WordPress 7 et l'IA : AI Client, Connectors et Abilities API expliqués aux développeurs

WordPress 7.0 « Armstrong » (20 mai 2026) puis 7.1 (19 août 2026) ont marqué un tournant : pour la première fois, le cœur de WordPress fournit une infrastructure IA officielle. Pas un assistant imposé, mais des briques pour que plugins et thèmes utilisent l'IA de manière standard. Alors que WordPress 7.2 est attendu pour le 10 décembre 2026, voici ce que tout développeur WordPress devrait comprendre.

Le principe : l'IA dans le cœur, mais désactivée par défaut

Point essentiel, souvent mal compris : WordPress n'inclut aucun fournisseur d'IA et n'effectue aucun appel tant que l'administrateur n'en a pas configuré un et qu'un code ne l'utilise pas. Un site mis à jour en 7.x ne « parle » donc pas à une IA à votre insu.

Les trois briques à connaître

1. L'AI Client : une API PHP indépendante du fournisseur

L'AI Client permet à un plugin de demander une génération de texte sans coder en dur un fournisseur. Le plugin exprime son besoin ; c'est la configuration du site qui détermine quel modèle répond. Conséquence pour les développeurs :

• plus besoin d'embarquer un SDK OpenAI ou Anthropic dans chaque plugin ;
• plus besoin de gérer vous-même les clés API dans vos réglages ;
• l'administrateur garde le contrôle du fournisseur et des coûts.

2. Les Connectors : l'écran Réglages > Connecteurs

WordPress 7.0 ajoute un écran Réglages > Connecteurs avec trois connecteurs : Anthropic, Google et OpenAI. Chaque fournisseur est un plugin distinct, maintenu en dehors du cœur. C'est là que l'administrateur renseigne ses accès ; les plugins, eux, passent par l'AI Client.

3. L'Abilities API : décrire ce que votre site sait faire

Introduite dans WordPress 6.9 et enrichie en 7.1 (cycle d'exécution filtrable, validation personnalisée, découverte partagée), l'Abilities API permet de déclarer des « capacités » : une action précise, avec ses entrées, ses sorties et ses permissions. Par exemple : « créer un brouillon d'article », « lister les commandes du jour ».

L'intérêt : une IA ou un agent externe peut découvrir et appeler ces capacités de façon contrôlée, au lieu d'accéder librement à la base ou à l'API REST. C'est la même logique que les serveurs MCP que nous avons présentés dans notre tutoriel laravel/mcp.

Ce qui n'est pas (encore) là

• L'édition collaborative en temps réel a été retirée avant la 7.0 et n'est pas arrivée en 7.1. La fonctionnalité disponible est Notes, des commentaires asynchrones sur les blocs.
• Aucun fournisseur n'est activé d'office : l'IA reste un choix explicite de l'administrateur.

Bonnes pratiques pour vos plugins et thèmes

1. Passez par l'AI Client plutôt que par un SDK propriétaire : votre plugin fonctionnera avec le fournisseur choisi par le client.
2. Prévoyez l'absence de fournisseur : votre fonctionnalité doit se dégrader proprement si aucun connecteur n'est configuré.
3. Exposez vos actions via l'Abilities API avec des permissions strictes (current_user_can()) et une validation des entrées.
4. Gardez un humain dans la boucle pour toute action qui publie, supprime ou envoie quelque chose.
5. Informez l'utilisateur quand un contenu est généré par l'IA, et indiquez quelles données sont transmises au fournisseur (RGPD, loi 09-08 au Maroc).

Sécurité : un nouveau périmètre à auditer

Chaque capacité exposée est une porte d'entrée. Une ability mal protégée peut permettre à un agent — ou à un attaquant qui le manipule par injection de prompt — d'exécuter une action non prévue. Ajoutez ce périmètre à vos audits, en complément de notre checklist pour sécuriser un site WordPress existant et de la veille sur les plugins vulnérables.

Préparer WordPress 7.2

• Mettez à jour vers la dernière version 7.1.x et testez vos plugins sur un environnement de préproduction.
• Recensez les plugins qui intègrent leur propre SDK IA : ce sont les candidats à une migration vers l'AI Client.
• Suivez les notes de version de la 7.2 sur make.wordpress.org avant la sortie prévue le 10 décembre.

Conclusion

WordPress a choisi une approche prudente et ouverte : une infrastructure IA standard, neutre vis-à-vis des fournisseurs et inactive par défaut. Pour les développeurs, c'est l'occasion de simplifier leurs plugins et de mieux contrôler ce que l'IA peut faire sur un site. Pour les propriétaires de sites, c'est surtout un nouveau réglage à maîtriser.

Sources : notes de version WordPress 7.0 et 7.1, synthèse eSEOspace « WordPress 7.0 and 7.1: What's New ».