesta esplicita.
- Protezione SQL con allowlist positiva. Gli strumenti database (Pro) accettano solo i tipi di istruzione consentiti. Bloccano gli schemi di sistema e le funzioni pericolose. Chiudono le scappatoie tramite commenti, CTE e PREPARE.
- Deploy atomico facoltativo con rollback. Con atomic:true (disattivato di base), i deploy dell'intero sito vengono estratti in una cartella di staging, ogni file viene controllato e si conserva un backup. Poi avviene la sostituzione tramite rinomina. Un caricamento fallito prima della sostituzione lascia il sito com'era. Una sostituzione fallita torna indietro da sola.
- Protezioni ovunque. Protezioni contro il path traversal e recupero di URL a prova di SSRF, con reindirizzamenti riconvalidati. Un limite fisso di frequenza contro gli abusi. E un interruttore principale che mantiene il sito in sola lettura finché un amministratore non attiva l'accesso in scrittura.
- Un registro delle attività. Il plugin conserva le ultime 200 chiamate agli strumenti, ognuna con il suo utente e il risultato. La pagina delle impostazioni mostra le più recenti con ora, strumento e stato.
Il nucleo è open source.
Il codice sorgente completo del plugin gratuito è pubblico su GitHub e su WordPress.org. Comprende l'interruttore principale, i controlli dei permessi e il registro. Pro e Agency si basano su questo nucleo. Le loro parti proprie, come la protezione SQL e Site Deploy, non sono pubbliche.
Pensato per chi risponde dei siti di altri.
I siti dei clienti hanno bisogno di una traccia del lavoro dell'IA. AlphaBridge la mostra nel registro.
Connessioni per cliente
Dai a ogni cliente il suo token: sola lettura, solo contenuti o accesso completo, con scadenza facoltativa. Rigeneralo o revocalo senza toccare nient'altro.
Un registro chiaro
La pagina delle impostazioni elenca le ultime chiamate agli strumenti con ora e stato, consentite o rifiutate. Il plugin conserva le ultime 200 per sito.
Raggio d'azione sotto controllo
Nulla viene scritto finché un amministratore non attiva l'accesso in scrittura. Singoli strumenti e interi gruppi si possono disattivare. Il cerca e sostituisci di Pro mostra di base un'anteprima delle modifiche. I deploy raggiungono solo il server su cui gira il tuo sito.
Domande sulla sicurezza.
Claude può fare più di quanto consente il mio account WordPress?
No. Ogni chiamata viene eseguita con i permessi dell'utente WordPress collegato. Ciò che quell'utente non può fare, non può farlo nemmeno l'IA.
Cosa può fare l'IA mentre l'accesso in scrittura è disattivato?
Può solo leggere: contenuti, media, termini, commenti, impostazioni e struttura del sito. Gli strumenti che scrivono vengono rifiutati. Lo stesso vale per quelli che leggono codice, file, database, log o credenziali.
Posso vedere cosa ha fatto l'IA?
Sì. Il plugin conserva le ultime 200 chiamate agli strumenti, ognuna con il suo utente e il risultato. La pagina delle impostazioni mostra le più recenti.
Posso annullare una modifica?
Con Pro sì, per le modifiche a pagine e file. Pro conserva un punto di ripristino per queste modifiche, di base per 7 giorni.
Un interruttore, tutta la potenza. E con Pro, un modo per tornare indietro.
Acquista Pro a $49 all'anno o $9 al mese. Oppure provalo gratis per 7 giorni, senza carta di credito. Il registro e l'interruttore principale sono inclusi in ogni edizione, plugin gratuito compreso.