Le développement de cette version a coûté 1 650 euros. Le coût cumulé pour cette année est de 9 690 euros. Le coût cumulé depuis la première version est de 9 690 euros, mais le coût pour vous est seulement la licence de 30€.
Nouvelle version 2.4.x du plugin MCP Content Manager Premium pour WordPress et WooCommerce. Cette version introduit un gestionnaire complet des rôles et des capacités et un système de confirmation humaine anti prompt-injection pour protéger les opérations à haut risque.
Versions de la branche
2.4.0
Gestion des Rôles et des Capacités
- Nouveau : Gestion des Rôles et des Capacités — CRUD complet pour les rôles et les capacités de WordPress via MCP.
- Nouveau : MCM_Role_Manager — classe complètement statique avec CRUD, catalogue, validation, audit et émission d'événements.
- Nouveau : mcm/list-roles — liste tous les rôles avec détails des capacités optionnelles et comptage des utilisateurs.
- Nouveau : mcm/get-capabilities-catalog — explorer ~45 capacités du core + ~12 de WooCommerce + 3 de MCM + capacités dynamiques de tiers.
- Nouveau : mcm/create-role — créer des rôles personnalisés avec clone_from optionnel pour hériter de rôles existants.
- Nouveau : mcm/update-role — modifier le nom du rôle, ajouter ou supprimer des capacités.
- Nouveau : mcm/delete-role — supprimer des rôles personnalisés avec réaffectation obligatoire des utilisateurs.
- Nouveau : mcm/compare-roles — matrice de comparaison des capacités côte à côte avec résumé des communes/uniques.
- Nouveau : mcm/assign-role — assigner un rôle à un utilisateur par ID, login ou email avec mesures de sécurité.
- Nouveau : mcm/audit-user-capabilities — audit complet des capacités effectives d'un utilisateur avec avis.
- Nouveau : Onglet des réglages des Rôles dans l'administration (Réglages > MCP Content Manager Premium > Rôles).
- Nouveau : MCM_Admin_Roles — classe d'interface d'administration pour l'onglet des Rôles avec rendu et process_save.
Protections de Sécurité des Rôles
- Nouveau : Toggle d'assignation de rôle Administrateur — désactivé par défaut, doit être activé dans les réglages pour permettre d'assigner le rôle d'administrateur via MCP.
- Nouveau : Toggle de dégradation d'Administrateur — désactivé par défaut, doit être activé dans les réglages pour permettre de dégrader des administrateurs via MCP.
- Nouveau : Liste de blocage des capacités dangereuses — 32 capacités bloquées par défaut à 3 niveaux de risque (CRITICAL, HIGH, MULTISITE). Les administrateurs peuvent les activer individuellement depuis l'onglet des Rôles.
- Nouveau : Protection d'administrateur unique — toujours active indépendamment des réglages, le site ne peut jamais rester sans au moins un administrateur.
- Nouveau : Prévention de l'escalade de privilèges — il n'est pas possible d'accorder des capacités que l'on ne possède pas.
- Nouveau : Capacités réservées — mcm_agent_execute réservée pour un usage futur d'agents autonomes.
- Nouveau : Rôles protégés — les rôles du core de WordPress (administrator, editor, author, contributor, subscriber) et ceux de WooCommerce (customer, shop_manager) ne peuvent pas être supprimés.
- Nouveau : Le rôle d'Administrateur est inmodifiable — prévient les blocages accidentels par modification du rôle.
- Nouveau : Vérification des dépendances de capacités — avertit lors de l'octroi de capacités sans leurs dépendances.
- Nouveau : Avis de capacités dangereuses — signale des capacités à haut risque (unfiltered_html, edit_files, etc.) lors de la création/modification de rôles.
- Nouveau : Émission d'événements via do_action('mcm_ability_executed') pour pistes d'audit et automatisation.
Corrections du Gestionnaire de Rôles
- Corrigé : Le paramètre clone_from dans mcm/create-role fonctionne maintenant correctement (capabilities de required supprimé dans input_schema).
- Corrigé : mcm/compare-roles avec moins de 2 rôles renvoie maintenant un message d'erreur amical (minItems supprimé dans input_schema).
- Corrigé : mcm/assign-role bloque maintenant la dégradation des administrateurs sans confirmation explicite (requiert confirm_demotion=true).
Système de Confirmation Humaine (Anti Prompt-Injection)
- Nouveau : Confirmation humaine hors bande pour ~30 compétences à haut risque — défense architecturale contre les attaques de prompt injection indirecte.
- Nouveau : MCM_Confirmation — moteur complètement statique : création de défis, validation de tokens, vérification d'intégrité HMAC et exécution confirmée.
- Nouveau : MCM_Confirmation_DB — couche de base de données avec table personnalisée {prefix}mcm_pending_confirmations, transitions d'état atomiques (pending -> confirmed -> executed).
- Nouveau : Page de confirmation indépendante via endpoint REST (/wp-json/mcm-auth/v1/confirm) — interface type carte similaire aux pages d'autorisation OAuth, sans dépendance de wp-admin.
- Nouveau : Onglet des Confirmations dans l'administration (Réglages > MCP Content Manager Premium > Confirmations) — tableau des actions en attente et historique récent avec indicateurs d'état.
- Nouveau : Système de confirmation Sentinel — confirmation hors bande indépendante pour des compétences destructrices du sentinel utilisant des URLs de capacité et stockage dans wp_options.
- Nouveau : Intégrité HMAC dans les paramètres de confirmation stockés — hash_hmac('sha256', params, AUTH_KEY) prévient la manipulation dans la base de données.
- Nouveau : Nettoyage automatique via Action Scheduler toutes les 12 heures — supprime les en attente expirés + exécutés/annulés de plus de 30 jours.
- Nouveau : La liste des compétences à haut risque est codée et NON configurable — prévient que des attaquants désactivent les protections via prompt injection.
- Nouveau : Pré-validation pour opérations impossibles — rôles protégés et rôles inmodifiables sont rejetés avant de créer des défis de confirmation.
- Nouveau : Le format de réponse du défi inclut token, URL de confirmation, résumé lisible pour les humains, temps d'expiration et instructions pour l'agent IA.
- Nouveau : Confirmation atomique — UPDATE WHERE status='pending' AND expires_at > NOW() prévient les conditions de course de double exécution.
- Nouveau : Méthode d'enveloppement de contenu (wrap_content) avec des marqueurs nonce par requête pour limites de contenu non fiable.
- Sécurité : Plus de 30 compétences nécessitent maintenant une confirmation humaine : gestion des utilisateurs, gestion des rôles, modifications des options, opérations de base de données, nettoyage de cache/core, restauration/suppression de snapshots, appliquer/revenir à la sécurité, installer des plugins/thèmes, écrire/remplacer des fichiers, et plus.
Vous pouvez acquérir la licence de MCP Content Manager Premium sur la page du produit.
