Craft CMS e IA: perguntas antes de ligar um cliente.

O que pode um cliente de IA realmente alterar no meu site?

Entradas, rascunhos, categorias e globais — e só se tiver ativado essas ferramentas, porque tudo o que altera o estado está desligado por predefinição. A leitura abrange conteúdos, assets, o esquema e informação operacional. A lista completa, com a classe de acesso de cada ferramenta, está na referência de ferramentas.

Pode fazer mais do que a pessoa cujo token usa?

Não. Um token pertence exatamente a um utilizador do Craft, e cada elemento passa pela verificação de permissões do próprio Craft para esse utilizador, nesse site. O âmbito do token pode restringir isto ainda mais; nunca o alarga. Atribua a um token o utilizador com menos permissões que ainda consiga fazer o trabalho.

Executa PHP arbitrário, comandos de shell ou templates?

Não. Não existe nenhuma ferramenta que execute código que lhe seja passado. É uma ausência deliberada, não uma funcionalidade à espera de ser acrescentada.

Faz implementações ou move ficheiros para um servidor?

Não. Este plugin não transfere ficheiros e nunca se liga a um servidor por SSH ou FTP. Trabalha dentro da instalação do Craft em que está instalado. Se precisar disso, não faz parte deste produto.

O que acontece se um token for divulgado?

Revogue-o — no painel de controlo ou com php craft alphabridge-mcp/tokens/revoke <id> — e a chamada seguinte com ele falha. Depois, leia o registo de auditoria para ver o que foi feito com ele. Os tokens também podem ter uma data de expiração, para que um token esquecido deixe de funcionar sozinho. Só é guardado um hash SHA-256 de cada token, por isso uma cópia da base de dados não dá a ninguém um token válido.

O que guarda o registo de auditoria — é uma cópia dos meus conteúdos?

Não. Regista quando, que ferramenta, que utilizador e o resultado, mais os nomes dos argumentos. Não regista os valores dos argumentos. Consegue ver que uma entrada foi criada com uma secção e um título; não consegue ler esse título a partir do registo.

Funciona com uma instalação Craft multissite?

Sim. Os identificadores de site são aceites onde importam, e a permissão do site faz parte de cada verificação — um editor que pode trabalhar num site só chega a esse site através do cliente de IA. Quando um valor difere por site, como nos globais, a resposta indica o site que leu.

Que clientes de IA funcionam com ele?

Qualquer cliente que fale MCP por Streamable HTTP e consiga enviar um cabeçalho Authorization: Claude Code, Claude Desktop, Cursor e outros. Há exemplos de configuração na documentação. Os clientes que só conseguem pôr um token num URL precisam de uma definição que está desligada por predefinição, e a documentação explica os prós e contras antes de a ativar.

Quanto custa, e posso experimentar primeiro?

$49 uma vez por ambiente de produção e depois $19 por ano para continuar a receber atualizações, através da Craft Plugin Store sob a Craft License — assim que a ficha estiver publicada, o que está em preparação. Os ambientes de desenvolvimento e de staging podem ser experimentados gratuitamente; isso faz parte da Craft License, não é um período experimental concedido por nós.

O que acontece quando o desinstalo?

A migração é revertida: as duas tabelas, alphabridge_tokens e alphabridge_audit, são removidas e não fica nada para trás. A desinstalação faz parte do teste automático de ponta a ponta em cada alteração, por isso não é um caminho experimentado uma única vez.

Ainda tem dúvidas? Escreva para mail@cultureclub.dev, ou leia como funciona a cadeia de segurança.