É seguro deixar o Claude ou o ChatGPT editar o WordPress?

Depois de instalar o AlphaBridge, ele só lê. Os assistentes veem conteúdos, multimédia, termos, comentários, definições e a estrutura do site. Com o Pro, também leem utilizadores e, com o WooCommerce, os dados da loja. Todas as ferramentas que criam, alteram ou eliminam são recusadas, tal como as que leem código, ficheiros ou a base de dados.

Um administrador ativa o «Acesso de escrita para assistentes de IA» no topo de «Definições → AlphaBridge MCP». O interruptor vale para todas as ligações: Claude, ChatGPT, Cursor e todas as outras.

Antes de o ativar, o administrador assinala uma caixa por baixo de um aviso. O aviso diz que as alterações passam a ter efeito imediato e podem ser destrutivas. A ativação é por conta e risco do proprietário. A caixa confirma também que existe uma cópia de segurança atual. O plugin regista quem o ativou e quando.

A ativação liga todas as ferramentas. Depois, em «Ajuste fino», desliga as ferramentas individuais ou os grupos de que não precisa. Se voltar a ativar o acesso de escrita mais tarde, todas as ferramentas voltam a ficar ligadas. Um clique desliga o acesso de escrita.

Cada ligação pertence a um utilizador do WordPress. Cada ferramenta verifica a permissão desse utilizador para o próprio artigo, ficheiro ou termo em causa. O que o utilizador não pode fazer, a IA também não pode.

O Claude e o ChatGPT ligam-se através de um ecrã de consentimento no seu próprio site. A ligação atua então em nome da conta que a aprovou. Por predefinição, só os administradores podem aprovar ligações.

Cada ligação tem também um nível de acesso, que restringe o que o utilizador pode fazer e nunca o alarga. Escolhe-o no ecrã de consentimento antes de aprovar.

• Com acesso só de leitura, a ligação vê o que a conta pode ver e não altera nada.
• Com acesso só a conteúdos, também altera ou elimina artigos, páginas, multimédia, termos e comentários. Os ficheiros de temas e plugins e as definições do site ficam fora do seu alcance.
• Com o Pro, o acesso só a conteúdos também bloqueia as ferramentas que alteram a base de dados.
• Com acesso total, pode fazer tudo o que a conta pode fazer com as ferramentas ativas.

O Cursor, o Claude Code e os scripts ligam-se antes com um token. Um administrador cria essa ligação manualmente nas definições, indicando um utilizador do WordPress, um nível de acesso e, opcionalmente, uma expiração em dias. Para trabalho só com conteúdos, escolha uma conta de Editor em vez de um administrador.

Os tokens só são guardados como hashes. Pode renovar o segredo de uma ligação com um clique ou revogar a ligação.

O AlphaBridge guarda as últimas 200 chamadas de ferramentas num registo de auditoria. Cada entrada contém a hora, o utilizador, a ferramenta e o resultado. Guarda os nomes dos argumentos, não os seus valores. A página de definições mostra as entradas mais recentes. As entradas mais antigas são substituídas, e o registo pode ser desligado. Por isso, verifique se está ligado.

Faça uma cópia de segurança completa dos ficheiros e da base de dados antes de ativar o acesso de escrita. Guarde-a fora do site e verifique se a consegue repor. Muitos alojamentos fazem cópias automáticas, por isso confirme se o seu as faz e com que frequência. Experimente primeiro as alterações maiores numa cópia de testes, se tiver uma. Quando uma ferramenta oferece pré-visualização, veja-a antes de aplicar a alteração.

O Pro cria um ponto de restauro quando o Claude edita uma página ou um ficheiro. O Pro guarda os 50 mais recentes, cada um durante 7 dias por predefinição, ajustável de 1 a 30 dias. As ferramentas de loja, SEO e utilizadores do Pro não têm anulação, e as escritas na base de dados também não. Os pormenores estão no guia Anular alterações da IA com o Pro.

O Pro verifica a sintaxe do PHP antes de o guardar, em ficheiros até 512 KB. Após cada edição de PHP num plugin ativo, no tema ativo ou num snippet, o Pro abre o site. Se o site deixar de carregar, o Pro repõe a versão antiga. O teste abre a página inicial, não a finalização da compra nem as tarefas cron. A ativação de um plugin ou tema decorre sem este teste, tal como o Site Deploy no Agency.

Conheça também os limites. O AlphaBridge verifica se uma chamada é permitida. Não verifica se a chamada está correta nem o que pretendia. Os assistentes de IA cometem erros. Também podem seguir instruções que alguém escondeu num comentário, numa página ou num ficheiro. E alterar o estado de uma encomenda pode enviar e-mails aos seus clientes.

Todo o modelo de segurança está na página de segurança.

• Faça uma cópia de segurança completa dos ficheiros e da base de dados e guarde-a fora do site.
• Teste uma vez se a cópia de segurança pode ser reposta.
• Deixe primeiro a IA ler e aconselhar, antes de ativar o acesso de escrita.
• Dê a cada ligação o nível de acesso mais restrito que chegue para o trabalho.
• Para ligações criadas manualmente, use uma conta do WordPress apenas com os direitos de que o trabalho precisa.
• Defina uma expiração para trabalhos pontuais e revogue as ligações que já não usa.
• Ative o acesso de escrita só durante o trabalho e desligue-o depois.
• Depois de ativar, desligue as ferramentas desnecessárias em «Ajuste fino».
• Para bloquear as ferramentas do Pro que escrevem ou eliminam ficheiros de temas e plugins, defina DISALLOW_FILE_EDIT no wp-config.php.
• Peça primeiro uma pré-visualização quando uma ferramenta a oferece.
• Experimente primeiro atualizações e alterações a ficheiros e à base de dados numa cópia de testes.
• Tenha cuidado quando a IA trabalha com conteúdos de estranhos, como comentários.
• Leia o registo de auditoria depois do trabalho.
• Com o Pro, guarde o token de anulação de cada resposta até ter verificado o resultado.